-
Dati sui social per l’intelligenza artificiale: come opporsi entro maggio
Dal 30 maggio 2025 Meta, la società proprietaria di Facebook, Instagram e WhatsApp, inizierà a utilizzare i dati personali degli utenti per addestrare i propri sistemi di intelligenza artificiale (IA). È quanto annunciava il Garante per la protezione dei dati personali in un comunicato di marzo 2025 invitando tutti a informarsi e, se lo desiderano, a esercitare il diritto di opposizione entro la fine del mese.
L’utilizzo dei dati per l’IA non riguarda solo chi ha un account sui social Meta, ma potenzialmente anche chi non è iscritto, se i propri dati sono stati condivisi da altri utenti. Per questo è importante agire subito, compilando gli appositi moduli messi a disposizione online sulle piattaforme social.
Il termine si avvicina: vediamo piu in dettaglio di cosa si tratta.
Cosa farà Meta con i nostri dati
Meta ha annunciato che userà i contenuti pubblici pubblicati dagli utenti maggiorenni – come post, commenti, foto, didascalie – e anche le informazioni inserite nelle chat con i servizi di IA (ad esempio su WhatsApp), per migliorare i suoi sistemi di intelligenza artificiale. In particolare, questi dati alimenteranno strumenti come il chatbot Meta AI o i modelli linguistici come Llama.
Questo trattamento sarà basato sul “legittimo interesse” di Meta. Tuttavia, il Garante ha sottolineato che il Regolamento europeo (GDPR) riconosce agli utenti il diritto di opporsi a questo uso dei propri dati.
Il Garante ricorda anche che il diritto di opposizione non riguarda solo Meta. Anche altri sistemi di intelligenza artificiale – come quelli sviluppati da OpenAI (ChatGPT), DeepSeek o Google – possono essere soggetti alla stessa regola. È sempre possibile chiedere che i propri dati non vengano utilizzati per addestrare algoritmi.
Opposizione per l’uso dei propri dati sui sociale: cosa fare
Chi non vuole che i propri contenuti vengano utilizzati da Meta per l’IA deve compilare un modulo online che le piattaforme sono obbligate a rendere disponibili, ai seguenti link:
- Per gli utenti Facebook: Modulo opposizione Facebook
- Per gli utenti Instagram: Modulo opposizione Instagram
- Per chi non ha un account ma teme che i propri dati siano presenti: Modulo non utenti
ATTENZIONE : chi esercita l’opposizione entro fine maggio potrà impedire che tutti i propri dati personali vengano usati.
Chi invece si oppone dopo, riuscirà a bloccare solo l’uso dei dati pubblicati dopo la data dell’opposizione. I dati già raccolti fino a quel momento resteranno a disposizione di Meta per l’addestramento dei suoi sistemi.
Va inoltre tenuto presente che anche i dati dei non utenti e dei minori sono a rischio: anche chi non è registrato a Facebook o Instagram potrebbe vedere i propri dati coinvolti, se ad esempio appaiono in foto o testi pubblicati da altri. In questo caso si può usare il modulo per i non utenti.
Privacy dei dati e intelligenza artificiale: cosa sta facendo il Garante
Nel frattempo, l’Autorità italiana per la privacy sta collaborando con le altre autorità europee per valutare la legittimità del comportamento di Meta.
Si punta a capire se esistano le basi legali per un uso così esteso dei dati personali, e se il diritto di opposizione sia davvero garantito in modo semplice, effettivo e completo. In particolare, è stato richiesto a Meta di chiarire anche l’uso delle immagini di minorenni postate da adulti.
In sintesi: chi utilizza Facebook, Instagram o anche solo ha la propria immagine o informazioni online, dovrebbe valutare con attenzione se desidera che i propri dati alimentino i sistemi di intelligenza artificiale. Se la risposta è no, è fondamentale agire entro fine maggio 2025.
Ricordiamo che sul tema già nel 2023 il Garante aveva avviato una indagine conoscitiva e l'anno scorso ha deliberato un provvedimento sui rischi e i possibili interventi per la tutela dei dati.
