Garante multa Piaggio e Altroconsumo e rafforza le garanzie sull’AI Act

🛡️ Executive Summary

• Piaggio riceve una sanzione da 460mila euro per la conservazione sistematica delle email aziendali e il controllo a distanza dei dipendenti.
• Altroconsumo viene multata per 280mila euro per marketing senza valida base giuridica e gestione inadeguata delle richieste degli utenti.
• Il Garante chiede maggiori poteri sull’AI Act, limiti al riconoscimento biometrico e accessi selettivi nei protocolli informatici pubblici.

Il Garante per la protezione dei dati personali interviene contemporaneamente su controllo dei lavoratori, marketing digitale, intelligenza artificiale e sicurezza della pubblica amministrazione. Piaggio & C. riceve una sanzione da 460mila euro per la raccolta e la conservazione sistematica delle email aziendali, mentre Altroconsumo Edizioni viene multata per 280mila euro per comunicazioni promozionali inviate senza una base giuridica adeguata. L’Autorità approva inoltre gli schemi italiani di attuazione dell’AI Act, chiedendo maggiori poteri di vigilanza e tutele più rigorose sui dati biometrici. Chiude il quadro una sanzione da 12mila euro alla Città Metropolitana di Sassari per un protocollo informatico configurato in modo errato.

Piaggio conservava email e log fino a cinque anni

L’istruttoria contro Piaggio & C. Spa è nata dai reclami presentati da due ex dipendenti, dopo che la società aveva consultato le loro caselle di posta elettronica aziendale per verificare presunti comportamenti illeciti. L’azienda aveva acquisito complessivamente 112 email, alcune delle quali risalenti a quasi due anni prima della nascita dei sospetti. L’accesso era stato reso possibile da un sistema di backup che conservava la posta per l’intera durata del rapporto di lavoro e fino a cinque anni dopo la cessazione, mentre i log degli accessi venivano mantenuti per sei mesi. Secondo il Garante, una simile architettura non costituiva una semplice misura di continuità operativa, ma permetteva di ricostruire nel tempo l’attività dei dipendenti e di effettuare un controllo a distanza. La società non aveva inoltre adottato le garanzie previste dallo Statuto dei lavoratori, né aveva fornito informazioni sufficientemente precise su finalità, basi giuridiche e tempi di conservazione. Il provvedimento conferma che la disponibilità tecnica delle email non autorizza il datore di lavoro a consultarle retroattivamente senza necessità, proporzionalità e procedure trasparenti. Lo stesso principio era emerso quando il Garante aveva fermato il plug-in AI capace di analizzare emozioni e stress dei dipendenti, mostrando come strumenti digitali e sistemi di monitoraggio possano trasformarsi rapidamente in forme di sorveglianza organizzativa.

Il divieto colpisce anche l’accesso ai dati già raccolti

Il Garante non si è limitato alla sanzione pecuniaria. Ha dichiarato illecito il trattamento dei dati relativi alla posta elettronica aziendale e ha vietato a Piaggio di accedere alle informazioni conservate nei propri sistemi attraverso il modello contestato. La decisione incide quindi direttamente sull’utilizzabilità dell’archivio, impedendo che una raccolta sproporzionata venga successivamente impiegata per contestazioni disciplinari, verifiche interne o contenziosi. L’Autorità ha rilevato anche la mancata risposta alle richieste degli ex dipendenti, che avevano domandato conferma della disattivazione degli account e informazioni sul trattamento dei dati. Il caso obbliga le imprese a distinguere tra conservazione necessaria per sicurezza, continuità e obblighi legali e accumulo generalizzato di contenuti potenzialmente utilizzabili contro i lavoratori. Backup e log devono avere tempi separati, accessi tracciati e finalità documentate. Anche la conservazione di messaggi apparentemente professionali può coinvolgere corrispondenza privata, relazioni sindacali, dati sanitari o informazioni riferite a terzi. La posta aziendale non diventa quindi uno spazio liberamente ispezionabile per il solo fatto di utilizzare infrastrutture del datore di lavoro.

Altroconsumo inviava marketing anche senza registrazione conclusa

La sanzione da 280mila euro ad Altroconsumo Edizioni Srl riguarda invece il trattamento dei dati raccolti attraverso il sito della società e utilizzati per l’invio di email promozionali. Il procedimento è nato dal reclamo di un cittadino che continuava a ricevere comunicazioni commerciali nonostante avesse chiesto di interromperle. L’interessato sosteneva inoltre di non avere mai completato il modulo necessario per diventare socio, circostanza che Altroconsumo non è riuscita a smentire attraverso documentazione idonea. L’istruttoria ha mostrato che il sistema considerava perfezionato il rapporto contrattuale anche quando l’utente interrompeva la registrazione e non confermava la creazione dell’account. I dati venivano quindi conservati e utilizzati per il marketing nonostante mancasse la conclusione del contratto invocato come base giuridica. Il Garante ha contestato anche l’assenza di misure tecniche capaci di distinguere utenti registrati, procedure abbandonate e consensi effettivamente espressi. Il problema non riguardava soltanto il singolo messaggio, ma la progettazione del flusso digitale: una procedura che trasforma automaticamente un tentativo di registrazione in autorizzazione commerciale viola i principi di liceità, correttezza e protezione dei dati fin dalla progettazione. La vicenda si inserisce nel quadro delle regole già definite dal Codice di condotta per il telemarketing, che impone tracciabilità della provenienza dei dati e gestione effettiva delle opposizioni.

