Governance e compliance del dossier farmaceutico secondo GDPR, NIS2 e AI Act. Obblighi DPIA, consenso, sicurezza informatica e IA per farmacie cliniche.
Blog
Il diritto di accesso alla registrazione della telefonata al customer care
Argomenti trattati Toggle Il casoIl principio: il bilanciamento ha tre stadi, non dueLe misure indicate dal GaranteLe difese respinteCosa fare adessoIn sintesi Con il provvedimento n. 391 del 28 maggio 2026…
Nove modi di governare l’intelligenza artificiale: il brief UNESCO che cambia il modo di pensare la regolazione
Argomenti trattati Toggle Introduzione: un documento che arriva al momento giusto1. Perché proprio l’UNESCO: dalla Raccomandazione del 2021 al “menu” per i legislatori2. La cornice concettuale: cosa si intende per…
Minacce cyber nella PA sanitaria: riconoscere gli attacchi che passano dalla scrivania del personale amministrativo
Argomenti trattati Toggle 1. Perché la sanità è diventata il bersaglio preferito2. Il personale amministrativo come prima linea di difesa3. Le minacce quotidiane: phishing, spear phishing, falsi portali4. I criteri…
Gestione sicura delle credenziali: password, autenticazione multifattore e identità digitale nel lavoro quotidiano degli uffici
Argomenti trattati Toggle 1. Perché le credenziali sono diventate il bersaglio numero uno2. La password robusta: la lunghezza batte la complessità3. Riutilizzo e account condivisi: le due scorciatoie che costano…
La categorizzazione delle attività e dei servizi NIS alla luce della Determinazione ACN n. 155238 del 20 aprile 2026: Analisi tecnico-giuridica della categorizzazione NIS ACN 155238/2026, metodologia service-centric e impatti sulla compliance
Argomenti trattati Toggle 1. Premessa: la collocazione sistematica dell’adempimento nella cornice del D.Lgs. 138/20242. Il paradigma service-centric: ricostruzione dogmatica del baricentro della tutela3. L’architettura del modello: dieci macroaree, quattro categorie…
Il nuovo modello di DPIA in consultazione pubblica EDPB: Analisi del nuovo template DPIA EDPB v.1.0, architettura metodologica, innovazioni e implicazioni operative GDPR
Argomenti trattati Toggle 1. Il fatto2. L’architettura: sette blocchi e cinquantuno campi3. Le novità di rilievo metodologico4. Indicazioni operative 1. Il fatto Lo European Data Protection Board ha pubblicato il…
Il divieto di telemarketing energetico nella Legge 49/2026 : Profili GDPR e adeguamenti operativi
Argomenti trattati Toggle 1. Premessa2. Eccezioni operative e nuovi oneri3. Riflessi in tema di data protection4. Le sanzioni5. I riflessi operativi6. Uso di sistemi di I.A. in ambito telemarketing7. Le…
Il D.Lgs. 27 marzo 2026, n. 47 e i riflessi negli assetti organizzativi delle società di capitali
Argomenti trattati Toggle 1. Il decreto e i suoi effetti sul quadro digitale2. Le novità a maggiore impatto per la compliance digitaleScelta obbligatoria del sistema di governance (art. 2380 c.c.)3.…
LE GUIDELINES 1/2026 DELL’EDPB SULLA RICERCA SCIENTIFICA: Tra Sistematizzazione del Quadro Normativo, Lacune Operative e Prospettive di Coordinamento con il Diritto Europeo dell’Innovazione
Argomenti trattati Toggle Perché queste linee guida erano necessarieIl modello presuntivo a sei fattoriBasi giuridiche, presunzione di compatibilità e EHDSBroad consent e dynamic consentCosa rimane irrisoltoImplicazioni operative per i DPO…
I TRACKING PIXEL NELLE E-MAIL: Analisi delle Linee Guida del Garante per la Protezione dei Dati Personali (Provvedimento n. 284 del 17 aprile 2026)
Argomenti trattati Toggle 1. Un tracciamento invisibile2. La norma applicabile: art. 122 del Codice Privacy3. Quando il consenso non è necessario4. L’obbligo di informativa: nessuna eccezione5. Il consenso e la…
Fornitori rilevanti NIS2 e la Determinazione ACN 127437/2026: dalla dichiarazione alla governance della supply chain
di Davide De Luca DPO certificato UNI 17740 – CTU – Docente di Data Protection Management, Università di Teramo Autore di “Sicurezza e Compliance nella Supply Chain”, Edizioni Giuridiche Simone…
