Dati personali pubblicati per errore: le sanzioni del Garante di ottobre 2026

Nel mese di ottobre 2026 il Garante privacy ha reso note diverse sanzioni per dati personali diffusi oltre il necessario. Nella newsletter dell'8 ottobre ha comunicato una multa di 8.000 euro alla Fondazione Rome Technopole per un file Excel con i dati di 480 studenti, compresi gli IBAN, rimasto online circa dodici ore. Nella newsletter del 29 ottobre, come riporta Edotto, ha sanzionato per 20.000 euro il Ministero della Giustizia e per 15.000 euro il Consiglio Nazionale del Notariato per la diffusione dei risultati di un concorso.

Cosa è successo con il file Excel?

La Fondazione doveva pubblicare la graduatoria dei vincitori di un bando per borse di studio. Sul sito è finito il file Excel di lavoro, con molto più del necessario: indirizzo di residenza, codice fiscale, data di nascita, email, estremi del documento d'identità, carriera universitaria e coordinate bancarie.

Il file è stato rimosso circa dodici ore dopo la pubblicazione, e il Garante è intervenuto sul reclamo di uno degli studenti. La Fondazione ha spiegato di aver interpretato male gli obblighi di trasparenza amministrativa. Il Garante ha chiarito che la trasparenza non giustifica la diffusione di quei dati e ha accertato la violazione dei principi di liceità e di minimizzazione. Nel fissare l'importo ha tenuto conto della breve durata della pubblicazione, dell'assenza di precedenti e della collaborazione.

E il caso del concorso notarile?

Due errori diversi, come riporta Edotto:

• il Ministero della Giustizia aveva esposto all'ingresso della sede i risultati delle prove scritte compresi i nomi dei non ammessi, mentre le regole del concorso prevedevano di comunicare solo i nomi degli ammessi;
• il Consiglio Nazionale del Notariato aveva chiesto a un membro della commissione l'elenco degli ammessi e l'aveva condiviso con gli iscritti sulla propria piattaforma prima dell'ufficializzazione. Il membro della commissione, per errore, aveva inviato una versione con annotazioni e commenti non ufficiali su alcuni candidati.

Anche in questo caso la condivisione è durata poco, ma è bastata.

Perché interessa a una piccola impresa?

Perché sono errori banali, e proprio per questo frequenti. Non c'è nessun attacco informatico: c'è una persona che carica il file sbagliato, o il file giusto con troppe colonne, o lo manda alla lista sbagliata. Nelle aziende succede con:

• il PDF di un preventivo o di un contratto caricato in una pagina pubblica del sito;
• l'elenco dei partecipanti a un corso o a un evento pubblicato con email e telefoni;
• l'export dei clienti allegato a un'email con troppi destinatari;
• le cartelle condivise "con chiunque abbia il link", che poi finiscono indicizzate.

Dodici ore sembrano poche, ma un file pubblico può essere copiato, salvato o indicizzato in pochi minuti.

Cosa fare adesso?

1. Prepara i file da pubblicare a partire da zero, non dal file di lavoro: crea un documento nuovo con solo le colonne necessarie.
2. Fai controllare da una seconda persona ogni pubblicazione che contiene nomi.
3. Controlla il sito in cerca di documenti dimenticati: cartelle di caricamento, allegati di vecchie pagine, PDF linkati.
4. Rivedi i link di condivisione di cloud e cartelle condivise, e togli quelli aperti a chiunque.
5. Se un errore capita, rimuovi subito il contenuto, documenta cosa è successo e valuta con il responsabile privacy se va notificato al Garante entro 72 ore.

Se il sito raccoglie o mostra dati personali, ripassa anche la privacy policy del sito e le regole per la sicurezza dei dati nel gestionale. Un controllo periodico dei file caricati sul sito può rientrare anche nella manutenzione.

Ne parliamo?

Molti di questi errori nascono da processi fatti a mano: si esporta, si taglia, si carica. In un portale clienti o in un sistema per preventivi e documenti costruito su misura, ogni persona vede solo ciò che la riguarda e i documenti pubblici si generano già con i soli dati necessari. Se vuoi ridurre i passaggi manuali dove si annida l'errore, scrivimi dalla pagina contatti.

Fonti

• Newsletter n. 553 dell'8 ottobre 2026: Graduatorie online, sanzionata la Fondazione Rome Technopole (Garante privacy)
• Concorso notai: sanzioni privacy a Ministero della Giustizia e Notariato (Edotto)

Crediti delle immagini

• Copertina: foto di Tima Miroshnichenko su Pexels