Il Garante chiede più poteri nell’attuazione dell’AI Act

Sul fronte dell’intelligenza artificiale, il Garante ha espresso parere favorevole sullo schema di decreto legislativo che disciplina l’attuazione italiana dell’AI Act, chiedendo però modifiche sostanziali. Il testo attribuisce all’Autorità il ruolo di vigilanza sui sistemi ad alto rischio utilizzati in settori come giustizia, attività di contrasto, immigrazione, frontiere e processi democratici. Secondo il Garante, questa funzione deve essere accompagnata dal potere esplicito di adottare linee guida, raccomandazioni e buone pratiche, analogamente alle altre autorità competenti. Devono inoltre essere chiariti il regime delle sanzioni, il ruolo nelle procedure di valutazione della conformità e la partecipazione allo spazio italiano di sperimentazione normativa. Un passaggio particolarmente rilevante riguarda il lavoro: l’Autorità propone di estendere il divieto delle decisioni esclusivamente automatizzate alle valutazioni capaci di incidere su prestazioni, premi, avanzamenti di carriera e altre componenti significative del rapporto professionale. L’AI Act non viene quindi trattato soltanto come disciplina tecnica dei modelli, ma come sistema destinato a regolare decisioni che possono modificare concretamente la vita delle persone. Il quadro europeo e i relativi obblighi erano stati ricostruiti nella guida completa all’AI Act, ma l’attuazione nazionale deve ora definire chi controlla realmente le applicazioni più invasive.

Il riconoscimento biometrico deve restare mirato

Un secondo parere riguarda l’impiego dei sistemi AI da parte delle Forze di polizia e il trattamento dei dati biometrici. Il Garante considera complessivamente coerente lo schema italiano, ma chiede regole più precise sulla supervisione umana, sulle responsabilità dei progetti sperimentali e sulla qualità delle banche dati utilizzate per identificare le persone. L’Autorità esclude che l’AI Act possa giustificare un trattamento automatizzato e generalizzato dei volti di chi accede a luoghi o manifestazioni pubbliche. Il riconoscimento ex post dovrebbe essere attivato soltanto su registrazioni già disponibili e in presenza di una specifica esigenza investigativa, evitando la raccolta preventiva e indiscriminata dei dati biometrici di tutti i presenti. Il Garante chiede inoltre che il codice di procedura penale vieti esplicitamente l’utilizzo di archivi costruiti mediante scraping indiscriminato o raccolte effettuate in violazione delle norme privacy. La disponibilità tecnica di milioni di immagini online non rende infatti legittima la creazione di banche dati facciali. Il principio riprende la linea applicata contro Clearview AI e la raccolta massiva di immagini biometriche, estendendola alle future infrastrutture investigative basate sull’intelligenza artificiale.

Sassari espone documenti per un errore nel protocollo

La Città Metropolitana di Sassari è stata infine sanzionata per 12mila euro dopo avere configurato in modo errato il proprio sistema di protocollo informatico. La falla organizzativa consentiva a dipendenti non autorizzati di consultare documenti contenenti dati personali, comprese informazioni legate a procedimenti disciplinari e rapporti di lavoro. Il caso è emerso attraverso una notifica di data breach e un successivo reclamo. Secondo il Garante, l’ente ha violato i principi di integrità, riservatezza, responsabilizzazione e protezione dei dati per impostazione predefinita. I sistemi documentali della pubblica amministrazione non possono affidarsi a permessi generici basati sulla semplice appartenenza all’organizzazione: devono utilizzare profili differenziati, accessi selettivi e procedure riservate per i fascicoli più delicati. La sanzione contenuta rispetto ai casi Piaggio e Altroconsumo non riduce la rilevanza del problema. Un protocollo informatico concentra comunicazioni, allegati, dati dei dipendenti e documenti amministrativi, trasformando una configurazione errata in un’esposizione potenzialmente estesa. La decisione conferma quanto emerso con la sanzione a Wind Tre per il data breach e le carenze nella protezione delle informazioni: la conformità al GDPR non dipende soltanto dalle informative, ma dalla capacità tecnica di impedire accessi non necessari lungo l’intero ciclo di vita dei dati.