Vademecum sulle sanzioni del Garante

Tra i poteri del Garante vi è non solo quello di infliggere misure correttive e di blocco di trattamenti, ma anche sanzioni pecuniarie. Destinatari possono essere sia soggetti privati sia soggetti pubblici.

Le conseguenze possono essere di tre ordini: economiche, operative, reputazionali. Occorre valutarle tutte.

Di seguito un vademecum divulgativo sui principali aspetti d’interesse, inclusa l’opposizione giudiziale.

Quali sono i limiti massimi delle sanzioni?

Le sanzioni pecuniarie sono collocate entro due fasce di gravità, a seconda degli articoli del Regolamento e del codice privacy di cui si contesta la violazione.

Va qui segnalata la sussistenza di limiti, cd. “edittali”, particolarmente elevati. La fascia inferiore arriva infatti, per i soggetti pubblici, a un massimo di 10 milioni di euro, quella più alta a 20 milioni di euro.

Ciò significa che la misura massima, teorica, della sanzione si colloca sui valori predetti, tuttavia l’importo concretamente applicato potrebbe essere, e di regola è, significativamente più basso, ved. più avanti in questo articolo “linee guida europee”.

Attenzione: quando le sanzioni pecuniarie sono irrogate nei confronti di imprese, i predetti massimi possono essere superati e sono commisurati al bilancio.

Più esattamente, si tiene conto del fatturato mondiale totale dell’esercizio precedente. La fascia sanzionatoria più bassa arriva per le imprese, alla maggior somma tra i 10 milioni di euro e il 2% di tale fatturato. Quella più alta arriva al 4%.

Questo ci porta un tema cruciale, spesso ignorato: qual è il fatturato di riferimento per l’applicazione delle sanzioni, se l’impresa fa parte di un gruppo.

Il fatturato è quello dell’impresa o quello del gruppo?

In conformità alla giurisprudenza, soprattutto della Corte di giustizia UE, applicabile in materia di artt. 101 e 102 TFUE, per fatturato totale mondiale dell’impresa può ben intendersi quello del gruppo, se diverse società formano un’unità economica.

In concreto, si sono registrate sanzioni del Garante per alcune decine di milioni di euro, ma si sono avuti anche importi pecuniari assai blandi. Quello della prevedibilità del quantum, anche in termini molto ampi e generali, è un tema ampiamente dibattuto, che oggi lascia insoddisfatti.

Le sanzioni non sono invece determinate nel minimo. Nel senso che partono da un qualsiasi valore apprezzabile immediatamente superiore allo zero. C’è dunque un’escursione enorme tra minimo e massimo, che, unitamente all’indubbio carattere punitivo, conduce a due considerazioni:

Come si calcolano in concreto le sanzioni?

Le sanzioni devono essere “effettive, proporzionate e dissuasive“, ai sensi dell’art. 83.1 GDPR. Il Regolamento non fornisce tuttavia meccanismi di calcolo, limitandosi a indicare una lista di circostanze attenuanti e aggravanti che concorrono alla determinazione dell’importo.

È per esempio circostanza aggravante la sussistenza di precedenti violazioni. È, sempre in via esemplificativa, circostanza attenuante il grado di cooperazione offerto durante l’accertamento.

Nella prassi applicativa del Garante, non esistono, ad oggi, linee guida pubblicate che consentano di determinare il peso specifico di aggravanti e attenuanti. Di fatto, si registrano variazioni sorprendenti da caso a caso, che non soddisfano certamente esigenze di regolarità e di trasparenza.

Vanno menzionate due rilevanti linee guida europee sul calcolo delle sanzioni, la WP 253 del 3 ottobre 2017 e 4/2022 (EDPB), vers. 2.1 del 24 maggio 2023. I due documenti istituzionali sono utili sotto molti profili, ma risultano insufficienti a permettere la prevedibilità, sia pure approssimativa, degli importi nel caso concreto.

Come si oppone l’ordinanza-ingiunzione?

