Leggi tutta la relazione qui.
La Relazione Garante Privacy 2025 è stata presentata il 15 luglio alla Camera dei Deputati. Duecentosessantotto pagine che fotografano un anno di attività intensa, con numeri che dovrebbero far riflettere chiunque gestisca dati personali.
Non è un documento da leggere per obbligo. È una mappa di quello che sta succedendo nel rapporto tra tecnologia, privacy e organizzazioni. E i segnali sono chiari.
Relazione Garante Privacy 2025: i numeri chiave
Partiamo dai dati che emergono dalla Relazione Garante Privacy 2025. Nel corso dell’anno l’Autorità ha ricevuto 2.415 notifiche di violazione dei dati personali. Il 78,7% proviene dal settore privato, il resto dalla pubblica amministrazione. Sono numeri in linea con gli anni precedenti, ma dietro ogni notifica c’è un’organizzazione che ha dovuto ammettere di aver perso il controllo sui dati che custodiva.
Le cause più frequenti restano le stesse: ransomware, accessi non autorizzati, credenziali compromesse, configurazioni errate di piattaforme cloud. Nulla di nuovo, eppure continuano a succedere.
Sul fronte delle sanzioni, i numeri parlano chiaro: 37,76 milioni di euro incassati nel 2025. Di questi, quasi 32 milioni da pagamenti spontanei e circa 6 milioni da riscossione coattiva. Il Garante ha adottato 229 sanzioni amministrative pecuniarie e 506 misure correttive complessive.
Le ispezioni in loco sono state 130, di cui 78 condotte direttamente dall’Autorità e 52 delegate alla Guardia di Finanza. Un numero che può sembrare contenuto, ma ogni ispezione genera effetti a cascata su interi settori.
L’intelligenza artificiale nella Relazione Garante Privacy 2025
Se c’è un tema che attraversa tutta la Relazione Garante Privacy 2025, è l’intelligenza artificiale. L’Autorità lo dice esplicitamente: il 2025 è stato l’anno in cui l’AI è passata dalla sperimentazione all’uso quotidiano. E con questo passaggio sono emersi tutti i problemi che nessuno aveva voglia di affrontare.
La legge italiana sull’intelligenza artificiale è stata approvata a settembre 2025. Ma il Garante ha espresso perplessità su un punto cruciale: la norma non gli assegna il ruolo di autorità di vigilanza per i sistemi AI ad alto rischio. Quelli che trattano dati biometrici, quelli usati nella giustizia, quelli che possono influenzare le elezioni. Il paradosso è evidente: proprio dove i diritti fondamentali sono più a rischio, manca un’autorità indipendente con competenze specifiche sulla protezione dei dati.
Sul fronte operativo, il Garante è intervenuto più volte. Ha emesso un ordine di limitazione definitiva nei confronti di società cinesi che fornivano un servizio di AI generativa, ottenendo la rimozione dell’app dagli store italiani. Ha adottato un provvedimento di limitazione provvisoria contro un servizio di deep nude che generava immagini artificiali di persone svestite a partire da foto normali. Ha pubblicato un avvertimento generale rivolto a tutti i fornitori di servizi AI che utilizzano voci o immagini di terzi per generare contenuti.
E quando Meta ha annunciato l’intenzione di usare i dati degli utenti europei per addestrare i propri modelli di AI generativa, il Garante ha pubblicato una scheda informativa per guidare gli utenti nell’esercizio del diritto di opposizione.
A livello europeo, è stata costituita una task force specifica del Comitato europeo per la protezione dei dati, chiamata GAIE (Generative AI Enforcement), per coordinare le azioni delle autorità nazionali. L’Italia partecipa attivamente.
Telemarketing selvaggio: cosa dice la Relazione Garante Privacy 2025
È una piaga che sembra impossibile da estirpare. Nonostante anni di sanzioni, provvedimenti, codici di condotta, il telemarketing illegale continua a prosperare. La Relazione Garante Privacy 2025 dedica ampio spazio a questo fenomeno.
Nel 2025 il Garante ha ricevuto oltre 104.000 segnalazioni solo per telemarketing automatizzato. Non chiamate commerciali generiche: messaggi preregistrati, robocall, sistemi automatizzati che bombardano milioni di utenti.
Il settore energetico resta il più problematico. Una singola operazione, partita da una denuncia raccolta dalla trasmissione Striscia la Notizia, ha portato a sanzioni per 3,85 milioni di euro nei confronti di un primario fornitore nazionale e delle agenzie collegate. L’indagine ha rivelato l’esistenza di call center abusivi, non censiti nel registro degli operatori, che operavano con liste di contatti acquisite illegalmente.
Il Garante ha anche chiarito un punto importante: i cosiddetti consensi omnibus non sono validi. Quelle clausole generiche che autorizzano il trasferimento dei dati a una moltitudine di terzi non meglio identificati non soddisfano i requisiti del RGPD. Il consenso deve essere libero, specifico, informato. Non una firma in fondo a un modulo incomprensibile.
I data breach: dove si sbaglia
Analizzando le 2.415 violazioni notificate, emergono pattern ricorrenti. Il 62% delle notifiche arriva in più fasi: prima una comunicazione preliminare, poi una o più integrazioni man mano che l’organizzazione capisce cosa è successo.
Questo dato racconta una realtà scomoda: la maggior parte delle organizzazioni non ha visibilità completa sui propri sistemi. Quando succede qualcosa, ci vogliono giorni o settimane per capire l’estensione del danno.
Le cause tecniche sono note: ransomware che cifra i dati e chiede riscatti, accessi non autorizzati da parte di esterni o interni, compromissione di credenziali (spesso per phishing), errori di configurazione che espongono dati su internet.