Lo alleghiamo qui per maggiore informazione: Web scraping ed intelligenza artificiale generativa: nota informativa e possibili azioni di contrasto
-
Certificati di malattia: sanzioni per mancato rispetto della privacy
La protezione della privacy dei lavoratori e dei cittadini rimane una priorità assoluta, e le violazioni sono da sanzionare duramente.
Lo evidenzia un nuovo recente intervento del Garante per la protezione dei dati personali che ha comminato una sanzione da 17 mila euro per il rilascio di un certificato medico che riportava dettagli sul reparto sanitario responsabile della prestazione e per altre inadempienze.
Vediamo ulteriori dettagli nei prossimi paragrafi
Garante privacy no ai dati sulla salute nei certificati medici
Il caso riguardava una paziente che aveva segnalato una violazione da parte di un’Azienda Sanitaria Territoriale, colpevole di aver rilasciato un certificato medico che indicava dettagli specifici sul reparto ospedaliero dove era stata erogata la prestazione sanitaria.
Questi dettagli, come il timbro con la specializzazione del medico o il nome della struttura, costituiscono informazioni potenzialmente riconducibili allo stato di salute della persona, in violazione dei principi fondamentali di protezione dei dati personali.
Il Garante ha sottolineato che i certificati medici destinati a giustificare un’assenza dal lavoro o l’impossibilità di partecipare a un concorso devono contenere esclusivamente le informazioni strettamente necessarie, senza alcun riferimento che possa rivelare la natura delle condizioni di salute.
Questa violazione ha portato l’Azienda Sanitaria a ricevere una sanzione amministrativa di 17mila euro.
Certificati medici e Privacy by design: un obbligo, non un’opzione
Oltre alla violazione del principio di minimizzazione dei dati, il Garante ha accertato un mancato rispetto del principio di privacy by design.
Questo principio richiede che, fin dalla progettazione di processi e moduli, vengano adottate misure tecniche e organizzative per garantire la protezione dei dati personali.
Nel caso specifico, l’Azienda non aveva predisposto adeguati accorgimenti per evitare la diffusione di informazioni sensibili nei certificati medici.
Nonostante l’intervento del Garante abbia portato l’Azienda a modificare i moduli e a formare il personale sul trattamento dei dati, il ritardo nell’adozione di queste misure ha avuto conseguenze gravi: un numero potenzialmente elevato di pazienti è stato coinvolto per un lungo periodo.
Inoltre, l’Azienda ha aggravato la situazione non rispondendo tempestivamente alle richieste di informazioni da parte dell’Autorità, incorrendo in ulteriori violazioni del Codice della Privacy.
Questo caso rappresenta un monito per tutte le organizzazioni sanitarie e non , chiamate a garantire non solo la qualità dei servizi ma anche il pieno rispetto dei diritti alla riservatezza dei cittadini, pena sanzioni rilevanti e danni alla propria reputazione.
-
Nuovo Codice della Privacy – Codice in materia di protezione dei dati personali
Pubblichiamo il testo del Nuovo Codice in materia di protezione dei dati personali (Dlgs del 30.06.2003 n. 196) recante “Disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonchè alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati)”.
Le novità introdotte dal decreto legge 2 marzo 2024, n. 19, convertito, con modificazioni dalla legge 29 aprile 2024, n. 56 sono riportate in rosso.
Il presente testo coordinato è reso disponibile al solo scopo informativo e non ha valore ufficiale.
Allegati: -
Privacy: multa da 120mila euro per uso di software di controllo attività
Sanzionato con multa da 120mila euro il datore di lavoro che utilizzava un software di monitoraggio puntuale dell'attività dei dipendenti ( su tempi, modalità di lavorazione e pause) , senza adeguata informativa, e uno strumento per l'accesso al luogo di lavoro tramite riconoscimento facciale.
Si tratta del provvedimento del Garante Privacy 338 2024 del 6 giugno 2024.
