La Relazione annuale 2025 del Garante per la protezione dei dati personali rappresenta molto più di un bilancio dell’attività svolta dall’Autorità. Attraverso i temi affrontati, le istruttorie concluse e le aree di maggiore attenzione, il documento offre una fotografia dell’evoluzione della data protection e delle sfide che imprese e organizzazioni saranno chiamate ad affrontare. Il filo conduttore è chiaro: la protezione dei dati non può più essere considerata una funzione isolata, ma un elemento strutturale della governance aziendale.
Una relazione che racconta come sta cambiando la privacy
Ogni anno la Relazione del Garante viene letta soprattutto attraverso i numeri: reclami, segnalazioni, ispezioni e provvedimenti adottati. È una chiave di lettura certamente utile, ma riduttiva.
Il documento pubblicato dall’Autorità rappresenta soprattutto uno strumento per comprendere come stia evolvendo l’attività di vigilanza e quali siano le aree considerate maggiormente rilevanti nel nuovo contesto digitale.
La Relazione Annuale 2025, pubblicata lo scorso luglio 2026, dedica ampio spazio ai temi dell’intelligenza artificiale, della cybersicurezza, della tutela dei minori online, dei trasferimenti internazionali di dati, della videosorveglianza, dei data breach e della crescente cooperazione tra le autorità europee per la protezione dei dati.
Non si tratta di argomenti isolati. Nel loro insieme delineano un modello di controllo sempre più orientato alla capacità delle organizzazioni di governare il rischio piuttosto che al semplice rispetto degli adempimenti previsti dal GDPR.
L’accountability esce dai documenti e diventa organizzazione
Uno degli aspetti più interessanti che emerge dalla Relazione riguarda il principio di accountability.
Fin dall’entrata in vigore del GDPR questo principio è stato interpretato come l’obbligo di dimostrare la conformità attraverso registri dei trattamenti, informative, valutazioni d’impatto e documentazione delle misure adottate.
La Relazione del Garante mostra oggi un’evoluzione di questa impostazione.
L’attenzione dell’Autorità si concentra sempre più sulla capacità delle organizzazioni di dimostrare come vengono assunte le decisioni che riguardano il trattamento dei dati personali, quali funzioni sono coinvolte, come vengono valutati i rischi e con quali criteri vengono individuate le misure di mitigazione.
La documentazione continua ad avere un ruolo centrale, ma viene letta come espressione di un sistema di governance e non come un insieme di adempimenti indipendenti.
Intelligenza artificiale e protezione dei dati: un dialogo sempre più stretto
Tra i temi che attraversano l’intera Relazione vi è il rapporto tra innovazione tecnologica e tutela dei diritti fondamentali.
L’Autorità richiama più volte la necessità che lo sviluppo e l’utilizzo di sistemi di intelligenza artificiale avvengano nel rispetto dei principi del GDPR, con particolare attenzione alla trasparenza dei trattamenti, alla qualità dei dati utilizzati, alla minimizzazione delle informazioni raccolte e alla supervisione umana dei processi decisionali.
L’interesse del Garante non riguarda soltanto la conformità normativa.
Riguarda soprattutto la capacità delle organizzazioni di integrare la protezione dei dati fin dalle prime fasi di progettazione dei sistemi basati sull’intelligenza artificiale, in linea con il principio di privacy by design.
È un orientamento destinato ad assumere un ruolo ancora più centrale con la progressiva applicazione dell’AI Act.
Data breach: la gestione dell’incidente conta quanto la notifica
La Relazione dedica particolare attenzione anche ai casi di violazione dei dati personali.
Accanto al rispetto degli obblighi di notifica previsti dagli articoli 33 e 34 del GDPR, emerge una crescente attenzione verso la qualità del processo di gestione dell’incidente.
La rapidità con cui l’organizzazione individua la violazione, la capacità di ricostruire gli eventi, il coordinamento tra le funzioni coinvolte, la documentazione delle decisioni adottate e l’individuazione delle misure correttive rappresentano oggi elementi centrali nella valutazione dell’Autorità.
La gestione del data breach viene così interpretata come un indicatore della maturità organizzativa e non soltanto come un adempimento procedurale.
Una vigilanza sempre più orientata ai processi
La Relazione evidenzia anche un cambiamento nel modo in cui il Garante esercita la propria attività di controllo.
Accanto alla verifica del rispetto delle disposizioni del GDPR, emerge una crescente attenzione verso l’effettiva applicazione delle misure organizzative adottate.
Non è sufficiente che procedure, policy o registri siano formalmente presenti.
Occorre che siano aggiornati, conosciuti dalle funzioni coinvolte e concretamente integrati nei processi decisionali dell’organizzazione.
È un’impostazione che richiama un principio ormai ricorrente nelle più recenti evoluzioni normative europee: la conformità non viene valutata soltanto attraverso ciò che è documentato, ma anche attraverso ciò che l’organizzazione è in grado di dimostrare nella pratica.
Oltre la norma
La Relazione annuale del Garante ci permette di riflettere su un diverso modo di leggere quelle esistenti.
L’impressione è che la protezione dei dati stia progressivamente uscendo dall’ambito esclusivo della compliance per diventare un tema di governo dell’organizzazione, nel quale tecnologia, processi, responsabilità e gestione del rischio sono chiamati a dialogare in modo sempre più stretto.
Se oggi un’ispezione non si limitasse a verificare la documentazione, ma chiedesse di ricostruire come vengono assunte le decisioni sul trattamento dei dati personali, la tua organizzazione sarebbe in grado di dimostrarlo con chiarezza?
È una domanda che va oltre il GDPR e che, probabilmente, accompagnerà l’evoluzione della data protection nei prossimi anni.
