Studio Legale Soccol

31/08/2026

– 𝐒𝐈𝐂𝐔𝐑𝐄𝐙𝐙𝐀 𝐒𝐔𝐋 𝐋𝐀𝐕𝐎𝐑𝐎 𝐄 𝐑𝐄𝐒𝐏𝐎𝐍𝐒𝐀𝐁𝐈𝐋𝐈𝐓𝐀̀ 𝐃𝐄𝐆𝐋𝐈 𝐄𝐍𝐓𝐈: 𝐈𝐋 𝐕𝐀𝐍𝐓𝐀𝐆𝐆𝐈𝐎 𝐃𝐄𝐋𝐋’𝐄𝐍𝐓𝐄 𝐏𝐔𝐎̀ 𝐃𝐈𝐏𝐄𝐍𝐃𝐄𝐑𝐄 𝐀𝐍𝐂𝐇𝐄 𝐃𝐀𝐋𝐋𝐀 𝐒𝐂𝐄𝐋𝐓𝐀 𝐃𝐄𝐋𝐋𝐀 𝐃𝐈𝐓𝐓𝐀 𝐀𝐏𝐏𝐀𝐋𝐓𝐀𝐓𝐑𝐈𝐂𝐄

Con la sentenza n. 28488 del 27 luglio 2026, la Quarta Sezione della Cassazione torna su uno dei temi più delicati della responsabilità degli enti per reati colposi in materia di e sul lavoro: il rapporto tra violazione delle regole prevenzionistiche e criterio del "vantaggio" ex D.Lgs. 231/2001.

Il caso trae origine da un mortale verificatosi durante lavori di pulizia della copertura di un capannone. La Suprema Corte ha confermato la responsabilità dell' , valorizzando il economico derivante dal mancato approntamento di adeguate misure di prevenzione del rischio di caduta dall'alto, dalla scelta di una ditta priva della necessaria qualificazione professionale, dall'affidamento dell'intervento attraverso modalità informali, idonee a contenere tempi e costi dell'operazione.

La Corte ha inoltre ritenuto irrilevante la circostanza per cui i costi dei presidi di sicurezza sarebbero stati formalmente a carico dell’impresa esecutrice, ritenendo che l'affidamento dei lavori ad operatori qualificati e l’esecuzione delle attività secondo le regola cautelari adeguate avrebbe inciso sul prezzo e sulla durata dell’intervento, con ricadute economiche dirette sulla committente.

Il vantaggio è stato quindi ritenuto integrato dal fatto che, in un intervento connotato da elevato rischio di caduta dall'alto, la rinuncia ai necessari presidi di sicurezza e l'impiego di un'impresa non adeguatamente attrezzata abbiano comportato per l'ente un beneficio economico tutt'altro che irrisorio.

Osservatorio per il monitoraggio permanente della legislazione e giurisprudenza sulla sicurezza del lavoro

24/08/2026

– 𝐂𝐎𝐍𝐒𝐄𝐑𝐕𝐀𝐙𝐈𝐎𝐍𝐄 𝐃𝐄𝐋𝐋𝐄 𝐄-𝐌𝐀𝐈𝐋 𝐀𝐙𝐈𝐄𝐍𝐃𝐀𝐋𝐈: 𝐈𝐋 𝐆𝐀𝐑𝐀𝐍𝐓𝐄 𝐒𝐀𝐍𝐙𝐈𝐎𝐍𝐀 𝐏𝐈𝐀𝐆𝐆𝐈𝐎

Il Garante per la protezione dei dati personali ( ) ha sanzionato Piaggio & C. S.p.A. per 460.000 euro per alcune violazioni relative alla gestione delle caselle di posta elettronica aziendale e al controllo dei dipendenti.

L’istruttoria, avviata in seguito ai reclami di due ex dipendenti, ha accertato che la società aveva acquisito numerose e-mail per verificare presunti comportamenti illeciti. Alcuni messaggi risalivano a circa due anni prima dell’insorgenza dei sospetti che avevano determinato gli accessi. Il sistema aziendale consentiva, inoltre, la raccolta e la conservazione sistematica dei dati relativi alla posta elettronica mediante backup effettuati per l’intera durata del rapporto di lavoro e mantenuti fino a cinque anni dopo la sua cessazione. I log erano invece conservati per sei mesi.

