Musk soccorre ancora gli Ellison: un miliardo di dollari per il colosso media da 80 miliardi di debiti

Elon Musk ha investito circa un miliardo di dollari in Skydance, la società risultante dalla fusione tra Paramount e Warner Bros. Discovery, completata lo scorso 6 ottobre. L’operazione, riportata da Semafor, si inserisce in una più ampia raccolta di capitale azionario avviata da Skydance, che si trova a gestire un indebitamento complessivo vicino agli 80 miliardi di dollari ereditato dall’integrazione dei due colossi dell’intrattenimento, tra studi cinematografici, piattaforme di streaming — Paramount+ e HBO Max — reti televisive e divisioni informative.

L’investimento di Musk arriva in un contesto di legami finanziari già consolidati con la famiglia Ellison: Larry Ellison, padre del co-amministratore delegato di Skydance David Ellison ed ex membro del consiglio di amministrazione di Tesla, aveva personalmente investito un miliardo di dollari nell’acquisizione di Twitter da parte di Musk nel 2022, e risulta aver garantito personalmente oltre 40 miliardi di dollari di finanziamento azionario per l’acquisizione di Warner Bros. Discovery da parte di Paramount. L’ingresso di Musk in Skydance appare quindi come un gesto di reciprocità tra i due imprenditori, più che un’operazione motivata da logiche industriali autonome: l’articolo che ne ha dato notizia non riporta dichiarazioni di Musk sulle ragioni dell’investimento, né la dimensione della quota societaria che ne deriverebbe.

David Ellison e il co-amministratore delegato Ynon Kreiz stanno gestendo l’integrazione operativa dei due gruppi, puntando a un risparmio complessivo stimato in 6 miliardi di dollari nell’arco di un triennio: un obiettivo che misura la portata della sfida industriale affrontata dal nuovo colosso mediatico, chiamato a razionalizzare strutture e costi di due aziende storicamente concorrenti.

L’operazione — pur di entità contenuta rispetto alle dimensioni complessive della fusione Paramount-Warner Bros. Discovery — offre un ulteriore tassello nella mappa delle partecipazioni incrociate tra alcuni dei maggiori investitori tecnologici statunitensi, un intreccio di interessi che negli Stati Uniti sta già alimentando un dibattito, ancora in gran parte assente in Europa, sulla concentrazione di potere economico e mediatico nelle mani di un numero ristretto di soggetti.

L’intelligenza artificiale alla sbarra: a Bari il processo simbolico per condotta antisindacale e sostituzione del lavoratore

Si è svolta oggi pomeriggio, alle 16:00, presso la Corte d’appello di Bari, la terza udienza di un originale “processo simbolico” all’intelligenza artificiale, costruito per esplorare in chiave giuridica un tema destinato a diventare sempre più concreto: la responsabilità per condotta antisindacale e per la sostituzione algoritmica di un lavoratore. Non si tratta di una causa reale — non esistono un’azienda convenuta né un lavoratore ricorrente in carne e ossa — ma di un’iniziativa che mobilita professionisti autentici su un caso costruito ad hoc, con l’obiettivo di simulare in modo rigoroso come il sistema giudiziario potrebbe affrontare controversie di questo tipo quando inizieranno a presentarsi nella realtà.

L’impianto dell’iniziativa riproduce fedelmente la struttura di un vero processo: a rappresentare l’accusa è il sostituto procuratore barese Roberto Rossi, affiancato dagli avvocati di Deloitte Legal Francesco Carparelli e Valeria Logrillo, con il supporto di consulenti come Carolina Velati, segretaria generale della Nidil Cgil di Bari, a conferma della componente sindacale della vicenda simulata. La difesa è affidata agli avvocati Andrea Di Comite, Michele Laforgia, Domenica Lenato e Mauro Petrarulo, con il contributo di consulenti aziendali. A giudicare il caso siede un collegio della Corte d’appello di Bari presieduto dalla giudice Maria Mitola, affiancata dalle colleghe Calia Di Pinto e Ornella Gozzo, con il supporto di una giuria popolare composta da esperti di innovazione, comunicazione e giudici del lavoro.

