Come l’IA scompone, rappresenta e recupera il linguaggio giuridico e perché questi meccanismi invisibili cambiano il modo di interrogare le banche dati e di redigere i prompt

Articolo estratto da un contributo in preparazione a cura dell’Avv. Annamaria Palumbo

1. Premessa: la sezione più tecnica con le implicazioni più sottovalutate

Tokenizzazione ed embedding sono, tra gli argomenti di questo modulo, i più lontani dall’esperienza immediata dell’avvocato. Non sono visibili nell’interfaccia di ChatGPT o di Claude: operano sotto la superficie, nel momento in cui il testo viene elaborato, in uno strato invisibile all’utente. Proprio per questa invisibilità, le loro implicazioni pratiche sono tra le più sistematicamente ignorate nella formazione professionale sull’IA.

L’avvocato che comprende la tokenizzazione sa perché il modello produce output di qualità inferiore su certi termini giuridici latini, perché alcune espressioni tecniche vengono rese in modo impreciso, e come strutturare i prompt per compensare queste debolezze strutturali. L’avvocato che comprende gli embedding sa perché la ricerca semantica trova concetti che la ricerca per parola chiave non trova, e perché non tutti i tool con ‘intelligenza artificiale’ nel nome sono ugualmente affidabili. L’avvocato che comprende il RAG sa quando fidarsi dell’output di uno strumento di analisi documentale e quando invece la fonte citata richiede verifica indipendente immediata.

Questi non sono dettagli tecnici di interesse accademico. Sono le fondamenta operative di una pratica professionale informata nell’era dell’IA.

2. La tokenizzazione: come un LLM scompone il testo giuridico

2.1 Che cosa è un token e perché importa

Quattro ragioni pratiche rendono la tokenizzazione rilevante per il giurista:

Prima ragione: la qualità della comprensione. Un termine rappresentato da un singolo token ha una rappresentazione semantica più ricca e stabile rispetto a un termine suddiviso in più frammenti. Il modello ‘conosce’ meglio le parole che ha visto frequentemente come unità intere durante l’addestramento. Il diritto italiano, essendo meno rappresentato nei corpora di addestramento rispetto al diritto inglese e americano, ha mediamente una qualità di tokenizzazione inferiore sui termini più tecnici e rari, con una conseguenza diretta sulla qualità degli output su quella terminologia.

Seconda ragione: i costi di elaborazione. I modelli commerciali addebitano il costo per numero di token processati, non per parole. Un testo in italiano occupa mediamente il 15-25% di token in più rispetto allo stesso testo in inglese, perché l’italiano ha parole mediamente più lunghe e meno frequenti nel corpus anglofono predominante. Per singoli utilizzi il costo aggiuntivo è trascurabile. Per operazioni su larga scala (analisi di corpus, due diligence su centinaia di documenti) l’impatto economico può diventare rilevante.

Terza ragione: i limiti della context window. Poiché la context window è misurata in token e non in parole, un testo in italiano occupa più spazio disponibile rispetto allo stesso testo in inglese. La stima comune di ‘700 token per pagina’ è quella che assume un testo in inglese standard; per un testo giuridico italiano denso, la stima prudente è 800-900 token per pagina. Questo modifica i calcoli di fattibilità per operazioni su documenti lunghi.

Quarta ragione: la tokenizzazione asimmetrica del lessico giuridico. I brocardi latini (elemento distintivo del linguaggio giuridico italiano) sono scarsamente presenti nei corpora di addestramento generali. Termini come ‘commodum eius esse debet cuius periculum est’ o ‘nemo plus iuris transferre potest quam ipse habet’ vengono tokenizzati in dieci o più frammenti, con una rappresentazione semantica frammentata che si traduce in output di qualità inferiore rispetto ai termini equivalenti in inglese. La strategia di compensazione (affiancare sempre il termine latino con il riferimento normativo italiano) è descritta nella tabella della sezione 2.3.

2.2 Il Byte Pair Encoding e la struttura del vocabolario

L’algoritmo di tokenizzazione più diffuso è il Byte Pair Encoding (BPE), usato da GPT-4 e dalla famiglia GPT; Claude usa varianti simili con risultati pratici analoghi. Il BPE parte dai singoli byte del testo e unisce progressivamente le coppie più frequenti, costruendo un vocabolario di dimensioni fisse (tipicamente 50.000-100.000 token) che bilancia copertura del lessico e compressione del testo.

Il risultato è che il vocabolario del modello contiene come token singoli tutte le parole ad alta frequenza nella lingua di addestramento (prevalentemente inglese), le radici più comuni delle parole meno frequenti, e frammenti di parole rare. Per il diritto italiano, questo significa che termini come ‘contratto’, ‘responsabilità’, ‘inadempimento’ sono tipicamente uno o due token; termini come ‘actio pauliana‘, ‘condictio indebiti‘, ‘fumus boni iuris‘ sono tre-sei token; formule complete come ‘rebus sic stantibus‘ sono quattro-cinque token. La differenza si traduce direttamente nella qualità dell’elaborazione semantica.

Come verificare empiricamente la tokenizzazione di un termine

OpenAI mette a disposizione uno strumento gratuito di visualizzazione all’indirizzo platform.openai.com/tokenizer . È possibile inserire qualsiasi testo giuridico e vedere esattamente come viene scomposto e quanti token occupa. Esercizio consigliato: inserire il testo di una clausola contrattuale tipica in italiano e confrontarlo con la traduzione in inglese. La differenza nel numero di token quantifica il markup del testo italiano rispetto all’inglese. Esercizio avanzato: inserire cinque brocardi latini di uso frequente e annotare il numero di token di ciascuno — la tabella della sezione successiva può essere verificata empiricamente con questo strumento.