Secondo il Garante, tali modalità permettevano di ricostruire nel tempo l’attività dei lavoratori e potevano tradursi in un controllo a distanza, in assenza delle garanzie previste dalla normativa in materia di protezione dei dati personali e dallo Statuto dei lavoratori. L’Autorità ha inoltre contestato l’eccessiva durata della conservazione e le carenze nelle informazioni fornite ai dipendenti.

'); newWin.document.close(); newWin.addEventListener("load", function(){ // .... this.focus(); this.print(); this.close(); }); //newWin.print(); //newWin.close(); //newWin.document.close(); //setTimeout(function(){newWin.close();},10); }

30/07/2026

– 𝐃𝐀𝐓𝐀 𝐁𝐑𝐄𝐀𝐂𝐇 𝐄 𝐒𝐎𝐂𝐈𝐀𝐋 𝐄𝐍𝐆𝐈𝐍𝐄𝐄𝐑𝐈𝐍𝐆: 𝐈𝐋 𝐆𝐀𝐑𝐀𝐍𝐓𝐄 𝐒𝐀𝐍𝐙𝐈𝐎𝐍𝐀 𝐖𝐈𝐍𝐃 𝐓𝐑𝐄

Con il provvedimento del 14 maggio 2026, il per la Protezione dei Dati Personali ha sanzionato Wind Tre con una multa di oltre 1,7 milioni di euro a seguito di due episodi di data breach originati da attacchi di social engineering ai danni di punti vendita della rete commerciale.

Gli attaccanti, fingendosi operatori di assistenza tecnica, sono riusciti a ottenere l’accesso ai sistemi e a consultare dati personali di centinaia di migliaia di clienti, compresi, per una parte di essi, dati relativi ai metodi di pagamento.

Wind Tre ha sostenuto di aver già adottato numerose misure di , tra cui autenticazione multifattore, firewall, sistemi CAPTCHA e attività periodiche di vulnerability assessment. Tuttavia, il Garante ha ritenuto tali misure non sufficienti rispetto ai rischi concreti del trattamento. Secondo l’Autorità, una corretta gestione delle credenziali e dei certificati digitali costituisce una misura organizzativa essenziale ai sensi dell’art. 32 GDPR. Il titolare avrebbe dovuto garantire l’utilizzo di sistemi di conservazione sicura delle credenziali, come password manager, procedure formalizzate di gestione del ciclo di vita dei certificati e ulteriori fattori di autenticazione idonei a limitare gli effetti di eventuali attacchi di social engineering.

Il Garante ha inoltre evidenziato che assessment e pe*******on test devono essere concretamente calibrati sull’effettiva superficie di attacco dell’applicazione. Le API esposte, infatti, avrebbero dovuto essere sottoposte a verifiche più approfondite e protette mediante adeguati meccanismi di rate limiting e controllo delle richieste massive.

27/07/2026

Lo Studio Legale Soccol è lieto di condividere l'iniziativa formativa promossa da UniSMART - Fondazione Università di Padova dedicata al trattamento dei dati personali.

Il corso sarà tenuto dall'Avv. Lorenzo Balestra e offrirà una panoramica concreta e operativa della normativa privacy, andando oltre i luoghi comuni che spesso caratterizzano il GDPR. Saranno affrontati non solo gli aspetti normativi, ma anche esempi concreti e reali.

L'obiettivo è comprendere come la disciplina sulla protezione dei dati funzioni realmente nella pratica quotidiana e come possa diventare strumento di tutela e valorizzazione dell’organizzazione.

Ringraziamo UniSMART - Fondazione Università di Padova per la fiducia accordata e per l'impegno nella promozione di una cultura della protezione dei dati sempre più consapevole e concreta.

