Provvedimento del Garante sulle prove di rilascio dell'informativa

Purtroppo è arrivato il giorno in cui l'ipertrofia normativa ha colpito selvaggiamente e in cui i verificatori dimostrano il loro livello di potere e i danni che possono fare.

Il tutto è riassunto dal doc. web n. 10292539, Provvedimento del 14 luglio 2026 (segnalato da Christiano Bernieri agli Idraulici della privacy): https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/10292539.

Il tutto è in questa frase: "non sono emersi elementi e documenti sufficienti ad accertare in che circostanza (tempo e luogo) l’informativa de qua sia stata sottoposta all’interessata e se sia stata così garantita l’effettiva conoscibilità della medesima". Questo anche se il titolare (un avvocato) aveva dichiarato di aver reso disponibile l'informativa nella sala d'attesa e mandato una fotografia della stessa, con evidente la visibilità dell'informativa.

Dal Provvedimento emergono ulteriori elementi che potrebbero aver infastidito il Garante (p.e. il fatto che non era stato fatto firmare alcun contratto all'interessata), ma allora questa sarebbe una ritorsione, non un Provvedimento.

Concordo con l'avvocato che dice: "la richiesta di formalizzare la presa visione di un documento, rischia di trasformare l’incombente (non formalizzato dalla stessa norma) in una probatio diabolica".

Spero che ricorra per via giudiziaria ordinaria e veda ribaltata questa decisione. Ricordo che, giustamente, il GDPR aveva ridotto le richieste di formalizzazione per assicurare un giusto bilanciamento degli oneri e per rendere la privacy, effettivamente, un adempimento "normale".

Qualcuno (Stefania Algerio) ha scritto, ironicamente: "Quindi bisogna tirare giù il quadruccio con l'informativa estesa sulla videosorveglianza e farla sottoscrivere per presa visione? In alternativa bisogna obbligare i visitatori a sostare davanti al quadruccio con espressione assorta e conservarne una fotografia?".

Comicamente, il tutto si conclude con un'ammonizione (quindi nessuna richiesta economica). Che però pagheremo tutti in termini di inefficienze varie.

ENISA Threat Landscape 2026

Chiara Ponti degli Idraulici della privacy mi ha segnalato il ENISA Threat Landscape 2026: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2026.

Tutti questi report mi lasciano sempre perplesso. Però mi sembrano interessanti alcune cose segnalate nel post su LinkedIn (https://www.linkedin.com/posts/european-union-agency-for-cybersecurity-enisa_enisa-activity-7508143062787993600-TVkk).

In particolare il fatto che gli attacchi sfruttano prevalemente tecniche di phishing e vulnerabilità note (non i perfidi zero-days!). Quindi si tratta ancora di vecchi problemi per i quali le risposte sono note da tempo.

Il caso Revolut

E' noto sui giornali il caso di Revolut: usando una PEC compromessa (pec.interno.it) e spacciandosi per forze dell'ordine, dei criminali hanno chiesto numerosi documenti a Revolut che glieli ha forniti.

Maggiori dettagli qui: https://www.linkedin.com/posts/andrea-cristofanini-7623421_revolut-cybersecurity-dataprotection-share-7506314988030980096-T675/.

Questo è un classico caso di BEC (Business email compromise) e sappiamo come ci si deve difendere: chiedere riscontri con altri canali. Per esempio, telefonando ai recapiti istituzionali.

Oltre all'articolo citato, Christian Bernieri ha elencato un po' di usi che i criminali potrebbero fare dei dati raccolti, oltre a chiedere un riscatto (ma se ne terrebbero comunque una copia): https://garantepiracy.it/blog/nellamerda/.

Alla fine, sempre lì torniamo: più integriamo, più condividiamo e più mettiamo tutto insieme, più è facile che masse enormi di dati vengano compromesse.

ISO 9001:2026

E' stata pubblicata la ISO 9001:2026 "Quality management systems — Requirements": https://www.iso.org/standard/9001. Ringrazio Paolo Sferlazza di Gerico per avermi avvisato.

Non commento il prezzo: 36 pagine (più l'introduzione) per 196 franchi svizzeri, ossia circa 200 Euro.

