Definitività dei provvedimenti del Garante e rito processuale

Il quadro normativo

Occorre innanzitutto ricostruire brevemente il quadro normativo generale applicabile:

• art. 78 reg. (UE) 2016/679 (di seguito “il Regolamento” o “GDPR”), che riconosce il diritto di ogni persona fisica o giuridica di impugnare con ricorso giurisdizionale effettivo i provvedimenti giuridicamente vincolanti (dunque ad esempio non i pareri) dell'autorità di controllo, per l'Italia il Garante;
• art. 79 GDPR , che riconosce il diritto di ogni interessato di trattamento di presentare un ricorso giurisdizionale per le violazioni di disposizioni del GDPR;
• art. 80 GDPR , che attiene alla legittimazione degli organismi che hanno finalità di tutela di interessi collettivi senza scopo di lucro, giusta mandato dell'interessato o anche in mancanza di esso;
• art. 152 d.lgs. 30 giugno 2003, n. 196, di seguito “Codice privacy”, che assoggetta al giudice ordinario qualsivoglia lite avente a oggetto la protezione dei dati personali e rinvia per il rito all'art. 10 d.lgs. 1° settembre 2011, n. 150;
• art. 166 Codice privacy, che disciplina l'irrogazione delle sanzioni amministrative, in particolare i commi 7 e 8, che definiscono le modalità di coordinamento/deroga rispetto alla l. 689/1981 e il pagamento in misura ridotta;
• artt. 5, 6, 10 d.lgs. 1° settembre 2011, n. 150, che delineano i necessari elementi di rito applicabili alle controversie relative al trattamento dei dati personali.

La natura amministrativa delle decisioni del garante

Va premesso che il Garante è per sua natura un organo amministrativo, non giurisdizionale, anche ove, come nei procedimenti di reclamo, dirima una lite collocandosi in posizione equidistante e indipendente dalle parti, in un procedimento ispirato al principio del contraddittorio (cfr. art. 13 Regolamento del Garante n. 1/2000) e che muove da allegazioni in fatto e dall'esposizione di motivi in diritto, cfr. art. 142, comma 1 cod. priv., fermi restando gli ampi poteri ex officio dell'Autorità.

Essendo dunque il Garante un ente amministrativo, le sue decisioni non formano giurisprudenza, come ampiamente chiarito dal Supremo collegio fin dalle sentenze n. 7341 del 20 maggio 2002 e n. 11864 del 25 giugno 2004. Per una recente conferma, vigente il GDPR, cfr. Cass. 16 settembre 2024, n. 24797.

Ne deriva che la statuizione non impugnata entro i termini di legge (ved. sotto) con cui il Garante ritenga violata la disciplina sulla protezione dei dati personali ha valore autorevole ma meramente orientativo in un successivo giudizio civile, nel senso che le relative determinazioni richiedono comunque un nuovo apprezzamento in sede processuale. Cfr. Cass., sez. III, 25 maggio 2017, n. 13151, che ha ribadito che il provvedimento del Garante non opposto in termini “non può mai acquistare efficacia (equiparabile a quella) di cosa giudicata nel separato giudizio che l'interessato abbia successivamente instaurato dinanzi all'autorità giudiziaria ordinaria per ottenere il risarcimento dei danni che assume provocati dalla lesione del diritto alla riservatezza e del diritto alla protezione dei dati personali”.

Va da sé naturalmente che il soggetto destinatario di un provvedimento sfavorevole ha l'onere di impugnarlo in termini al fine di evitarne la cristallizzazione, che non renderebbe più contestabili nel merito le determinazioni del Garante.

Sanzioni: definizione in misura ridotta

In alternativa all'impugnazione, il trasgressore può definire la controversia, entro il termine processuale per procedervi, scegliendo una definizione monetaria in misura ridotta, secondo il disposto dell'ottavo comma dell'art. 166 Cod. priv., ossia “adeguandosi alle prescrizioni del Garante, ove impartite, e mediante il pagamento di un importo pari alla metà della sanzione irrogata”.

Si tratta di una soluzione evidentemente deflattiva del contezioso, e più favorevole in termini economici rispetto all'analogo istituto previsto dall'art. 16, l. 689/1981. Tale ultima norma, giova notare, non si applica nella materia de qua, per espressa previsione del comma 7 dell'art. 166 Cod. priv.