NIS 2: Un riassunto operativo per imprese e Pubblica Amministrazione da aprile a ottobre 2026
Argomenti trattati Toggle Il quadro normativo e il momento criticoLe Determinazioni ACN del 13 aprile 2026 e la milestone di aprileLe misure di gestione del rischio e la scadenza di…
Il Garante sanziona Intesa Sanpaolo per 31,8 milioni di euro: accountability, gestione del data breach e criteri sanzionatori nel Provvedimento n. 208 del 26 marzo 2026
Argomenti trattati Toggle Il caso: un dipendente, due anni di accessi abusivi e 3.500 clienti violatiAccountability: non basta “registrare”, bisogna prevenireLa gestione del data breach: l’errore fatale della sottostimaFocus legale:…
Linee guida ACN e Decreto NIS2 – notifica e gestione degli incidenti informatici significativi. Dal Framework ACN al Decreto NIS2: obblighi, processi e responsabilità operative per soggetti pubblici e privati
Dal 1° gennaio 2026, l’obbligo di notifica degli incidenti significativi allo CSIRT Italia è pienamente operativo per tutti i soggetti NIS2 e per le pubbliche amministrazioni rientranti nell’ambito del Codice…
IL CASO AMAZON E IL PROVVEDIMENTO DEL GARANTE DEL 24 FEBBRAIO 2026: Sorveglianza algoritmica, dati sensibili dei lavoratori e telecamere sui bagni
Con il provvedimento n. 107 del 24 febbraio 2026, il Garante per la protezione dei dati personali ha adottato in via d’urgenza una misura di limitazione definitiva del trattamento nei…
Il Digital Omnibus e la ridefinizione del dato personale: Profili tecnico-giuridici di un dibattito incompiuto
Il Digital Omnibus propone di modificare la definizione di dato personale nel GDPR. Analisi delle criticità e della risposta delle istituzioni europee. Argomenti trattati Toggle Il pacchetto e la proposta…
Badge Digitale di Cantiere: obblighi per le imprese, profili privacy e adempimenti GDPR
Con la Legge 29 dicembre 2025, n. 198 — che ha convertito il D.L. 159/2025 (il cosiddetto “Decreto Sicurezza”) — è stato introdotto il badge digitale di cantiere: una tessera…
Body cam della Polizia Locale e protezione dei dati personali: Analisi critica del Provvedimento n. 743 del 4 dicembre 2025
Argomenti trattati Il Provvedimento n. 743/2025 e lo stop del Garante Un iter triennale e quattro versioni rigettate Il primo errore: sbagliare la legge applicabile Il nodo più critico: cloud…
SMS agli assistiti per le campagne di screening: il Garante apre (con cautela) all’uso secondario dei dati di contatto nelle aziende sanitarie
Con il Provvedimento n. 79 del 12 febbraio 2026, il Garante Privacy ha dato il via libera — a precise condizioni — all’invio di SMS agli assistiti per invitarli a…
L’Intelligenza Artificiale nel Mondo del Lavoro: Analisi Critica delle Linee Guida del Ministero del Lavoro e delle Politiche Sociali (D.M. n. 180/2025)
Il 17 dicembre 2025 il Ministro del Lavoro ha firmato il D.M. n. 180/2025, adottando le “Linee Guida per l’implementazione dell’IA nel mondo del lavoro”. Non si tratta di un…
Il Parere EDPB-EDPS 1/2026 sul Digital Omnibus AI: analisi critica delle proposte di semplificazione dell’AI Act
Introduzione Il 20 gennaio 2026, le autorità europee per la protezione dei dati hanno lanciato un avvertimento chiaro alla Commissione europea: semplificare l’AI Act è legittimo, ma non può avvenire…
Monitoraggio dei comportamenti di guida: il Garante sanziona Pioneer per violazioni sistematiche del GDPR e dello Statuto dei Lavoratori
Il provvedimento del Garante Il Garante per la protezione dei dati personali ha inflitto una sanzione di 120.000 euro a Pioneer Hi-Bred Italia Sementi per l’installazione non conforme di dispositivi…
Nota a Provvedimento del Garante Privacy n. 628/2025 in materia di videosorveglianza e controlli a distanza nei luoghi di lavoro
Introduzione Con il provvedimento n. 628 del 23 novembre 2025, il Garante per la protezione dei dati personali ha sanzionato il Comune di Curtarolo con una multa complessiva di 15.000…
L’armonizzazione sanzionatoria europea in materia di misure restrittive: profili sistematici e impatti organizzativi del D.Lgs. 211/2025
