Il 2 luglio 2026, nella Sala della Regina di Palazzo Montecitorio, il Garante per la protezione dei dati personali ha presentato al Parlamento la Relazione sull’attività svolta nel 2025. Non si tratta soltanto del consueto bilancio istituzionale (dovrebbe essere l’ultimo di questo Collegio essendo ormai prossimo nel 2027 il termine del mandato): la Relazione restituisce la fotografia di un ecosistema digitale nel quale intelligenza artificiale, identità digitale, sanità connessa, lavoro algoritmico, tutela dei minori e sicurezza informatica sono ormai parte della stessa agenda giuridica. Il messaggio di fondo è netto: la privacy non è più un adempimento difensivo, ma una leva di governo dell’innovazione, della fiducia e della competitività.
IA e nuove tecnologie: dalla sperimentazione alla responsabilità
Il capitolo più visibile della Relazione è, inevitabilmente, per attualità quello dell’intelligenza artificiale (IA). Il Garante ha confermato una linea di intervento non meramente sanzionatoria, ma orientata a presidiare ex ante i rischi per gli interessati: dalla vigilanza sui deepfake, fino ai provvedimenti relativi alle applicazioni di deepnude e alla generazione non consensuale di immagini intime. In questa prospettiva, il trattamento dei dati personali diventa il punto di frizione più sensibile tra potenza computazionale, opacità dei modelli e tutela della dignità individuale.
La stessa logica emerge nelle iniziative sul web scraping per l’addestramento dei sistemi di IA generativa e nel parere favorevole sulle linee guida ministeriali per l’introduzione dell’IA nelle scuole. Il punto non è fermare l’innovazione, ma pretendere che sia governata: basi giuridiche solide, trasparenza effettiva, minimizzazione, valutazioni d’impatto quando necessarie e una governance documentabile lungo l’intero ciclo di vita del sistema. Per imprese e pubbliche amministrazioni, l’IA non può essere trattata come un progetto solo tecnologico: è, a tutti gli effetti, un tema anche regolatorio.
Sanità digitale, PA e biometria: innovare, ma by design
Nel settore sanitario l’Autorità ha espresso 28 pareri su schemi di decreti e regolamenti, ribadendo che la digitalizzazione dei percorsi di cura deve incorporare fin dall’origine privacy by design, minimizzazione, liceità, trasparenza e accountability. La Relazione segnala criticità ricorrenti nella gestione dei dossier sanitari, nelle procedure di identificazione dei pazienti, nella comunicazione dei dati sanitari e nella prevenzione degli accessi abusivi ai sistemi informativi. La sanità digitale resta quindi uno dei principali banchi di prova della conformità: più il dato è utile alla cura, più deve essere protetto con misure tecniche, organizzative e procedurali realmente effettive.
Anche il ricorso alla biometria conferma la centralità del principio di proporzionalità. Il caso FaceBoarding dell’aeroporto di Milano Linate, relativo alla conservazione centralizzata dei dati biometrici dei passeggeri, mostra come l’efficienza del servizio non possa assorbire la valutazione giuridica sul rischio, sulla necessità del trattamento e sulle alternative meno invasive. In un contesto di crescente automazione dei processi di identificazione, il dato biometrico resta una categoria ad alta intensità di rischio e richiede cautele rafforzate.
Sul fronte pubblico, la Relazione conferma inoltre il ruolo consultivo del Garante nei processi di digitalizzazione della pubblica amministrazione, inclusi i lavori sul Sistema IT-Wallet. La direzione è chiara: identità digitale, interoperabilità e semplificazione amministrativa possono funzionare solo se l’architettura dei trattamenti è disegnata in modo coerente con il quadro europeo e con il principio di tutela effettiva degli interessati.
Minori e lavoro: dove la tecnologia incontra la vulnerabilità
La tutela dei minori resta una priorità trasversale. L’attività del Garante ha continuato a concentrarsi sui sistemi di age verification, sul fenomeno dello sharenting e sulle campagne di sensibilizzazione, tra cui "La sua privacy vale più di un like". Il dato personale del minore non è un dato “piccolo”: è un’informazione che può accompagnare la persona nel tempo, incidendo sulla sua identità digitale, sulla reputazione e sulla libertà di autodeterminarsi.
Nel rapporto di lavoro, la Relazione conferma invece l’attenzione verso trattamenti sproporzionati e forme di controllo eccedenti. Il divieto imposto ad Amazon Italia Logistica in relazione ai dati di oltre 1.800 lavoratori si inserisce in una linea ormai consolidata: strumenti digitali, sistemi di monitoraggio, videosorveglianza e soluzioni di IA applicate all’organizzazione del lavoro devono rispettare i principi di necessità, proporzionalità e trasparenza. La produttività non legittima, da sola, la sorveglianza pervasiva.
Telemarketing, cronaca e ispezioni: le vecchie criticità diventano più sofisticate
Accanto alle nuove frontiere dell’IA, la Relazione ricorda che le criticità tradizionali non sono affatto superate. Il contrasto al telemarketing aggressivo, in particolare nel settore energetico, continua a richiedere interventi significativi, anche perché le tecniche di acquisizione dei dati e di profilazione commerciale assumono forme sempre più articolate. Analogamente, nel rapporto tra privacy e diritto di cronaca, l’Autorità ha ribadito il principio di essenzialità dell’informazione, stigmatizzando eccessi di spettacolarizzazione e dettagli non necessari lesivi della dignità della persona.
Le attività ispettive hanno confermato la pervasività dei trattamenti e la centralità dei controlli in settori ad alto impatto: SPID, riconoscimento facciale, videosorveglianza, ricerca scientifica, data breach e banche dati pubbliche. Il dato più interessante è che il Garante descrive uno scenario in cui le cattive prassi non scompaiono, ma si stratificano e vengono potenziate da strumenti tecnologici più raffinati. Per questo, la compliance deve essere continua, verificabile e sostenuta da presidi organizzativi concreti.
I numeri chiave del 2025
Dal dato alla fiducia: il vero messaggio della Relazione
Nel 2025 il Garante ha partecipato a 260 riunioni internazionali e ha contribuito ai lavori europei e globali su IA, governance dei dati e tutela dei diritti fondamentali. Ma il cuore della Relazione è anche nazionale e operativo: imprese e pubbliche amministrazioni sono chiamate a trasformare la protezione dei dati in un presidio strutturale di organizzazione, sicurezza e fiducia. La compliance privacy non può più essere confinata al registro dei trattamenti o all’informativa: deve entrare nei processi decisionali, nei modelli di sviluppo tecnologico, nella gestione dei fornitori, nella cybersecurity e nella cultura aziendale. In altre parole, la domanda non è più se innovare, ma come farlo senza perdere il controllo sui dati e, quindi, sulla relazione di fiducia con persone, clienti, lavoratori e cittadini.
