Il caso spiegato
Sanzione del Garante Privacy alla PA: il caso della vulnerabilità nel portale Agenda CIE
6 min di lettura · Aggiornato a giugno 2026 · Supervisione editoriale: Avv. Federico Papa
La sicurezza delle infrastrutture digitali pubbliche torna al centro del dibattito giuridico a seguito del recente provvedimento sanzionatorio emesso dal Garante per la protezione dei dati personali. Secondo quanto riportato dalla stampa nazionale, tra cui le testate La Notizia e Pagella Politica, un errore tecnico occorso tra l'8 e il 10 giugno 2023 ha esposto i dati personali di numerosi cittadini durante le procedure di prenotazione della Carta d'Identità Elettronica, portando a sanzioni pecuniarie a carico del Ministero dell'Interno e del partner tecnologico Sogei S.p.A. L'incidente mette in luce le criticità della gestione in-house dei servizi IT strategici e il rigore richiesto dall'Autorità nella vigilanza sui sistemi di sicurezza. In questo articolo analizzeremo i profili di responsabilità tra titolare e responsabile del trattamento, ricostruendo la vicenda alla luce della normativa applicabile e proponendo un caso gemello didattico per illustrare i possibili sviluppi legali di una simile violazione.
In sintesi
Il Garante Privacy ha sanzionato il Ministero dell'Interno (45.000 euro) e Sogei (30.000 euro) per un data breach verificatosi sul portale Agenda CIE. L'errore, derivante da un aggiornamento software, ha consentito la visualizzazione non autorizzata di dati personali. L'analisi esamina la culpa in vigilando del titolare del trattamento, l'obbligo di collaudo preventivo (privacy by design) e la tempestività della notifica all'Autorità di controllo.
Il fatto
Secondo quanto riportato da testate quali La Notizia e Pagella Politica, nel giugno 2023 il portale Agenda CIE ha subito una grave violazione dei dati personali. A causa di un difetto informatico introdotto durante un aggiornamento software, gli utenti che effettuavano l'accesso visualizzavano i dati personali relativi ad altri cittadini.
La vicenda si è conclusa, sotto il profilo amministrativo, con un provvedimento sanzionatorio definitivo del Garante Privacy nel giugno 2024. L'Autorità ha accertato che, a fronte della scoperta dell'anomalia avvenuta il 10 giugno, la notifica ufficiale è stata trasmessa oltre il termine prescritto delle 72 ore. È emersa inoltre un'inadeguata esecuzione dei test di vulnerabilità antecedenti al rilascio del codice.
Le norme in gioco
Le disposizioni fondamentali si rinvengono nel Regolamento UE 2016/679 (GDPR). L'art. 24 delinea la generale responsabilità del titolare del trattamento, mentre l'art. 25 sancisce il principio di privacy by design, imponendo l'adozione di misure di sicurezza idonee fin dalla fase di progettazione.
L'art. 32 prescrive l'adozione di misure tecniche e organizzative adeguate, incluse le verifiche periodiche di sicurezza. Infine, l'art. 33 disciplina l'obbligo di notifica della violazione entro 72 ore dal momento in cui se ne è venuti a conoscenza. Per le pubbliche amministrazioni, l'art. 166 del Codice Privacy regola l'applicazione delle sanzioni amministrative pecuniarie.
Cosa dice la giurisprudenza
La giurisprudenza di legittimità e i consolidati orientamenti del Garante chiariscono che la responsabilità del titolare per l'operato del responsabile del trattamento si configura in termini di culpa in vigilando. Non è sufficiente delegare la gestione tecnica del servizio: il titolare ha il dovere di verificare preventivamente e continuamente l'adeguatezza delle misure adottate.
È stato inoltre precisato che l'errore tecnico causato da un aggiornamento software non integra gli estremi del caso fortuito, rientrando l'esecuzione dei test di collaudo nell'ordinaria diligenza richiesta dal principio di accountability.
- Prova l'AI di edit.legal
Analisi redatta e verificata con edit.legal
Per verificare le norme citate nell'articolo abbiamo usato edit.legal. Metti alla prova la nostra AI giuridica su fonti ufficiali e applicala alle tue pratiche.
Cosa insegna ai professionisti
- Revisione contrattuale: verificare che i contratti di servizio e gli atti di nomina a responsabile del trattamento impongano espressamente procedure di collaudo e test di sicurezza obbligatori.
- Gestione degli incidenti: adottare e collaudare protocolli interni per rilevare tempestivamente le violazioni e garantire la notifica al Garante entro le 72 ore.
- Documentazione della conformità: conservare i report e i log dei vulnerability assessment a prova del rispetto del principio di accountability in sede di ispezione.
Riferimenti: Regolamento UE 2016/679 (GDPR) Artt. 5, 24, 25, 32, 33, 83D.Lgs. 196/2003 (Codice Privacy) Art. 166Provvedimenti del Garante per la protezione dei dati personali
Casi correlati
Domande frequenti
Quali sono le sanzioni massime per un data breach nella PA?
In Italia, l'art. 166 del Codice Privacy applica alle pubbliche amministrazioni le sanzioni previste dal GDPR, le quali possono raggiungere fino a 10 milioni di euro. Per le imprese private, le sanzioni possono ammontare fino al 2% o al 4% del fatturato mondiale annuo dell'esercizio precedente, a seconda della gravità della violazione.
Entro quanto tempo cade in prescrizione una sanzione del Garante?
Il diritto a riscuotere le somme dovute per sanzioni amministrative pecuniarie si prescrive nel termine di cinque anni dal giorno in cui è stata commessa la violazione, ai sensi dell'art. 28 della Legge n. 689/1981.
Cosa deve fare il cittadino se scopre che i suoi dati sono stati esposti online?
Il cittadino può proporre reclamo al Garante Privacy o agire direttamente dinanzi all'autorità giudiziaria ordinaria per chiedere il risarcimento dei danni patrimoniali e non patrimoniali subiti, previa acquisizione degli elementi di prova della violazione.
Ricerca e redazione con fonti verificate su edit.legal
Ricerca giuridica e redazione con citazioni riscontrate sulle banche dati ufficiali. edit.legal si prova gratis, senza carta di credito.
Prova edit.legal gratis