2.3 La tokenizzazione del linguaggio giuridico latino: tabella dei 19 termini più usati

Il linguaggio giuridico italiano è caratterizzato da un uso frequente di brocardi e massime latine che rappresentano concetti tecnici precisi, sedimentati in secoli di tradizione giuridica romano-canonica. Questi termini sono scarsamente presenti nei corpora di testo generale su cui si addestrano i modelli commerciali di IA. La tabella seguente analizza diciannove termini di uso frequente nella pratica italiana, con indicazioni sulla tokenizzazione e sulle strategie di prompting che ottimizzano la qualità dell’output.

Tre osservazioni trasversali meritano di essere esplicitate:

Prima osservazione: la frequenza nei dati di addestramento è più importante della lunghezza del termine. Un termine breve ma raro può avere rappresentazione semantica più povera di un termine lungo ma frequente. La prima strategia di prompting per i termini rari è sempre affiancare il riferimento normativo: non ‘actio pauliana’ ma ‘azione revocatoria (actio pauliana) ex art. 2901 c.c.’.

Seconda osservazione: il modello tende strutturalmente a traslare verso il diritto angloamericano. Molti brocardi latini hanno equivalenti nel common law (‘res iudicata’ corrisponde a ‘issue preclusion/claim preclusion’, ‘in dubio pro reo’ corrisponde a ‘beyond reasonable doubt standard’). Poiché i dati anglofoni sono preponderanti nel training corpus, il modello può applicare inconsapevolmente la variante angloamericana del principio anche in contesto italiano. La specificazione esplicita del sistema giuridico italiano e del riferimento codicistico nel prompt è la contromisura sistematica.

Terza osservazione: i termini processuali specifici del rito italiano richiedono sempre contestualizzazione. Termini come ‘domanda riconvenzionale’, ‘regolamento di competenza’, ‘opposizione di terzo’, ‘revocazione’, ‘efficacia ultrattiva del giudicato’ non hanno equivalenti diretti in altri sistemi e devono essere sempre accompagnati dal riferimento al codice di procedura civile italiano per evitare output che mescolano i diversi sistemi processuali.

La guida del CCBE sull’uso dell’intelligenza artificiale generativa da parte degli avvocati ha l’obiettivo di aumentare la consapevolezza degli avvocati riguardo alla GenAI, illustrandone gli usi attuali nella pratica legale, i vantaggi e i rischi potenziali. La guida si concentra sugli obblighi professionali degli avvocati, in particolare sulla riservatezza, competenza, indipendenza, trasparenza e conflitti di interesse, e fornisce indicazioni per un uso responsabile della tecnologia.

Viene spiegato che la GenAI si distingue per la capacità di generare nuovi contenuti (testo, immagini, audio, video) e che, nell’Unione Europea, è considerata una sottocategoria dei sistemi di IA, regolata dalla Legge sull’IA basata sul rischio. La guida evidenzia la crescente diffusione della GenAI tra gli avvocati, soprattutto per ricerca giuridica, revisione documentale, redazione di memorie e corrispondenza, sottolineando i benefici in termini di efficienza, qualità del lavoro, risparmio di tempo e costi, e miglioramento dell’accesso alla giustizia.

Tuttavia, la guida mette in guardia sui rischi associati all’uso della GenAI, quali la possibile esposizione di dati riservati, le “allucinazioni” (informazioni false o inesatte generate dall’IA), i bias e la compiacenza, la mancanza di trasparenza nei processi decisionali dell’IA, le problematiche di proprietà intellettuale, i rischi di sicurezza informatica e le minacce di frode, come deepfake e identità sintetiche.

Gli avvocati sono invitati a rispettare rigorosamente gli obblighi di riservatezza, evitando di inserire dati sensibili nei sistemi GenAI senza adeguate garanzie, e a mantenere la competenza professionale aggiornandosi sulle tecnologie e verificando sempre gli output generati. L’indipendenza professionale deve essere preservata evitando di farsi influenzare dai bias dell’IA o di dipendere eccessivamente dagli strumenti. La trasparenza verso i clienti è fondamentale, soprattutto quando l’uso della GenAI potrebbe essere oggetto di riserve o condizioni da parte loro. Inoltre, è necessario vigilare sui potenziali conflitti di interesse derivanti dall’uso condiviso di dati riservati.

Infine, la guida sottolinea l’importanza di monitorare le evoluzioni tecnologiche e normative future, con particolare attenzione all’autoregolamentazione della professione, alla formazione continua, alla tutela delle competenze tradizionali, all’uso dei dati pubblici per l’addestramento della GenAI e ai rischi crescenti di frode e manipolazione. Pur mantenendo invariati i principi fondamentali della professione legale, la guida invita a un costante adattamento per garantire un uso etico e consapevole della GenAI nella pratica forense.

Qui sotto la versione originale e di seguito la versione tradotta a cura dell’Ufficio di Rappresentanza del CNF a Bruxelles.

Il Garante per la protezione dei dati personali ha disposto un divieto immediato ad Amazon Italia Logistica srl di trattare i dati personali di oltre 1800 lavoratori dello stabilimento di Passo Corese. .

