Interesse pubblico e urgenza regolatoria
L’accumulazione indiscriminata di dati personali e l’integrazione di sistemi algoritmici nei processi decisionali aziendali hanno trasformato la riservatezza in un nodo cruciale di sicurezza democratica. Quando la profilazione commerciale sconfina nella schedatura del comportamento individuale o nell’addestramento non trasparente di modelli di intelligenza artificiale, il danno per la collettività diventa sistemico e irreversibile.
Gli interventi sanzionatori e le prescrizioni adottate dalle autorità di vigilanza evidenziano una tensione crescente tra le logiche di monetizzazione dei mercati digitali e la tutela dei diritti fondamentali. Documentare la portata di queste violazioni permette di comprendere l’effettivo bilanciamento tra conformità formale e reale rispetto della dignità degli utenti.
Contesto istituzionale e dinamiche di mercato
L’ecosistema delle telecomunicazioni e dei servizi digitali attraversa una fase di profonda riconfigurazione, caratterizzata dall’automazione spinta del marketing e dalla proliferazione di broker di informazioni. In questo scenario, le strategie commerciali aggressive ricorrono frequentemente a catene di fornitura opache e consensi acquisiti in violazione delle tutele di legge.
Parallelamente, l’introduzione su larga scala di modelli di apprendimento automatico e strumenti generativi pone interrogativi inediti sulla legittimità dell’acquisizione delle basi di addestramento. L’adozione di quadri normativi continentali come l’AI Act richiede costanti interventi interpretativi per impedire che l’innovazione tecnologica vanifichi i presidi a difesa delle categorie vulnerabili, a partire dai minori.
I rilievi istruttori documentano una costante trasgressione nelle modalità di tracciamento, dall’impiego non dichiarato di tracking pixel nella posta elettronica fino alla conservazione illegittima di copie di documenti di riconoscimento nel settore ricettivo. Le violazioni non riguardano soltanto le grandi piattaforme tecnologiche, ma investono anche la pubblica amministrazione e le reti di distribuzione commerciale sul territorio.
L’evoluzione delle condotte sanzionate
La prassi sanzionatoria recente fotografa una transizione dai tradizionali abusi del telemarketing verso forme più pervasive di monitoraggio biometrico e comportamentale. I canali promozionali continuano a registrare pratiche abusive, tra cui l’attivazione di forniture all’insaputa dei clienti mediante agenti porta a porta e il ricorso a liste di contatti non verificate.
Sul versante della gestione aziendale, la tendenza a implementare plug-in per analizzare linguaggio, emozioni e livelli di stress dei dipendenti segna un salto qualitativo nella sorveglianza sul posto di lavoro. Queste metodologie, unitamente alla raccolta di informazioni su patologie, affiliazioni sindacali e sfera privata, delineano una pressione strutturale sui diritti dei lavoratori.
Soggetti ed enti coinvolti
L’attività di vigilanza e indirizzo vede come attore centrale il Garante per la protezione dei dati personali, guidato dal presidente Pasquale Stanzione e con Angelo Fanizza nel ruolo di Segretario generale. L’autorità opera in raccordo con il Comitato europeo per la protezione dei dati, riunitosi nel Gruppo di Alto Livello a Dublino, con l’Agenzia per la Cybersicurezza Nazionale e in collaborazione con l’Arma dei Carabinieri per le indagini sul campo.
Nel comparto delle telecomunicazioni e dei servizi informativi, l’operatore TIM è stato raggiunto da una sanzione di 9,5 milioni di euro per violazioni sistematiche nel telemarketing, mentre la piattaforma Lusha ha subito una sanzione di 2 milioni di euro per la vendita e il monitoraggio di dati di un elevato numero di soggetti. Per le criticità legate all’accesso di minori e ai sistemi di verifica dell’età, un provvedimento sanzionatorio ha colpito Character.AI, mentre LinkedIn è stata oggetto di intervento preventivo per l’addestramento dei propri modelli di intelligenza artificiale sui dati degli iscritti.