L’esperimento colloca al centro del dibattito processuale due questioni destinate a interessare da vicino gli studi legali che assistono aziende e lavoratori: se e quando la sostituzione di una posizione lavorativa con un sistema di intelligenza artificiale possa integrare gli estremi della condotta antisindacale prevista dall’articolo 28 dello Statuto dei lavoratori, e quali siano i confini di liceità per un datore di lavoro che automatizzi mansioni in precedenza svolte da personale dipendente, anche alla luce dei nuovi obblighi di trasparenza algoritmica introdotti dal decreto legislativo 179/2026, entrato in vigore proprio in questi giorni.

Al di là della natura simulata del procedimento, l’iniziativa barese testimonia un fenomeno reale e già in corso: ordini forensi, magistratura del lavoro e organizzazioni sindacali stanno attivamente elaborando, prima ancora che le prime controversie effettive giungano nelle aule giudiziarie, gli strumenti interpretativi necessari per inquadrare la sostituzione algoritmica del lavoro umano entro le categorie classiche del diritto sindacale e del lavoro.

Patrocinio gratuito senza limiti di reddito per le vittime di infortuni sul lavoro: la Camera dice sì all’unanimità

La Camera dei deputati ha approvato ieri 22 ottobre, all’unanimità, una proposta di legge che estende il patrocinio a spese dello Stato — attualmente riservato a chi ha un reddito imponibile non superiore a 13.659,64 euro annui — ai lavoratori rimasti colpiti da invalidità permanente assoluta a seguito di un infortunio sul lavoro, e ai familiari dei lavoratori deceduti in incidenti sul lavoro, senza alcun limite reddituale.

La modifica interviene su una delle maggiori criticità segnalate da anni dagli avvocati giuslavoristi e dalle associazioni delle vittime: l’accesso al gratuito patrocinio per le cause di risarcimento legate a infortuni gravi o mortali resta oggi condizionato, come per qualunque altro procedimento civile, al rispetto della soglia ISEE ordinaria, penalizzando famiglie che, pur avendo un reddito di poco superiore al limite, si trovano improvvisamente prive del sostentamento principale e costrette ad affrontare contenziosi complessi e onerosi per ottenere il giusto risarcimento.

Il costo stimato della misura per le casse pubbliche è di circa 10 milioni di euro l’anno. Il provvedimento, approvato in prima lettura, dovrà ora essere esaminato dal Senato: se approvato senza modifiche, diventerà legge con la pubblicazione in Gazzetta Ufficiale; in caso di emendamenti, dovrà tornare alla Camera per un’ulteriore lettura. Fino al completamento dell’iter, resta in vigore il regime ordinario basato sulla soglia di reddito.

Per gli avvocati che assistono vittime di infortuni sul lavoro, la norma — qualora confermata in Senato senza modifiche — eliminerebbe uno degli ostacoli pratici più frequenti nell’accesso alla tutela giudiziaria in questa materia, ampliando la platea dei beneficiari del gratuito patrocinio proprio nei casi di maggiore gravità, dove il nesso tra capacità economica e necessità di tutela legale è spesso più labile.

PHP2Shell: perché anche il sito di AgID è “in manutenzione” (e cosa deve fare chi gestisce un sito, o anche solo lo usa)

Sono state scoperte due vulnerabilità gravissime in PHP, il linguaggio di programmazione che fa funzionare circa il 70% dei siti web del mondo, compresi moltissimi siti costruiti con CMS come WordPress. Le due falle, identificate come CVE-2026-109618 e CVE-2026-109619, sono state individuate grazie a modelli avanzati di intelligenza artificiale di OpenAI e hanno ricevuto un punteggio di gravità di 9,2 su 10: un valore quasi massimo, perché permettono a un attaccante di eseguire codice da remoto e prendere il controllo completo di un server.

Perché i siti istituzionali si spengono

Il sito di AgID, come quelli di altre agenzie governative europee (in Olanda, ad esempio, sono finiti offline DigiD, MijnOverheid e RTL), non è stato violato: è stato messo “in manutenzione” proprio per evitare che lo fosse, nel tempo necessario ad applicare la patch correttiva. La responsabilità di un ente che gestisce dati personali tramite un sistema vulnerabile non viene meno per il solo fatto che la falla sia di dominio pubblico e ampiamente comunicata dalle autorità. Al contrario, la mancata tempestiva applicazione di una patch nota e raccomandata da CERT-AGID potrebbe essere valutata, in sede di eventuale violazione di dati personali, come elemento aggravante nella determinazione della responsabilità e della relativa sanzione da parte del Garante privacy. È una misura prudente, non un segnale di allarme per chi visita il sito web. Nel frattempo CERT-AgID ha già diffuso strumenti pratici per verificare l’esposizione dei propri sistemi a questa vulnerabilità, a supporto dei tecnici della pubblica amministrazione.

