Nel primo semestre 2026, il Garante per la Protezione dei Dati Personali ha continuato la sua linea di applicazione attiva del GDPR, con un’attenzione particolare a tre filoni: i cookie e il tracciamento senza consenso valido, i dataset compromessi da data breach con notifica tardiva o assente, e l’uso di strumenti di intelligenza artificiale senza basi giuridiche adeguate. A differenza degli storici “Top 15” delle sanzioni più importanti (di cui parliamo in Sanzioni RGPD: Top 15 del Garante in Italia), questo articolo si concentra sui provvedimenti più recenti — quelli che indicano la direzione attuale dell’autorità di controllo italiana — e le lezioni concrete che ne derivano per le aziende.
I tre paragrafi seguenti analizzano i casi recenti più significativi per categoria, le ragioni dietro l’inasprimento delle sanzioni e le azioni concrete per ridurre il rischio nel 2026.
I tre filoni di sanzioni dominanti nel 2026
Il programma di controllo annuale del Garante per il 2026 ha confermato tre priorità strategiche, già delineate negli anni precedenti ma ora rafforzate.
Filone 1 — Cookie e tracciamento senza consenso libero. Dal 2021 (provvedimento Garante 10 giugno 2021) le regole sui cookie sono cristalline: rifiutare deve essere facile quanto accettare, il consenso deve essere specifico per finalità, nessun cookie di terze parti prima del clic. Eppure nel 2026, dopo 5 anni di guidance, una parte significativa dei siti italiani controllati presenta ancora dark patterns o banner non conformi. Le sanzioni recenti più ricorrenti su questa categoria vanno da 20 000 € fino a centinaia di migliaia di euro per le grandi piattaforme. Veda Politica dei cookie: regole e sanzioni per i requisiti dettagliati.
Filone 2 — Data breach: notifica tardiva o assente. L’Art. 33 GDPR impone una notifica al Garante entro 72 ore dalla scoperta di una violazione che presenti un rischio per i diritti degli interessati. Nel 2025-2026, una serie di provvedimenti ha sanzionato aziende per:
- Notifica oltre i 72 ore con motivazioni inadeguate (vacanze, difficoltà tecniche)
- Assenza completa di notifica per breach con migliaia di dati esposti
- Comunicazione agli interessati incompleta o tardiva (Art. 34)
- Documentazione interna del breach mancante o approssimativa
Filone 3 — IA e basi giuridiche. Con l’entrata in vigore dell’AI Act europeo nel 2025-2026, il Garante ha iniziato a controllare l’uso di strumenti di intelligenza artificiale per scopi che trattano dati personali (scoring credito, profilazione, recruiting automatizzato). I provvedimenti recenti sanzionano l’assenza di una base giuridica valida (Art. 6 GDPR) per l’addestramento o l’inferenza di modelli su dati personali, e l’assenza di trasparenza verso gli interessati (Art. 13-14).
Cookie: i casi recenti che fanno scuola
Le sanzioni del Garante per cookie non conformi nel 2025-2026 mostrano un pattern molto chiaro: l’autorità non si accontenta più di un’analisi superficiale del banner. I controlli sono diventati tecnici, con osservazione del comportamento reale del sito (cookie installati prima del consenso, persistenza dopo rifiuto, dark patterns sull’opzione “Rifiuta”).
Schema ricorrente delle infrazioni:
- Pulsante “Accetta tutto” visivamente prominente vs “Rifiuta tutto” nascosto o di colore neutro (violazione del principio di consenso libero)
- Cookie di terze parti (Google Analytics, Meta Pixel, Hotjar) installati prima del clic sul banner
- Banner che si chiude automaticamente trascorsi alcuni secondi senza interazione, considerando il silenzio come consenso (esplicitamente vietato)
- Assenza di un’opzione di gestione granulare (settings per categoria di cookie)
- Continuazione del tracciamento dopo un rifiuto
Lezioni operative per il 2026:
- Verifica tecnica del banner via DevTools: nessun cookie non essenziale prima del consenso.