Le informazioni raccolte riguardavano patologie specifiche, attività sindacali, scioperi e dettagli sulla vita privata e familiare dei dipendenti, conservate fino a 10 anni e accessibili a numerosi manager tramite una piattaforma collegata al sistema di rilevazione delle presenze.

Questa pratica è stata ritenuta illegittima perché viola la normativa che limita il trattamento ai soli dati rilevanti per la valutazione dell’attitudine professionale.

Inoltre, Amazon dovrà interrompere l’uso di telecamere posizionate vicino a bagni e aree ristoro riservate ai lavoratori. Il divieto si estende anche ad altri centri logistici dove la piattaforma viene utilizzata in modo analogo.

L’intervento del Garante è scaturito da ispezioni svolte a febbraio 2026 con l’Ispettorato nazionale del lavoro e la Guardia di finanza, e l’istruttoria è ancora in corso per ulteriori approfondimenti.

Il provvedimento del 4 dicembre 2025 rappresenta un importante intervento del Garante volto a tutelare i diritti alla privacy nell’ambito dell’adozione di tecnologie di sorveglianza da parte delle forze di polizia locali. La complessità e la delicatezza del trattamento dei dati personali con finalità di polizia richiedono rigorose valutazioni di impatto e misure di sicurezza avanzate, affinché tali strumenti siano utilizzati nel pieno rispetto della normativa e della tutela degli interessati.

Il 4 dicembre 2025, il Garante per la protezione dei dati personali ha emesso il provvedimento n. 743 riguardante la valutazione di impatto sulla protezione dei dati personali (DPIA) relativa al sistema di videocamere operative individuali (body cam) destinato agli agenti della Polizia Locale del Comune di Pescara.

Contesto normativo e oggetto della valutazione

Il provvedimento si basa sul Regolamento UE 2016/679 (GDPR), sul Codice in materia di protezione dei dati personali (D.lgs. 196/2003 e successive modifiche) e sulla direttiva UE 2016/680, recepita dal D.lgs. 51/2018, che disciplina il trattamento dei dati personali da parte delle autorità competenti per finalità di prevenzione, indagine e accertamento di reati.

Il Comune di Pescara aveva presentato al Garante una quarta versione della DPIA, redatta in risposta a precedenti osservazioni, con l’obiettivo di implementare un sistema di body cam per gli agenti della Polizia Locale, finalizzato alla raccolta di prove nell’ambito delle attività di pubblica sicurezza e polizia giudiziaria.

Principali caratteristiche del sistema e trattamento dei dati

Il sistema prevede l’uso di videocamere portatili da parte di agenti specificamente autorizzati, con registrazioni in luoghi pubblici e privati in circostanze legittimate dalla legge, quali situazioni di pericolo, arresti in flagranza, perquisizioni e altre attività di polizia giudiziaria. Le immagini registrate sono destinate ad acquisire prove, proteggere l’incolumità degli operatori e garantire i diritti di difesa.

I dati trattati includono immagini video, dati temporali e geolocalizzazione (GPS), senza l’uso di tecnologie di riconoscimento facciale. Le registrazioni devono essere conservate per un massimo di 24 ore in assenza di fatti criminosi, e fino a 7 giorni o oltre se trasmesse all’Autorità Giudiziaria.

Il trattamento è fondato su basi giuridiche specifiche, tra cui l’articolo 6 del GDPR (interesse pubblico) e il D.lgs. 51/2018, con riferimento anche al decreto-legge n. 14/2017 in materia di sicurezza urbana.

Criticità evidenziate dal Garante

Nonostante l’evoluzione della DPIA, il Garante ha sottolineato numerose criticità persistenti:

• Ambiguità e riferimenti contraddittori alle fonti normative, con confusione tra Regolamento UE e Decreto specifico per finalità di polizia.
• Mancata indicazione della durata di conservazione dei log delle operazioni sul sistema.
• Assenza di spiegazioni riguardo alla presenza di SIM nelle body cam, sollevando dubbi sulla trasmissione e sicurezza dei dati.
• Insufficiente documentazione tecnica e chiarimenti relativi alla sicurezza informatica, in particolare sul sistema cloud utilizzato, la gestione delle chiavi crittografiche e la possibilità di accesso remoto da Paesi terzi, che potrebbe configurare un trasferimento illecito di dati.
• Inadeguatezza delle misure organizzative per la tempestiva cancellazione delle registrazioni non necessarie, con previsione di rinvii per turnazioni o festività ritenuti non giustificati.
• Discrepanze nelle modalità di conservazione dei dati tra DPIA e Disciplinare, con descrizioni generiche e non dettagliate delle misure di sicurezza adottate.

Esito del provvedimento

Alla luce delle persistenti lacune e dei rischi per la protezione dei dati personali degli interessati, il Garante ha espresso parere non favorevole alla DPIA presentata dal Comune di Pescara per il sistema body cam destinato alla Polizia Locale.

Il provvedimento invita pertanto il Comune a fornire ulteriori chiarimenti, documentazioni tecniche e ad adottare misure correttive per garantire la conformità del trattamento alle normative vigenti in materia di privacy e protezione dei dati personali.

✍️ Punti chiave da considerare per i Comuni e gli enti locali:

🔹 Valutazione DPIA rigorosa: trattandosi di trattamento ad alto rischio, la DPIA deve essere redatta con approfondimento tecnico, documentazione puntuale e inviata preventivamente al Garante. Una DPIA incompleta o generica espone l’ente a pareri non favorevoli e quindi a potenziali responsabilità.