Cosa fare se gestisci un sito web

Se amministri un sito, incluso un sito WordPress o qualunque CMS basato su PHP, agisci subito a livello di server:

  • Aggiorna immediatamente PHP a una delle versioni corrette: 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Attenzione: aggiornare solo il CMS o i plugin non basta, perché la falla è nell’interprete PHP stesso.
  • Verifica o attiva un Web Application Firewall (WAF): servizi come Cloudflare stanno già bloccando milioni di tentativi di attacco automatizzati legati a questa falla; assicurati che le regole del tuo WAF siano aggiornate contro i vettori PHP2Shell.
  • Se non puoi aggiornare subito, valuta lo spegnimento temporaneo del sito in modalità manutenzione, piuttosto che lasciarlo esposto.

Cosa fare come utente o cittadino

La falla riguarda l’infrastruttura dei siti, non il tuo computer o smartphone: non devi installare nulla. Ma vale la pena di:

  • Avere pazienza con i servizi temporaneamente irraggiungibili — banche, PA, portali istituzionali: significa che stanno lavorando per mettersi in sicurezza, non che c’è un problema con il tuo account.
  • Diffidare di email o SMS che in questi giorni sfruttano il pretesto del “blocco dei sistemi” o degli “aggiornamenti di sicurezza” per rubare credenziali: è un classico schema di phishing che prolifera proprio nei momenti di caos informativo come questo.
  • Monitorare i propri account nei prossimi giorni, controllando eventuali attività anomale sulle piattaforme che usi abitualmente.

Cosa consiglia Servicematica

Agli studi legali che gestiscono un proprio sito o un portale clienti, consigliamo di verificare subito con il proprio fornitore tecnico quale versione di PHP è in uso e se è già stato applicato l’aggiornamento: è un controllo che richiede pochi minuti ma che fa la differenza tra essere protetti o esposti. In caso di dubbio, meglio sospendere temporaneamente l’accesso pubblico al sito piuttosto che rischiare una violazione dei dati dei clienti, con le conseenti implicazioni in termini di notifica al Garante privacy. Chi ha bisogno di supporto per questa verifica può contattarci: siamo a disposizione per un controllo rapido della propria esposizione al rischio.

Documenti digitali e intelligenza artificiale: il corso Servicematica anticipa già gli obblighi formativi dell’AI Act

Si è tenuto ieri pomeriggio, 22 ottobre, all’Hotel Mercure di Marghera (Venezia), il corso in presenza “Gestione dei documenti informatici, conservazione digitale e intelligenza artificiale”, organizzato da Servicematica e tenuto dai relatori Gianluca Zandonà e Andrea Penacchio. L’evento, che ha riconosciuto 3 crediti formativi ordinari validi ai fini dell’aggiornamento professionale forense, ha registrato una sala gremita e una partecipazione particolarmente attiva, segno di un interesse crescente dell’avvocatura verso temi che fino a pochi anni fa restavano ai margini della formazione tradizionale.

Il percorso formativo si è sviluppato in tre moduli da un’ora ciascuno. Il primo ha affrontato la gestione e la conservazione dei documenti digitali sotto il profilo normativo, tecnologico e della sicurezza; il secondo si è concentrato sul valore probatorio dei documenti informatici, tra validità della PEC e applicazioni pratiche per l’attività quotidiana dello studio legale; il terzo, dedicato all’intelligenza artificiale nella professione legale, ha esaminato strumenti, opportunità e rischi connessi al loro utilizzo.

Non è un caso che un corso su questi temi arrivi proprio nei giorni in cui, come riportato anche in apertura di questa edizione, il decreto legislativo 179/2026 di attuazione dell’AI Act è entrato in vigore, imponendo agli ordini professionali — CNF compreso — di includere nei propri percorsi di formazione moduli dedicati all’alfabetizzazione sull’intelligenza artificiale, con termine di adeguamento fissato ad aprile 2027. Argomenti come la validità giuridica del documento informatico, la conservazione a norma e l’uso consapevole degli strumenti di IA nell’attività professionale, finora lasciati alla sensibilità del singolo avvocato o dello studio, si avviano quindi a diventare componenti strutturali della formazione continua forense: il corso di Marghera si colloca esattamente su questa linea, offrendo agli iscritti un anticipo pratico su una materia che il legislatore ha ormai reso parte integrante dell’aggiornamento professionale obbligatorio.