Non sussiste dubbio sul fatto che il pagamento in misura ridotta ai sensi del Codice privacy definisca la possibile controversia, ciò essendo espressamente previsto dalla formulazione del comma citato. Per contro, il pagamento integrale della sanzione non dovrebbe essere d'ostacolo all'impugnazione giudiziale, ancorché in proposito sussista esiguità di precedenti, cfr. comunque Trib. Milano, sez. I, sent. 4 aprile 2019, n. 3371: “In difetto di norma regolatrice, prevista dall'ordinamento solo in relazione alle sanzioni conseguenti a violazioni delle disposizioni del C.d.S. (artt. 202, 203 C.d.S.), l'avvenuto pagamento della sanzione amministrativa ante causam, pur estinguendo l'obbligazione pecuniaria sorgente dall'irrogazione della sanzione, non integra una causa di inammissibilità dell'opposizione; l'avvenuto pagamento, per altro verso, non vale a fondare una pronuncia di cessazione della materia del contendere per difetto di attualità dell'interesse ad agire tutte le volte in cui l'adempimento sia accompagnato dalla dichiarazione del sanzionato di riserva di ripetizione della somma versata in caso di annullamento del titolo per accoglimento della prospettata impugnazione”. Il ragionamento appare applicabile anche nell'attuale contesto.

L'opposizione ai provvedimenti del garante

Occupiamoci ora dell'opposizione ai provvedimenti sanzionatori del Garante, ove appunto il trasgressore non opti per la definizione in misura ridotta e intenda contestare contenuti ed esiti dell'atto amministrativo. A tal fine, la disciplina è la medesima sia che oggetto di impugnazione sia un provvedimento di accoglimento o archiviazione (o persino di mancata pronuncia) su un reclamo sia che oggetto dell'impugnazione sia un'ordinanza-ingiunzione del Garante. La norma di riferimento è in tutti i casi l'art. 152 Cod. priv.

La disposizione, costituita da soli due commi e modificata, da ultimo, nel 2018 con il d.lgs. 10 agosto 2018 n. 101, si rende necessaria per creare un ponte (tecnicamente, “adeguamento”) tra la disciplina degli artt. 78-79 Regolamento e quella processuale italiana.

Vale la pena riportarne la formulazione: “1. Tutte le controversie che riguardano le materie oggetto dei ricorsi giurisdizionali di cui agli articoli 78 e 79 del Regolamento e quelli comunque riguardanti l'applicazione della normativa in materia di protezione dei dati personali, nonché il diritto al risarcimento del danno ai sensi dell'articolo 82 del medesimo regolamento, sono attribuite all'autorità giudiziaria ordinaria.

1-bis. Le controversie di cui al comma 1 sono disciplinate dall'articolo 10 del decreto legislativo 1° settembre 2011, n. 150”.

Come si evince, la previsione:

• stabilisce con molta precisione la cognizione del giudice ordinario;
• non si limita a coordinare gli artt. 78 e 79 GDPR con l'ordinamento processuale italiano, ma assoggetta altresì, con formulazione assorbente, alle medesime regole di rito qualsivoglia altro ricorso “comunque riguardant[e] l'applicazione della normativa in materia di protezione dei dati personali”, “nonché il diritto al risarcimento del danno ai sensi dell'articolo 82” GDPR.

Si tratta di una soluzione opportuna, che evita una frammentazione di riti altrimenti di difficile governo. Perfino istituti riconducibili concettualmente alla materia della protezione dei dati personali ma collocati in fonti diverse dal Codice privacy sono ugualmente attratti – appare a chi scrive – nell'alveo applicativo dell'art. 152. Tale vocazione omnicomprensiva della disposizione connotava anche la formulazione precedente, che le Sezioni unite hanno rilevato “non lascia[sse] margini a dubbi circa l'intentio legis di attribuire l'intera materia alla cognizione dell'AGO, senza eccezioni di sorta e senza che a ciò risulti di ostacolo la norma costituzionale di cui all'art. 103, più volte evolutivamente interpretata sia da questa stessa corte di legittimità” (Cass., SS.UU., 14 aprile 2011, n. 8487).

Lineamenti essenziali del rito speciale “privacy”

L'art. 152 Cod. priv. rimanda per i lineamenti concreti della disciplina processuale all'art. 10 d.lgs. 150/2011, che tratteggia un rito speciale ampiamente modellato su quello lavoristico. Va subito chiarito che viene in considerazione un primo grado giurisdizionale, avendo il provvedimento del Garante mera natura amministrativa, ne deriva perciò la cognizione piena del giudice sull'intero rapporto, cfr. Cass. 15 giugno 2020, n. 11481; Cass., 27 dicembre 2018, n. 33373; Cass., 10 aprile 2018, n. 8792; Cass., 9 gennaio 2017, n. 192; Cass., 17 agosto 2016, n. 17143. Va anche notato che il Giudice civile può annullare il provvedimento amministrativo del Garante e può altresì modificarlo in deroga all'articolo 4 della legge 20 marzo 1865, n. 2248, allegato E).

Esaminiamo rapidamente alcuni elementi fondamentali del rito, che sotto ogni altro profilo segue quello lavoristico: (i) termini; (ii) foro; (iii) occasioni di intervento del Garante; (iv) impugnazione.