Ma c’è un fenomeno che il Garante ha seguito con particolare attenzione: gli accessi abusivi alle grandi banche dati pubbliche. Anagrafe tributaria, archivi INPS, banche dati delle forze di polizia. Una task force interdipartimentale sta indagando su quello che i media hanno chiamato “dossieraggio”: l’acquisizione illecita di informazioni personali da parte di soggetti che avevano accesso legittimo ai sistemi ma li usavano per scopi non autorizzati.
La videosorveglianza fuori controllo
Le segnalazioni su videosorveglianza continuano ad aumentare. Il Garante parla di un fenomeno ormai strutturale, che tocca tutte le dimensioni del vivere sociale.
Il caso più significativo riguarda il riconoscimento facciale. Il sistema FaceBoarding installato all’aeroporto di Milano Linate per velocizzare i controlli dei passeggeri è stato oggetto di un provvedimento di limitazione provvisoria. I problemi rilevati: mancata cifratura dei template biometrici, tempi di conservazione eccessivi, trattamento di dati biometrici anche di passeggeri che non avevano aderito al sistema.
Ma la videosorveglianza problematica non riguarda solo i grandi sistemi. Sono in aumento le segnalazioni su droni usati in prossimità di abitazioni, spioncini elettronici che registrano i movimenti nei pianerottoli, telecamere in esercizi commerciali usate per controllare i dipendenti.
Su quest’ultimo punto il Garante è particolarmente attento. L’uso di sistemi di videosorveglianza per monitorare costantemente i lavoratori, soprattutto in piccoli negozi dove il titolare può controllare tutto da remoto via smartphone, è in violazione dello Statuto dei lavoratori oltre che del RGPD.
Pay or ok: il dilemma dei cookie
Il Garante ha avviato una consultazione pubblica su un modello di business sempre più diffuso: il pay or ok, anche chiamato pay or consent.
Funziona così: per accedere ai contenuti di un sito (tipicamente di un editore online), l’utente deve scegliere tra sottoscrivere un abbonamento a pagamento oppure acconsentire al tracciamento pubblicitario tramite cookie. Se non sceglie nessuna delle due opzioni, l’accesso è bloccato.
Il problema è la libertà del consenso. Se l’alternativa al tracciamento è pagare, il consenso è davvero libero? Il Comitato europeo ha già espresso dubbi, soprattutto quando questo modello è adottato da grandi piattaforme.
La consultazione ha raccolto 105 contributi. Le posizioni sono diverse: alcuni ritengono il modello incompatibile con il RGPD, altri lo considerano un compromesso accettabile per sostenere l’editoria online. Il Garante sta valutando, cercando di non compromettere modelli di business legittimi ma senza abbassare le garanzie per gli utenti.
Le proposte europee che preoccupano
A livello europeo, la Commissione ha presentato due proposte di regolamento che modificherebbero il RGPD. Il Garante ha espresso preoccupazione.
La prima proposta, il cosiddetto Digital Omnibus, interviene su diversi atti legislativi digitali. Tra le modifiche proposte al RGPD, alcune riguardano la nozione stessa di dato personale, che verrebbe in qualche modo relativizzata. Il rischio, secondo il Garante, è di introdurre incertezza giuridica proprio dove serve chiarezza.
La seconda proposta riguarda le PMI. L’idea sarebbe di esentare le piccole e medie imprese dall’obbligo di tenere il registro dei trattamenti previsto dall’articolo 30 del RGPD. Il Garante si oppone: in Italia oltre il 98% delle imprese sono PMI. Esentarle significherebbe minare alla radice il principio di accountability che è il pilastro del sistema.
Cosa significa per le organizzazioni
Leggendo la Relazione Garante Privacy 2025 emerge un messaggio chiaro: la compliance privacy non è un esercizio formale.
Le organizzazioni che subiscono violazioni e sanzioni non sono necessariamente quelle che ignorano la normativa. Spesso sono quelle che hanno documenti perfetti ma processi inadeguati. Informative impeccabili ma nessun controllo su come vengono effettivamente trattati i dati. Policy dettagliate ma nessuna formazione al personale.
Il Garante ribadisce più volte che l’accountability non si dimostra con la carta. Si dimostra con la capacità di sapere cosa succede ai dati in ogni momento, di reagire rapidamente quando qualcosa va storto, di prevenire prima che curare.
Per le aziende private significa investire in sicurezza informatica, ma anche in organizzazione: sapere chi accede a cosa, limitare gli accessi al necessario, monitorare le anomalie, formare le persone.
Per la pubblica amministrazione significa accelerare la digitalizzazione senza sacrificare le garanzie. Il Garante accompagna la transizione digitale della PA con decine di pareri all’anno, ma lamenta che troppo spesso viene coinvolto a cose fatte, quando i sistemi sono già stati progettati senza considerare la protezione dei dati fin dall’inizio.
Conclusione: cosa ci insegna la Relazione del Garante
Il Garante apre la Relazione Garante Privacy 2025 con una parola: complessità. È il tratto che caratterizza questo momento storico per la protezione dei dati.
Complessità tecnologica, con l’AI che entra in ogni processo. Complessità normativa, con regolamenti europei che si sovrappongono e proposte di semplificazione che rischiano di complicare. Complessità organizzativa, con organizzazioni che faticano a tenere il passo.
La risposta non può essere la semplificazione a tutti i costi. La risposta è costruire competenze, processi, cultura. È quello che distingue le organizzazioni che subiscono la complessità da quelle che la governano.
P.I. Computers supporta aziende e pubbliche amministrazioni nella compliance privacy: assessment, formazione, supporto al DPO, gestione data breach. Parliamone →
