I casi più comuni mostrano dove la privacy si rompe davvero
- Invio errato di dati personali, sanitari o finanziari a terzi.
- Data breach causati da attacchi informatici, dispositivi smarriti o cloud configurati male.
- Marketing invasivo con e-mail, telefonate, cookie o profilazione senza una base giuridica adeguata.
- Videosorveglianza e controllo dei lavoratori oltre i limiti di necessità, trasparenza e proporzionalità.
- Rimedi pratici come richiesta di accesso, opposizione, cancellazione e reclamo al Garante.
Quando un trattamento diventa una violazione della privacy
Un trattamento non è illecito solo perché utilizza dati personali. Il problema nasce quando i dati vengono raccolti o usati senza una base giuridica, per uno scopo diverso da quello dichiarato, in quantità eccessiva oppure senza adeguate misure di sicurezza.
Per dati personali si intendono informazioni che identificano o rendono identificabile una persona. Ci rientrano nome e cognome, numero di telefono, indirizzo e-mail, immagini, codice fiscale, indirizzo IP, targa, dati di geolocalizzazione e informazioni economiche. I dati sanitari, biometrici e relativi alla vita sessuale richiedono una tutela ancora più rigorosa.
Io uso una distinzione semplice per orientarmi. Una violazione può riguardare la raccolta, l’uso, la conservazione o la diffusione dei dati. Non serve che qualcuno rubi un database: anche mostrare una diagnosi su un monitor visibile al pubblico o lasciare una lista di clienti su una scrivania può esporre informazioni riservate.
Conta anche il contesto. Pubblicare la fotografia di una persona durante un evento pubblico non equivale automaticamente a commettere un illecito, mentre usare quella stessa immagine per una campagna pubblicitaria può richiedere un’autorizzazione o un’altra base giuridica. La domanda corretta non è soltanto “il dato è pubblico?”, ma “chi lo usa, per quale scopo e con quali garanzie?”.
Esempi quotidiani di violazione della privacy
L’e-mail inviata alla persona sbagliata
Un’azienda invia per errore una fattura con codice fiscale e coordinate bancarie al cliente sbagliato. Oppure un professionista inoltra una comunicazione sanitaria senza controllare il destinatario. In entrambi i casi si verifica una divulgazione non autorizzata, anche se l’errore è stato involontario e il messaggio è stato aperto da una sola persona.
Un caso frequente riguarda le newsletter. Inserire tutti gli indirizzi nel campo “CC” rende visibili le e-mail degli iscritti agli altri destinatari. L’uso del campo “CCN” riduce il rischio, ma non risolve il problema se l’invio promozionale manca di consenso o di un’altra base giuridica valida.
Documenti, schermi e registri lasciati in vista
Una cartella con i nomi dei dipendenti appoggiata sul bancone, il monitor di un ambulatorio visibile dalla sala d’attesa o il registro condominiale fotografato e condiviso in una chat sono esempi molto concreti. La violazione dipende dalla possibilità che persone non autorizzate accedano alle informazioni, non dal fatto che il documento sia stato sottratto.
Questo tipo di errore è spesso sottovalutato perché non lascia tracce tecniche. Nella pratica, però, una procedura chiara per riporre, distruggere e condividere i documenti previene più incidenti di molte soluzioni software costose.
Foto e video pubblicati senza valutare lo scopo
Pubblicare sui social la foto di un cliente, di un minore o di un dipendente senza aver chiarito l’uso previsto può creare problemi. La presenza di una persona in un’immagine non autorizza automaticamente l’azienda a usare quella fotografia per pubblicità, profilazione o comunicazione commerciale.
Bisogna considerare il luogo, il ruolo della persona, la finalità della pubblicazione, l’eventuale informativa e la possibilità di opporsi. Una foto ricordo interna e una campagna sponsorizzata hanno un impatto molto diverso.
Data breach e attacchi informatici tra gli esempi più gravi
Il data breach è una violazione della sicurezza che provoca distruzione, perdita, modifica, divulgazione o accesso non autorizzato ai dati personali. Può essere provocato da un hacker, ma anche da una password riutilizzata, da un computer perso o da una configurazione errata del cloud.