Il termine è di 30 giorni dalla notificazione dell’ordinanza-ingiunzione. Il Giudice competente è il Tribunale in composizione monocratica, il foro è quello dove si trova la sede del titolare o, in alternativa, la residenza dell’interessato. Il rito applicabile è modellato su quello del lavoro, cfr. art. 10 d.lgs. 150/11, dunque improntato a celerità, concentrazione delle difese nel ricorso, coinvolgimento attivo del Giudice.

Le parti devono essere presenti personalmente alla prima udienza, anche attraverso soggetti opportunamente delegati, per rendere effettivo il tentativo di conciliazione.

Va segnalata una peculiarità processuale: la decisione del Tribunale è unicamente ricorribile per Cassazione, ove ricorrano ragioni di legittimità. Non è cioè previsto il grado d’appello.

Ritiene chi scrive che ciò sollevi profili di violazione, non perché sia costituzionalmente ravvisabile un diritto al doppio grado di merito (non lo è), ma perché si configura lesione del principio di equivalenza tra diritto unionale e diritto nazionale.

Tale principio, pur facendo salva l’autonomia processuale degli Stati membri, impone di non trattare in modo processualmente deteriore i diritti di matrice unionale rispetto a situazioni assoggettate al diritto nazionale. Giova notare che la regola generale è fissata dall’art. 339.1 c.p.c. appunto nel doppio grado di merito, a cui appare indebitamente sottratta nella specie una delle principali materie di disciplina unionale.

Si può ottenere la sospensione dell’ordinanza-ingiunzione?

Certamente sì. L’art. 5 d.lgs. 150/11 rende possibile la sospensione dell’efficacia esecutiva del provvedimento opposto in due momenti:

La sospensione assunta inaudita altera parte deve essere confermata in udienza, ma, allora, sulla base dei presupposti meno vincolanti già detti.

Ragioni di impugnazione

Come di regola, ragioni di impugnazione possono essere sia di tipo procedurale sia di merito. In senso procedurale, va ricordata la cornice giuridica posta dalla sentenza 151/21 della Corte costituzionale e la giurisprudenza delle alte corti europee in matière pénale.

Di recente, due sentenze (non ordinanze, il che è significativo) di Cassazione, la 18583/25 e la 984/26, costruendo su tali coordinate, hanno individuato come perentorio il termine di 120 giorni decorrenti dalla contestazione dei presunti addebiti al trasgressore, ai sensi dell’art. 166.5 cod. privacy, per la notificazione dell’ordinanza-ingiunzione.

Nel merito, le valutazioni dell’Autorità garante possono ben essere, con valutazione caso per caso, controvertibili o comunque suscettibili di apprezzamento giudiziario diverso nel quantum.

Esamina un caso di concreto di annullamento di un’ordinanza-ingiunzione del Garante per superamento dei termini: Trib. Bolzano, sentenza n. 205/26

Ma allora vale la pena opporsi a un provvedimento sanzionatorio?

È un quesito a cui non si può ovviamente rispondere in astratto. Nondimeno, visto che ci viene proposto spesso, è opportuno affrontarlo brevemente.

La valutazione sulla solidità delle ragioni per l’opposizione a un’ordinanza-ingiunzione va condotta dall’avvocato caso per caso e poggia su indici molteplici, che includono una precisa conoscenza:

Occorre altresì tenere conto che, accanto alle sanzioni pecuniarie, è necessario valutare gli effetti delle misure correttive eventualmente comminate, che possono risultare bloccanti per l’attività imprenditoriale o per una parte rilevante della stessa, si pensi a un ordine di cancellazione dei dati.

È anche necessario soppesare il danno reputazionale che deriva dalla pubblicazione dell’ordinanza-ingiunzione sul sito del Garante e dalla sua indicizzazione sui motori di ricerca.

Di fatto, le occasioni di annullamento giudiziario di provvedimenti del Garante o di ricalibrazione delle misure disposte dall’Autorità non sono certo infrequenti. Si registrano tuttavia anche molte conferme dei provvedimenti comminati, specie in sede di legittimità.

La materia è in verità molto tecnica, il consiglio perciò è sempre quello di affidare la valutazione preliminare sulle possibilità di successo di un’opposizione a un avvocato di esperienza in materia sia di protezione dei dati personali sia di diritto digitale dell’Unione europea.