Vediamo il caso in maggiore dettaglio.
Utilizzo software di controllo e riconoscimento facciale: il caso
A seguito di un reclamo presentato da un dipendente contro il proprio datore di lavoro (una officina meccanica) per un presunto illecito trattamento dei dati personali dei dipendenti, l'Autorità Garante per la Protezione dei Dati Personali ha esaminato la documentazione e ha effettuato ispezioni per verificare la conformità della società alle normative vigenti in materia di protezione dei dati.
Il dipendente in particolare evidenziava che erano stati utilizzati senza un adeguata informativa ai dipendenti :
- il software "Infinity DMS" per la gestione delle prestazioni lavorative di ciascun lavoratore e
- l'hardware "X-Face 380" , un sistema di riconoscimento facciale, per il controllo degli accessi sul luogo di lavoro.
Le ispezioni effettuate presso la società hanno confermato l'uso di questi strumenti e hanno raccolto informazioni dettagliate sul loro funzionamento e finalità.
L'installazione del software considerata integrata alle attrezzature di lavoro, che raccoglieva e trattava dati personali dei dipendenti senza fornire loro una adeguata informativa, era avvenuta senza accordo con la rappresentanza sindacale.
Sono state quindi accertate violazioni in tema di trattamento dei dati personali sui principi di liceità, correttezza e trasparenza previsti dal Regolamento (UE) 2016/679.
Software di controllo e dati biometrici vietati: la decisione del Garante Privacy
Per quanto riguarda l'hardware che consente il riconoscimento facciale dei dipendenti, il Garante ha ribadito l'indirizzo restrittivo già seguito in casi simili: tali strumenti sono proibiti perché realizzano un trattamento illecito dei dati biometrici che appartengono alle categorie di dati sensibili .
L'utilizzo è generalmente vietato, salvo quando sia necessario per adempiere obblighi e esercitare diritti specifici in materia di diritto del lavoro e protezione sociale; questa ipotesi non si verifica nel caso in questione, mentre è giustificata ad esempio per la compilazione delle buste paga .
Il Garante sottolinea che, nel contesto del rapporto di lavoro, il consenso espresso dai dipendenti non può essere considerato un valido presupposto di liceità del trattamento, data l'asimmetria tra le rispettive posizioni.
Anche l'utilizzo del software gestionale è stato duramente criticato dall'autorità in quanto il datore di lavoro aveva imposto ai dipendenti, tramite un codice a barre individuale, la registrazione delle diverse fasi dell'attività lavorativa, comprese le pause (con la specifica causale).
L'Autorità ha sottolineato inoltre la mancanza di risposte da parte del datore di lavoro sulla natura e tipologia dei dati trattati, le modalità e i tempi di conservazione dei dati, che non ha permesso di valutare l'effettiva necessità e proporzionalità del software rispetto alle finalità da perseguire.
Ancora piu grave il fatto che tali informazioni non fossero state comunicate nemmeno ai dipendenti, considerando che nell'ambito del rapporto di lavoro l'obbligo di informare il dipendente è espressione del dovere di correttezza e trasparenza
Controllo dipendenti: le sanzioni previste dal Garante Privacy
Alla luce degli elementi sopra indicati e delle valutazioni effettuate, è stata irrogata la sanzione amministrativa pari ad euro 120.000,00 (centoventimila).
Inoltre in considerazione della tipologia delle violazioni accertate che hanno riguardato i principi generali e le condizioni di liceità del trattamento, che ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, è stata richiesta la pubblicazione in chiaro del provvedimento sul sito Internet del Garante.
Infine il Garante ha richiesto alla Società di comunicare le iniziative intraprese per
- conformare il trattamento dei dati effettuato mediante il software gestionale Infinity DMS alle disposizioni e ai principi generali in materia di trattamento dei dati personali nei termini esposti in motivazione entro 90 giorni dalla data di notifica del provvedimento;
- cessare il trattamento dei dati biometrici dei dipendenti attraverso il sistema di riconoscimento facciale.
e di fornire comunque riscontro adeguatamente documentato entro il termine di 90 giorni dalla data di notifica del provvedimento;
L’eventuale mancato riscontro può comportare l’applicazione della ulteriore sanzione amministrativa prevista dall’art. 83, par. 5, lett. e) del Regolamento.
