Reclamo al Garante privacy: come si presenta, tempi, alternative

In breve

Reclamo gratuito, senza avvocato, dell'interessato che ritiene violato il GDPR (art. 77 GDPR; artt. 141-142 Codice privacy): fatti, norme, misure richieste, titolare, documenti, firma; modello sul sito del Garante, via PEC.
Prima: richiesta al titolare, che deve rispondere entro 1 mese (art. 12 GDPR).
Il Garante informa entro 3 mesi e decide entro 9 (12 con esigenze istruttorie), con ordini, divieti e sanzioni fino a 20 milioni o il 4% del fatturato (artt. 58 e 83 GDPR; art. 143 e 166 Codice).
La segnalazione è per chiunque, senza diritto a una decisione (art. 144).
Dopo: ricorso al tribunale in 30 giorni contro il provvedimento o contro il silenzio; causa diretta contro il titolare per far cessare e per il risarcimento (artt. 79 e 82 GDPR; art. 10 D.Lgs. 150/2011).

Come si presenta e che cosa succede

Art. 142, commi 1-3, D.Lgs. 196/2003 — Proposizione del reclamo

«Il reclamo contiene un'indicazione per quanto possibile dettagliata dei fatti e delle circostanze su cui si fonda, delle disposizioni che si presumono violate e delle misure richieste, nonché gli estremi identificativi del titolare o del responsabile del trattamento, ove conosciuto. Il reclamo è sottoscritto dall'interessato o, su mandato di questo, da un ente del terzo settore soggetto alla disciplina del decreto legislativo 3 luglio 2017, n. 117, che sia attivo nel settore della tutela dei diritti e delle libertà degli interessati, con riguardo alla protezione dei dati personali. Il reclamo reca in allegato la documentazione utile ai fini della sua valutazione e l'eventuale mandato, e indica un recapito per l'invio di comunicazioni anche tramite posta elettronica, telefax o telefono».

Strumento	Chi	Che cosa si ottiene	Tempi
Richiesta al titolare (artt. 15-22 GDPR)	L'interessato	Accesso, rettifica, cancellazione, opposizione, limitazione, portabilità	Risposta entro 1 mese, prorogabile di 2 (art. 12)
Reclamo al Garante (art. 77 GDPR; artt. 141-143)	L'interessato, anche tramite ente del terzo settore o avvocato	Istruttoria; provvedimenti correttivi dell'art. 58 (ammonimento, ingiunzione, divieto, ordine di cancellazione); sanzioni dell'art. 83	Informazione entro 3 mesi; decisione entro 9 (12); sospensione per la cooperazione UE
Segnalazione (art. 144)	Chiunque	Valutazione discrezionale, possibili provvedimenti d'ufficio; nessun diritto a una decisione	Nessun termine
Ricorso contro il Garante (art. 78 GDPR; art. 10 D.Lgs. 150/2011)	Chi è destinatario del provvedimento o il reclamante	Annullamento o riforma del provvedimento; ordine di provvedere	30 giorni dalla comunicazione (60 dall'estero); 30 giorni dalla scadenza dei termini in caso di silenzio
Causa contro il titolare (art. 79 GDPR; art. 152 Codice)	L'interessato	Cessazione della violazione, cancellazione, risarcimento del danno materiale e immateriale (art. 82); cautelare in urgenza	Rito del lavoro; tribunale della sede del titolare o della residenza dell'interessato

Il reclamo va indirizzato al Garante per la protezione dei dati personali (PEC istituzionale o raccomandata), usando il modello disponibile sul sito, con copia del documento di identità e degli atti: la richiesta inviata al titolare e la prova del silenzio o del rifiuto, gli screenshot, i messaggi, le informative, i contratti. Le richieste devono essere precise (ordinare la cancellazione, vietare il trattamento, ingiungere la risposta, disporre la rimozione dei contenuti) perché il Garante decide su quelle, e la lamentela deve riguardare dati propri: chi segnala un trattamento altrui (una telecamera del vicino, un sito che pubblica dati di terzi) presenta una segnalazione. Il reclamo per il mancato riscontro alle richieste sui diritti GDPR segue una corsia semplificata prevista dal regolamento del Garante. Per i titolari con stabilimento principale in un altro Stato UE (piattaforme, social, big tech) il Garante trasmette il reclamo all'autorità capofila nel meccanismo dello sportello unico (art. 60 GDPR) e il termine resta sospeso, con tempi molto più lunghi.