Dal 24 gennaio 2026 nuove sanzioni per la violazione delle misure restrittive UE Con l’entrata in vigore, dal 24 gennaio 2026, del decreto legislativo n. 211/2025, l’ordinamento italiano introduce un…
La notifica degli incidenti nel quadro NIS2: le precisazioni dell’ACN sulla ripartizione degli obblighi nelle relazioni contrattuali
Introduzione L’Agenzia per la Cybersicurezza Nazionale (ACN) ha recentemente aggiornato le FAQ sulla Direttiva NIS2, fornendo chiarimenti di particolare rilievo in tema di obbligo di notifica degli incidenti quando questi…
La governance della cybersicurezza nell’era NIS2: responsabilità degli organi apicali e framework regolamentare italiano
Introduzione La Direttiva (UE) 2022/2555, nota come NIS2, e la sua attuazione nell’ordinamento italiano tramite il D.lgs. 138/2024 segnano una svolta profonda nella governance della cybersicurezza. Il nuovo quadro normativo…
Sistemi di videosorveglianza basati su intelligenza artificiale: profili giuridici di conformità al GDPR e all’AI Act
Introduzione L’evoluzione tecnologica ha trasformato i sistemi di videosorveglianza tradizionali in strumenti dotati di intelligenza artificiale capaci di riconoscimento facciale, analisi comportamentale, rilevazione di emozioni e classificazione demografica. Questa rivoluzione…
L’impiego dell’intelligenza artificiale nel settore automotive: implicazioni e compliance in materia di protezione dei dati personali
Introduzione L’industria automobilistica sta vivendo una rivoluzione tecnologica senza precedenti, con l’integrazione massiccia di sistemi basati su intelligenza artificiale. Questa trasformazione, se da un lato offre importanti benefici in termini…
La protezione dei dati legata alla supply chain
Introduzione La supply chain rappresenta la rete di processi e attività che consente il passaggio efficiente di materiali, informazioni e risorse dalla materia prima al prodotto finito. È il cuore…
L’Intelligenza artificiale nel sistema sanitario Italiano: profili giuridici tra innovazione tecnologica e tutela dei diritti fondamentali
L’integrazione dell’intelligenza artificiale nel sistema sanitario italiano rappresenta una delle trasformazioni più significative degli ultimi decenni. Dai sistemi di supporto decisionale clinico agli algoritmi di diagnostica assistita, dalla robotica chirurgica…
Il Data Breach Knownsec : Analisi delle Implicazioni Giuridiche Internazionali
Il contesto dell’incidente Il recente data breach che ha colpito Knownsec rappresenta un caso di studio rilevante per comprendere le implicazioni giuridiche delle operazioni cibernetiche sponsorizzate da Stati. La società,…
La tutela della riservatezza nel contesto universitario: riflessioni sul provvedimento del Garante n. 386/2025
Il provvedimento n. 386 del 10 luglio 2025 del Garante per la Protezione dei Dati Personali, relativo all’Università di Cassino e del Lazio Meridionale, rappresenta un momento chiave nella disciplina…
Il Digital Omnibus Package – Una proposta di semplificazione integrata dei regolamenti europei sui digital data
Introduzione La Commissione Europea ha presentato il Digital Package on Simplification, un’iniziativa ambiziosa che punta a semplificare e razionalizzare l’intero sistema di regolamenti digitali dell’Unione Europea. Questo progetto si compone…
AI Act Service Desk: la piattaforma europea che semplifica la conformità all’intelligenza artificiale
Introduzione Con l’entrata in vigore dell’AI Act, il Regolamento europeo che definisce le regole per lo sviluppo e l’uso dell’intelligenza artificiale, la Commissione europea ha lanciato uno strumento innovativo per…
Attacco hacker a “Paziente Consapevole”: quando la sicurezza dei dati sanitari diventa questione di fiducia
Introduzione L’attacco informatico che, nell’ottobre 2025, ha colpito la piattaforma “Paziente Consapevole” ha riportato al centro dell’attenzione un tema cruciale: la sicurezza dei dati sanitari digitali. La piattaforma, utilizzata da…
Chi è il vero titolare dei dati nel Fascicolo Sanitario Elettronico? La Cassazione fa chiarezza