Sul versante industriale e dei consumi, la società Piaggio ha ricevuto una sanzione di 460mila euro per consensi acquisiti illecitamente e carenze nei controlli di filiera, mentre ad Altroconsumo Edizioni è stata comminata una sanzione di 280mila euro per irregolarità nelle attività di marketing. Nel monitoraggio dei luoghi di lavoro, un provvedimento di divieto ha riguardato Amazon per la schedatura indebita del personale.
Nel settore radiotelevisivo e dei media, l’emittente RTI è stata ammonita per alcuni servizi del programma Striscia la Notizia, mentre la Rai è stata sanzionata nell’ambito del caso Sangiuliano-Corsini, procedimento nel quale è stato contestualmente respinto un distinto reclamo presentato contro altre testate giornalistiche. A livello di enti locali, la Città metropolitana di Sassari è stata sanzionata a seguito di un incidente di sicurezza informatica (data breach).
Analisi critica delle evidenze
L’esame complessivo dei provvedimenti rivela una persistente asimmetria tra l’entità dei ricavi generati dallo sfruttamento dei dati personali e l’impatto economico delle sanzioni pecuniarie. Nonostante le multe comminate a colossi telefonici e data broker superino svariati milioni di euro, i modelli di business fondati sull’acquisizione massiva di contatti tendono a interiorizzare la sanzione come mero costo operativo.
Il settore dell’intelligenza artificiale presenta le criticità più urgenti sul piano dell’inversione dell’onere per l’utente. L’adozione di meccanismi di silenzio-assenso per l’addestramento degli algoritmi, come nel caso delle piattaforme professionali che obbligano l’iscritto a una procedura attiva di opposizione, dimostra l’inadeguatezza del consenso preventivo di fronte all’automazione su scala globale.
L’Autorità ha disposto lo stop alla schedatura dei lavoratori e al tracciamento di parametri personali, sindacali e sanitari, ribadendo i limiti invalicabili all’uso di plug-in per l’analisi dello stress e delle emozioni nei contesti occupazionali.
L’impiego di tecnologie per rilevare segnali biometrici, reazioni emotive e linguaggio dei dipendenti non rappresenta una semplice ottimizzazione produttiva, ma una trasformazione del controllo gerarchico in sorveglianza continua. L’assenza di trasparenza sugli algoritmi di valutazione impedisce qualsiasi verifica di accuratezza scientifica e annulla le tradizionali garanzie dello Statuto dei Lavoratori.
Vulnerabilità dei minori e proliferazione di contenuti sintetici
I provvedimenti relativi a servizi come Character.AI e le linee guida concordate in sede G7 privacy evidenziano come i sistemi di age verification attuali risultino facilmente aggirabili. L’esposizione dei minori a modelli conversazionali non calibrati genera rischi di condizionamento psicologico che la regolazione ex post fatica a contenere.
Parallelamente, la moltiplicazione di deepfake satirici o ingannevoli, come quelli che hanno coinvolto volti noti dell’informazione, dimostra la fragilità del diritto all’identità personale nello spazio digitale. La capacità dei contenuti generativi di diffondersi viralmente prima dell’intervento inibitorio dell’autorità impone una riflessione sull’efficacia degli strumenti di rimozione e sulla responsabilità delle piattaforme ospitanti.
I richiami deontologici indirizzati ai media in casi di cronaca giudiziaria o episodi di marginalità urbana confermano inoltre che la spettacolarizzazione dell’informazione continua a comprimere i diritti alla riservatezza di vittime e minori. La pubblicazione di dettagli non essenziali per l’interesse pubblico riflette una mancata interiorizzazione delle regole dell’attività giornalistica.
Trasparenza e base giuridica
Le informazioni alla base del presente dossier derivano dai registri pubblici dei provvedimenti, dalle relazioni annuali e dai comunicati ufficiali emessi dal Garante per la protezione dei dati personali attraverso i propri canali istituzionali. La documentazione integrale e i testi delle decisioni sono consultabili nell’archivio dell’Autorità.
In conformità all’articolo 5 della Legge 22 aprile 1941, n. 633, i testi degli atti ufficiali dello Stato e delle amministrazioni pubbliche, sia italiane che straniere, non sono coperti da diritto d’autore e appartengono al pubblico dominio. L’elaborazione analitica e la contestualizzazione critica sono state condotte nel rispetto dei principi di trasparenza delle fonti e correttezza dell’informazione.