20/07/2026

– 𝐔𝐍 𝐒𝐎𝐋𝐎 𝐂𝐀𝐑𝐓𝐄𝐋𝐋𝐎 𝐏𝐄𝐑 𝐒𝐄𝐆𝐍𝐀𝐋𝐀𝐑𝐄 𝐏𝐈𝐔̀ 𝐓𝐄𝐋𝐄𝐂𝐀𝐌𝐄𝐑𝐄 𝐃𝐈 𝐕𝐈𝐃𝐄𝐎𝐒𝐑𝐎𝐕𝐄𝐆𝐋𝐈𝐀𝐍𝐙𝐀 𝐍𝐎𝐍 𝐄̀ 𝐒𝐔𝐅𝐅𝐈𝐂𝐈𝐄𝐍𝐓𝐄 𝐀𝐈 𝐒𝐄𝐍𝐒𝐈 𝐃𝐄𝐋 𝐆𝐃𝐏𝐑

Il Garante Privacy, con il provvedimento n. 167/2026 ha sanzionato una società di ristorazione per una gestione non conforme delle installate nei propri locali.

Il provvedimento richiama in particolare i principi generali del GDPR, tra cui quello di trasparenza (art. 5, par. 1, lett. a) e quello dell’art. 13 riguardante le informazioni da rendere agli . Nel caso esaminato, la presenza di un unico cartello, peraltro non collocato in modo da coprire tutte le aree sorvegliate, è stata ritenuta insufficiente a garantire una effettiva.

Il Garante ha messo in evidenza come l’obbligo di trasparenza necessiti della predisposizione e messa in opera di idonei cartelli di "informativa minima", affinché gli interessati siano resi “consapevoli del fatto che è in funzione un sistema di videosorveglianza” prima di entrare nel perimetro di ripresa delle telecamere. Le informazioni più importanti, relative a finalità del trattamento, identità del titolare del trattamento ed esistenza dei dell’interessato devono essere indicate mediante cartelli visibili a tutti e collocati ad altezza delle persone.

Altro profilo critico attiene alla liceità del trattamento. L’impianto risultava già operativo prima del rilascio dell’autorizzazione dell’Ispettorato del lavoro dovuta ai sensi dell’art. 4 della Legge 300/1970, determinando una violazione del principio citato.

Viola la privacy dei lavoratori l’impianto di videosorveglianza segnalato da un solo cartello informativo per più ambienti, con accesso alle immagini senza

17/07/2026

– 𝐀𝐂𝐍 𝐅𝐎𝐑𝐍𝐈𝐒𝐂𝐄 𝐂𝐇𝐈𝐀𝐑𝐈𝐌𝐄𝐍𝐓𝐈 𝐒𝐔𝐆𝐋𝐈 𝐎𝐁𝐁𝐋𝐈𝐆𝐇𝐈 𝐃𝐄𝐆𝐋𝐈 𝐎𝐑𝐆𝐀𝐍𝐈 𝐃𝐈 𝐀𝐌𝐌𝐈𝐍𝐈𝐒𝐓𝐑𝐀𝐙𝐈𝐎𝐍𝐄 𝐄 𝐃𝐈𝐑𝐄𝐓𝐓𝐈𝐕𝐈 𝐃𝐄𝐈 𝐒𝐎𝐆𝐆𝐄𝐓𝐓𝐈 𝐍𝐈𝐒

L'Agenzia per la Cybersicurezza Nazionale (ACN) ha aggiornato le FAQ relative agli obblighi degli organi di e direttivi dei .

Con riferimento alle responsabilità degli organi di amministrazione, è confermato che l'approvazione dei documenti previsti dall'art. 23 del decreto NIS costituisce una competenza esclusiva dell'organo collegiale o, ove previsto, dell'organo monocratico e non può essere delegata. Rimane invece delegabile lo svolgimento delle attività necessarie all'attuazione operativa degli obblighi previsti dalla normativa.

I documenti da sottoporre all’approvazione degli organi di amministrazione devono definire gli indirizzi e la pianificazione strategica delle misure di sicurezza. La documentazione di natura tecnica e operativa (ad es., procedure, manuali) può essere predisposta e aggiornata dalle strutture competenti senza necessità di approvazione da parte degli organi di governo.

ACN chiarisce, inoltre, che i soggetti NIS possono organizzare la documentazione secondo le modalità ritenute più idonee, sia mediante un unico documento sia attraverso un insieme di documenti tra loro coordinati.