L’appuntamento prosegue il 19 novembre 2026 con una nuova edizione in presenza, questa volta all’Hotel Crystal di Preganziol (Treviso), pensata per gli avvocati del foro trevigiano: stesso programma, stessi relatori, stesso riconoscimento di 3 crediti formativi CNF, dalle 15:00 alle 18:00. Le iscrizioni sono già aperte all’indirizzo servicematica.com/corsi, con una disponibilità limitata agli ultimi 15 posti.

PEC di massa senza copia nascosta: multa alla Federazione dei Biologi, lezione per tutti gli ordini professionali

Il Garante per la protezione dei dati personali ha sanzionato la Federazione nazionale degli ordini dei biologi (FNOB) per 2mila euro, con il provvedimento n. 763 del 7 ottobre 2026, per aver inviato il 21 e il 24 luglio 2025 due comunicazioni via posta elettronica certificata a un numero elevato di iscritti, rendendo visibile a ciascun destinatario l’indirizzo PEC di tutti gli altri. Il caso è nato dal reclamo di un biologo che aveva ricevuto una delle due comunicazioni.

Nella propria difesa, la Federazione ha sostenuto che si fosse trattato di un errore materiale, spiegando che il sistema della posta elettronica certificata non consente, a differenza della posta elettronica ordinaria, l’invio in copia nascosta (CCN) ai destinatari. Ha inoltre sottolineato il carattere occasionale dell’episodio, la natura puramente istituzionale dei contenuti trasmessi, il fatto che i destinatari appartenessero tutti alla medesima categoria professionale, e l’assenza di qualunque conseguenza dannosa nota, oltre ad aver successivamente adottato istruzioni operative interne e percorsi di formazione del personale per evitare il ripetersi dell’errore.

Il Garante ha ritenuto le giustificazioni insufficienti a escludere la violazione, chiarendo un principio di portata generale: l’invio di comunicazioni con gli indirizzi dei destinatari in chiaro costituisce comunicazione di dati personali a terzi, e il fatto che i destinatari condividano un medesimo contesto professionale — o già conoscano reciprocamente i propri recapiti — non elimina la necessità di una base giuridica che legittimi la diffusione. L’Autorità ha ravvisato la violazione degli articoli 5, paragrafo 1, lettera a), e 6 del GDPR, oltre che dell’articolo 2-ter del Codice privacy, qualificando l’assenza di base giuridica come violazione del principio di liceità, correttezza e trasparenza.

Nel determinare la sanzione, il Garante ha valorizzato alcuni elementi attenuanti — la natura episodica della violazione, riconducibile a un errore umano, l’assenza di dati appartenenti a categorie particolari, l’assenza di precedenti violazioni rilevanti e la collaborazione prestata durante l’istruttoria — disponendo comunque la pubblicazione del provvedimento in ragione dell’elevato numero di destinatari coinvolti.

La vicenda offre un’indicazione operativa di immediato interesse per qualsiasi ordine professionale, incluso quello forense, che utilizzi la posta elettronica certificata per comunicazioni collettive agli iscritti: poiché il protocollo PEC non supporta nativamente la funzione di copia nascosta, l’unico modo per evitare la diffusione reciproca degli indirizzi tra i destinatari di un invio massivo è ricorrere a invii individuali o a strumenti di mail merge che generino un messaggio distinto per ciascun destinatario — un accorgimento tecnico elementare, la cui omissione espone l’ente mittente a responsabilità anche in assenza di qualsiasi finalità o conseguenza dannosa concreta.

“Più celle non sono la risposta”: l’avvocatura si schiera contro Nordio sulle carceri minorili

L’Organismo Congressuale Forense (OCF), organismo di rappresentanza politica dell’avvocatura italiana, ha preso pubblicamente posizione contro le dichiarazioni rese dal ministro della Giustizia Carlo Nordio all’indomani dei massicci arresti di minori registrati nei disordini degli ultimi giorni. Il Guardasigilli aveva prospettato come possibile risposta l’ampliamento della capienza degli istituti penali minorili e, in subordine, l’ipotesi di destinare ai minori alcune sezioni delle carceri per adulti.