Per quanto riguarda il contenuto, non ci sono cambiamenti significativi rispetto all'edizione del 2015 e provo a segnalare quelli per me più significativi (evito di segnalare i punti dove il testo è stato modificato per dargli maggior chiarezza):

• nell'analisi del contesto, integra l'analisi dei fattori relativi ai cambiamenti climatici, peraltro già presente con l'emendamento del 2024;
• nelle responsabilità della direzione è aggiunta la promozione di comportamenti etici; questo era già sottinteso nella parte relativa alla consapevolezza, dove bisognava comunicare la distinzione tra comportamenti giusti e sbagliati;
• distingue in due paragrafi distinti le azioni per affrontare i rischi e quelle per cogliere le opportunità; non mi sembra che l'obiettivo sia quello di dare maggiore importanza alle opportunità, ma di riconoscere che gli approcci per analizzare e trattare i rischi e le opportunità possono essere diversi e spesso richiedono il coinvolgimento di persone diverse; la norma, con questa nuova impostazione, rende chiaro che possono essere usati approcci diversi ed è quindi più flessibile;
• nella pianificazione dei cambiamenti, aggiunge altri elementi da considerare: la comunicazione dei cambiamenti, come l'efficacia dei cambiamenti viene monitorata e valutata e come i cambiamenti sono riesaminati; riprende quindi elementi già da considerare negli obiettivi e che quindi dovevano già essere considerati (infatti a ogni cambiamento, a rigore, doveva essere associato l'obiettivo di completarlo);
• nella consapevolezza include quella relativa agli obiettivi per la qualità, alla culture e al comportamento etico (appunto).

Ho letto alcune pagine web relative alle differenze e sono rimasto molto stupito da alcune segnalazioni di punti che c'erano già nella versione precedente. Forse fanno riferimento alle bozze. Forse io non ho colto alcune cose.

Bisogna dire che questa è un'occasione per rileggere la norma e forse rilevare alcuni utili dettagli sfuggiti alla lettura delle precedente.

Spero che non verranno richieste giornate aggiuntive per la transizione alla nuova norma, vista la pochezza dei cambiamenti significativi. Temo però che l'avidità di alcuni organismi di certificazione avrà la meglio.

D. Lgs. 160 del 2026 - Uso dell'IA per le forze di Polizia e sanzioni per tutti

E' stato pubblicato il D. Lgs. 160 del 2026 che "stabilisce regole armonizzate sull’intelligenza artificiale, in materia di utilizzo dei sistemi di intelligenza artificiale per l’attività di polizia e di responsabilità civile e penale": https://www.normattiva.it/eli/id/2026/09/15/26G00179/ORIGINAL.

Fino all'articolo 10 permette e limita l'uso di sistemi di IA nell'ambito delle forze di polizia (per esempio, l'articolo 10 permette l'uso di sistemi di videosorveglianza con strumenti di riconoscimento facciale). 

L'articolo 12 aggiunge l'articolo 437-bis al Codice penale per stabilire sanzioni per chi usa sistemi di IA ad alto rischio senza le opportune misure di sicurezza. L'articolo 15 lo inserisce anche nel D. Lgs. 231 del 2001.

Non mi dilungo oltre e segnalo solo che gli articoli 16-20 trattano delle "alle azioni di risarcimento del danno, sia contrattuale sia extracontrattuale, cagionato nell’utilizzo di un sistema di intelligenza artificiale".

Questo aggiornamento, curiosamente, l'ho avuto da LinkedIn che mi ha suggerito un post (https://www.linkedin.com/posts/luisa-romano-2111573b_dlgs-n-160-del-2026-ugcPost-7505726299613806593-3kN7/). Dico "curiosamente" perché ultimamente mi segnalava post non pertinenti.

Gli uomini possono fare tutto (settembre 2026)

A luglio non ho scritto la rubrica "Gli uomini possono fare tutto". Fu un errore dovuto a stanchezza e frenesia prima dell'inizio delle vacanze.

Volevo raccontare del fatto che, come nel film "Quando la moglie è in vacanza", mia moglie ha accompagnato noi maschietti della famiglia (un adulto e due adolescenti) al mare e poi è tornata in macchina a Milano (3 ore), per tornare il successivo fine settimana (altre 6 ore) e quello ancora dopo (altre 3 ore) per tornare tutti insieme (con me alla guida). I maschi della famiglia sono sopravvissuti benissimo senza automobile per 2 settimane e la donna al volante se l'è cavata benissimo (anche se giustamente un po' stanca e meno male che i nostri anni di matrimonio sono ben più di sette).

Da dire che né la moglie (a Milano) né io eravamo in vacanza. Io, seppure da località di villeggiatura, ero tutti i giorni in riunione (anche se meglio in veranda in una pineta che a Milano).

Ma la storia è più lunga. Infatti sono riuscito a perdere il portafogli e a rimanere solo con una patente con validità in Italia. Ma le nostre vacanze prevedevano un giro in macchina all'estero con tutto già pagato e prenotato. Ed ecco che l'uomo si è dimostrato capace, per un totale di più di 32 ore di automobile in 14 giorni, di starsene seduto al posto del passeggero, a leggere la guida per prepararsi alla tappa successiva, a leggere il giornale (online) ad alta voce, a cambiare la musica, a sonnecchiare e a dire ogni tanto, e sempre a sproposito, "attenta". Veramente gli uomini sono capaci di fare tutto.