(i) Termini – Il termine per l'impugnazione è di 30 giorni dalla comunicazione del provvedimento, entro tale data occorre pertanto depositare ricorso ai sensi degli artt. 152 Cod. priv. e 78 GDPR.

(ii) Foro – Elemento notevole, rispetto al testo dell'art. 10 d.lgs. 196/2003 anteriore alla menzionata novella del 2018, è la previsione di un foro individuato nel luogo di residenza dell'interessato alternativo a quello della sede del titolare del trattamento, che nella precedente formulazione della disposizione costituiva invece foro esclusivo di radicamento della controversia. Ciò permette di evitare la frammentazione in molteplici uffici giudiziari delle liti coinvolgenti una pluralità di titolari, come accadeva in passato, cfr. Cass., Sez. III, ord. 8 novembre 2007, n. 23280, con notevolissimo risparmio di energie processuali e rafforzata tutela dell'individuo. È necessario altresì notare che l'eventuale impugnazione di un'ordinanza-ingiunzione da parte di un responsabile del trattamento nei confronti del Garante appare radicabile esclusivamente nel foro del titolare del trattamento oppure, se del caso, in quello dell'interessato.

(iii) Occasioni di coinvolgimento del Garante – Sono previsti dal legislatore, ancorché scarsamente seguiti nella prassi, due momenti nei quali il Garante, che non sia parte (si pensi al ricorso al Giudice ordinario in via diretta, senza cioè una precedente fase amministrativa), è notiziato in merito al procedimento, per ragioni di opportunità di un suo eventuale coinvolgimento istituzionale, in una sorta di ruolo – appare corretto ritenere – assimilabile a quello dell'amicus curiae. Il primo di questi momenti è previsto dal comma sesto a cura di parte, il secondo è previsto dal comma nono a cura del Giudice. La ratio pare quella di permettere l'eventuale intervento dell'autorità di controllo nelle liti concernenti la materia di competenza istituzionale. La mancata notifica al Garante non appare comunque sanzionata da nullità.

(iv) Impugnazione – L'elemento processuale più notevole è il ricorso per saltum, ex lege, in Cassazione, non è cioè previsto il grado d'appello, risolvendosi l'intera valutazione di merito in un solo grado di giudizio. Ne risulta una struttura processuale celere ma penalizzante in termini di approfondimento, che pone serissimi dubbi di compatibilità con il diritto dell'Unione. L'autonomia del legislatore nazionale in ambito processuale incontra infatti due fondamentali limiti nei principi di effettività e di equivalenza, ove la materia contenziosa sia tra quelle disciplinate a livello unionale. In altre parole, l'ordinamento di uno Stato membro non può regolare in maniera deteriore la tutela di diritti riconosciuti dall'Unione rispetto a quella riservata agli istituti di derivazione nazionale. La generale regola dell'appellabilità delle sentenze, espressa all'art. 339 c.p.c. incontra qui invece una vistosa eccezione proprio in materia di matrice unionale. Non risulta, dalla giurisprudenza accessibile, che il rilievo sia mai stato coltivato finora.

A parte quanto detto, la disciplina segue sotto ogni altro profilo il rito del lavoro, ossia il procedimento regolato dalle norme della sezione II del capo I del titolo IV del libro secondo del codice di procedura civile, con la concentrazione e l'ampio potere di direzione riconosciuto al Giudice che ne derivano.

Sospensione dell'efficacia della sanzione e sua rimodulazione

Per completezza espositiva, giova notare che, oltre all'art. 10 appena commentato, sono almeno altre due le disposizioni del d.lgs. 150/2011 che trovano applicazione nel caso di ordinanza-ingiunzione:

• l'art. 5, che disegna una fase cautelare, per espresso richiamo all'art. 10;
• l'art. 6, quantomeno limitatamente al comma 12, in base a un orientamento formatosi nella giurisprudenza di legittimità, cfr. Cass., Sez. I, ord. 22 settembre 2023, n. 27189, e Sez. I, ord. 11 ottobre 2023, n. 28417.

Quanto all'art. 5 d.lgs. 150/11, tale disposizione permette di ottenere, a determinate condizioni, la sospensione dell'efficacia esecutiva dei provvedimenti del Garante, dunque, per quanto qui d'interesse, delle ordinanze-ingiunzioni. Si può ottenere la sospensione anche inaudita altera parte, ferma restando la conferma in contraddittorio alla prima udienza. Si evidenzia come siano diversi i presupposti nei due casi: per la sospensione inaudita altera parte occorre il “pericolo imminente di un danno grave e irreparabile”; per la sospensione o la conferma della sospensione in contraddittorio i requisiti sono quelli della sussistenza di “gravi e circostanziate ragioni”.