🔹 Chiarezza delle basi giuridiche: occorre un’attenta lettura delle norme di riferimento (GDPR art. 6, D.lgs. 51/2018, ecc.) e degli scenari di utilizzo legittimo delle riprese.

🔹 Misure di sicurezza e trasferimenti di dati: il caso ha evidenziato criticità tecniche quali l’assenza di specifiche sulla sicurezza informatica, la gestione delle chiavi crittografiche, la presenza di SIM e la possibilità di accessi da Paesi terzi. Questi aspetti possono determinare un trattamento non conforme e il rigetto della DPIA.

🔹 Conservazione e proporzionalità: è fondamentale definire in modo trasparente i periodi di conservazione e le condizioni di cancellazione dei dati non pertinenti alle finalità istituzionali.

👉 Prima di implementare sistemi di body-cam, è pertanto opportuno:

• verificare i presupposti di liceità e proporzionalità;
• aggiornare i disciplinari interni;
• coinvolgere il Responsabile della protezione dei dati (DPO/RPD) fin dalle fasi progettuali.

---

#Privacy #GarantePrivacy #Bodycam #PoliziaLocale #ComuniMarche #ComuniUmbria #SegretariComunali #GDPR #ProtezioneDeiDati #DPIA #InnovazionePA #DPO

Testo Unico in materia di tutela della salute e della sicurezza sul lavoro – Decreto Legislativo 9 aprile 2008, n. 81

Questo contenuto fa parte di un ebook in corso di pubblicazione, visita la sezione Free-ebook per aggiornamenti.

1. Il lavoratore: la nozione “universale” di creditore di sicurezza

1.1. La definizione normativa

  L’art. 2, comma 1, lett. a), definisce il “lavoratore” come la “persona che, indipendentemente dalla tipologia contrattuale, svolge un’attività lavorativa nell’ambito dell’organizzazione di un datore di lavoro pubblico o privato, con o senza retribuzione, anche al solo fine di apprendere un mestiere, un’arte o una professione, esclusi gli addetti ai servizi domestici e familiari”.

  Tale definizione rappresenta uno dei tratti più innovativi del T.U. rispetto alla normativa previgente, segnando il definitivo superamento dell’ancoraggio della tutela prevenzionistica al solo rapporto di lavoro subordinato. La nozione accolta dal legislatore del 2008 è, infatti, espressamente sganciata dalla tipologia contrattuale e si fonda su un criterio sostanziale: l’inserimento funzionale del prestatore nell’organizzazione del datore di lavoro.

1.2. Gli elementi costitutivi della nozione

  La definizione si articola su alcuni elementi qualificanti:

a) L’indifferenza della tipologia contrattuale. L’inciso “indipendentemente dalla tipologia contrattuale” costituisce il cuore della nozione universalistica di lavoratore. Il legislatore ha inteso ricomprendere nella tutela prevenzionistica ogni forma di integrazione del prestatore nell’organizzazione datoriale, a prescindere dalla qualificazione giuridica del rapporto: lavoro subordinato a tempo indeterminato o determinato, part-time, intermittente, in somministrazione, ma anche lavoro autonomo coordinato, associazione in partecipazione, tirocinio.

b) L’inserimento nell’organizzazione datoriale. Il criterio discretivo è costituito dallo svolgimento dell’attività “nell’ambito dell’organizzazione di un datore di lavoro”. Tale elemento individua il perimetro della tutela: è lavoratore ai fini prevenzionistici chi opera all’interno di un’organizzazione altrui, esponendosi ai rischi che da essa promanano. Il criterio organizzativo sostituisce quello della subordinazione giuridica, tradizionalmente fondato sul potere direttivo e disciplinare del datore di lavoro.

c) L’irrilevanza della retribuzione. La locuzione “con o senza retribuzione” estende la tutela anche a chi presta attività a titolo gratuito, purché nell’ambito di un’organizzazione altrui. Vengono così inclusi i volontari, i tirocinanti non retribuiti, gli allievi in formazione.

d) La finalità formativa. L’inciso “anche al solo fine di apprendere un mestiere, un’arte o una professione” conferma l’inclusione di tutte le forme di apprendimento in contesto lavorativo: dall’apprendistato ai tirocini, dalla formazione professionale all’alternanza scuola-lavoro.

1.3. I soggetti equiparati

  La seconda parte della lett. a) elenca le figure espressamente equiparate al lavoratore ai fini prevenzionistici:

• il socio lavoratore di cooperativa o di società, anche di fatto, che presta la sua attività per conto della società o dell’ente;
• l’associato in partecipazione di cui all’art. 2549 c.c. (figura ora abrogata dal D. Lgs. n. 81/2015 ma rilevante per i rapporti pregressi);
• il tirocinante beneficiario delle iniziative di tirocini formativi e di orientamento;
• l’allievo degli istituti di istruzione e universitari e il partecipante ai corsi di formazione professionale, limitatamente ai periodi di effettivo utilizzo di laboratori, attrezzature, agenti chimici, fisici e biologici;
• il volontario nei limiti di cui all’art. 3-bis;
• il lavoratore socialmente utile di cui al D. Lgs. n. 468/1997.

1.4. L’unica esclusione: i lavoratori domestici

  L’art. 2, comma 1, lett. a), esclude espressamente dalla nozione di lavoratore “gli addetti ai servizi domestici e familiari”. L’esclusione trova giustificazione nella peculiarità del contesto domestico, caratterizzato dalla coincidenza tra ambiente di lavoro e ambiente di vita familiare del datore di lavoro, nonché dalla difficoltà di applicare le ordinarie misure di prevenzione in tale contesto.