Poteri del Garante, sanzioni e vie giudiziarie

Istruttoria: l'ufficio chiede informazioni al titolare, che deve rispondere (l'omessa o falsa risposta è sanzionata), può disporre ispezioni con la Guardia di Finanza e, se il reclamo non è manifestamente infondato, adottare anche prima della decisione i provvedimenti dell'art. 58 GDPR (art. 143, c. 1).
Provvedimento: accoglimento con ingiunzioni e divieti, ammonimento, archiviazione o rigetto; decisione entro 9 mesi (12 con esigenze istruttorie), preceduta dall'informazione sullo stato entro 3 mesi; pubblicazione nella Gazzetta Ufficiale quando i destinatari non sono facilmente identificabili.
Sanzioni (art. 166; art. 83 GDPR): procedimento separato con notifica delle presunte violazioni al titolare, 30 giorni per scritti difensivi e audizione, ordinanza-ingiunzione secondo la L. 689/1981, sanzione fino a 10 milioni o 2% del fatturato per le violazioni organizzative e fino a 20 milioni o 4% per quelle sui principi, sui diritti e sui trasferimenti, con pubblicazione sul sito o campagne di comunicazione; l'azienda si difende come spiegato nella guida alle sanzioni.
Tribunale: contro il provvedimento del Garante, ricorso entro 30 giorni con il rito del lavoro (art. 10 D.Lgs. 150/2011); contro il silenzio, entro 30 giorni dalla scadenza dei termini; l'interessato può dare mandato a un ente del terzo settore; il giudice può sospendere il provvedimento e decide con sentenza.
Risarcimento: solo davanti al giudice ordinario, con l'azione contro il titolare o il responsabile (artt. 79 e 82 GDPR): danno materiale e immateriale, responsabilità del titolare salvo prova che l'evento non gli è «in alcun modo imputabile», solidarietà tra più titolari; il provvedimento del Garante è una prova forte ma non vincola il giudice.

I casi frequenti mostrano quale via conviene: per il telemarketing e le newsletter indesiderate il reclamo è efficace perché il Garante colpisce l'intera filiera; per la videosorveglianza del vicino o del datore di lavoro il reclamo (o la segnalazione) ottiene l'ordine di rimozione; per le foto o i dati pubblicati da un ex partner o su un sito serve la rapidità del giudice, con il cautelare e la querela per diffamazione o diffusione illecita di immagini; per la segnalazione in centrale rischi senza preavviso reclamo e causa vanno insieme; per il data breach il reclamo attiva l'istruttoria sulla notifica omessa e la causa il risarcimento. In tutti i casi, il primo passo è la richiesta scritta al titolare: senza quella, il reclamo per mancato riscontro non esiste, e il giudice valuta la buona fede di chi non ha nemmeno chiesto.

Domande frequenti

Ho chiesto a un'azienda di cancellare i miei dati e non risponde da due mesi: che cosa faccio?

Il titolare deve rispondere alle richieste di accesso, rettifica, cancellazione, opposizione e portabilità entro un mese, prorogabile di due mesi per richieste complesse con avviso motivato (art. 12, par. 3, GDPR). Scaduto il termine, può presentare reclamo al Garante (art. 77 GDPR; artt. 141-142 Codice privacy) allegando la richiesta inviata, la prova della ricezione e il silenzio: è il caso più semplice e più frequente, per il quale il Garante prevede una trattazione semplificata, e di regola si chiude con l'ingiunzione al titolare di soddisfare la richiesta, eventualmente con una sanzione. In alternativa, o in aggiunta, può agire davanti al tribunale con il rito del lavoro (art. 152 Codice privacy; art. 10 D.Lgs. 150/2011), che è la strada obbligata se vuole anche il risarcimento del danno.

Come si scrive il reclamo e quanto costa?

È gratuito e non richiede l'avvocato. Deve contenere (art. 142 Codice privacy) i fatti in modo dettagliato e in ordine cronologico, le norme che si ritengono violate (per esempio gli artt. 5, 6, 12-22 GDPR), le misure che si chiedono (cancellazione, blocco, ordine di rispondere, divieto del trattamento, sanzione), gli estremi del titolare o del responsabile se conosciuti, un recapito per le comunicazioni, la firma dell'interessato e i documenti utili (richieste inviate, risposte, screenshot, contratti, informative). Il Garante mette a disposizione un modello sul proprio sito; l'invio si fa via PEC, raccomandata o consegna. Si può dare mandato a un ente del terzo settore che tutela i dati personali, o farsi assistere da un avvocato. Un reclamo generico o senza documenti viene archiviato come manifestamente infondato; chi non è l'interessato può fare solo una segnalazione (art. 144), che il Garante valuta liberamente e senza obbligo di decidere.

Quanto tempo ci mette il Garante e che cosa può ottenere?

Entro tre mesi dalla presentazione il Garante informa il reclamante sullo stato del procedimento e decide entro nove mesi, prorogabili a dodici per motivate esigenze istruttorie comunicate all'interessato; se il titolare ha lo stabilimento principale in un altro Stato UE parte la cooperazione con l'autorità capofila e il termine è sospeso (art. 143). Può adottare i provvedimenti dell'art. 58 GDPR anche prima della decisione finale: ammonimento, ingiunzione a soddisfare la richiesta, ordine di rettifica o cancellazione, limitazione o divieto del trattamento; e, con il procedimento dell'art. 166 (contestazione, 30 giorni per le difese, audizione), la sanzione fino a 10 o 20 milioni di euro o al 2% o 4% del fatturato mondiale (art. 83), con pubblicazione del provvedimento. La sanzione va allo Stato: il reclamante ottiene la cessazione della violazione e un provvedimento che pesa nella causa civile, non un indennizzo.

Se il Garante archivia o non risponde, posso fare qualcosa?

Sì. Contro il provvedimento del Garante, anche di archiviazione o di rigetto, si ricorre al tribunale entro 30 giorni dalla comunicazione (60 se si risiede all'estero), con il rito del lavoro, davanti al tribunale del luogo in cui il titolare ha sede o in cui lei risiede (art. 10 D.Lgs. 150/2011); contro il silenzio, entro 30 giorni dalla scadenza dei nove mesi, o dei tre mesi senza informazioni sullo stato (art. 78 GDPR). Indipendentemente dal reclamo, l'azione contro il titolare per far cessare la violazione e per il risarcimento del danno materiale e immateriale (artt. 79 e 82 GDPR) si propone allo stesso tribunale, con l'onere per il titolare di provare che l'evento non gli è in alcun modo imputabile; in urgenza, per esempio per contenuti online, si può chiedere un provvedimento cautelare. Il reclamo al Garante e la causa possono coesistere.

Domande collegate

Fai la tua domanda: rispondono gratis gli avvocati iscritti

Fonti normative

I testi sono quelli vigenti su normattiva.it alla data di verifica della pagina.

Da leggere insieme

Privacy e GDPRI diritti GDPR: accesso, rettifica, cancellazione, opposizione, portabilitàCome esercitare i diritti GDPR (artt. 15-22): richiesta al titolare, risposta entro un mese, gratuità, accesso, cancellazione, opposizione, reclamo al Garante.
Privacy e GDPRLe sanzioni del Garante: come si difende un'aziendaReclamo o ispezione, notifica delle violazioni, 30 giorni per memorie e audizione (art. 166 Codice privacy), criteri dell'art. 83 GDPR, pagamento della metà.
Privacy e GDPRIl data breach: obblighi dell'azienda e diritti delle vittimeNotifica al Garante entro 72 ore e comunicazione agli interessati (artt. 33-34 GDPR), registro, sanzioni fino al 2%; risarcimento senza soglia di gravità (CGUE C-300/21).
Privacy e GDPRTelefonate indesiderate: registro delle opposizioni, reclami, sanzioniIscrizione gratuita al RPO anche per i cellulari (DPR 26/2022): revoca dei consensi, consultazione mensile, art. 130 Codice privacy, filtri anti-spoofing AGCOM, sanzioni.
Privacy e GDPRTelecamere in casa, in condominio, in azienda, in negozio: le regoleCasa: solo le proprie pertinenze (art. 615-bis c.p. se si riprendono i vicini); condominio: maggioranza dell'art. 1122-ter; azienda: accordo sindacale (art. 4 St. lav.).
Privacy e GDPRLa privacy del lavoratore: email, chat, GPS, badge, cartella sanitariaControlli a distanza solo con accordo o autorizzazione (art. 4 St. lav.), metadati email 21 giorni (Garante 2024), chat e WhatsApp, GPS, impronte.
Privacy e GDPRSiti web: cookie, informativa, obblighi per chi ha un sitoArt. 122 Codice privacy e linee guida cookie 2021: banner con X, accetta e rifiuta, niente scroll né cookie wall, analytics, riproposizione a 6 mesi; dati dell'impresa.
Banche, consumatori e assicurazioniSegnalazione in CRIF e in Centrale rischi: come cancellarlaPreavviso obbligatorio di 15 giorni, tempi di conservazione (12, 24, 36 mesi), sofferenza solo con insolvenza, accesso gratuito ai dati, reclamo, Garante, ABF.
Reati informaticiLa diffamazione online: social, recensioni, gruppi WhatsAppPost pubblico = diffamazione aggravata dal mezzo di pubblicità (6 mesi-3 anni o multa); gruppi chiusi, recensioni tra critica e reato, querela in 3 mesi, prova.
La causa di lavoroIl rito del lavoro: come funziona la causa davanti al giudice del lavoroLa causa di lavoro: ricorso con tutte le prove, udienza entro 60 giorni, memoria 10 giorni prima, comparizione personale, poteri del giudice, sentenza esecutiva.