-
Cybersicurezza e reati informatici: la legge pubblicata in Gazzetta Ufficiale
Pubblicata in GU n. 153 del 02.07.2024, la Legge del 28.06.2024 n. 90, in vigore dal 3 luglio 2024, che introduce una serie di disposizioni per il rafforzamento della cybersicurezza nazionale e la prevenzione dei reati informatici, al fine di migliorare la resilienza delle infrastrutture pubbliche e private italiane, nonché a coordinare meglio le risposte agli incidenti cibernetici.
In breve sintesi alcune delle misure previste.
Capo I: rafforzamento della cybersicurezza nazionale
Il Capo I reca disposizioni concernenti la cybersicurezza nazionale finalizzate a conseguire una più elevata capacità di protezione e risposta di fronte a emergenze cibernetiche.
Obblighi di notifica di incidenti
Viene previsto un obbligo di segnalazione e notifica di alcune tipologie di incidenti aventi impatto su reti, sistemi informativi e servizi informatici in carico ai seguenti soggetti:
- pubbliche amministrazioni centrali incluse nell’elenco annuale ISTAT delle pubbliche amministrazioni;
- regioni e province autonome di Trento e di Bolzano;
- città metropolitane;
- comuni con popolazione superiore a 100.000 abitanti e comunque i comuni capoluoghi di regione;
- società di trasporto pubblico urbano con bacino di utenza non inferiore a 100.000 abitanti;
- società di trasporto pubblico extraurbano operanti nell’ambito delle città metropolitane;
- aziende sanitarie locali;
- società in house degli enti fin qui richiamati che siano fornitrici di servizi informatici, dei servizi di trasporto sopra indicati, dei servizi di raccolta, smaltimento o trattamento di acque reflue urbane, domestiche o industriali ovvero servizi di gestione dei rifiuti.
Nucleo per la Cybersicurezza
Viene previsto un Nucleo per la cybersicurezza con la possibilità di convocare rappresentanti di enti rilevanti, come la Direzione nazionale antimafia, la Banca d'Italia e altri, per affrontare questioni di particolare rilevanza.Coordinamento Operativo
Viene rafforzato il coordinamento tra i servizi di informazione per la sicurezza e l'Agenzia per la cybersicurezza nazionale, permettendo interventi tempestivi in caso di incidenti informatici significativi.Misure di Sicurezza dei Dati
Le strutture competenti devono verificare che i programmi e le applicazioni informatiche rispettino le linee guida sulla crittografia e non presentino vulnerabilità note.Funzioni dell’Agenzia per la Cybersicurezza Nazionale
L'Agenzia assume il ruolo di Autorità nazionale per la cybersicurezza, coordinando soggetti pubblici e privati per assicurare la sicurezza e la resilienza cibernetiche a livello nazionale.Capo II: prevenzione e contrasto dei reati informatici
Il Capo II reca "Disposizioni per la prevenzione e il contrasto dei reati informatici nonché in materia di coordinamento degli interventi in caso di attacchi a sistemi informatici o telematici e di sicurezza delle banche di dati in uso presso gli uffici giudiziari".
In particolare, si segnalano numerose modifiche al codice penale volte a rafforzare le previsioni in materia di prevenzione e contrasto dei reati informatici, da un lato, prevedendo inasprimenti di pene o ulteriori circostanze aggravanti rispetto alle fattispecie di reati informatici previste a legislazione vigente e, dall'altro, introducendo nuove fattispecie delittuose quali, ad esempio, l'estorsione mediante reati informatici di cui al novellato articolo 629 c.p..