  Va tuttavia precisato che l’esclusione riguarda l’applicazione delle disposizioni del T.U., ma non esonera il datore di lavoro domestico dall’obbligo generale di sicurezza di cui all’art. 2087 c.c., che continua a trovare applicazione anche nei confronti dei collaboratori domestici.

1.5. La ratio dell’universalità soggettiva

  La scelta del legislatore di adottare una nozione così ampia di lavoratore risponde a precise esigenze di politica del diritto:

• sul piano costituzionale, essa attua il principio di uguaglianza sostanziale (art. 3, comma 2, Cost.) e il diritto alla salute (art. 32 Cost.), che non tollerano discriminazioni fondate sulla tipologia contrattuale;
• sul piano europeo, essa recepisce l’orientamento della direttiva quadro 89/391/CEE, che adotta una nozione funzionale di lavoratore;
• sul piano sistematico, essa risponde all’evoluzione del mercato del lavoro, caratterizzato dalla proliferazione di forme contrattuali atipiche e dalla crescente difficoltà di tracciare confini netti tra lavoro subordinato e autonomo.

BOX GIURISPRUDENZIALE

La nozione di lavoratore nella giurisprudenza: universalità della tutela e criteri applicativi

La giurisprudenza di legittimità ha costantemente ribadito l’ampiezza della nozione di lavoratore ai fini prevenzionistici, valorizzando il criterio dell’inserimento nell’organizzazione datoriale rispetto alla qualificazione formale del rapporto.

Sul criterio dell’inserimento organizzativo. La Cassazione penale ha affermato che “le norme di prevenzione degli infortuni sul lavoro si applicano a favore di chiunque ponga in essere una prestazione lavorativa in senso lato, sicché la tutela, oltre a riguardare i lavoratori subordinati, si estende a tutte le persone che vengano a trovarsi in situazioni di pericolo connesse all’attività esercitata, a prescindere dall’eventuale mancato perfezionamento di un contratto e dall’episodicità della prestazione” (Cass. pen., Sez. VI, sent. 10 maggio 2011, n. 18078, disponibile su https://olympus.uniurb.it).

Sull’estensione ai terzi. In una pronuncia significativa, la Suprema Corte ha precisato che *”il datore di lavoro ha l’obbligo di garantire la sicurezza sul luogo di lavoro per tutti i soggetti che prestano la loro opera nell’impresa, senza distinguere tra lavoratori subordinati e persone estranee all’ambito imprenditoriale” (Cass. pen., Sez. IV, sent. 16 febbraio 2015, n. 6723, disponibile su https://olympus.uniurb.it.).

Sui tirocinanti. Con riferimento ai soggetti in formazione, la giurisprudenza ha chiarito che “l’equiparazione del tirocinante al lavoratore ai fini della normativa antinfortunistica comporta che il datore di lavoro è tenuto ad adottare tutte le misure di prevenzione e protezione previste dalla legge, compresa la valutazione dei rischi specifici connessi all’attività formativa” (Cass. pen., Sez. IV, sent. 22 ottobre 2004, n. 3444).

Sul lavoro irregolare. Particolarmente rilevante è l’orientamento secondo cui la tutela prevenzionistica prescinde dalla regolarità del rapporto: “l’obbligo di sicurezza grava sul datore di lavoro anche nei confronti dei lavoratori ‘in nero’, atteso che la finalità protettiva della normativa antinfortunistica non può essere vanificata dall’irregolarità del rapporto, che anzi ne aggrava la posizione sotto il profilo della colpa” (Cass. pen., Sez. IV, sent. 16 febbraio 2015, n. 6723, cit.).

Questo contenuto fa parte di un ebook in corso di pubblicazione, visita la sezione Free-ebook per aggiornamenti.

Guida operativa ai procedimenti e alle tutele dell’interessato

Abstract: Il presente contributo analizza in modo sistematico il contenzioso in materia di protezione dei dati personali, esaminando le procedure amministrative davanti al Garante Privacy e il rito del lavoro dinanzi all’Autorità giudiziaria ex art. 10 del D.Lgs. 150/2011. L’analisi tiene conto delle recenti evoluzioni normative, tra cui il Regolamento del Garante n. 1/2019, nonché della giurisprudenza più recente della Cassazione in tema di termini perentori dei procedimenti sanzionatori.

1. INTRODUZIONE

La tutela dei diritti in materia di protezione dei dati personali si articola secondo un sistema bifasico che consente all’interessato di scegliere tra due percorsi procedurali distinti: il ricorso amministrativo (reclamo) al Garante per la protezione dei dati personali, oppure il ricorso all’autorità giudiziaria ordinaria. Tale biforcazione procedurale, codificata dall’art. 140-bis del Codice Privacy (D. Lgs. 196/2003 come modificato dal D. Lgs. 101/2018) e dall’art. 79 del GDPR, rappresenta una peculiarità del sistema italiano che richiede un’attenta valutazione strategica da parte dei professionisti del settore.

È fondamentale sottolineare che i due percorsi sono alternativi ed esclusivi: ai sensi dell’art. 140-bis del Codice, “il reclamo al Garante non può essere proposto se, per il medesimo oggetto e tra le stesse parti, è stata già adita l’autorità giudiziaria”. Tale preclusione opera anche in senso inverso: la presentazione di un reclamo al Garante impedisce il successivo ricorso giudiziario, salvo il decorso infruttuoso dei termini di decisione previsti dalla legge.

