N.8 - Ottobre 2025

• Identità non binarie e alias
• Sanzioni alla Regione Molise e ad altre due società responsabili del trattamento
• In breve

Terza opzione in relazione al genere?

Le norme in tema di revisione e semplificazione dello stato civile (DPR 3 novembre 2000, n. 396) dispongono che alla nascita debba essere dichiarato all’ufficiale dello stato civile, oltre al luogo, giorno e ora della nascita anche il sesso del bambino o della bambina.

Il nostro ordinamento non prevede la possibilità di dichiarare una terza opzione oltre M/F. Anche nel caso in cui il/la nato/a non abbia i chiari caratteri dell’uno o dell’altro genere, per la dichiarazione ai Registri dello stato civile, si fa riferimento alle caratteristiche del sesso "prevalente", salvo successiva rettificazione.

La rettificazione nei Registri dello stato civile è consentita a seguito dell'attivazione di uno specifico procedimento giudiziario, a conclusione del quale una sentenza dichiarerà la variazione e consentirà l’annotazione in rettifica. Lo stesso procedimento si segue anche per i casi in cui le persone facciano una transizione ad un genere diverso da quello in cui sono state registrate alla nascita. Nel nostro ordinamento la sentenza può consentire la variazione (anche senza modifica dei caratteri binari) soltanto nell’ambito del genere maschile o femminile.

Con la sentenza 143 del 2024 la Corte Costituzionale ha ribadito quanto sopra dichiarando inammissibili le questioni sul "terzo genere" promosse dal Tribunale di Bolzano in materia di rettificazione di attribuzione di sesso.

Sulla gestione dell’alias (comparto Istruzione e Ricerca)

Diversa la vicenda dell’alias. L’ultimo Contratto collettivo nazionale di lavoro (CCNL) del comparto Istruzione e Ricerca ha introdotto delle tutele per le persone in transizione, stabilendo che le organizzazioni riconoscano un'identità alias al dipendente che abbia intrapreso il percorso di transizione e ne faccia richiesta attraverso un accordo di riservatezza confidenziale, secondo modalità stabilite in un apposito regolamento che definisca:

• a chi è consentito fare istanza;
• in presenza di quali condizioni / dichiarazioni / documentazione è attribuibile l’identità (condizioni omogenee per tutti o differenziate a seconda che a chiedere l’identità sia ad es. un borsista o un dipendente);
• come richiedere l’identità, definendo uno schema di accordo di riservatezza confidenziale;
• l’ambito di rilevanza dell’identità alias;
• le conseguenze in caso di violazione degli impegni assunti in relazione all’identità alias.

E' necessario far presente che, in modo coerente con il CCNL, l’identità alias, ove attribuita, ha rilevanza soltanto interna. Si concretizza sostanzialmente nell’attribuzione di un indirizzo mail, del nominativo alias nel badge e nella targhetta sulla porta dell’ufficio per l’individuazione della persona nelle attività quotidiane. L’identità alias non ha alcuna rilevanza all’esterno, né rilevanza formale, seppur strettamente personale: il/la richiedente resterà individuato/a in modo coerente con i dati anagrafici risultanti dagli Uffici dello stato civile, ad es. nel fascicolo personale, nei procedimenti disciplinari, ai fini retributivi (date anche le conseguenze ai fini fiscali), nella sottoscrizione di atti o contratti, nelle certificazioni o dichiarazioni sostitutive e in tutte le altre attività che abbiano appunto rilevanza esterna.

E dunque, proprio per il fatto che l’identità alias non ha rilevanza formale, la persona resterà individuata nei registri formali dell’ente secondo la modalità binaria corrispondente a quella dei Registri dello stato civile.

Sono tre provvedimenti sanzionatori  nei confronti della Regione Molise (titolare del trattamento), la società Molise Dati S.p.A. (responsabile del trattamento) e Engineering Ingegneria Informatica S.p.A. (subresponsabile) a seguito di un data breach nel portale regionale del fascicolo sanitario elettronico.

I provvedimenti ribadiscono i concetti espressi nelle linee guida 07/2020 su titolare e responsabili del trattamento, che ribadiscono che il titolare "mantiene un ruolo centrale nella determinazione della finalità e dei mezzi dello stesso”, anche in presenza di uno o più responsabili del trattamento. Infatti, “anche se le decisioni sui mezzi non essenziali possono essere lasciate al responsabile del trattamento, il titolare del trattamento deve comunque stabilire determinati elementi nell’accordo sul trattamento dei dati quali, ad esempio, in relazione al requisito della sicurezza, l’istruzione di adottare tutte le misure richieste a norma dell’articolo 32 del GDPR”. E “In ogni caso, il titolare del trattamento rimane responsabile dell’attuazione di misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al regolamento”.

I fatti

Nel gennaio 2023 la Regione Molise ha denunciato un data breach dichiarando che sul portale FSE un utente, sfruttando una vulnerabilità del sistema (manipolando la URL), è stato in grado di effettuare ricerche dei dati di altre persone presenti nell'Anagrafe Regionale.

