Nel corso del 2024 l’Autorità Garante Privacy ha continuato a esercitare un ruolo chiave nella protezione dei dati personali, intervenendo in svariati ambiti innovativi come l’intelligenza artificiale, la telemedicina, le cyberminacce, la tutela dei minori e il crescente fenomeno del revenge porn. La pubblicazione annuale fornisce uno specchio puntuale del direttorio operativo seguito dal Garante sulle sfide emergenti, dalle attività ispettive alla formazione, alla sinergia con le autorità internazionali.

Principali ambiti d’intervento

Intelligenza artificiale e sistemi algoritmici

Con riferimento a questo ambito, i principali interventi dell'autorità sono stati i seguenti:

• ChatGPT è stata inizialmente bloccata per raccolta dati non compliant e mancanza di sistemi di verifica dell’età degli utenti, in particolare dei minori. Successivamente è stata riammessa, vincolata a più trasparenza e strumenti di tutela degli utenti;
• Blocco del chatbot Replika, per i rischi legati a minori e soggetti vulnerabili;
• Apertura di un’istruttoria su Sora, sistema che genera video da testo.
  

Digitalizzazione e PNRR

Con riferimento a questo ambito, le principali attività si sono incentrate su:

• CIE Id, Single Digital Gateway, piattaforme per notifiche amministrative digitali;
• Interscambio anagrafico tra PA tramite l’Anagrafe nazionale e Agenzia delle entrate;
• Linee guida con l’Agenzia per la Cyber­sicurezza Nazionale per la conservazione sicura delle password.
  

Cybersecurity e data breach

I dati relativi a questo settore sono i seguenti:

• 2.037 notifiche di data breach nel 2023, con interventi su PA (37%) – Comuni, scuole, sanità – e imprese private (63%) e azioni sanzionatorie laddove la gravità lo richiedeva, in linea con art. 33 e 34 GDPR, “notification duties”.
  

Tutela dei minori e online safety

Con riferimento a questo ambito, le principali attività si sono incentrate su:

• Vigilanza sull’età minima nei social e sistemi di age verification.
  
• Protocollo con Agcom e Co.Re.Com per contrastare revenge porn e cyberbullismo; segnalate 299 denunce, raddoppio rispetto all’anno precedente;

Telemarketing aggressivo e tutela consumatori

Con riferimento a questo ambito, le principali novità e dati sono:

• Sanzioni più severe e approvazione del Codice di condotta per telemarketing e teleselling
• Circa 19.281 reclami esaminati.

Istruttoria su ChatGPT

Il Garante ha sospeso l’accesso a ChatGPT in Italia dopo che l’azienda non ha rispettato l’obbligo di informare chiaramente gli utenti, in particolare i minori, della raccolta e uso dei dati. L’intervento nasce dalla mancanza di:

• age verification per l’iscrizione;
  
• informativa trasparente sul trattamento dei dati personali, posizionamento in conflitto con gli artt. 13-14 GDPR.
  

L’Autorità ha ordinato misure immediate:

1. attivazione di sistemi di verifica dell’età;
2. revisione dell’informativa privacy;
3. maggiore trasparenza su finalità, destinatari e base giuridica.

Dopo il rispetto delle prescrizioni, il servizio è stato riammesso.

L'intervento del garante su ChatGPT evidenzia che, quando un sistema digitale coinvolge minori o raccoglie dati personali in modo esteso, meglio seguire questo schema:

• verifica adeguata dell’età
  
  • implementare sistemi robusti e proporzionati di age verification prima della registrazione
    
• informativa chiara e accessibile
  
  • adeguata agli artt. 13‑14 GDPR, con linguaggio semplice e comprensibile
    
• trasparenza sulle finalità e base giuridica
  
  • definire chiaramente se il trattamento è basato su consenso (art. 6 / 8 GDPR) o per interessi legittimi
    
• privacy by design e by default
  
  • impostare configurazioni “a tutela massima” per default
    
• valutazione d’impatto (DPIA)
  
  • obbligatoria in presenza di profilazione su minori, trattamenti massivi, novità tecnologiche (art. 35 GDPR)
    
• monitoraggio continuo e audit
  
  • gestire revisioni periodiche e aggiornamenti in vista di nuove minacce o cambiamenti legislativi.

Conclusioni

La Relazione 2024 del Garante evidenzia che le nuove tecnologie portano enormi opportunità, ma richiedono rigore e consapevolezza. Dall’IA al telemarketing, dal trattamento di minori fino ai data breach, le attività dell’Autorità seguono un modello di:

• dinamicità operativa, in linea con l’innovazione;
• fermezza applicativa, in difesa dei diritti fondamentali.
  

In definitiva, innovazione e tutela dei dati vanno di pari passo: ogni progetto digitale deve prevedere fin dall’inizio misure tecniche e organizzative di compliance GDPR—tra cui verifica dell’età, DPIA, informative trasparenti, formazione e audit. In questo modo, non solo si riduce il rischio sanzionatorio, ma si aumenta la fiducia di utenti e stakeholder, vero valore aggiunto di ogni attività.