2. IL PROCEDIMENTO DAVANTI AL GARANTE PRIVACY

2.1. Il reclamo: natura e presupposti

Il reclamo al Garante, disciplinato dagli artt. 77 del GDPR e 141 ss. del Codice Privacy, nonché dal Regolamento del Garante n. 1/2019, costituisce uno strumento di tutela amministrativa gratuito a disposizione dell’interessato che lamenta una violazione della normativa in materia di protezione dei dati personali.

Secondo quanto previsto dal Regolamento 1/2019 (disponibile sul sito del Garante), il reclamo deve essere presentato in forma scritta e deve contenere una serie di indicazioni essenziali, quali:

• i fatti e le circostanze su cui si fonda il reclamo;

• le disposizioni del GDPR o del Codice che si presumono violate;

• le misure richieste;

• gli estremi identificativi del titolare o del responsabile del trattamento.

2.1.1. L’istruttoria preliminare

Una volta ricevuto il reclamo, il Garante avvia un’istruttoria preliminare che si conclude entro 3 mesi dalla data di ricezione. Durante questa fase, l’Autorità verifica la sussistenza degli elementi costitutivi della presunta violazione e richiede eventuali chiarimenti sia al reclamante che al titolare del trattamento.

È importante evidenziare che l’istruttoria può concludersi con:

a) archiviazione, qualora non ricorrano i presupposti per l’adozione di provvedimenti;

b) avvio del procedimento per l’adozione di provvedimenti correttivi e/o sanzionatori.

2.2. Il procedimento sanzionatorio

Qualora l’istruttoria preliminare evidenzi profili di violazione della disciplina privacy, il Garante comunica formalmente al titolare o al responsabile del trattamento l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del GDPR e/o per l’irrogazione delle sanzioni amministrative di cui all’art. 83 del GDPR.

2.2.1. Il diritto di difesa

La comunicazione di avvio del procedimento contiene:

• i fatti contestati e le presunte violazioni;

• l’indicazione dell’unità organizzativa presso la quale è possibile prendere visione degli atti;

• l’avviso che entro 30 giorni è possibile depositare memorie difensive e/o richiedere l’audizione.

Il termine di 30 giorni può essere prorogato su istanza motivata, di norma per ulteriori 15 giorni, secondo criteri di proporzionalità. L’audizione, ove richiesta, si svolge presso la sede del Garante e consente all’interessato di farsi assistere da un legale o da un consulente tecnico.

2.2.2. Termini di decisione e tutele

Il Garante deve concludere il procedimento entro 9 mesi dalla data di presentazione del reclamo. Qualora entro tale termine l’Autorità non abbia adottato una decisione, l’interessato può proporre ricorso all’autorità giudiziaria entro 30 giorni dalla scadenza, in deroga al principio di alternatività dei rimedi.

Recentemente, la Corte di Cassazione con sentenza n. 759/2025 del 16 dicembre 2025 ha chiarito che anche il termine di 120 giorni per la conclusione del procedimento sanzionatorio, stabilito dal regolamento interno del Garante, ha natura perentoria. Il superamento di tale termine comporta la consumazione del potere sanzionatorio dell’Autorità, determinando l’annullamento del provvedimento adottato oltre il termine.

2.3. I provvedimenti del Garante

All’esito del procedimento, il Garante può adottare diversi tipi di provvedimenti:

Tipologia	Contenuto
Provvedimenti correttivi	Ordine di cessazione del trattamento illecito, cancellazione dei dati, limitazione del trattamento, divieto di ulteriore trattamento (art. 58, par. 2, lett. f, g, h, i GDPR)
Sanzioni pecuniarie	Applicazione delle sanzioni amministrative pecuniarie ex art. 83 GDPR e art. 166 Codice Privacy, con importi fino a 20 milioni di euro o fino al 4% del fatturato mondiale annuo
Sanzioni accessorie	Pubblicazione del provvedimento sul sito istituzionale del Garante (art. 166, comma 7, Codice Privacy)
Archiviazione	Dichiarazione di infondatezza del reclamo o insussistenza dei presupposti per l’adozione di provvedimenti

L’ordinanza-ingiunzione che irroga la sanzione pecuniaria è impugnabile dinanzi all’autorità giudiziaria ordinaria secondo le modalità che verranno illustrate nel successivo paragrafo 3.

3. IL CONTENZIOSO GIURISDIZIONALE

3.1. Il ricorso all’autorità giudiziaria

L’interessato può scegliere di rivolgersi direttamente all’autorità giudiziaria ordinaria, senza preventiva presentazione del reclamo al Garante, per far valere le violazioni della disciplina privacy. Tale opzione si rivela particolarmente opportuna quando:

• si intende ottenere il risarcimento del danno patrimoniale e/o non patrimoniale;

• è necessaria una tutela cautelare urgente;

• la controversia presenta profili di particolare complessità tecnica o giuridica;

• si desidera beneficiare di istruttoria probatoria completa.

3.1.1. Il rito del lavoro: disciplina applicabile

L’art. 10 del D. Lgs. 150/2011 stabilisce in modo inequivocabile che le controversie in materia di privacy sono regolate dal rito del lavoro (artt. 409 ss. c.p.c.). Tale previsione costituisce un’importante deroga ai riti ordinari e si applica a tutte le controversie previste dall’art. 152 del Codice Privacy, che comprendono:

• opposizione ai provvedimenti del Garante;

• ricorsi per violazioni della normativa privacy;

• azioni di risarcimento del danno ex art. 82 GDPR;

• qualunque controversia riguardante l’applicazione delle disposizioni in materia di protezione dei dati personali.