- Test del flusso “Rifiuta tutto” in modalità incognito: tutti i tracker devono cessare di essere installati.
- Riprova periodica dopo update del CMS o aggiunta di nuovi script (un nuovo plugin può rompere la conformità).
- Documentazione del consenso: il Garante chiede registri tracciabili (CMP che genera log del clic, timestamp, IP hash).
Per un banner conforme rapido, WebLegal Cookie Banner è gratuito e blocca automaticamente più di 37 tracker prima del consenso. Veda anche 37 tracker che il tuo banner deve bloccare.
Data breach: il ritmo delle 72 ore non si negozia
L’Art. 33 GDPR è una delle norme più mal applicate in Italia, e il Garante ha intensificato la sorveglianza nel 2025-2026. I casi recenti sanzionano principalmente:
Notifiche con motivazioni del ritardo non plausibili: l’azienda dichiara di aver “valutato l’entità del breach” per 5-7 giorni prima di notificare. Il GDPR è chiaro: si notifica appena si è ragionevolmente certi che un breach abbia avuto luogo, anche se l’estensione esatta non è ancora nota. La valutazione interna fa parte della notifica, non la precede.
Documentazione interna assente: il Garante chiede sempre il registro interno dei breach (Art. 33.5). Un’azienda che ha notificato correttamente ma non può produrre la documentazione viene comunque sanzionata.
Mancata comunicazione agli interessati: se un breach presenta un “rischio elevato” per gli interessati (Art. 34), questi devono essere informati direttamente. I criteri di “rischio elevato” sono interpretati estensivamente dal Garante: l’esposizione di dati di contatto + cronologia degli acquisti è considerata sufficiente per richiedere la notifica diretta.
Sub-fornitori non gestiti: molti breach hanno origine da un sub-fornitore (provider di marketing automation, gestore di newsletter, fornitore di hosting). L’Art. 28 GDPR impone all’azienda di garantire che i sub-fornitori applichino gli stessi standard. Il Garante sanziona regolarmente l’assenza di Data Processing Agreement (DPA) o la presenza di un DPA generico non specifico.
Azioni concrete:
- Procedure di breach formalizzate: chi rileva, chi valuta, chi notifica, in quanto tempo.
- Template di notifica pronto: il modulo del Garante è online, andare a recuperarlo durante una crisi fa perdere ore.
- DPA con ogni sub-fornitore: documento scritto, non solo orale.
- Esercitazioni annuali: simulare un breach e cronometrare il tempo di reazione.
IA generativa e modelli automatizzati: il nuovo perimetro
L’AI Act è in piena fase di applicazione nel 2026, e il Garante interpreta strettamente il GDPR sull’uso dell’IA. I provvedimenti recenti mostrano due categorie di problemi.
Categoria 1 — Modelli addestrati su dati personali senza base giuridica. Un’azienda che usa una piattaforma IA terza per recruiting automatico, analisi del sentiment delle conversazioni clienti, o scoring credito, deve verificare:
- Se i modelli sono stati addestrati su dati personali (in molti casi: sì)
- Quale base giuridica copre questo trattamento (consenso, legittimo interesse documentato, esecuzione contrattuale)
- Se gli interessati sono stati informati (informativa Art. 13-14)
L’uso di un modello opaco “perché il fornitore lo dice conforme” non protegge l’azienda: la responsabilità di titolarità resta interamente sua. Veda Usare IA generica per scrivere condizioni d’uso: perché è rischioso per un caso simile.
Categoria 2 — Decisioni automatizzate senza intervento umano significativo (Art. 22 GDPR). Il GDPR vieta in linea di principio le decisioni che producono effetti giuridici o similmente significativi prese in modo puramente automatizzato. Le eccezioni esistono (consenso esplicito, esecuzione contrattuale, autorizzazione di legge) ma sono interpretate strettamente. Il Garante ha sanzionato:
- Sistemi di scoring credito automatici senza possibilità reale di contestazione
- Filtri di CV nei recruiting senza intervento umano sui rifiuti
- Sistemi di personalizzazione pubblicitaria con effetti discriminatori (esclusione di certi gruppi)
Azioni concrete:
- Inventario delle decisioni automatizzate nel proprio business.