La Regione aveva demandato l'implentazione tecnica del portale alla Molise Dati S.p.A., che aveva stipulato un contratto con TIM S.p.A., Enterprise Services Italia S.r.l., Poste Italiane S.p.A., Postecom S.p.A. e Postel S.p.A.,  contemporanemente sottoscrivendo, insieme a TIM, l’atto di nomina a responsabile del trattamento. A sua volta, TIM, in qualità di subresponsabile del trattamento, aveva scelto Engineering Ingegneria Informatica S.p.A. per l'implementazione del portale, designandola subresponsabile del trattamento.

Le conclusioni

Alla luce anche delle considerazioni riportate sopra, Il Garante ha concluso che il titolare del trattamento non aveva adottato misure e garanzie adeguate ad attuare efficacemente il principio di “integrità e riservatezza”, tenendo conto anche dei rischi per i diritti e le libertà degli interessati derivanti dai trattamenti in esame, violando il principio della “protezione dei dati fin dalla progettazione” (art. 25, par. 1, del Regolamento). La multa è stata di 10.000, tenuto conto della difficoltà di rilevazione della vulnerabiltàe della collaborazione offerta dalla Regione durante le indagini.

Il responsabile e subresponsabile sono stati sanzionati per lo stesso importo.

AI, copyright e dati personali: due sentenze dagli USA e dalla Germania

Due decisioni recenti – negli Stati Uniti e in Germania – segnano un punto di svolta nel dibattito sull’addestramento dell’intelligenza artificiale con contenuti protetti da copyright e dati personali.

Negli USA, nel caso K. vs Meta, un giudice federale ha riconosciuto come fair use l’utilizzo di libri protetti da copyright per l'addestramento dei modelli LLaMA, sottolineando l’assenza di danni economici provati e il carattere trasformativo dell’uso. Attenzione però che il Giudice ha anche scritto è difficile immaginare che si possa parlare di fair use nel caso di aziende che guadagneranno miliardi, invitando gli autori a presentare cause con prove concrete di danno al mercato.

In Europa, il Tribunale Regionale Superiore di Colonia ha respinto il ricorso di un’associazione consumatori contro Meta, ritenendo lecito l’uso dei dati pubblici degli utenti (Facebook e Instagram) per l’addestramento AI, se conforme al legittimo interesse del titolare e accompagnato da misure di trasparenza, minimizzazione e opt-out.

Entrambe le sentenze indicano una tendenza crescente verso la legittimazione dell’uso massivo dei dati a fini di addestramento, pur ribadendo che la liceità non è automatica, ma va valutata caso per caso, in base a impatto reale e tutele adottate.

Il podcast del Garante sulla privacy

Da qualche tempo è disponibile “A proposito di privacy”, il podcast del Garante per la protezione dei dati personali.

Tramite questo Podcast, disponibile sul sito istituzionale www.gpdp.it e sulle principali piattaforme online, il Garante indende aiutare anche il pubblico dei non esperti a comprendere il valore dei dati personali e l’importanza della loro tutela. 

In ogni puntata, tramite un linguaggio semplice e chiaro verranno affrontati diversi temi tutti significativi dal punto di vista privacy.

Il primo episodio è dedicato alla permeabilità dei sistemi di sicurezza delle banche dati che ha favorito nei mesi scorsi numerosi accessi illeciti. La puntata fornisce anche l’occasione per ricordare le indicazioni fornite dal Garante privacy a imprese e pubbliche amministrazioni per assicurare la protezione dei dati personali trattati.

Ci sono poi altre tre puntate sulle foto di minori online, sull'oblio oncologico e sulla privacy nella scuola.

Ne consigliamo l'ascolto.

Fateci sapere se vi piace e più in generale cosa ne pensate: mail a dpo@infn.it

Il Garante vieta l'uso del sistema di riconoscimento facciale dell'aeroporto di Linate

Con il provvedimento dell'11 settembre 2025 il Garante ha vietato l'uso del sistema di riconoscimento facciale FaceBoarding in uso nell'aeroporto di Milano Linate.

Le osservazioni del Garante:

• il modello biometrico è interamente conservato nel sistema centrale, senza che l'interessato possa esercitare controllo attivo sui propri dati;
• l'informativa rilasciata contiene informazioni inesatte (“il modello biometrico (..) resta conservato esclusivamente [nello] smartphone” del passeggero);
• i dati biometrici non vengono conservati cifrati;
• la conservazione dei dati biometrici, che può arrivare fino a 12 mesi, è eccessiva, vista la natura particolare dei dati;
• i varchi con il sistema di FaceBoarding possono essere utilizzati anche da passeggeri che non hanno aderito al sistema, al momento del passaggio però viene comunque acquisita l'immagine del volto e generato il suo modello.

In un successivo comunicato il Garante ha precisato che il ricorso a tecnologie di riconoscimento facciale in aeroporto  è consentito, ma ricorrendo a soluzioni tecnologiche che, diversamente da quella di sopra, bilancino le esigenze di semplificazione delle operazioni di imbarco con quelle di protezione dei dati personali.

Le newsletter precedenti sono disponibili qui