Il rito del lavoro si caratterizza per:

• concentrazione processuale: fissazione ravvicinata dell’udienza di discussione;

• poteri officiosi del giudice: il giudice può disporre d’ufficio mezzi di prova;

• limitazione per il contenzioso privacy dei gradi di giudizio: come vedremo, nel contenzioso privacy la sentenza di primo grado è inappellabile;

• esecutività immediata: la sentenza è provvisoriamente esecutiva.

3.1.2. Competenza territoriale

L’art. 10, comma 2, del D. Lgs. 150/2011 prevede una competenza territoriale alternativa. Il ricorso può essere proposto presso:

• il Tribunale del luogo in cui il titolare del trattamento risiede o ha sede; oppure

• il Tribunale del luogo di residenza dell’interessato.

Tale previsione, in linea con l’art. 79, par. 2, del GDPR, consente all’interessato di scegliere il foro più conveniente, facilitando l’accesso alla giustizia.

3.2. L’opposizione ai provvedimenti del garante

Avverso i provvedimenti del Garante (sia correttivi che sanzionatori) è possibile proporre opposizione all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice Privacy e 10 del D.Lgs. 150/2011. Il procedimento segue il rito del lavoro.

3.2.1. Termini e modalità

Il ricorso deve essere proposto entro 30 giorni dalla comunicazione del provvedimento (60 giorni se il ricorrente risiede all’estero). Il termine è perentorio a pena di inammissibilità del ricorso (art. 10, comma 3, D.Lgs. 150/2011).

Il procedimento si caratterizza per:

• fissazione dell’udienza di comparizione delle parti secondo il rito del lavoro;

• possibilità di disporre misure cautelari e tutela d’urgenza (art. 10, comma 4);

• decisione con sentenza immediatamente esecutiva;

• sentenza non appellabile: è possibile solo il ricorso per Cassazione (art. 10, comma 10, D.Lgs. 150/2011).

3.2.2. Effetti dell’opposizione e poteri del giudice

L’opposizione al provvedimento del Garante:

• non sospende automaticamente l’efficacia del provvedimento impugnato;

• l’interessato può richiedere al giudice la sospensione cautelare dell’esecutività;

• il giudice può confermare, modificare o annullare il provvedimento del Garante.

Importante: l’art. 10, comma 9, del D. Lgs. 150/2011 attribuisce al giudice ampi poteri, consentendogli di prescrivere le misure necessarie anche in deroga al divieto di cui all’art. 4 della legge 20 marzo 1865, n. 2248, allegato E) (divieto per il giudice ordinario di revocare o modificare atti amministrativi). Ciò significa che il giudice può intervenire anche sull’atto del soggetto pubblico titolare o responsabile dei dati.

3.3. L’azione di risarcimento del danno

L’art. 82 del GDPR riconosce a chiunque abbia subito un danno materiale o immateriale causato da una violazione del Regolamento il diritto di ottenere il risarcimento dal titolare del trattamento o dal responsabile. L’azione risarcitoria, anch’essa regolata dal rito del lavoro ex art. 10 D. Lgs. 150/2011, può essere proposta:

a) contestualmente al ricorso per violazione privacy;

b) in via autonoma, anche dopo la conclusione del procedimento davanti al Garante;

c) anche qualora il Garante abbia archiviato il reclamo.

È importante evidenziare che la giurisprudenza riconosce la risarcibilità anche del danno non patrimoniale derivante da violazioni privacy, anche in assenza di conseguenze economiche dirette, qualora sia provato un pregiudizio alla dignità, alla reputazione o alla sfera personale dell’interessato.

4. ASPETTI PROCEDURALI E STRATEGICI

4.1. La scelta del foro: Garante o AGO

La scelta tra il ricorso al Garante e quello all’autorità giudiziaria richiede un’attenta valutazione strategica basata su diversi fattori:

Criterio	Reclamo al Garante	Ricorso all’AGO (rito del lavoro)
Costi	Gratuito	Contributo unificato + spese legali
Tempi	Massimo 9 mesi (termine perentorio)	Tempi del rito del lavoro (generalmente più rapidi del rito ordinario)
Tutele ottenibili	Provvedimenti inibitori, sanzioni amministrative, ordini di cancellazione (NO risarcimento del danno)	Risarcimento del danno, tutela cautelare, provvedimenti d’urgenza, misure inibitorie
Istruttoria	Prevalentemente documentale, con poteri officiosi del Garante	Istruttoria completa con prove testimoniali, CTU, accertamenti tecnici, poteri officiosi del giudice
Impugnabilità	Opposizione dinanzi all’AGO entro 30 giorni	Sentenza NON appellabile – solo ricorso per Cassazione

4.2. La litispendenza e il divieto di cumulo

L’art. 140-bis del Codice Privacy stabilisce un rigido principio di alternatività tra i due rimedi. Tuttavia, la giurisprudenza ha chiarito che la litispendenza opera solo quando sussistono contestualmente:

• identità soggettiva (le stesse parti);

• identità di petitum (la stessa richiesta);

• identità di causa petendi (gli stessi fatti costitutivi della domanda).

Come recentemente confermato dal Garante nel Provvedimento del 21 maggio 2025 (doc. web n. 10143261), non sussiste litispendenza quando il ricorso giudiziario ha ad oggetto questioni diverse (ad esempio, l’impugnazione di un licenziamento) rispetto al reclamo al Garante (ad esempio, la violazione privacy nel procedimento disciplinare). In tali casi, i due procedimenti possono proseguire parallelamente.

