Le sanzioni del Garante: come si difende un'azienda

Come si arriva alla sanzione

Il Garante non sanziona di propria iniziativa nel vuoto: il procedimento nasce da un reclamo dell'interessato, che ha diritto a una decisione entro nove mesi (dodici con esigenze istruttorie) e a essere informato entro tre mesi dello stato della pratica (art. 143 Codice privacy), da una segnalazione anche anonima nei casi gravi (art. 19 reg. 1/2019), da un'ispezione programmata o mirata, spesso affidata al Nucleo speciale privacy della Guardia di Finanza, o da una notifica di violazione dei dati che rivela carenze di sicurezza. Il reclamo è oggi la fonte più frequente per le piccole e medie imprese: un ex dipendente, un cliente cui non si è risposto a una richiesta di accesso o cancellazione entro un mese, un destinatario di telefonate commerciali non volute, un condomino ripreso dalle telecamere.

Nella fase istruttoria l'Ufficio chiede informazioni e documenti con richieste cui bisogna rispondere in modo completo e veritiero: la mancata cooperazione è essa stessa un'aggravante (art. 83, par. 2, lett. f) e il negato accesso o l'inosservanza di una richiesta possono costare fino al massimo edittale (par. 5, lett. e). La risposta alla richiesta di informazioni è già un atto difensivo: descrivere i trattamenti, le basi giuridiche, le misure adottate e correggere subito ciò che è correggibile.

La notifica delle violazioni e i trenta giorni per difendersi

La comunicazione di avvio contiene la descrizione dei fatti e delle presunte violazioni con le norme sanzionatorie, l'indicazione dell'unità presso cui prendere visione ed estrarre copia degli atti e l'avviso dei trenta giorni (art. 12 reg. 1/2019). In quei trenta giorni, prorogabili di norma per non più di quindici su istanza motivata (art. 13), si giocano quasi tutte le possibilità di difesa. Le memorie devono fare tre cose: contestare i fatti se sono contestabili (accesso agli atti prima di scrivere), qualificare correttamente le violazioni (una sola condotta che viola più norme si sanziona con l'importo previsto per la più grave: art. 83, par. 3) e soprattutto documentare le attenuanti dell'art. 83, par. 2: misure tecniche e organizzative già in essere, natura colposa e non dolosa, numero ridotto di interessati e assenza di danno, rimedi adottati, cooperazione, assenza di precedenti, categorie di dati non particolari, adesione a codici di condotta. L'audizione davanti all'Ufficio va sempre chiesta: consente di rispondere a domande, chiarire l'organizzazione e lasciare a verbale ciò che le memorie non spiegano.

Il procedimento è governato dalle regole della L. 689/1981 richiamate dall'art. 166, c. 7 (artt. 1-9, 18-22, 24-28), tra cui il principio di legalità, la solidarietà dell'ente per il fatto del dipendente e la prescrizione di cinque anni dalla violazione (art. 28); non è invece richiamato l'art. 14 sul termine di novanta giorni per la contestazione, sicché l'unico limite temporale certo resta la prescrizione quinquennale. Il decreto del 2018 ha inoltre eliminato per i privati l'obbligo di notifica preventiva quando incompatibile con la natura del provvedimento, ma resta la garanzia del contraddittorio: un'ordinanza emessa senza aver messo l'azienda in condizione di difendersi è impugnabile per questo.

Quanto costa: i criteri dell'art. 83

I massimi sono tetti, non tariffe. La sanzione deve essere «effettiva, proporzionata e dissuasiva» e si calcola sugli undici criteri dell'art. 83, par. 2 (natura, gravità e durata; dolo o colpa; misure di attenuazione; grado di responsabilità; precedenti; cooperazione; categorie di dati; modo in cui l'autorità ha saputo della violazione; rispetto di ordini precedenti; codici di condotta; vantaggi economici conseguiti), che il Garante applica con le linee guida 04/2022 del Comitato europeo (metodo a partire dalla gravità e dal fatturato). Per un'impresa piccola l'ordine di grandezza reale è di migliaia o decine di migliaia di euro, non di milioni, ma la pubblicazione del provvedimento è spesso il costo maggiore. La Corte di giustizia (C-807/21, Deutsche Wohnen, e C-683/21, 5 dicembre 2023) ha stabilito che la sanzione presuppone una violazione dolosa o colposa del titolare, senza responsabilità oggettiva, ma che non serve individuare la persona fisica che ha agito né provare la consapevolezza dei vertici: la colpa dell'organizzazione basta, e per il calcolo sul fatturato conta l'impresa in senso economico, gruppo compreso.

Dopo l'ordinanza-ingiunzione

1. Leggere la data: i termini decorrono dalla comunicazione dell'ordinanza, notificata via PEC dal dipartimento che ha curato l'istruttoria (art. 16 reg. 1/2019).
2. Pagare la metà: entro i trenta giorni per il ricorso, adeguandosi alle prescrizioni eventualmente impartite; la definizione chiude il procedimento e preclude l'impugnazione (art. 166, c. 8).
3. Ricorrere al tribunale: ricorso ex art. 10 D.Lgs. 150/2011, rito del lavoro, a pena di inammissibilità entro 30 giorni dalla comunicazione (60 dall'estero), al tribunale della sede del titolare o della residenza dell'interessato; chiedere la sospensione dell'efficacia esecutiva se ci sono gravi motivi (art. 5 D.Lgs. 150/2011), perché il ricorso da solo non sospende. Il giudice può annullare, ridurre o confermare la sanzione con cognizione piena sui fatti e sulla proporzionalità; la sentenza non è appellabile e si impugna solo in Cassazione (art. 10, c. 10).
4. Eseguire gli ordini: gli ordini correttivi (blocco, limitazione, cancellazione, adeguamento entro un termine) vanno rispettati anche in pendenza del ricorso, salvo sospensione: la loro inosservanza è una nuova violazione al massimo edittale (art. 83, par. 5, lett. e, e par. 6).
5. Verificare il penale: se il fatto è stato commesso per profitto o per danneggiare l'interessato e ha causato un nocumento, il Garante trasmette gli atti al pubblico ministero (art. 167, c. 5); la sanzione già pagata riduce la pena (c. 6).
6. Prevenire le richieste di risarcimento: l'accertamento del Garante è la base delle azioni civili degli interessati per il danno materiale e immateriale (art. 82 GDPR, art. 152 Codice privacy), dove il titolare risponde salvo prova che l'evento non gli è «in alcun modo imputabile».

Il tribunale competente sui ricorsi contro il Garante è quello ordinario, non il TAR: la scelta del giudice sbagliato costa la decadenza. Le regole generali sull'opposizione alle ordinanze-ingiunzione sono nella guida alle sanzioni amministrative e in quella sulle sanzioni delle Autorità indipendenti. La difesa migliore resta però quella preventiva: registro dei trattamenti aggiornato, informative e basi giuridiche corrette, riscontro alle richieste degli interessati entro un mese, procedura di data breach, verifiche sui fornitori. Sono i documenti che, esibiti nei trenta giorni, spostano una sanzione da un paragrafo all'altro dell'art. 83 o, non di rado, chiudono il procedimento con un semplice ammonimento (art. 58, par. 2, lett. b).