Il piano ispettivo del Garante privacy per il secondo semestre 2026 indica dove l’Autorità concentrerà i controlli fino a dicembre. Non è una legge e non crea nuovi obblighi, ma è il documento più utile che un imprenditore possa leggere prima di un’ispezione, perché dice in anticipo quali trattamenti saranno guardati con più attenzione.

In breve

Il Garante per la protezione dei dati personali ha fissato le priorità per il periodo agosto-dicembre 2026: almeno 35 accertamenti ispettivi, anche con la Guardia di Finanza, su marketing, sanità, violazioni di dati, fornitori di DPO e sistemi di intelligenza artificiale nella pubblica amministrazione. Le imprese private devono verificare subito i punti che le riguardano.

Che cos’è un piano ispettivo e che valore ha

Il Garante non controlla soltanto quando riceve un reclamo. Ogni semestre adotta una programmazione delle ispezioni d’iniziativa, cioè accertamenti decisi dall’Autorità sulla base del rischio, anche senza una segnalazione. Il Garante dà pubblicità alle scelte operate, in linea con il principio di trasparenza.

Il piano non modifica il quadro normativo. Gli obblighi restano quelli del Regolamento (UE) 2016/679 (GDPR) e del Codice in materia di protezione dei dati personali, il d.lgs. 196/2003 come modificato dal d.lgs. 101/2018, che ha chiuso l’adeguamento italiano al GDPR e che abbiamo già spiegato in questo articolo. Quello che il piano cambia è la probabilità di essere controllati su certi temi. Per questo leggerlo conviene.

Quali temi riguardano anche le imprese private

Il piano elenca dodici ambiti. Alcuni riguardano soprattutto la pubblica amministrazione, altri qualunque azienda che tratta dati di clienti o dipendenti. Tra questi ultimi, tre meritano attenzione.

Il primo è il marketing. Il piano include attività conoscitive e di verifica su geomarketing, neuromarketing e dynamic pricing, cioè la determinazione dei prezzi in base al profilo di chi acquista. Il piano prevede anche la verifica dell’applicazione delle Linee guida del 17 aprile 2026 sull’uso dei tracking pixel nelle e-mail, di cui abbiamo già parlato in un altro articolo. Chi fa campagne di marketing deve sapere quali dati raccoglie, con quale base giuridica e con quale informativa, perché sono proprio questi i punti su cui il piano concentra l’attenzione.

Il secondo è la sicurezza e le violazioni di dati. Il Garante prosegue le verifiche sulle violazioni comunicate all’Autorità, con particolare riguardo ai casi più estesi e delicati, sia pubblici sia privati. Il tema centrale è il contrasto agli accessi abusivi e alla rivendita di informazioni riservate. In pratica: chi in azienda può vedere quali dati, e perché? Un profilo di accesso troppo ampio è un punto che conviene correggere per primo, perché è tra i più semplici da sistemare. Anche gli attacchi informatici ai sistemi esposti rientrano in questo discorso, perché un sistema accessibile dall’esterno senza controlli è il primo punto da cui parte una violazione.

Il terzo è la sanità digitale. Il piano prevede verifiche sui trattamenti nei fascicoli sanitari elettronici (FSE) e nelle app mediche. Se la vostra azienda sviluppa o gestisce app che trattano dati sulla salute, questo punto vi riguarda direttamente.

Infine, il piano tocca i fornitori del servizio di Responsabile della protezione dei dati (DPO) per gli enti pubblici. Non riguarda direttamente le imprese private, ma chi offre consulenza privacy o si affida a un DPO esterno farebbe bene a verificare come il proprio fornitore documenta il lavoro svolto.

Cosa fare adesso, in ordine

Chi non vuole aspettare un controllo può partire da cinque verifiche, nell’ordine in cui conviene farle.

1. Aggiornare il registro dei trattamenti previsto dall’articolo 30 del GDPR, inserendo esplicitamente marketing automatizzato, profilazione e prezzi personalizzati, se presenti.
2. Verificare chi ha accesso ai dati e con quale livello di privilegio. Il GDPR chiede misure di sicurezza adeguate al rischio (articolo 32) e il principio del minimo privilegio è la risposta più semplice a una domanda che il Garante sta già facendo.
3. Controllare la procedura di data breach. In caso di violazione dei dati personali, la notifica al Garante va effettuata senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza dell’evento (articolo 33 del GDPR), salvo che sia improbabile un rischio per le persone. Una procedura scritta e provata vale più di un documento che nessuno ha mai letto.
4. Rivedere i contratti con i fornitori che trattano dati per vostro conto, secondo quanto previsto dall’articolo 28 del GDPR, comprese le istruzioni scritte e la verifica effettiva del loro operato.
5. Per le campagne e-mail e le attività di marketing, verificare l’informativa e la base giuridica di ciascun trattamento, a partire dagli articoli 6 e 13 del GDPR.

Il quadro sanzionatorio non va trascurato. Secondo l’articolo 83 del GDPR, per la violazione degli obblighi su sicurezza, registro e responsabili le sanzioni arrivano fino a 10 milioni di euro o al 2 per cento del fatturato mondiale annuo, se più alto. Per la violazione dei principi di base e dei diritti degli interessati il tetto sale a 20 milioni di euro o al 4 per cento del fatturato.

Il punto

Il piano non è una minaccia da temere, è una mappa. Un’azienda con il registro aggiornato, gli accessi controllati e una procedura di data breach che funziona ha poco da temere. Chi non ha ancora fatto questi passaggi ha qualche mese per rimettersi in ordine, ma non molto, e il tempo migliore per farlo è prima che un controllo arrivi.

Se in azienda non siete sicuri che i vostri trattamenti reggerebbero una verifica, in Studio Industria valutiamo il caso specifico della vostra impresa con le priorità di adeguamento. Scrivete a francesco.minazzi@studioindustria.eu.

Per approfondire il quadro del GDPR e dell’AI Act, il mio libro su GDPR e AI Act è disponibile su Amazon.

Domande frequenti

Il piano ispettivo del Garante è una legge?

No. Il piano è una deliberazione del Garante che stabilisce dove concentrare le proprie attività di controllo nel periodo indicato. Non introduce nuovi obblighi per le imprese. Gli obblighi da rispettare derivano dal GDPR e dal Codice privacy, che il piano richiama come riferimento.

Le ispezioni riguardano anche le aziende private?

Sì, per alcuni temi. Marketing, violazioni di dati e fascicoli sanitari elettronici o app mediche riguardano le imprese private. Le verifiche sui fornitori di DPO e sui sistemi di intelligenza artificiale sono invece indicate per la pubblica amministrazione.

Da dove conviene cominciare?

Dal registro dei trattamenti e dall’elenco di chi può accedere ai dati. Sono i due documenti che il controllore chiede per primi e che mostrano, in poco tempo, se il resto dell’organizzazione è in ordine.

Serve un DPO per rispondere al piano?

Non necessariamente. Serve un DPO quando ricorrono le condizioni previste dagli articoli 37 e seguenti del GDPR. Se l’azienda non è obbligata, resta comunque utile designare un referente interno che coordini la conformità, anche con il supporto di un consulente esterno.

Aggiornato al 9 novembre 2026.