Sanzioni GDPR pubblicate a settembre e ottobre 2026: sicurezza, responsabili e diritti degli interessati
Sette decisioni GDPR da Norvegia, Irlanda, Francia, Svezia, Grecia e Italia: sicurezza debole, contratti con i responsabili mancanti, richieste ignorate.
Tra inizio settembre e metà ottobre 2026 il Comitato europeo per la protezione dei dati (EDPB) ha rilanciato una serie di sanzioni GDPR delle autorità nazionali. Oltre ai grandi casi Uber e Google trattati in Applicazione del GDPR nel 2026, emergono due temi: sicurezza debole, e consensi e richieste non rispettati.
Sicurezza e responsabili del trattamento
- HSE, 645.000 euro, Irlanda (28 agosto 2026). Intrusi hanno raggiunto cartelle cliniche cartacee conservate in ex ospedali psichiatrici. Sanzioni, un ammonimento e ingiunzioni.
- Hôpital Privé de la Loire, 500.000 euro, Francia (3 settembre 2026). Un attaccante ha avuto accesso ai dati di 524.867 pazienti: niente autenticazione a più fattori per gli utenti esterni, accesso non limitato all'équipe di cura, nessun rilevamento in tempo reale, e le 202.246 "persone di fiducia", anch'esse colpite dal furto di dati, non sono state informate.
- Miljödata, 1,8 milioni di corone svedesi, Svezia (22 settembre 2026). Un attacco informatico a un fornitore IT ha colpito 2,2 milioni di persone; controlli insufficienti nell'installazione di nuovo software e nessun monitoraggio in tempo reale.
- Ministero greco della Coesione sociale e della Famiglia, 200.000 euro, e il suo responsabile E.E.T.A.A., 150.000 euro (28 luglio 2026). Sistemi obsoleti nonostante rischi noti e carenze rispetto all'articolo 28; entrambi devono stipulare un accordo sul trattamento dei dati.
Consenso e diritti degli interessati
- Xandr, 92 milioni di corone norvegesi (circa 8,6 milioni di euro), Norvegia (2 ottobre 2026). La società pubblicitaria ha trattato nel real-time bidding dati degli utenti di un'app di incontri per persone gay, bi, trans e queer senza una base giuridica valida. Si basava sul consenso raccolto dall'app, che non era valido: ogni contitolare deve verificare il consenso da sé. È la sanzione più alta mai inflitta dall'autorità norvegese ed è definitiva.
- EXTIA, 300.000 euro, Francia (21 luglio 2026). Su 265 richieste di cancellazione ricevute nel 2024, 12 non sono mai state trattate e 166 persone non hanno mai saputo l'esito.
- BBVA, 5.508.000 euro, Italia (3 luglio 2026). Un cliente si è opposto al marketing nell'app della banca, ma ha ricevuto notifiche promozionali per sette mesi a causa di un mancato allineamento tra sistemi interni.
Cosa fare ora
Verificate autenticazione a più fattori e monitoraggio per i sistemi con dati sensibili, un accordo firmato con ogni fornitore che tratta dati per vostro conto, e che una richiesta o un'opposizione arrivi al sistema che deve darle seguito.
Dazr Compliance riunisce controlli di sicurezza GDPR, un registro dei fornitori con link agli accordi e date di revisione, il registro dell'articolo 30 e un registro dei data breach con il conto alla rovescia delle 72 ore, con promemoria quando una revisione è in scadenza.
Fonti
- Datatilsynet: Microsoft company fined NOK 92 million (updated 3 November 2026)
- EDPB: Norwegian DPA fines Xandr EUR 8 600 000 for unlawful processing of personal data (16 October 2026)
- Data Protection Commission: Final decision following inquiry into the Health Service Executive (HSE)
- CNIL: Health data breach, EUR 500,000 fine against Hôpital Privé de la Loire
- IMY: Administrative fine against Miljödata
- EDPB: Hellenic DPA decision on a data breach involving E.E.T.A.A. S.A. as processor (8 October 2026)
- CNIL: Failure to respect the rights of individuals, EUR 300,000 fine against EXTIA
- EDPB: News, national news from data protection authorities
- EDPB: Italian DPA fines BBVA EUR 5 508 000 for failing to respect a customer's objection to direct marketing (9 October 2026)
A scopo informativo, non costituisce consulenza legale. Ultimo aggiornamento: 7 novembre 2026.
Disponibile anche in: English, Nederlands, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål