Istruttorie del Garante Privacy: come si svolgono e come affrontarle.
Nel 2025 il Garante per la protezione dei dati personali ha adottato 807 provvedimenti collegiali, di cui 506 correttivi o sanzionatori, ed effettuato 130 ispezioni su soggetti pubblici e privati, riscuotendo oltre 37 milioni di euro di sanzioni; nello stesso anno le notifiche di data breach ricevute sono state 2.415, il 10% in più rispetto al 2024. Sono numeri che raccontano un'autorità sempre più attiva, e non solo verso i grandi gruppi: tra i destinatari dei provvedimenti degli ultimi due anni compaiono una concessionaria d'auto, una società di autotrasporti, un negozio al dettaglio, persino un bar. Il messaggio per chi amministra un'azienda, di qualunque dimensione, è che l'eventualità di un'istruttoria del Garante non è più uno scenario remoto riservato alle multinazionali.
Quello che fa la differenza, quando arriva una richiesta di informazioni o un accertamento ispettivo, non è avere ragione nel merito — a volte la violazione contestata è reale, altre volte no — ma sapere esattamente come si svolge il procedimento, quali sono i termini da rispettare, e quale margine esiste per ridurre l'impatto finale prima che la vicenda si cristallizzi in un'ordinanza-ingiunzione.
Come nasce un'istruttoria
Un procedimento del Garante può originare da tre canali distinti. Il primo è il reclamo di un interessato, disciplinato dall'articolo 77 del GDPR e dagli articoli 141-143 del Codice Privacy: un dipendente, un cliente, un semplice cittadino che ritiene violati i propri diritti presenta un reclamo, e il Garante è tenuto a dare un riscontro entro tre mesi dalla ricezione. Il secondo canale è la notifica di una violazione di dati personali da parte della stessa azienda, che può a sua volta innescare una verifica autonoma sulla gestione dell'incidente. Il terzo sono gli accertamenti d'ufficio, spesso programmati per settore o per tipologia di trattamento (videosorveglianza, geolocalizzazione dei veicoli aziendali, uso di sistemi biometrici sono stati tutti oggetto di cicli ispettivi mirati negli ultimi anni).
Una volta avviata la verifica, il Garante dispone di poteri di indagine incisivi, previsti dall'articolo 58 del GDPR e dettagliati dagli articoli 157-168 del Codice Privacy: può richiedere informazioni e documenti, accedere alle banche dati, ed effettuare ispezioni nei locali dell'azienda. Se l'azienda presta il proprio consenso, l'accesso è libero; in caso contrario serve un decreto motivato del Presidente del Tribunale territorialmente competente, e l'accesso può comunque avvenire solo tra le sette e le venti. Fornire dichiarazioni false o ostacolare l'attività ispettiva non è solo una scelta imprudente sul piano difensivo: costituisce reato, punito con la reclusione fino a tre anni.
Il procedimento sanzionatorio: fasi e termini
Il Regolamento n. 1/2019 del Garante disciplina il procedimento interno: dopo un'istruttoria preliminare — che nel caso di un reclamo deve concludersi con un riscontro entro tre mesi — l'ufficio, se non archivia, comunica formalmente l'avvio del procedimento sanzionatorio. Da quel momento l'azienda ha 30 giorni per presentare controdeduzioni scritte e documenti (con possibilità di una proroga, di norma non superiore a 15 giorni), e può chiedere, con istanza motivata, di essere ascoltata in un'audizione. Il verbale dell'audizione, per quanto sintetico, ha pieno valore probatorio nel procedimento: è un dettaglio che vale la pena tenere presente prima di presentarsi, non dopo.
Il raccordo con la disciplina generale delle sanzioni amministrative (legge 689/1981), richiamato dall'articolo 166 del Codice Privacy, introduce anche uno strumento spesso sottovalutato: la definizione agevolata. Entro il termine previsto per proporre ricorso, l'azienda può adeguarsi alle prescrizioni del Garante e pagare il 50% della sanzione irrogata, chiudendo definitivamente la vicenda senza ulteriori conseguenze. È un'opzione che va valutata a mente fredda, confrontando il costo di un'eventuale opposizione giudiziale — coi suoi tempi, i suoi costi legali e il suo esito incerto — con il vantaggio di una chiusura immediata e a metà prezzo.
Quanto alla durata complessiva del procedimento sanzionatorio, il tema è oggetto di un confronto giurisprudenziale ancora aperto: si discute se i termini fissati per la conclusione del procedimento abbiano natura perentoria, con la conseguente decadenza del potere sanzionatorio in caso di superamento, oppure se costituiscano principalmente una garanzia per il reclamante. Gli orientamenti non sono univoci e vanno verificati caso per caso: la tempistica con cui il Garante conduce l'istruttoria può essere, in determinate circostanze, una leva difensiva concreta, non solo un dettaglio procedurale.
Quanto pesa la sanzione: i criteri dell'articolo 83
L'articolo 83 del GDPR non lascia la quantificazione della sanzione alla discrezionalità pura: indica undici criteri che il Garante deve considerare in ogni singolo caso — la natura, la gravità e la durata della violazione, se sia stata dolosa o colposa, le misure adottate dall'azienda per attenuare il danno subito dagli interessati, il grado di responsabilità alla luce delle misure tecniche e organizzative in essere, eventuali precedenti violazioni, il grado di cooperazione con l'Autorità per porre rimedio alla violazione, le categorie di dati coinvolte, le modalità con cui il Garante è venuto a conoscenza della violazione, il rispetto di precedenti provvedimenti, l'adesione a codici di condotta o meccanismi di certificazione, e i benefici finanziari conseguiti o le perdite evitate grazie alla violazione.
Due di questi criteri meritano un'attenzione particolare perché sono gli unici sui quali l'azienda può ancora intervenire dopo che il fatto è avvenuto: le misure adottate per attenuare il danno e il grado di cooperazione con l'Autorità. Documentare in modo puntuale ogni intervento correttivo — l'adeguamento tecnico, l'aggiornamento delle informative, l'audit interno avviato subito dopo la scoperta della criticità — non cancella la violazione contestata, ma può incidere in modo sensibile sull'importo finale, ed è un lavoro che va fatto da subito, non improvvisato quando arriva la comunicazione di avvio del procedimento.
Chi si occupa di cosa: la fase amministrativa e l'eventuale fase giudiziale
Un punto che nella pratica genera spesso confusione riguarda chi debba occuparsi delle diverse fasi del procedimento. La fase amministrativa davanti al Garante — dalla ricezione della contestazione alla presentazione delle controdeduzioni, fino all'eventuale audizione — non richiede necessariamente l'assistenza di un avvocato: può essere gestita direttamente dall'azienda, affiancata dal proprio consulente di compliance o dal responsabile della protezione dei dati, che conosce nel dettaglio i trattamenti contestati ed è nella posizione migliore per costruire una difesa tecnica coerente con quanto risulta dai propri archivi.
Le cose cambiano se l'azienda decide di opporsi all'ordinanza-ingiunzione finale. L'articolo 152 del Codice Privacy prevede che l'opposizione vada proposta entro 30 giorni dalla comunicazione del provvedimento (60 se l'azienda risiede all'estero) davanti al Tribunale civile del luogo in cui il titolare del trattamento ha sede, con il rito semplificato di cognizione (art. 10 del d.lgs. 150/2011, come modificato dalla riforma del processo civile). Il provvedimento del Garante non si sospende automaticamente per il solo fatto dell'opposizione: la sospensione va richiesta e motivata con un pregiudizio grave e irreparabile. Qui inizia, a tutti gli effetti, un giudizio civile — e un giudizio, per definizione, lo cura un avvocato, non un consulente di compliance. La Cassazione ha chiarito, con l'ordinanza n. 27189 del 22 settembre 2023, che in questa sede il giudice può rideterminare l'importo della sanzione, anche riducendolo, ma mai al di sotto del minimo previsto dalla legge.
La scelta se opporsi o pagare — magari avvalendosi della definizione agevolata — è una decisione strategica che va presa prima, sulla base di un'analisi costi-benefici che tenga conto della solidità delle proprie ragioni, dei tempi e dei costi di un giudizio, e dell'impatto reputazionale di ciascuna opzione. È un lavoro di valutazione che precede la scelta dello strumento, non lo sostituisce: se la valutazione porta a decidere per l'opposizione, da quel momento il fascicolo passa nelle mani dell'avvocato che curerà il giudizio, con la ricostruzione dei fatti e la documentazione già pronte.
Cosa dicono i casi recenti
I provvedimenti sanzionatori degli ultimi due anni mostrano che il rischio riguarda le imprese di ogni dimensione e settore: un'azienda di autotrasporti sanzionata per 50.000 euro per aver geolocalizzato i propri veicoli in modo continuativo, anche durante le pause dei conducenti, senza un'informativa adeguata; una concessionaria d'auto sanzionata per 120.000 euro per aver introdotto un sistema di riconoscimento facciale per la rilevazione delle presenze dei propri quaranta dipendenti, trattando dati biometrici senza una base giuridica idonea; un'azienda manifatturiera del settore automotive sanzionata per 50.000 euro per aver richiesto ai propri dipendenti, dopo un periodo di malattia o infortunio, questionari che raccoglievano dati sanitari eccedenti rispetto alla sola verifica dell'idoneità alla mansione, conservati fino a dieci anni; ma anche un piccolo esercizio pubblico sanzionato per 2.000 euro per telecamere prive della prescritta cartellonistica informativa, e un negozio al dettaglio sanzionato per 1.000 euro per telecamere che riprendevano aree pubbliche oltre la pertinenza dell'attività. La forbice delle sanzioni, da poche migliaia a centinaia di migliaia di euro, riflette proprio i criteri dell'articolo 83: non conta solo la fattispecie contestata, ma quanto l'azienda ha fatto — prima e dopo — per prevenire e attenuare la violazione.
Conclusione
Un'istruttoria del Garante non è un evento che si può gestire improvvisando, ma nemmeno un evento che richiede automaticamente un contenzioso. Nella grande maggioranza dei casi si tratta di un procedimento amministrativo con termini precisi, criteri di quantificazione noti in anticipo, e margini reali per ridurre l'impatto finale attraverso una difesa tecnica ben costruita e una gestione tempestiva delle misure correttive. Solo quando la valutazione porta a ritenere ingiusta o sproporzionata la sanzione finale si apre la fase giudiziale, che richiede un avvocato e un giudizio vero e proprio. Sapere distinguere fin da subito in quale delle due fasi ci si trova — e cosa richiede ciascuna — è spesso l'elemento che decide se un'istruttoria si chiude con un impatto contenuto o si trasforma in un problema molto più grande di quanto dovesse essere.
Il presente contributo ha finalità puramente informativa e divulgativa e non costituisce parere legale su un caso concreto. Per una valutazione della propria specifica situazione si consiglia di rivolgersi a un professionista.
Dott. Guglielmo Frattale
Giurista di impresa e Compliance Manager
Studio Frattale & Partners
Hai ricevuto una comunicazione dal Garante o vuoi verificare come reggerebbero le procedure della tua azienda? Richiedi una consulenza strategica allo Studio Frattale & Partners.
Commenti
Posta un commento