Come abbiamo accennato in un recente articolo, il subappaltatore è al tempo stesso un attore centrale ed essenziale per molti titolari del trattamento dei dati e un anello debole nella catena della sicurezza dei dati.

La giurisprudenza recente, così come le decisioni delle autorità di protezione dei dati, hanno ribadito che il titolare del trattamento rimane in prima linea in caso di violazione dei dati presso un suo subappaltatore.

Ciò non esonera tuttavia il subappaltatore dalla responsabilità in caso di attacco informatico. La sua posizione cruciale al centro dei sistemi di dati giustifica standard particolarmente elevati in termini di organizzazione e reattività.

In uno scenario pubblicato a fine maggio sul suo sito web, la CNIL trae ispirazione da eventi reali per presentare un caso pratico e delineare le diverse fasi e misure che un subappaltatore dovrebbe adottare in caso di attacco informatico.

La Commissione sottolinea il ruolo di due figure chiave all'interno dell'azienda, il responsabile della sicurezza delle informazioni (CISO) e il responsabile della protezione dei dati (DPO), e la loro imprescindibile tempestività nel rispondere alle segnalazioni di attività anomale.

Il documento evidenzia inoltre il ruolo essenziale degli strumenti di monitoraggio nel rilevare tali attività (instabilità, latenza, perdita di dati, errori, ecc.).

Il team di gestione delle crisi istituito dal subappaltatore deve stabilire quali azioni intraprendere internamente e da chi. Soprattutto, deve organizzare una risposta su due fronti: gestire l'attacco ai dati del subappaltatore e, contemporaneamente, affrontare la violazione dei dati dei clienti.

Il subappaltatore ha 72 ore di tempo per valutare la gravità della situazione e delle violazioni dei dati e per adottare diverse misure:

• Notificare alla CNIL (Autorità francese per la protezione dei dati) la violazione dei dati che riguarda i propri dati e, con il consenso dei clienti, anche i trattamenti effettuati per loro conto. In alternativa, il responsabile del trattamento dei dati può anche assistere e consigliare i propri clienti in questa procedura di notifica.
• Informate i clienti dell'entità della violazione e delle sue conseguenze il più rapidamente possibile e aggiornate queste informazioni in tempo reale in base all'evolversi della situazione.
• Informare le persone interessate della compromissione dei loro dati, in base ai rischi di violazione dei loro diritti e delle loro libertà.

Poiché i sistemi informatici sono ormai soggetti ad attacchi con frequenza sempre maggiore, la CNIL insiste sulla necessità di prepararsi in anticipo a questo tipo di situazioni, proteggendo i dati (crittografia, autenticazione a due fattori, ecc.) e predisponendo un'adeguata procedura di gestione.

È opportuno ricordare che la Francia è uno dei Paesi al mondo più colpiti dalle violazioni della sicurezza, al punto che a metà maggio una cinquantina di senatori hanno richiesto l'istituzione di una commissione parlamentare d'inchiesta sull'argomento. 

Inoltre, sebbene per un certo periodo la CNIL si sia mostrata comprensiva, ora sanziona severamente le aziende che non hanno adottato tempestivamente le misure necessarie per bloccare o mitigare gli attacchi.

In Francia

A metà maggio la CNIL ha pubblicato il suo rapporto di attività per l'anno 2025.

Il rapporto riassume un anno caratterizzato da un forte aumento dei reclami e da un numero record di violazioni dei datimetà dei quali sono collegati all'hacking informatico.

L'autorità ha effettuato 323 controlli e ha emesso 83 sanzioni per un importo totale senza precedenti di quasi 487 milioni di euro.

La sicurezza informatica è ormai una priorità assoluta: entro il 2026, metà dei controlli della CNIL saranno incentrati sulla sicurezza dei dati.

Parallelamente, la CNIL prosegue la sua missione di sostegno alle imprese e intensifica le sue azioni di sensibilizzazione presso il grande pubblico, in particolare i giovani.

Il rapporto sottolinea inoltre l'importanza l'ascesa dell'intelligenza artificiale.

La CNIL si sta preparando ad attuare il regolamento europeo sull'intelligenza artificiale e sta sviluppando strumenti per regolarne l'utilizzo.

Tuttavia, per il 2026, l'ente non ha ottenuto nuove posizioni, nonostante le nuove competenze acquisite in questo settore.

Il 26 maggio, la CNIL ha multato Iqvia Operations France per 5 milioni di euro, in particolare per non aver rispettato le misure di sicurezza volte a limitare i rischi per le persone fisiche nella gestione dei data warehouse sanitari.

L'11 maggio, la CNIL ha lanciato un piano d'azione relativo agli occhiali connessi.