Attacco ransomware ed esfiltrazione dei dati
Un ransomware può bloccare i sistemi aziendali e rendere indisponibili i dati. Se gli aggressori copiano anche i file prima di cifrarli, si aggiunge una possibile perdita di riservatezza. Per un’impresa questo significa non solo fermare le attività, ma anche valutare il rischio di frodi, ricatti, furti d’identità e danni reputazionali.
La gravità non dipende soltanto dal numero di record coinvolti. Dieci cartelle contenenti dati sanitari o informazioni finanziarie possono creare un rischio maggiore di migliaia di nominativi privi di dettagli sensibili.
Dispositivo smarrito o account compromesso
Lo smarrimento di un portatile non cifrato contenente dati dei clienti è un esempio classico. Anche un account Microsoft 365, CRM o gestionale compromesso può consentire l’accesso a e-mail, contratti, documenti e informazioni personali.
La cifratura, l’autenticazione a più fattori e la revoca tempestiva delle credenziali riducono il rischio, ma non eliminano l’obbligo di analizzare l’incidente. Un dispositivo cifrato correttamente può non richiedere la comunicazione agli interessati, mentre un computer aperto e privo di protezioni può avere conseguenze molto più serie.
Database o cartella cloud accessibili a tutti
Un archivio lasciato online senza password, una cartella condivisa con il permesso “chiunque abbia il link” o un backup copiato su un server pubblico espongono dati senza bisogno di un attacco sofisticato. È uno degli esempi più istruttivi perché mostra che la sicurezza dipende anche dalle configurazioni, non soltanto dal firewall.
Quando il titolare viene a conoscenza di una violazione che può presentare un rischio per le persone, deve notificare l’evento al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore. Se il rischio per gli interessati è elevato, può essere necessaria anche una comunicazione diretta alle persone coinvolte. Ogni incidente va comunque valutato e documentato, anche quando non scatta la notifica.Marketing, app e profilazione possono diventare intrusivi
Messaggi promozionali senza consenso valido
Ricevere una telefonata commerciale dopo aver chiesto di non essere contattati, oppure una newsletter mai richiesta, è una situazione comune. Il fatto che l’impresa abbia trovato l’indirizzo online o abbia acquistato una banca dati non dimostra che possa usarlo liberamente.
Il consenso deve essere libero, specifico, informato e revocabile. In alcuni casi esistono basi giuridiche alternative, ma vanno valutate con attenzione. Un modulo che rende obbligatorio accettare comunicazioni promozionali per acquistare un servizio non offre sempre una scelta realmente libera.
Cookie e tracciamento prima della scelta dell’utente
Un sito può raccogliere dati di navigazione per analisi, pubblicità comportamentale o retargeting. Se installa strumenti non tecnici prima che l’utente abbia espresso la propria scelta, oppure presenta un banner ambiguo, può realizzare un trattamento non conforme.
Il banner non dovrebbe spingere l’utente ad accettare con un pulsante molto evidente e nascondere il rifiuto in un secondo livello. La trasparenza non è un dettaglio grafico: deve permettere di capire quali dati vengono raccolti e per quale finalità.
App che chiedono più dati del necessario
Un’app per consegnare cibo può avere bisogno dell’indirizzo di consegna, ma non necessariamente dell’accesso continuo ai contatti o alla posizione. Raccogliere dati “nel caso possano servire” contrasta con il principio di minimizzazione, cioè l’uso dei soli dati adeguati e pertinenti.
Un altro esempio è l’inserimento di informazioni sui clienti in uno strumento di intelligenza artificiale esterno senza verificare condizioni contrattuali, istruzioni, conservazione e sicurezza. Il rischio non riguarda l’IA in astratto, ma la possibile trasmissione di dati a un soggetto che non è stato autorizzato o adeguatamente valutato.
Controllo dei lavoratori e videosorveglianza
Telecamere, software di monitoraggio, sistemi biometrici e strumenti che registrano ogni attività del personale possono eccedere le esigenze di sicurezza o organizzazione. Anche quando l’obiettivo aziendale è legittimo, servono necessità, proporzionalità, informativa e rispetto delle regole sul controllo a distanza dei lavoratori.