Introduzione La Corte di Cassazione, con l’ordinanza n. 27558 del 15 ottobre 2025, ha posto un punto fermo in una delle questioni più complesse del diritto dei dati personali: chi…
L’intelligenza artificiale tra Europa e Italia – verso una governance etica e sostenibile
Introduzione L’intelligenza artificiale è oggi il cuore pulsante della trasformazione digitale che sta cambiando economia, lavoro e società. La sua diffusione in ogni settore – dalla sanità alla giustizia, dall’industria…
Soft spam: regole d’ingaggio senza consenso (solo email)
Soft spam senza consenso: quando è (davvero) possibile? Indicazioni operative dopo Cassazione n. 15881/2025 e Provvedimento Garante 27.2.2025 (doc. web n. 10114967) Executive summary Regola generale: per inviare comunicazioni promozionali…
Cybersecurity e turismo: violazione di dati in strutture ricettive italiane
Violazione di dati identificativi in strutture ricettive italiane: profili giuridici, criticità di sicurezza e implicazioni operative 1. Premessa e qualificazione dell’incidente Nel corso dell’estate 2025, il territorio italiano è stato…
Referti Medici e Intelligenza Artificiale Generativa
Referti medici e Intelligenza Artificiale Generativa: analisi tecnico-legale, rischi, buone pratiche e scenari futuri 1. Introduzione Negli ultimi due anni si è registrata una crescita esponenziale dell’uso di piattaforme di…
Quando un audio privato diventa pubblico: rischi e tutele
Quando un audio privato diventa pubblico: il caso Raoul Bova e le tutele per il cittadino comune Introduzione La diffusione non autorizzata di contenuti audio privati è un fenomeno che,…
Privacy nei rapporti di lavoro: il provvedimento su Magna PT S.p.A.
Il provvedimento del Garante Privacy del 10 luglio 2025 su Magna PT S.p.A.: analisi del caso e implicazioni per la data protection nei rapporti di lavoro Introduzione Il 10 luglio…
Data Protection e Responsabilità del Titolare: il caso Poste Vita
Data Protection e responsabilità del titolare: analisi del provvedimento del Garante Privacy n. 389/2025 contro Poste Vita S.p.A. Introduzione Il provvedimento del Garante per la protezione dei dati personali del…
Impronte digitali e rilevazione delle presenze: quando (e perché) il trattamento dei dati biometrici resta illecito
1. Il caso Con provvedimento n. 167 del 27 marzo 2025 (doc. web n. 10138981), l’Autorità Garante per la protezione dei dati personali ha irrogato a un Istituto di Istruzione…
Intelligenza Artificiale in sanità: guida completa al “Decalogo” 2023 del Garante Privacy
Intelligenza Artificiale in sanità: guida completa al “Decalogo” 2023 del Garante Privacy Il 10 ottobre 2023 il Garante per la protezione dei dati personali ha pubblicato un Decalogo che stabilisce…
Modelli Linguistici di Grandi Dimensioni (LLM): rischi privacy e contromisure secondo l’EDPB
1. Origine e finalità del documento Il Comitato europeo per la protezione dei dati (EDPB), nell’ambito del programma Support Pool of Experts (SPE), ha pubblicato il rapporto “AI Privacy Risks…
Nuove regole per gli acquisti ICT “sensibili”: cosa prevede il DPCM 30 aprile 2025
1. Perché nasce il provvedimento Il DPCM 30 aprile 2025 (pubblicato in G.U. n. 102 del 5 maggio 2025) attua l’art. 14 della legge 90/2024 sulla cybersicurezza nazionale. Scopo del…
Sanità digitale: come lo Spazio europeo dei dati sanitari e il nuovo ecosistema italiano cambieranno la gestione delle informazioni cliniche
Il 5 marzo 2025 non è stato un giorno qualunque per chi si occupa di sanità digitale: in poche ore sono arrivati, da Bruxelles e da Roma, due atti destinati…
La Cassazione Penale in tema di indagini illecite del datore di lavoro
La sentenza n. 23158/2025 della Corte di cassazione si inserisce in un filone giurisprudenziale ormai decennale che ruota attorno al difficile bilanciamento fra i poteri di controllo datoriale e la…
Energia e cybersicurezza: la strategia ACN spiegata per i professionisti IT
Il blackout che ad aprile 2025 ha messo in ginocchio la penisola iberica – lasciando senza corrente e connettività milioni di persone e mettendo in crisi servizi essenziali – ha…
Chi è il titolare del trattamento dei dati (GDPR)?