Al fine di rafforzare gli strumenti di contrasto dei reati informatici, viene prevista l'estensione del termine ordinario di conclusione delle indagini preliminari qualora i reati informatici siano commessi in danno di sistemi informatici o telematici di interesse militare o comunque di interesse pubblico.
La speciale disciplina delle intercettazioni prevista per i fatti di criminalità organizzata, viene estesa ai reati informatici rimessi al coordinamento del procuratore nazionale antimafia e antiterrorismo.
Allegati: -
Intelligenza artificiale: il Garante autorità nazionale in materia
Con un comunicato stampa del 25 marzo il garante per la privacy si candida come autorità nazionale competente in materia di intelligenza artificiale (ai sensi dell’art. 70 del Regolamento sull’IA, approvato dal Parlamento Ue lo scorso 13 marzo).
Vediamo il dettagli.
Intelligenza artificiale: il Garante per la privacy autorità nazionale
Il comunicato specifica che il Garante per la protezione dei dati personali possiede i requisiti di competenza e indipendenza necessari per attuare il Regolamento europeo sull'intelligenza artificiale coerentemente con l'obiettivo di un livello elevato di tutela dei diritti fondamentali.
Questo è ciò che il presidente Pasquale Stanzione, ha evidenziato in una segnalazione inviata nei giorni scorsi ai Presidenti di Senato e Camera e al Presidente del Consiglio.
La recente approvazione dell'AI Act da parte del Parlamento europeo: "impone agli Stati membri alcune scelte essenziali sulle norme di adeguamento degli ordinamenti interni".
L'incidenza dell'IA sui diritti suggerisce di attribuirne la competenza ad Autorità caratterizzate da requisiti d'indipendenza stringenti, come le Authority per la privacy, anche in ragione della stretta interrelazione tra intelligenza artificiale e protezione dati e della competenza già acquisita in materia di processo decisionale automatizzato.
Viene ricordato che l'AI Act si fonda sull'articolo 16 del Trattato sul funzionamento dell'Unione europea, che è la base giuridica della normativa di protezione dei dati, e lo stesso Regolamento sull'intelligenza artificiale prevede il controllo delle Autorità di protezione dei dati personali su processi algoritmici che utilizzino dati personali.
Concludendo si evince che la sinergia tra le due discipline e la loro applicazione da parte di un'unica Autorità è quindi determinante per l'effettività dei diritti e delle garanzie sanciti suggerendo in proposito una riflessione a Parlamento e Governo. -
Pubblici registri immobiliari: corretto utilizzo Sezione D di note e annotazioni
Con Circolare n.1 del 29 gennaio le Entrate si occupano di Pubblici registri immobiliari e normativa in materia di trattamento dei dati personali.
In particolare, si evidenziano gli aspetti critici del corretto utilizzo della Sezione D nelle note di trascrizione e di iscrizione e nelle domande di annotazione al fine di prevenire l’emersione di eventuali trattamenti illeciti e, all’esito, individuare le possibili aree di azione.
Con la circolare le Entrate intendono fornire alle categorie interessate opportune indicazioni sul corretto utilizzo dei modelli di richiesta delle formalità relative alla pubblicità immobiliare.
Sinteticamente, le entrate sottolineano che, nell’eseguire la pubblicità immobiliare occorre che non vengano riportate "informazioni eccedenti rispetto alle finalità del trattamento, come nel caso dei dati personali eventualmente presenti nell’atto ma non utili alla pubblicità stessa".
Vediamo maggiori dettagli sulle problematiche del quadro D dei modelli di pubblicità immobiliare.
Pubblici registri immobiliari: corretto utilizzo Sezione D di note e annotazioni
La Circolare si sofferma sulle note che vengono presentate al conservatore e sui dati che in esse vengono riportati, al fine di individuare se possano configurarsi eventuali trattamenti illeciti o eccedenti, con particolare attenzione alle parti della nota.