L'autorità sottolinea che questi dispositivi, spesso associati all'intelligenza artificiale, possono portare a una sorveglianza pressoché costante negli spazi pubblici e privati.

Un sondaggio mostra che il 67% dei francesi lo considera un rischio per la propria privacy.

La CNIL (Autorità francese per la protezione dei dati) ribadisce che l'utilizzo di tali immagini rimane soggetto al GDPR, ai diritti d'immagine e all'obbligo di ottenere il consenso delle persone riprese o registrate. Annuncia un piano d'azione europeo e raccomanda diverse buone pratiche per limitare gli usi invasivi.

Questa comunicazione giunge mentre Meta sta sviluppando una funzione di riconoscimento facciale per i suoi occhiali intelligenti e mentre Samsung e Google hanno presentato, il 19 maggio, i loro primi occhiali basati su Android XR, connessi allo smartphone e integrati con Gemini, che consentono interazioni vocali e acquisizione contestuale permanente.

Infine, alla fine di maggio, la CNIL ha pubblicato una linea guida per aiutare gli operatori del settore cloud a identificare le proprie responsabilità, con esempi concreti.

L'ONG Quadratura del Net Il 21 maggio è stata pubblicata un'analisi approfondita della proposta di legge che vieta l'accesso ai social network ai minori di 15 anni, la cui votazione in Parlamento è imminente.

L'associazione sottolinea che, con il pretesto di tutelare i minori, il testo imporrebbe la verifica dell'identità a tutti gli utenti, generalizzando così un sistema precedentemente limitato ai siti per adulti.

Tale obbligo sarebbe in contrasto con il principio di minimizzazione dei dati previsto dal GDPR e con il diritto alla navigazione anonima riconosciuto dalla Corte di giustizia dell'Unione europea (CGUE).

Il 27 maggio, durante la presentazione del progetto di legge sulla tutela dei minori, il Ministro dell'Istruzione Nazionale, Édouard Geffray, ha indicato che i membri del personale scolastico che si fossero comportati in modo inappropriato con i minori a scuola sarebbero stati inseriti in una "lista nera", anche in assenza di una condanna penale.

Resta aperta la questione delle garanzie procedurali e della protezione dei dati delle persone interessate.

Il fornitore di servizi di pagamento di terze parti Almerys si trova ancora una volta ad affrontare una violazione della sicurezza.

Il 24 maggio, la compagnia di assicurazione sanitaria Alan ha avvisato i propri membri della violazione dei dati avvenuta presso un suo subappaltatore.

I dati potenzialmente esposti includono lo stato civile, il codice fiscale, il numero di contratto e le date di copertura. Si ritiene che siano interessate diverse centinaia di compagnie di assicurazione sanitaria e milioni di codici fiscali.

L'episodio serve a ricordare che, anche in caso di subappalto, il titolare del trattamento dei dati conserva i propri obblighi previsti dal GDPR in materia di sicurezza e notifica.

In un articolo pubblicato il 24 maggio, 01net rivela i risultati di un'indagine su software per il monitoraggio degli ambienti di lavoro.

I ricercatori hanno intercettato il traffico di rete proveniente da nove piattaforme di sorveglianza, tutte le quali trasmettono i dati personali dei dipendenti a terzi.

I dati trasmessi includono i nomi dei dipendenti, gli indirizzi e-mail e i dati relativi alle attività svolte.

Complessivamente, più di 145 domini di terze parti ricevono queste informazioni, tra cui Google, Meta, Microsoft, LinkedIn, Yandex e AppLovin.

Un terzo degli strumenti testati trasmette anche la geolocalizzazione precisa del dipendente.

In Europa

istituzioni e organismi europei

La Commissione europea ha pubblicato una bozza di linee guida che chiariscono classificazione dei sistemi di IA ad alto rischio, nonché un elenco di esempi concreti, volti ad aiutare fornitori e operatori a determinare se il loro sistema di intelligenza artificiale presenta o meno un rischio elevato.

Tutti gli interessati, inclusi fornitori e sviluppatori, imprese e autorità pubbliche, nonché accademici, istituti di ricerca e cittadini, sono invitati a presentare i propri commenti entro il 23 giugno 2026.

A inizio maggio, Google ha ottenuto dalla Commissione europea una proroga per affrontare le questioni relative alla conformità con il Regolamento sui mercati digitali (DMA).

In una dichiarazione indirizzata alle autorità europee, l'azienda ha sostenuto che la proposta della Commissione di obbligarla, in qualità di "gatekeeper", a condividere determinati dati di ricerca con concorrenti come OpenAI o motori di ricerca alternativi, presenta un rischio significativo di reidentificazione degli utenti.

Questa posizione potrebbe sembrare insolita per Google, ma è oggetto di un acceso dibattito in questi giorni.