Una telecamera puntata sull’ingresso per prevenire intrusioni è diversa da un sistema che registra continuamente la postazione di un dipendente. Il Garante ha più volte richiamato l’attenzione sul fatto che anche le aree esterne attraversate dal personale possono rientrare nella tutela dei lavoratori.
Quali conseguenze produce una gestione scorretta dei dati
Per la persona interessata, gli effetti possono includere furto d’identità, frodi, discriminazioni, ricatti, danni alla reputazione e perdita di controllo sulle proprie informazioni. Un’e-mail finita al destinatario sbagliato può sembrare un incidente minore, ma cambia peso se contiene dati sanitari, informazioni patrimoniali o credenziali.
Per un’impresa si aggiungono blocco operativo, costi di ripristino, perdita di fiducia e possibili richieste di risarcimento. Le sanzioni amministrative previste dal GDPR possono arrivare, nei casi applicabili, fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, scegliendo l’importo più elevato. Non è però una tariffa automatica: l’autorità valuta gravità, durata, numero di persone coinvolte, cooperazione e misure adottate.
Un errore non equivale automaticamente a una sanzione. La differenza la fanno la rapidità della reazione, la qualità della documentazione, la prevenzione già attiva e la capacità di dimostrare che l’azienda ha agito con responsabilità.
Cosa fare quando si sospetta una violazione
Se sei la persona interessata
Conviene conservare e-mail, schermate, date, nomi dei destinatari e ogni comunicazione ricevuta. Eviterei accuse generiche sui social: è più utile inviare al titolare una richiesta scritta di accesso, rettifica, cancellazione, limitazione oppure opposizione, a seconda del caso.
Il titolare deve rispondere, di norma, entro un mese. Il termine può essere prorogato di altri due mesi nei casi complessi, ma l’interessato deve ricevere una comunicazione motivata. Se la risposta non arriva o non è soddisfacente, è possibile presentare un reclamo o una segnalazione al Garante. Il reclamo è gratuito.
Se sono state esposte password, dati bancari o documenti d’identità, bisogna intervenire anche sul piano pratico. Cambio delle credenziali, autenticazione a più fattori, blocco della carta e attenzione ai tentativi di phishing sono misure immediate, indipendentemente dall’esito della procedura privacy.
Leggi anche: Cookie e privacy - come gestire consenso e tracciamento
Se sei un’impresa o un professionista
La prima reazione dovrebbe essere contenere l’incidente, non cancellare le tracce. Occorre isolare gli account compromessi, correggere i permessi, verificare i log, coinvolgere il responsabile IT o il responsabile del trattamento e annotare che cosa è successo, quando e quali dati sono coinvolti.In seguito si valuta il rischio per le persone e l’eventuale notifica entro 72 ore. Una procedura interna efficace dovrebbe prevedere almeno un referente, una lista di contatti, copie di backup testate, autenticazione a più fattori, formazione periodica e revisione dei fornitori cloud.
Per le piccole imprese non serve partire da un progetto enorme. Spesso le misure con il miglior rapporto tra costo ed efficacia sono inventario dei dati, accessi limitati per ruolo, aggiornamenti automatici, backup separati e regole chiare per l’invio delle e-mail. La tecnologia aiuta, ma senza responsabilità organizzativa resta una protezione incompleta.
La lezione pratica che emerge da ogni caso
Gli esempi più diversi hanno un elemento comune: qualcuno ha perso il controllo su un dato personale o lo ha usato per uno scopo che la persona non poteva ragionevolmente aspettarsi. Prima di raccogliere, condividere o conservare un’informazione, io mi pongo sempre tre domande: serve davvero, è trasparente e chi può accedervi?
Se una risposta manca, il rischio non è soltanto burocratico. Una gestione prudente dei dati protegge le persone, riduce gli incidenti e rafforza la fiducia nel rapporto tra clienti, dipendenti e imprese. La privacy funziona quando entra nei processi quotidiani, non quando viene controllata soltanto dopo un errore.