L'Agenzia per la Cybersicurezza Nazionale ha pubblicato nuovi chiarimenti interpretativi sulla governance prevista dalla normativa NIS 2, con l'obiettivo di agevolarne l'applicazione da parte dei soggetti interessati

13/07/2026

– 𝐈𝐍 𝐂𝐎𝐍𝐒𝐔𝐋𝐓𝐀𝐙𝐈𝐎𝐍𝐄 𝐏𝐔𝐁𝐁𝐋𝐈𝐂𝐀 𝐋𝐄 𝐋𝐈𝐍𝐄𝐄 𝐆𝐔𝐈𝐃𝐀 𝐃𝐄𝐋𝐋’𝐄𝐃𝐏𝐁 𝐒𝐔𝐋𝐋’𝐀𝐍𝐎𝐍𝐈𝐌𝐈𝐙𝐙𝐀𝐙𝐈𝐎𝐍𝐄 𝐃𝐄𝐈 𝐃𝐀𝐓𝐈 𝐏𝐄𝐑𝐒𝐎𝐍𝐀𝐋𝐈

Le linee guida dell’European Data Protection Board ( ) n. 2/2026 mirano a chiarire la nozione di e offrono un sistema per valutare se i dati trattati siano effettivamente anonimi o siano dati personali.

Sulla scia della giurisprudenza europea, le linee guida confermano un cambio di paradigma rispetto all’interpretazione fino a poco tempo fa maggioritaria: l’anonimizzazione va analizzata dal punto di vista dei soggetti che utilizzano i dati, motivo per cui un dataset può essere anonimo per alcuni, ma non per altri. Tuttavia, si tratta di un accertamento tutt’altro che semplice nella pratica, soprattutto alla luce delle tecniche di correlazione e inferenza sempre più evolute.

Le linee guida propongono due approcci per portare avanti la valutazione: da una parte il , che tiene in considerazione tutti i soggetti coinvolti, dall’altra un approccio semplificato, che si focalizza sul soggetto che sta effettuando l’analisi. I due approcci possono anche essere tra loro combinati.

La metodologia di analisi proposta si fonda su tre criteri: impossibilità di isolare un individuo, impossibilità di collegare i dati ad altre fonti e impossibilità di ricavare informazioni attraverso inferenze. Se tutti e tre i criteri sono rispettati, il dato si può considerare anonimo; in caso negativo, devono essere portate avanti ulteriori valutazioni.

Le linee guida sono in fino al 30 ottobre 2026.

The European Data Protection Board welcomes comments on the Guidelines 02/2026 on Anonymisation.Such comments should be sent on 30 October 2026 at the latest using the provided form.

03/07/2026

– 𝐏𝐔𝐁𝐁𝐋𝐈𝐂𝐀𝐓𝐎 𝐈𝐋 𝐃𝐄𝐂𝐑𝐄𝐓𝐎 𝐋𝐄𝐆𝐈𝐒𝐋𝐀𝐓𝐈𝐕𝐎 𝐒𝐔𝐋𝐋𝐀 𝐏𝐑𝐄𝐕𝐄𝐍𝐙𝐈𝐎𝐍𝐄 𝐄 𝐋𝐀 𝐑𝐄𝐏𝐑𝐄𝐒𝐒𝐈𝐎𝐍𝐄 𝐃𝐄𝐋𝐋𝐀 𝐓𝐑𝐀𝐓𝐓𝐀 𝐃𝐈 𝐄𝐒𝐒𝐄𝐑𝐈 𝐔𝐌𝐀𝐍𝐈

È stato pubblicato in Gazzetta Ufficiale il D. lgs. n. 115/2026, recante “Attuazione della direttiva (UE) 2024/1712 del Parlamento europeo e del Consiglio, del 13 giugno 2024, che modifica la direttiva 2011/36/UE concernente la prevenzione e la repressione della di esseri umani e la protezione delle vittime”.

Sono modificati gli artt. 600 (riduzione o mantenimento in o servitù), 601 (tratta di persone) e 602-ter (circostanze aggravanti) del codice penale. Inoltre, è introdotto un nuovo reato all’art. 601.1, rubricato “Approfittamento della vittima di riduzione in schiavitù o di tratta”, che punisce, salvo che il fatto non costituisca più grave reato, “chiunque sfrutta le prestazioni di chi sa essere vittima dei reati di cui agli articoli 600 e 601”.