Note che non c'entrano niente (ma che vi possono dare qualche indicazione su dove non ho guidato):

• il prossimo che mi dice che in Germania sanno tutti l'inglese, anche quelli che fanno i lavori più umili, lo mando a farsi un giro in Germania (che va bene criticare lo studio dell'inglese nella scuola italiana, ma che lo si faccia in modo corretto).;
• il prossimo che mi dice che all'estero non fanno le piste ciclabili come a Milano, accontentandosi di tirare una riga bianca sulla destra della strada, lo mando a farsi un giro in Germania (che va bene criticare le piste ciclabili di Milano, ma che lo si faccia in modo corretto).

Vademecum NIS di ACN

ACN ha pubblicato il "Vademecum per i soggetti NIS": https://www.acn.gov.it/portale/w/online-il-vademecum-per-i-soggetti-nis.

I normo-attenti avranno visto che l'immagine riporta "Linee guida per la sicurezza delle reti e dei sistemi informativi" e potrebbero essersi immaginati un manualone con tante indicazioni su come implementare la sicurezza informatica (io, però, una cosa così l'avrei temuta perché non è sempre chiaro se "linee guida" sono "obblighi" o "consigli che si possono anche ignorare").

A parte le mie riflessioni, non si tratta di questo, ma di "Indicazioni di carattere generale e calendario degli adempimenti".

Il calendario degli adempimenti avevo provato a farlo anch'io (https://blog.cesaregallotti.it/2026/05/scadenze-nis.html). Non so se sono stato io a dare il buon esempio o, molto più probabilmente, l'esigenza è quella e ci siamo arrivati in modo indipendente. La cosa importante è che ACN abbia reso noto questo vademecum e io ringrazio.

Segnalazione incidenti CRA e piattaforma centrale europea

Del CRA (cyber resilience act) ho già scritto in abbondanza, ma ricordo che regolamento tutti i prodotti "con elementi digitali", quindi quasi tutto il software venduto a pacchetto e l'hardware con possibilità di connessione (ho semplificato parecchio, ma so bene che districarsi sull'applicabilità non è materia facile).

Dal venerdì 11 settembre, i produttori devono notificare gli incidenti "severi" e le vulnerabilità sfruttate dei propri prodotti.

Per questo va usata la Single Reporting Platform (SRP) messa a disposizione da ENISA: https://portal.cra-srp.enisa.europa.eu/.

Rimando alla pagina di ENISA dove sono spiegate meglio le cose: https://www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp.

Purtroppo tutto il testo è in inglese.

Al momento, però, in Italia manca un decreto attuativo. Questo vuol dire che non ci sono sanzioni, ma ci possono sempre essere richieste di danni. Per questo ringrazio Massimiliano Giovannini che mi ha mandato un articolo del Sole 24 Ore di Ivan Cimmarusti.

Regole di accreditamento per la nuova ISO/IEC 27701

Accredia ha pubblicato le regole di accreditamento (per gli organismi di certificazione) per la ISO/IEC 27701: https://www.accredia.it/documenti/circolare-tecnica-dc-n-33-2026-accreditamento-degli-odc-che-certificano-privacy-information-management-systems-pims-secondo-la-iso-iec-27701/.

Per le organizzazioni certificate sono interessanti le seguenti indicazioni:

• non è richiesto obbligatoriamente un audit di transizione dedicato;
• tutte le certificazioni dovranno essere transitate al nuovo standard entro il 31 marzo 2028. 

Ricordo che, con la nuova versione, la certificazione ISO/IEC 27701 è indipendente da quella ISO/IEC 27001. Nulla vieta però di integrare i due sistemi.

Diritto alla riparazione

E' entrata in vigore la Direttiva UE 2024/1799 "recante norme comuni che promuovono la riparazione dei beni": https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32024L1799.

Nasce, credo, da considerazioni ambientali, ma potrebbe avere importanza anche per la sicurezza delle informazioni perché l'obbligo di riparazione hardware potrebbe non essere allineato con gli aggiornamenti software. Sulla parte informatica bisogna invece far riferimento al CRA.

Io mi occupo anche di qualità, per la quale questa Direttiva è importante.

Per maggiori approfondimenti segnalo l'articolo "Elettrodomestici, dal 31 luglio via al diritto alla riparazione: come funziona la direttiva Ue e cosa cambia": https://www.fanpage.it/politica/elettrodomestici-dal-31-luglio-via-al-diritto-alla-riparazione-come-funziona-la-direttiva-ue-e-cosa-cambia/.

Non mi sembra che l'Italia abbia ancora recepito la Direttiva. Ho trovato solo la Legge 36 del 2026 di delega al Governo per il recepimento.

Ringrazio Davide Foresti per averlo segnalato agli Idraulici della privacy.