Nel comunicato diffuso da Roma, l’OCF premette di condividere la condanna dell’uso della violenza, ma ribadisce che la giustizia minorile non può essere governata attraverso un ricorso sempre più esteso alla detenzione: il nostro ordinamento, si legge nella nota, pone al centro il recupero, l’educazione e il reinserimento sociale dei minori, principi che “non possono essere sacrificati sull’altare dell’emergenza sicurezza”. Per l’organismo forense, l’unica risposta accettabile alle criticità del sistema penale minorile risiede nel rafforzamento delle misure educative, dei percorsi di responsabilizzazione e delle strutture di accoglienza e recupero — non nella moltiplicazione dei posti detentivi — mentre sarebbe semmai apprezzabile un intervento che rendesse gli istituti esistenti “vivibili e adeguati alla funzione cui sono preposti”.

Il comunicato usa toni netti nel definire la proposta ministeriale: moltiplicare i posti nelle carceri minorili per rispondere al disagio giovanile rappresenterebbe, secondo l’OCF, “la resa dello Stato”, ovvero “la rinuncia alla funzione educativa della giustizia“, con il rischio di confondere sicurezza e repressione. Ancora più dura la valutazione sull’ipotesi di utilizzare sezioni delle carceri per adulti per ospitare detenuti minorenni: una soluzione che l’OCF giudica “non solo irricevibile per impossibilità oggettive”, stante la condizione di sovraffollamento ormai cronica del sistema penitenziario per adulti, ma “pericolosa e potenzialmente criminogena” per gli stessi minori coinvolti.

L’organismo forense chiude il comunicato ribadendo la necessità di interventi strutturali, rispettosi dei principi costituzionali e della specificità della giustizia minorile, mettendo in guardia dal rischio che l’urgenza della cronaca determini scelte normative destinate a incidere sul futuro di intere generazioni.

Per gli avvocati che operano nel settore minorile, la presa di posizione dell’OCF segna una linea di frattura netta rispetto all’indirizzo emerso dal Ministero della Giustizia, e apre a un confronto politico-istituzionale che nelle prossime settimane potrebbe riflettersi direttamente sul contenuto del decreto sicurezza e sulle norme attuative in materia di detenzione minorile, con possibili ricadute sulle difese d’ufficio e sui protocolli applicativi che i Tribunali per i minorenni dovranno adottare.

Caso Shalabayeva, tredici anni dopo arriva l’appello ter: prescritto il sequestro della madre, da rifare quello della figlia

La Corte di Cassazione, Prima sezione penale, ha disposto un terzo giudizio d’appello — il cosiddetto “appello ter” — per cinque poliziotti coinvolti nella vicenda del sequestro di Alma Shalabayeva e di sua figlia Alua, risalente alla notte tra il 28 e il 29 maggio 2013. In quell’occasione gli agenti prelevarono le due dall’abitazione di Casalpalocco, a Roma, nell’ambito delle ricerche del marito di Alma, il dissidente kazako Muktar Ablyazov: la donna venne arrestata con l’accusa di possesso di un passaporto falso e, due giorni dopo, un decreto di espulsione portò al rimpatrio forzato di madre e figlia verso il Kazakistan. Le due in seguito fecero ritorno in Italia, dove ottennero asilo politico.

Il percorso giudiziario della vicenda è stato lungo e accidentato: condannati in primo grado a Perugia a pene tra i quattro e i cinque anni, i cinque imputati furono assolti in appello nel giugno 2022 con la formula “perché il fatto non sussiste”; la Cassazione annullò però quell’assoluzione nell’ottobre 2023, disponendo un nuovo processo a Firenze, dove la Corte d’appello, nel novembre 2025, ha condannato tutti e cinque a quattro anni, nonostante la stessa Procura generale avesse chiesto l’assoluzione. Con la pronuncia di ieri la Cassazione interviene per la terza volta, distinguendo le posizioni dei singoli imputati: per Renato Cortese, ex capo della Squadra mobile di Roma, e per i funzionari Francesco Stampacchia e Luca Armeni, il nuovo processo dovrà vertere soltanto sul sequestro della figlia minorenne, non essendo stata ritenuta provata la sussistenza del dolo né il concorso nel reato relativo alla madre; per Maurizio Improta, allora a capo dell’Ufficio immigrazione, e per il funzionario Vincenzo Tramma, il nuovo giudizio sarà invece limitato alla valutazione delle attenuanti generiche.