Uno studio pubblicato il 29 aprile su Media Laws stabilisce un collegamento tra la questione dell'articolo 6(11) del DMA sulla condivisione dei dati e i dibattiti sul Digital Omnibus riguardanti la portata della definizione di dati personali: "Dati di ricerca, privacy e limiti dell'euristica: una lettura critica delle conclusioni preliminari della Commissione europea contro Alphabet".

Mentre la proposta di regolamento su l'euro digitale Mentre il Parlamento europeo sta attualmente votando sull'euro e l'Eurosistema si prepara alla sua emissione entro il 2029, la CNIL e l'Autorità federale tedesca per la protezione dei dati hanno pubblicato il 13 maggio un rapporto congiunto sulle sfide in materia di protezione dei dati del futuro euro digitale.

Le due autorità ricordano la loro collaborazione: la necessità di un elevato grado di riservatezza per i pagamenti di basso valore, una modalità "offline" senza tracciamento da parte della BCE e dei fornitori di servizi di pagamento, e un rigoroso controllo delle finalità autorizzate (antiriciclaggio, prevenzione delle frodi).

Il 21 maggio 2026, BEUC, l'Organizzazione europea dei consumatori, insieme a 29 dei suoi membri provenienti da 27 paesi, ha presentato reclami alla Commissione europea e alle autorità nazionali competenti contro Meta, TikTok e Google, sostenendo che queste società non avevano adottato le misure necessarie per combattere la proliferazione di pubblicità fraudolente nel settore finanziario sulle loro piattaforme, come richiesto dal Regolamento europeo sui servizi digitali (DSA).

L'indagine del BEUC documenta la massiccia diffusione di annunci fraudolenti (prestiti rapidi, investimenti fasulli, rendimenti garantiti), di cui 53.100 segnalazioni sarebbero state ignorate o respinte dalle piattaforme.

Notizie dai paesi membri dell'Unione europea.

Il rapporto del 2026 del "GDPR Enforcement Tracker" della società di consulenza CMS mostra che l'applicazione del GDPR è entrata in una fase di maturità in Europa, con oltre Dal 2018 sono state registrate 3.000 sanzioni per un importo totale superiore a 6 miliardi di euro.

Le autorità nazionali ora prendono di mira non solo i giganti digitali, ma anche le problematiche operative quotidiane: trasparenza, sicurezza informatica, cookie, monitoraggio dei dipendenti e gestione dei subappaltatori.

Le violazioni più frequenti rimangono la mancanza di una chiara base giuridica, la mancata conformità ai principi generali del GDPR e le violazioni della sicurezza.

I settori delle piattaforme digitali, della pubblicità online e dei servizi basati sull'intelligenza artificiale sono oggetto di particolare attenzione.

Il rapporto evidenzia inoltre che le lamentele degli utenti e le violazioni dei dati sono diventate cause principali di indagine.

Infine, nonostante il crescente coordinamento europeo, le pratiche sanzionatorie variano ancora notevolmente da paese a paese.

L'Autorità belga per la protezione dei dati (APD) ha multato un'azienda tecnologica per un totale di 176.946,61 euro per aver mantenuto illegalmente attivo l'account di posta elettronica di un fornitore di servizi dopo che quest'ultimo aveva lasciato l'azienda e per aver violato gli obblighi di trasparenza.

L'autorità ha inoltre ordinato alla società di ottemperare alla richiesta del fornitore di servizi di fornire i registri di accesso, quindi di cancellare i dati personali e di adottare misure per garantire il rispetto delle normative in futuro.

Il 16 maggio, l'APD ha inoltre annunciato sul quotidiano Le Soir che intraprenderà azioni legali in specifici casi di gravi violazioni del GDPR.

L'autorità ha ricevuto 1.394 reclami nel 2025, con un aumento di 67 unità rispetto al 2024.

Il procedimento penale si basa sulle disposizioni nazionali adottate ai sensi dell'articolo 84 del GDPR, che autorizza gli Stati membri a prevedere sanzioni, comprese quelle penali, per le violazioni non contemplate dalle sanzioni amministrative di cui all'articolo 83.

L'obiettivo esplicito è quello di aggirare i lunghi procedimenti di ricorso al Tribunale del Mercato, che "a volte riduce le multe più salate a 1 euro", e alla Corte di Giustizia dell'UE, a cui si rivolgono le grandi piattaforme digitali.

L'autorità olandese per la protezione dei dati ha imposto un MLU BV è stata multata di 100 milioni di euro per aver trasferito dati personali in Russia.

MLU è un'azienda con sede nei Paesi Bassi che si cela dietro la versione europea dell'app per taxi Yango.

In Norvegia e Finlandia, gli utenti utilizzano Yango per prenotare corse in taxi con autisti affiliati. Yango trasferisce quindi i dati personali di autisti e clienti a società con sede in Russia senza garantire un'adeguata protezione di tali dati.