- DPIA (Valutazione d’Impatto sulla Protezione dei Dati) per ogni sistema IA che tratta dati personali a scala (Art. 35 GDPR).
- Diritto di intervento umano garantito (un revisore umano accessibile su richiesta).
- Trasparenza nell’informativa: spiegare la logica del trattamento automatizzato.
Lezione trasversale: la documentazione conta quanto la conformità
Un denominatore comune a tutti i casi sanzionati dal Garante nel 2025-2026 è la mancanza di documentazione interna. Un’azienda può avere implementato pratiche corrette ma essere sanzionata se non può dimostrarlo. Il principio di “accountability” (Art. 5.2 GDPR) richiede non solo conformità, ma anche tracciabilità.
Documenti minimi che il Garante chiede regolarmente:
- Registro dei trattamenti (Art. 30): tenuto aggiornato e completo
- Registro dei breach (Art. 33.5): anche se non ci sono stati breach significativi
- DPA con tutti i sub-fornitori (Art. 28)
- DPIA per i trattamenti ad alto rischio (Art. 35)
- Politiche interne (privacy by design, retention, sicurezza)
- Log dei consensi cookie (CMP funzionante)
- Documentazione delle informative consegnate (privacy policy versionata, screenshots datati)
Cosa fare se si riceve una richiesta di informazioni dal Garante
Una richiesta di informazioni del Garante (a volte preliminare a un procedimento sanzionatorio) richiede:
- Risposta nei termini (in genere 15-30 giorni dalla notifica): un ritardo aggrava la posizione.
- Risposta scritta e firmata da rappresentante legale.
- Trasmissione dei documenti probatori: registro trattamenti, DPA, informative, log consensi, screenshot del banner.
- Coinvolgimento del DPO (se nominato) e/o di un avvocato.
Una collaborazione attiva con il Garante riduce significativamente l’entità della sanzione finale (Art. 83.2 GDPR).
FAQ
Quante sanzioni Garante ci sono state nel 2026? Difficile dare un numero preciso aggiornato per il 2026 perché il Garante pubblica i provvedimenti con un certo ritardo. Storicamente, l’autorità italiana è tra le più attive d’Europa, con centinaia di provvedimenti annui (di cui alcuni dozzine con sanzioni amministrative pubblicate).
Le sanzioni sono pubbliche? Sì. Il Garante pubblica i provvedimenti sul proprio sito ufficiale (gpdp.it), con il nome del titolare. Questo aspetto reputazionale è importante: oltre alla sanzione economica, l’azienda subisce un danno d’immagine.
Una PMI rischia davvero una multa importante? Sì. Il GDPR prevede sanzioni proporzionate al fatturato (fino al 4% globale), ma per le PMI la pratica del Garante è di sanzioni “calibrate” — tipicamente 10 000-200 000 € a seconda della gravità. Non sono importi astratti: rappresentano spesso 6-24 mesi di utili per una PMI.
Come si presenta opposizione a un provvedimento? La sanzione è notificata con i termini di ricorso. In genere, si può fare ricorso giurisdizionale al Tribunale ordinario competente entro 30 giorni dalla notifica. Un avvocato specializzato in diritto della protezione dei dati è essenziale in questa fase.
Conviene assicurarsi contro le sanzioni GDPR? Le assicurazioni cyber coprono parzialmente i costi di gestione di un breach (consulenza legale, comunicazione di crisi), ma le multe del Garante non sono assicurabili per ragioni di ordine pubblico. La prevenzione resta l’unica strategia ragionevole.
Articolo aggiornato il 25 maggio 2026. I provvedimenti del Garante sono pubblicati su gpdp.it. I riferimenti normativi citati sono al GDPR (Reg. UE 2016/679) e al Codice Privacy (D.Lgs. 196/2003).
