5 Novembre 2026 di carmignaniconsulenza

Email marketing, in vigore le Linee guida sui tracking pixel. A fine mese scadono i sei mesi indicati dall’Autorità Garante per adeguarsi – Garante della Privacy Provvedimento del 17 aprile 2026

Entro il 29 ottobre 2026 aziende, piattaforme e newsletter dovranno adeguare informative, consensi e sistemi di revoca alle Linee guida del Garante Privacy sull’utilizzo dei tracking pixel nelle comunicazioni di posta elettronica.

I tracking pixel sono minuscole immagini trasparenti, praticamente invisibili, inserite nelle email per rilevarne l’apertura e raccogliere informazioni sui comportamenti degli utenti. Tecnologie che, sottolinea il Garante, possono risultare particolarmente invasive perché operano spesso senza che il destinatario ne abbia piena consapevolezza.

Il loro utilizzo rientra nell’ambito di applicazione dell’articolo 122 del Codice privacy, che disciplina l’impiego di tecnologie in grado di accedere alle informazioni presenti nei dispositivi degli utenti o di monitorarne il comportamento online, mentre il Regolamento europeo sulla protezione dei dati (GDPR) ne definisce la cornice generale per quanto riguarda: trasparenza, consenso, responsabilizzazione del titolare e protezione dei dati fin dalla progettazione e per impostazione predefinita.

Per i tracking pixel è quindi necessario acquisire preventivamente un consenso libero, specifico e informato, mentre sono previste specifiche eccezioni, ad esempio per finalità di sicurezza, esigenze tecniche strettamente necessarie o comunicazioni istituzionali e di servizio, sempre nel rispetto dei principi di proporzionalità e minimizzazione dei dati.

Gli utenti devono inoltre ricevere un’informativa chiara e trasparente e poter revocare il consenso con modalità semplici, anche selettivamente.

Le Linee guida richiamano infine l’attenzione sull’adozione di misure di privacy by design e by default, volte a ridurre il rischio di identificabilità degli utenti e a limitare la circolazione dei dati personali.

Ricordiamo che la verifica dell’applicazione delle Linee guida sui tracking pixel nelle email rientra tra le attività ispettive previste dal Garante per il secondo semestre 2026.

Per aiutare tutti i soggetti che utilizzano tracking pixel (fornitori di servizi della società dell’informazione o che offrono servizi online accessibili al pubblico, provider di posta elettronica, gestori di piattaforme per l’invio massivo di email), il Garante privacy ha reso disponibile una scheda informativa che si può trovare sul sito dell’Autorità.

VADEMECUM Tracking pixel nelle e-mail. Le indicazioni del Garante Download

Link: https://www.gpdp.it/temi/tracking-pixel

Lascia un commento Annulla risposta

18 Settembre 2026 di carmignaniconsulenza

Garante privacy, azienda sanitaria di Udine sanzionata per 24mila euro. Il dossier sanitario è accessibile solo per ragioni di cura – Garante della Privacy Provvedimento del 3 settembre 2026 [10293994]

Il Garante privacy ha inflitto una sanzione di 24mila euro all’Azienda sanitaria universitaria Friuli centrale (ASUFC) di Udine per non aver configurato il dossier sanitario aziendale in modo tale da impedire al personale di visionare lo stato di salute dei colleghi per finalità diverse da quelle di cura.

Con provvedimento (n. 616 del 3 settembre 2026, doc. web n. 10293994) l’Autorità – intervenuta a seguito del reclamo di una dipendente, che era al contempo paziente dell’ospedale – ha accertato che una collega del reparto dove lavorava, aveva avuto liberamente accesso al suo dossier sanitario per verificare, durante la pandemia, l’eventuale positività al Covid-19 e pianificare i turni.

Secondo l’azienda sanitaria la pratica si era resa necessaria per sapere su quali risorse umane poter contare e per garantire la tutela degli operatori e dei pazienti ricoverati.