Ai sensi del GDPR si intende per titolare del trattamento dei dati (Data Controller) “la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme…
GDPR compliance: come essere in regola con il GDPR
La Commissione Europea il 27 Aprile 2016, come noto, ha presentato un Regolamento per l’aggiornamento della normativa concernente il trattamento dei dati personali e la libera circolazione dei dati (c.d.…
Ancora vigenti le “Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica”
Sono ancora vigenti le “Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica” in caso di ricerche retrospettive. Lo si apprende dalla newsletter del GPDP di oggi 21/5/2024.…
Fascicolo Sanitario Elettronico 2.0
Vantaggi per tutti e facilitazioni per l’esercizio dei diritti dei pazienti Il Fascicolo Sanitario Elettronico (FSE) 2.0 è uno strumento fondamentale per consentire ai cittadini di accedere a tutti i…
SECUREBIZ 2024
Argomenti trattati Toggle Il mio intervento sui pericoli e le opportunità dell’adozione di IA nella gestione del personaleEstratto della prossima pubblicazione su DETEP – Diritto Economia e Tecnologie della PrivacyI…
Meta non può trasformare il diritto alla protezione dei dati in un’opzione a pagamento secondo il parere dell’EDPB
Il Comitato europeo per la protezione dei dati ha espresso un parere riguardo alla protezione dei dati raccolti dalla piattaforma Meta (che include Facebook e Instagram) e in generale dai…
Proposta di emendamento dell’art. 110 del Codice Privacy
Rilevo una svolta negli adempimenti privacy per la ricerca scientifica.Nella seduta dell’11 aprile 2024 è stata proposta una modifica all’articolo 110, comma 1, del Codice Privacy: “ART. 44. Dopo il…
Fingerprinting: cos’è, come funziona e normativa
Argomenti trattati Toggle Fingerprinting e cookie policy – differenzeCosa si intende per DNA fingerprintingCome funziona il fingerprintingLa normativa sul fingerprintingLink utili:F.A.Q. sul FingerprintingCosa si intende per fingerprinting?Come funziona il fingerprinting?Come…
Chi è il Garante della Privacy?
Il Garante per la protezione dei dati personali, noto anche semplicemente come Garante Privacy, è un’autorità indipendente italiana istituita con la L. 675/1996, responsabile di proteggere i diritti fondamentali e…
Sanzioni GDPR – Quali sono e come evitarle
L’impianto sanzionatorio previsto in caso di violazione delle norme in materia di protezione dei dati personali risulta quale complesso di norme di derivazione sovranazionale combinate con quelle previste dal legislatore…
Attività ispettiva Garante Privacy/Guardia di Finanza 2024: Focus su 11 settori chiave
Nel primo semestre del 2024, l’Autorità Garante per la Protezione dei Dati Personali (GPDP) ha annunciato un’imponente attività ispettiva in collaborazione con la Guardia di Finanza (GDF). Il provvedimento delinea…
DPIA – Data Protection Impact Assessment
Argomenti trattati Toggle DPIA: Cos’è e chi deve condurlaDPIA – Quando è obbligatoriaDPIA – Come si conduceDPIA – step by stepDescrizione sistematica del trattamento.Valutazione della necessità e proporzionalità del trattamento.Gestione…
Conoscere il Diritto all’oblio – cos’è e come si esercita
Argomenti trattati Toggle Cosa significa Diritto all’oblioDiritto all’oblio secondo la Riforma CartabiaDiritto all’oblio nel GDPRDiritto all’oblio oncologicoDiritto all’oblio come fareCosa si intende per diritto all’oblio?Chi ha il diritto all’oblio?Quando si…