Il dato di maggior rilievo riguarda però il sequestro di persona ai danni della stessa Alma Shalabayeva: la Cassazione ha dichiarato il reato prescritto, chiudendo di fatto quel capo d’imputazione senza che si arrivi mai a un giudizio definitivo nel merito. Una circostanza che, secondo l’avvocato Cesare Placanica, difensore di Cortese, pone fine alla vicenda processuale relativa alla posizione della madre, mentre l’avvocato Bruno Andò, legale di Improta, si è detto soddisfatto dell’annullamento sul capo relativo alla figlia ma ha espresso riserve sulla statuizione in tema di prescrizione.

Il nuovo giudizio si svolgerà davanti alla Corte d’appello di Firenze, vincolata ai soli punti rinviati dalla Cassazione e al principio di diritto enunciato nella sentenza, le cui motivazioni scritte sono attese dai difensori per definire con precisione il perimetro del nuovo processo. La vicenda, oltre al suo rilievo mediatico e diplomatico — coinvolse all’epoca anche le dimissioni dell’allora capo della polizia — resta un caso di scuola sulla complessità dei rinvii in sede di legittimità e sui tempi, ormai tredicennali, che la giustizia penale italiana può richiedere per giungere a una parola definitiva, quando mai vi giunga.

Panico da PHP: due governi europei spengono i propri siti pur di non farsi hackerare

L’allarme lanciato ieri sulla vulnerabilità “PHP2Shell” — la falla nella gestione della memoria di PHP individuata con il contributo dell’intelligenza artificiale — si è tradotto in poche ore in una risposta concreta da parte di più governi europei. Le autorità per la cybersicurezza di Stati Uniti (CISA), Regno Unito, Canada, Australia e Unione Europea hanno diramato avvisi congiunti invitando gli amministratori di sistema a disconnettere dalla rete i siti vulnerabili fino al completamento dell’aggiornamento. Il governo finlandese ha disconnesso i propri siti istituzionali mercoledì, mentre in Olanda la Camera dei rappresentanti (Tweede Kamer) ha fatto altrettanto con i propri portali, scegliendo di sospendere temporaneamente il servizio piuttosto che esporsi al rischio.

Le vulnerabilità, censite con le sigle CVE-2026-109618 e CVE-2026-109619, riguardano la gestione degli errori nelle richieste HTTP: quando PHP esaurisce la memoria disponibile nel processare una richiesta di grandi dimensioni, può lasciare la memoria stessa in uno stato vulnerabile, che un aggressore è in grado di manipolare per mandare in crash un processo, sottrarre dati o eseguire codice arbitrario sul server. Secondo la NSA, che ha diramato un proprio avviso tecnico, “queste vulnerabilità forniscono spesso un percorso diretto al file system o al database del server”.

Le stime sulla portata del problema variano ma convergono su numeri enormi: PHP alimenta circa il 70% dei siti web mondiali; un ricercatore indipendente ha stimato oltre 1,3 milioni di siti concretamente vulnerabili, mentre Palo Alto Networks ha calcolato oltre 22,6 milioni di istanze esposte su internet. Cisco avverte inoltre che circa metà delle installazioni raggiungibili dall’esterno utilizza versioni troppo datate per ricevere la correzione, restando quindi permanentemente a rischio salvo aggiornamento completo del sistema. Gli sviluppatori di PHP hanno diffuso un messaggio netto: “Tutti gli utenti di PHP sono fortemente incoraggiati ad aggiornare immediatamente”.

Sul fronte della minaccia concreta, il ricercatore di sicurezza Nicholas Weaver ha riferito di segnalazioni di exploit già attivi nel mondo reale, mentre Jake Knott, responsabile dell’intelligence sulle minacce di watchTowr, ha precisato che finora non risultano compromissioni riuscite, pur ritenendo che sia solo questione di tempo. La società di sicurezza Wiz ha definito la falla tra le più gravi mai riscontrate nella storia di PHP. Anche la Casa Bianca è intervenuta, dichiarando di coordinarsi con le agenzie federali e con i laboratori di intelligenza artificiale per “proteggere le reti e le infrastrutture critiche americane”; la stessa OpenAI, coinvolta nella scoperta iniziale della falla, ha commentato che l’episodio “dimostra come l’IA possa scoprire falle di sicurezza con un impatto su scala globale”.