Con specifico riferimento alle nota, si ricorda come con l’automazione dei servizi di pubblicità immobiliare, le note sono redatte su appositi modelli specificatamente approvati che sono stati oggetto, nel tempo, di vari aggiornamenti
In coerenza con i modelli approvati da utilizzarsi, le note sono formate da quattro sezioni:
- la “sezione A”, riportante i dati relativi al titolo presentato per l’esecuzione della formalità (identificativi dell’atto, autorità emanante, ecc…)
- la “sezione B”, riportante i dati relativi agli immobili relazionati nella formalità (sostanzialmente, gli identificativi catastali degli immobili)
- la “sezione C”, riportante i dati relativi ai soggetti presenti nella formalità (identificativi dei soggetti e rispettivi diritti relazionati sugli immobili oggetto di formalità)
- la “sezione D”, riportante eventuali altre informazioni, non codificabili nelle precedenti sezioni, ritenute ugualmente necessarie per una compiuta pubblicità immobiliare nonché le informazioni previste ai fini dell’esecuzione della voltura catastale automatica.
Nelle prime tre sezioni (A, B e C), la cui compilazione è sostanzialmente obbligata, si devono indicare dati – relativi al titolo, agli immobili ed ai soggetti – corrispondenti a quelli richiesti dalla legge a pena di rifiuto (art. 2674 c.c.).
Si fa specifico riferimento ai dati necessari per la pubblicità immobiliare indicati rispettivamente dagli artt. 2659 e 2660 c.c. per le note di trascrizione e dall’art. 2839 c.c. per le note di iscrizione.
In tale ottica, i dati presenti in dette sezioni possono ritenersi lecitamente indicati, anche sotto il profilo della protezione dei dati personali, in quanto riportati in presenza di un’adeguata base giuridica rappresentata dall’obbligo normativo di indicazione imposto in materia di “tenuta di registri pubblici relativi a beni immobili”.
La sezione D della nota è costituita invece da un campo integralmente libero, utilizzabile per l’indicazione di eventuali altre informazioni ritenute necessarie ai fini di una compiuta pubblicità immobiliare e quindi rimesso, nella sua compilazione, alle relative valutazioni effettuate dalla parte richiedente.
Risulta evidente che i prospettati profili di criticità possono correlarsi tendenzialmente ai dati indicati dal richiedente nella sezione D delle note dove è possibile indicare “altri aspetti che si ritiene utile pubblicare”
La nota è tradizionalmente definita “atto di parte”, e deve configurarsi quale documento “autosufficiente” in relazione ai dati ivi contenuti e destinati alla conoscenza dei terzi, ovverosia ai fini di una compiuta pubblicità immobiliare.
In altri termini, è utile in questa sede richiamare i cd. principi di autosufficienza e autoresponsabilità della nota elaborati dalla giurisprudenza di legittimità.
Alla luce di tali principi, la nota deve essere “autoconsistente” sotto il profilo della funzione pubblicitaria e la responsabilità verso i terzi ricade sul soggetto che richiede la formalità relativamente ad un determinato atto, redigendone (o facendo redigere) la nota in un certo modo e con un apposito contenuto.
Pertanto è da escludersi che tale responsabilità possa ricadere sul Conservatore il quale è chiamato dall’ordinamento a svolgere controlli esclusivamente di tipo formale.
Quindi, il conservatore non potrebbe, per ipotesi, rifiutarsi di eseguire la formalità richiesta adducendo, a motivo di legittimo rifiuto, la presenza nella nota di dati illecitamente trattati, ad esempio perché non strettamente necessari ai fini della pubblicità immobiliare, o opponendo altre esigenze di tutela della protezione dei dati personali, né potrebbe, per tali medesimi motivi, ritardare l’esecuzione della formalità richiesta.
Pertanto nel documento in oggetto le entrate specificano che nell’eseguire la pubblicità immobiliare occorre che non vengano riportate "informazioni eccedenti rispetto alle finalità del trattamento, come nel caso dei dati personali eventualmente presenti nell’atto ma non utili alla pubblicità stessa" e ci si debba limitare all’ostensione dei dati strettamente necessari.