La Relazione cade nell’anno in cui l’Autorità celebra i 25 anni di attività e illustra i diversi e delicati fronti sui quali l’Autorità è stata impegnata nel far rispettare i diritti fondamentali delle persone e i principi alla base della legislazione in materia di privacy, anche alla luce del nuovo Regolamento Ue, e indica i nuovi scenari con i quali si sta misurando la protezione dei dati.
Sono stati 448 i provvedimenti collegiali adottati nel 2021 dal Garante per la protezione dei dati personali, con un aumento di oltre 56% rispetto all’anno precedente. I provvedimenti correttivi e sanzionatori sono stati 388, mentre le sanzioni riscosse sono state di circa 13 milioni 500 mila euro. Questi alcuni dei numeri emersi dalla Relazione Annuale dell’Autorità presieduta da Pasquale Stanzione.
Di fronte all’alto numero di attacchi informatici registrati negli ultimi tempi anche nel nostro Paese, il Garante ha richiamato l’attenzione di pubbliche amministrazioni e imprese sulla necessità di investire in sicurezza e ha fornito indicazioni su come difendersi dai ransomware, software che prendono “in ostaggio” un dispositivo elettronico per poi “liberarlo” a fronte del pagamento di somme di denaro. Una minaccia, questa, che si è particolarmente diffusa anche in Italia.
Significativo il numero dei data breach notificati nel 2021 al Garante da parte di soggetti pubblici e privati: 2071 (con un aumento addirittura di circa il 50% rispetto al 2020), molti dei quali relativi alla diffusione di dati sanitari che hanno portato anche a sanzioni. Interventi dell’Autorità hanno riguardato in questo ambito anche grandi piattaforme social come Facebook e LinkedIn.
Il “data breach” è una violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati. Una violazione dei dati personali può compromettere la riservatezza, l’integrità o la disponibilità di dati personali. Qualche esempio? L’accesso o l’acquisizione dei dati da parte di terzi non autorizzati, il furto o la perdita di dispositivi informatici contenenti dati personali, l’impossibilità di accedere ai dati per cause accidentali o per attacchi esterni, virus, malware e così via.
I pareri resi dal Collegio su atti normativi e amministrativi sono stati 72 ed hanno riguardato sanità, fisco, giustizia, istruzione, digitalizzazione della pubblica amministrazione e funzioni di interesse pubblico. Le comunicazioni di notizie di reato all’autorità giudiziaria sono state 12, e hanno riguardato violazioni in materia di controllo a distanza dei lavoratori, accessi abusivi a sistemi informatici o telematici, trattamento illecito dei dati, falsità nelle dichiarazioni e inosservanza dei provvedimenti del Garante.
Le ispezioni effettuate nel 2021 sono state 49, avendo subito l’impatto dell’emergenza pandemica. «Proprio durante il lockdown – ha confermato il Presidente del Garante per la protezione dei dati personali Pasquale Stanzione nel suo intervento in occasione della presentazione del report – si è registrato un incremento significativo degli attacchi informatici ai danni (anche) di enti pubblici, di catene di approvvigionamento e di reti sanitarie, secondo una tendenza che si sarebbe inevitabilmente amplificata con il conflitto russo-ucraino».
In materia di controllo a distanza nel mondo del lavoro, il Garante è intervenuto a tutela dei call center e delle piattaforme di delivery, con due sanzioni per complessivi 5 milioni e 100 mila euro. L’autorità è anche intervenuta per chiedere che ai lavoratori vengano fornite adeguate informazioni sui sistemi aziendali in uso.
Sul fronte della tutela dei consumatori il Garante è intervenuto con decisione contro il telemarketing aggressivo con l’applicazione di pesanti sanzioni, per un importo complessivo di 38 milioni di euro nel solo 2021, la maggior parte delle quali riguardano utilizzo senza consenso dei dati degli abbonati.
Particolare attenzione è stata posta all’uso dei dati biometrici e al riconoscimento facciale. L’Autorità ha sanzionato per 20 milioni di euro Clearview, società specializzata in riconoscimento facciale che acquisisce dati sul web e le ha vietato l’uso dei dati biometrici e il monitoraggio degli italiani.