La vicenda ha una ricaduta immediata: un sito istituzionale o aziendale basato su PHP non aggiornato espone l’ente a un rischio concreto di violazione di dati personali, con i conseguenti obblighi di notifica al Garante privacy ai sensi degli articoli 33 e 34 del GDPR qualora l’exploit venga effettivamente sfruttato prima del completamento della patch.

AgID di nuovo nel mirino del Garante: altri 15mila euro di multa per una lista di candidati rimasta online per cinque anni

Il Garante per la protezione dei dati personali ha sanzionato per 15mila euro l’Agenzia per l’Italia Digitale con il provvedimento n. 745 del 7 ottobre 2026, accogliendo il reclamo di un candidato che nel 2021 aveva partecipato a una procedura concorsuale indetta da AgID per il reclutamento di personale destinato al programma Smarter Italy. Nella sezione del sito istituzionale dedicata alla trasparenza amministrativa era rimasto pubblicato un elenco con nomi, cognomi e punteggi di quindici candidati ammessi alla prova orale, nonostante uno degli interessati ne avesse chiesto la rimozione.

Nel corso dell’istruttoria AgID ha sostenuto che si trattasse di una mera svista operativa, spiegando che la propria prassi prevede la comunicazione degli esiti concorsuali tramite codici identificativi univoci anziché tramite dati nominativi. L’Agenzia riteneva inoltre di aver già rimosso il documento nel 2025, ma l’operazione non era stata effettivamente completata: l’elenco è stato eliminato in via definitiva solo il 23 gennaio 2026, a seguito dell’intervento del Garante.

L’Autorità ha ritenuto le giustificazioni insufficienti a escludere la responsabilità dell’Agenzia, richiamando gli articoli 5 e 6 del GDPR e l’articolo 2-ter del Codice privacy: la diffusione online di dati personali nell’ambito di procedure concorsuali deve fondarsi su una specifica disposizione normativa e rispettare i principi di liceità, correttezza e minimizzazione, e non può essere giustificata genericamente dalle esigenze di trasparenza amministrativa — tanto più quando riguarda, come in questo caso, elenchi meramente intermedi della procedura. Nel quantificare la sanzione, il Garante ha considerato sia elementi aggravanti, come la durata della violazione, protrattasi per circa cinque anni, e il numero di interessati coinvolti, sia elementi attenuanti, quali la natura colposa della condotta, la tempestiva rimozione successiva alla comunicazione dell’Autorità e la collaborazione prestata da AgID durante l’istruttoria.

Non è la prima sanzione dell’anno per l’Agenzia: lo scorso 28 maggio, con il provvedimento n. 419, il Garante aveva già multato AgID per 55mila euro per il trasferimento automatico degli indirizzi PEC dei professionisti dall’INI-PEC all’Indice nazionale dei domicili digitali (INAD), avvenuto senza un’adeguata informativa agli interessati. Quella sanzione risulta però sospesa dal Tribunale di Roma dal 3 agosto 2026, con il giudizio di opposizione ancora pendente.

La vicenda conferma un orientamento ormai consolidato del Garante: la pubblicazione di elenchi concorsuali intermedi contenenti dati identificativi resta un terreno ad alto rischio sanzionatorio, indipendentemente dalla buona fede dell’ente e anche a distanza di anni dalla pubblicazione originaria.

Colpisce, al di là dell’importo contenuto della sanzione, il fatto che a incorrere nell’errore sia proprio l’Agenzia chiamata a presidiare l’infrastruttura digitale del Paese: AgID gestisce, tra l’altro, l’identità digitale e i domicili digitali di cittadini e professionisti, un ruolo che presuppone standard di governance dei dati superiori alla media. La doppia sanzione nel giro di cinque mesi, segnala meno un problema di malafede che una debolezza nei controlli interni di verifica: un ente pubblico non può limitarsi a disporre una cancellazione, ma deve accertarsi che sia stata effettivamente eseguita. È un promemoria utile per qualunque amministrazione o azienda che gestisca dati di terzi: l’intenzione dichiarata di adeguarsi al GDPR non sostituisce la prova documentale dell’avvenuta conformità.

Iso 27017
Iso 27018
Iso 9001
Iso 27001
Iso 27003
Acn
RDP DPO
CSA STAR Registry
PPPAS
Microsoft
Apple
vmvare
Linux
veeam
0
    Prodotti nel carrello
    Il tuo carrello è vuoto