Nel provvedimento il Garante ha ribadito come l’accesso al dossier sanitario sia consentito solo ai medici e al personale che ha in cura un paziente, e non per esigenze organizzative e amministrative, specie se l’ospedale è sia il datore di lavoro che l’autorità sanitaria che lo ha in carico.

Le finalità amministrative e organizzative devono essere infatti perseguite utilizzando strumenti a ciò dedicati e non il dossier sanitario, che nasce per aiutare il professionista ad inquadrare lo stato di salute del paziente nel suo percorso medico. L’uso del dossier per finalità amministrative costituisce peraltro una modalità inefficiente in quanto per sua natura incompleto, avendo l’interessato la possibilità di oscurare i dati sanitari che magari sono indispensabili proprio per la finalità organizzativa perseguita.

Nel corso dell’istruttoria il Garante privacy ha inoltre accertato che il dossier della reclamante era stato oggetto anche di altri accessi abusivi da parte di professionisti sanitari che non l’avevano in cura. Entrambi gli illeciti erano stati possibili perché la configurazione del dossier sanitario aziendale non prevedeva specifici limiti all’accesso, né sistemi di alert automatici finalizzati a segnalare eventuali possibili condotte illecite dei dipendenti.

Oltre alla sanzione pecuniaria, l’Autorità ha ordinato all’azienda ospedaliera di adottare misure tecniche ed organizzative idonee a garantire la tutela dei dati dei pazienti e dei dipendenti. In particolare, l’adozione di sistemi di controllo degli accessi e di rilevamento delle anomalie.

Link: https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/10293994

Lascia un commento Annulla risposta

17 Settembre 2026 di carmignaniconsulenza

Privacy, sanzionato Banco Bilbao Italia per 5,5 milioni di euro. La banca inviava comunicazioni promozionali nell’app nonostante i “no” del cliente – Garante della Privacy Provvedimento del 3 settembre 2026 [10291895]

Maxi-multa da oltre 5,5 milioni di euro per Banco Bilbao Vizcaya Argentaria Italia (BBVA). Il Garante per la privacy ha sanzionato l’istituto dopo il reclamo di un cliente che, pur avendo manifestato la propria opposizione alla ricezione delle comunicazioni commerciali tramite l’app e poi ribadito il proprio “no” al Servizio clienti, ha continuato a ricevere messaggi promozionali.

Un caso che, secondo l’Autorità, evidenzia una falla nei processi di gestione dei dati.

Un errore tecnico che ha impedito, secondo la banca, il corretto allineamento tra i sistemi aziendali e la piattaforma incaricata di governare le comunicazioni commerciali alla clientela. Di conseguenza, il cliente ha continuato a ricevere comunicazioni commerciali non richieste per sette mesi, da ottobre 2025 a maggio 2026.

Un malfunzionamento per il Garante non sufficiente a escludere la responsabilità della banca.

L’istruttoria ha inoltre evidenziato ulteriori criticità: la banca non avrebbe fornito al cliente un riscontro corretto nell’esercizio dei suoi diritti, arrivando anche a comunicare informazioni errate sul funzionamento dei trattamenti interni.

La decisione del Garante (n. 613 del 3.9.2026 doc. web n. 10291895) mette in evidenza un principio di portata più ampia: non è sufficiente che il “no” del cliente venga registrato da un sistema se poi l’organizzazione non è in grado di garantirne l’effettiva applicazione. Il rispetto delle norme sulla privacy, dunque, non può fermarsi alla singola app o al singolo database. I diversi sistemi aziendali devono poter dialogare correttamente e le procedure devono garantire che la scelta del cliente venga rispettata lungo tutte le fasi del trattamento dei dati.

Oltre alla sanzione di oltre 5 milioni e mezzo di euro, il Garante ha prescritto a Banco Bilbao Italia di adottare adeguate misure tecniche e organizzative volte a facilitare l’esercizio dei diritti degli interessati e a garantire una corretta e tempestiva gestione delle loro richieste.

Link: https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/10291895