Secondo alcune fonti, Microsoft avrebbe fornito alla Camera dei Rappresentanti degli Stati Uniti i nomi di funzionari olandesi che lavorano per l'Autorità olandese per la tutela dei consumatori e dei mercati e per l'Autorità olandese per la protezione dei dati.Questi agenti parteciperebbero all'attuazione del DSA.

Secondo quanto riportato da NL Times, Microsoft avrebbe condiviso e-mail, report e inviti senza anonimizzare i nomi dei funzionari coinvolti, come richiesto dal Cloud Act statunitense.

Il sottosegretario di Stato olandese per gli Interni si è detto preoccupato per la situazione, indicando al contempo la volontà di chiarire le circostanze esatte della trasmissione.

L'Agenzia spagnola per la protezione dei dati (APD) ha ritenuto che la fornitura da parte del Ministero dell'Istruzione e dello Sport di servizi didattici basati sul cloud alle scuole pubbliche, tramite Microsoft in qualità di subappaltatore, costituisse una violazione delle disposizioni del GDPR.

A livello internazionale

Nel Regno Unito, i parlamentari sono preoccupati per la decisione del Servizio Sanitario Nazionale (NHS) di concedere a Palantir l'accesso ai dati identificativi dei pazienti. nell'ambito del suo progetto di utilizzo dell'intelligenza artificiale "per migliorare il sistema sanitario".

L'azienda avrebbe avuto accesso ai dati dei pazienti prima che venissero pseudonimizzati, nonostante le preoccupazioni relative al "rischio di perdere la fiducia del pubblico".

A inizio giugno, una commissione parlamentare ha chiesto al governo di rescindere il contratto con l'azienda.

Queste preoccupazioni sono condivise sia dalla società civile che dagli analisti del Servizio Sanitario Nazionale (NHS), i quali hanno pubblicato una lettera aperta in cui evidenziano i rischi del progetto.

Oltre ai problemi di protezione dei dati, il sistema di intelligenza artificiale di Palantir è accusato di essere dieci volte più lento del sistema esistente.

In Canada, l'Ufficio del Commissario per l'Informazione e la Privacy dell'Ontario pubblica Nuove linee guida sugli assistenti di trascrizione basati sull'intelligenza artificiale per contribuire a proteggere la privacy dei pazienti.

"Le nuove linee guida del CPI sono in linea con i Principi per l'uso responsabile dell'intelligenza artificiale, pubblicati di recente e sviluppati congiuntamente dal Commissario per l'informazione e la privacy dell'Ontario e dalla Commissione per i diritti umani dell'Ontario."

Questi principi sottolineano che i sistemi di intelligenza artificiale, come ad esempio gli scribi artificiali, devono essere validi e affidabili, sicuri, rispettosi della privacy, conformi ai diritti umani, trasparenti e responsabili.

I membri repubblicani della Camera dei Rappresentanti degli Stati Uniti hanno presentato i progetti di legge "SECURE Data Act" e "GUARD Financial Data Act". con l'obiettivo di istituire un quadro normativo federale in materia di protezione dei dati.

Questi progetti di legge mirano ad armonizzare le normative applicabili, sostituendo alcune leggi statali, a limitare la raccolta dei dati e a rafforzare i diritti di accesso dei consumatori.

L'8 maggio 2026, il Procuratore Generale della California ha annunciato un accordo record da 12,75 milioni di dollari con General Motors (GM) per porre fine alle accuse secondo cui GM avrebbe venduto illegalmente dati sulla posizione e sul comportamento di guida dei cittadini californiani senza la dovuta notifica o il consenso, violando, tra le altre cose, i principi di minimizzazione dei dati e limitazione delle finalità del trattamento previsti dal California Consumer Privacy Act (CCPA).

Il 22 maggio Anthropic ha annunciato il suo progetto Glasswing, affermando che il suo modello di intelligenza artificiale specializzato in sicurezza informatica, Mythos, ha identificato più di 10.000 vulnerabilità in software e progetti open source ampiamente utilizzati.

Secondo l'azienda, l'intelligenza artificiale migliora significativamente la velocità e l'efficienza della ricerca di vulnerabilità, con un tasso di rilevamento considerato elevato.

Tuttavia, questa funzionalità crea una nuova sfida per l'ecosistema del software: i manutentori e i team di sicurezza devono gestire un volume crescente di segnalazioni e risolvere le vulnerabilità più rapidamente.

Al di là dell'aspetto tecnico, l'argomento mette in luce l'evoluzione della sicurezza informatica verso una maggiore automazione del rilevamento delle vulnerabilità, la cui rapida correzione rimane il fattore principale per la riduzione del rischio.