Ai sensi dell’art. 13 del decreto citato, il nuovo reato di cui all’art. 601.1 c.p. è integrato anche all’interno del d. lgs. 231/2001, nell’ambito dell’art. 25-quinquies del d. lgs. 231/2001 tra i delitti contro la personalità individuale.

29/06/2026

– 𝐋𝐀 𝐂𝐎𝐌𝐌𝐈𝐒𝐒𝐈𝐎𝐍𝐄 𝐄𝐔 𝐏𝐔𝐁𝐁𝐋𝐈𝐂𝐀 𝐈𝐋 𝐂𝐎𝐃𝐈𝐂𝐄 𝐃𝐈 𝐁𝐔𝐎𝐍𝐄 𝐏𝐑𝐀𝐓𝐈𝐂𝐇𝐄 𝐒𝐔𝐆𝐋𝐈 𝐎𝐁𝐁𝐋𝐈𝐆𝐇𝐈 𝐃𝐈 𝐓𝐑𝐀𝐒𝐏𝐀𝐑𝐄𝐍𝐙𝐀 𝐈𝐀

La Commissione europea ha pubblicato il 10 giugno il “Code of Practice on transparency of AI-generated content”. Più precisamente è un codice di buone pratiche ai sensi dell’art. 50, par. 7, , al quale i soggetti possono aderire su base volontaria per beneficiare di una presunzione di conformità agli obblighi di di determinati .

Il Codice è diviso in due parti:

✔️la prima circa gli obblighi di trasparenza in capo ai fornitori di sistemi di IA, compresi i sistemi per finalità generali, che generano contenuti sintetici di garantire che gli output siano marcati in un formato leggibile meccanicamente e rilevabili come generati o manipolati artificialmente (art. 50, par. 2, AI Act);
✔️la seconda sugli obblighi di trasparenza in capo ai deployer di un sistema di IA che genera o manipola contenuti che costituiscono di rendere noto che il contenuto è stato generato o manipolato artificialmente.
L’adesione al Codice è volontaria e può già essere effettuata tramite il sito ufficiale della Commissione europea. Il Codice costituisce comunque un utile strumento operativo e un punto di riferimento per tutti i soggetti chiamati ad applicare gli obblighi di trasparenza, anche qualora scelgano di non aderirvi.

This code of practice aims to support compliance with the AI Act transparency obligations related to marking and labelling of AI-generated content.

25/06/2026

– 𝐂𝐎𝐌𝐔𝐍𝐄 𝐒𝐀𝐍𝐙𝐈𝐎𝐍𝐀𝐓𝐎 𝐃𝐀𝐋 𝐆𝐀𝐑𝐀𝐍𝐓𝐄 𝐏𝐄𝐑 𝐈𝐌𝐏𝐈𝐄𝐆𝐎 𝐃𝐈 𝐁𝐎𝐃𝐘𝐂𝐀𝐌

Il Comune di Cogoleto è stato sanzionato dal Garante Privacy con provvedimento n. 271 del 17 aprile 2026 per avere dotato gli agenti di Polizia Locale di a titolo sperimentale senza accordo sindacale specifico, senza adeguate informative privacy e senza una preventiva valutazione di .

Nel corso dell’istruttoria il Comune ha rappresentato che gli stessi agenti avessero acconsentito all’impiego di tali strumenti per esigenze di tutela da potenziali aggressioni. Il Garante ha tuttavia rimarcato che i conseguenti all’impiego di strumenti tecnologici nei luoghi ove si svolge anche l’attività lavorativa, trovano la propria base giuridica nella disciplina di cui all’art. 4 dello Statuto dei (e non nel consenso dei lavoratori), il quale prevede la necessità di ottenere un accordo sindacale o, in mancanza, un’autorizzazione preventiva dell’ITL.

Inoltre, nel caso di specie, il Comune non ha comprovato di aver fornito nè agli agenti della Polizia Locale, a cui sono state fornite le bodycam, né a soggetti terzi, diversi dai lavoratori, eventualmente ripresi con le bodycam, un’informativa sul trattamento dei dati personali. Da qui la sanzione del Garante.

Comprare una bodycam è facile. Bastano pochi clic su una piattaforma elettronica, una determina di acquisto e qualche brochure commerciale ben confezionata