Quanto all'art. 6, il formante giurisprudenziale ha permesso di colmare un apparente vuoto normativo, ossia il potere del Giudice di non limitarsi alla conferma o all'annullamento della sanzione decisa dall'autorità amministrativa, ma di procedere altresì a una sua rimodulazione, fermo restando il minimo edittale, che tuttavia nella specie equivale allo zero. Cfr. Cass. civ. 27189/2023: “In tema di sanzioni amministrative per violazione delle norme relative ai dati personali, il coordinamento tra gli artt. 6 e 10 del d.lgs. n. 150/2011, applicabile alla specie in ragione dell'implicito richiamo contenuto nell'art. 166 del d.lgs. n. 196 del 2003, comporta che al procedimento di opposizione si applichi il comma 12 del predetto art. 6, con la conseguenza che, anche in materia di dati personali, il giudice, nell'accogliere l'opposizione, può annullare in tutto o in parte il provvedimento o modificarlo anche limitatamente all'entità della sanzione dovuta, la quale è determinata in una misura in ogni caso non inferiore al minimo edittale” (massima, sottolineature aggiunte).

È tuttavia assai dubbio che altri commi dell'art. 6 possano prevalere su quelli dell'art. 10 in caso di contrasto, ad esempio in merito all'individuazione del foro competente. Appare cioè corretto integrare l'art. 10 con le previsioni dell'art. 6 nella stretta misura in cui queste ultime appaiano compatibili.

Cassazione con rinvio o senza rinvio

Il rito speciale applicabile alle liti in materia di protezione dei dati personali segue nell'eventuale grado di legittimità le regole generali. Dunque qui, solo a titolo di completezza, giova brevemente ricordare che la regola generale in caso di accoglimento del ricorso per Cassazione, ai sensi dell'art. 383 c.p.c., è quella del rinvio al giudice di merito di pari grado a quello che ha pronunciato la sentenza cassata, nella specie il Tribunale, che dovrà attenersi ai principi di diritto chiariti in sede nomofilattica, dunque avrà cognizione limitata. Non viene qui in considerazione un caso di ricorso in Cassazione per saltum su accordo delle parti, dunque non sembra applicabile il secondo comma dell'art. 383 c.p.c., che consente la possibilità del rinvio al Giudice dell'appello.

Fissata la regola generale enunciata, va tuttavia notato che in alcuni casi è possibile una pronuncia senza rinvio per ragioni, tipizzate, di economia processuale. Sono le ipotesi dell'art. 382, comma 3 c.p.c. e dell'art. 384, comma 2 ult. periodo, c.p.c. A mente di tale ultima disposizione, la Corte, quando si pronuncia per falsa applicazione o violazione di norme o comunque risolve una questione di diritto di particolare importanza, enunciando il principio applicabile, “può decide[re] la causa nel merito qualora non siano necessari ulteriori accertamenti di fatto”.

In conclusione

I provvedimenti del Garante non hanno valore di cosa giudicata tra le parti, difettando l’Autorità di connotati giurisdizionali. Nondimeno, si tratta di provvedimenti idonei a cristallizzarsi ove non impugnati nel termine di 30 giorni dalla comunicazione. Esiste un rito speciale applicabile a ogni controversia comunque riguardante la materia della protezione dei dati personali, si segue pertanto il medesimo schema processuale tanto in caso di impugnazione di una decisione insoddisfacente su un reclamo (es. archiviazione) quanto nel caso di impugnazione di un’ordinanza-ingiunzione. A parte alcune particolarità discusse nel contributo, il rito segue nei lineamenti generali quello lavoristico, con la vistosa eccezione della mancanza del grado di appello, passaggio che desta, a parere di chi scrive, per le ragioni esposte, notevoli dubbi di conformità con la disciplina unionale.

Riferimenti

In dottrina sul tema: Luca Bolognini, commento all'art. 166 d.lgs. 196/03 in Bolognini-Pelino (a cura di), Codice della disciplina privacy, II^a ed., Giuffré, 2024; sia permesso altresì rimandare a Enrico Pelino, commento agli artt. 78-79 GDPR, 152 d.lgs. 196/03, 5 e 10 d.lgs. in Bolognini-Pelino cit..

Giurisprudenza citata: Cass., 16 settembre 2024, n. 24797; Cass., Sez. I, ord. 22.9.2023, n. 27189, e Sez. I, ord. 11.10.2023, n. 28417; Cass. 15 giugno 2020, n. 11481; Trib. Milano, Sez. I, sent. 4.4.2019, n. 3371; Cass., 27 dicembre 2018, n. 33373; Cass., 10 aprile 2018, n. 8792; Cass., 9 gennaio 2017, n. 192; Cass., 17 agosto 2016, n. 17143; Cass., SS.UU., 14.4.2011, n. 8487; Cass., Sez. III, ord. 8.11.2007, n. 23280; Cass., 25 giugno 2004, n. 11864; Cass., 20 maggio 2002, n. 7341.