4.3. Il rapporto tra procedimento privacy e rito del lavoro

Una questione di particolare rilevanza pratica riguarda il coordinamento tra il contenzioso privacy e le controversie di lavoro. Secondo la giurisprudenza consolidata, il Garante conserva piena competenza ad accertare le violazioni della disciplina privacy anche quando i fatti si inseriscono nel contesto di un rapporto di lavoro già oggetto di giudizio.

Come chiarito nel Provvedimento del 24 aprile 2024 (n. 268, doc. web n. 10021491), costituisce violazione privacy l’utilizzo, nell’ambito di un procedimento disciplinare, di dati relativi alla vita privata del dipendente ottenuti mediante controlli non autorizzati, anche se tali dati sono successivamente utilizzati in un giudizio di impugnazione del licenziamento. L’illiceità del trattamento rimane indipendente dall’esito del giudizio del lavoro.

L’applicazione del rito del lavoro a tutte le controversie privacy (ex art. 10 D. Lgs. 150/2011) garantisce uniformità procedimentale e consente un efficace coordinamento tra le diverse tutele.

5. NOVITÀ NORMATIVE E GIURISPRUDENZIALI RECENTI

5.1. La sentenza della Cassazione sui termini perentori (2025)

La Corte di Cassazione, con la sentenza n. 759/2025 del 16 dicembre 2025, ha affermato un principio di fondamentale importanza: il termine di 120 giorni previsto dal regolamento interno del Garante per la conclusione del procedimento sanzionatorio ha natura perentoria. Il superamento di tale termine comporta la consumazione del potere dell’Autorità e l’annullamento del provvedimento adottato oltre il termine.

Questa pronuncia ha rilevanti implicazioni pratiche:

• i titolari del trattamento possono eccepire l’intempestività del provvedimento sanzionatorio nell’opposizione giurisdizionale;

• il rispetto dei termini diventa requisito di legittimità del provvedimento;

• aumentano le possibilità di successo delle opposizioni fondate su profili procedurali.

5.2. L’inappellabilità della sentenza ex art. 10 d. Lgs. 150/2011

Un aspetto di fondamentale rilevanza è costituito dall’inappellabilità della sentenza emessa all’esito del giudizio in materia privacy. L’art. 10, comma 10, del D. Lgs. 150/2011 stabilisce espressamente che la sentenza che definisce il giudizio non è appellabile, essendo esperibile solo il ricorso per Cassazione per i motivi di cui all’art. 360 c.p.c.

Tale previsione comporta che:

• il giudizio di primo grado assume carattere sostanzialmente definitivo sul merito;

• è fondamentale curare con particolare attenzione la fase di primo grado;

• l’istruttoria probatoria deve essere completa sin dalla prima fase;

• la strategia difensiva deve essere calibrata tenendo conto dell’impossibilità di un riesame nel merito in appello.

5.3. Evoluzione della prassi del Garante

L’analisi dei provvedimenti del Garante pubblicati nel 2024 e 2025 evidenzia alcune tendenze significative:

1. Maggiore rigore nell’accertamento del principio di accountability: il Garante richiede sempre più spesso la dimostrazione documentale delle misure adottate dal titolare per garantire la compliance (cfr. Provv. 4 giugno 2025, doc. web n. 10143278);

2. Attenzione crescente alla gestione dei rapporti con i responsabili del trattamento: viene sanzionata non solo l’assenza di contratti ex art. 28 GDPR, ma anche la loro inadeguatezza e il carente controllo sull’operato dei responsabili;

3. Tutela rafforzata dei minori: particolare severità nelle violazioni che coinvolgono dati di minori, anche in contesti sportivi o associativi (cfr. Provv. 17 luglio 2025, doc. web n. 10172356);

4. Valorizzazione del double opt-in per il marketing digitale: pur non essendo formalmente obbligatorio, viene considerato dal Garante come misura minima di protezione e come elemento di prova della liceità del consenso.

6. CONCLUSIONI E BEST PRACTICES

Il contenzioso in materia di privacy richiede una conoscenza approfondita sia degli strumenti di tutela amministrativa che di quelli giurisdizionali. La scelta del rimedio più appropriato deve tenere conto di molteplici fattori: dalla natura della violazione lamentata, agli obiettivi della tutela, dai tempi processuali ai costi, fino alle peculiarità del caso concreto.

È fondamentale tenere presente che tutte le controversie privacy sono regolate dal rito del lavoro ex art. 10 del D.Lgs. 150/2011, con le conseguenti peculiarità procedimentali (concentrazione, poteri officiosi del giudice, inappellabilità della sentenza).

6.1. Raccomandazioni operative

Per i professionisti del settore (avvocati, DPO, privacy officer) si suggeriscono le seguenti best practices:

Per gli interessati/reclamanti: valutare attentamente la procedura più adeguata prima di agire; conservare tutta la documentazione probatoria fin dall’inizio; esperire sempre l’istanza di esercizio dei diritti prima del reclamo (salvo casi di urgenza); monitorare costantemente i termini processuali, sia amministrativi che giudiziari; tenere presente che la sentenza di primo grado non è appellabile: massima cura nella fase iniziale.

Per i titolari del trattamento: predisporre procedure interne chiare per la gestione di reclami e istanze; mantenere documentazione completa delle misure di sicurezza e delle scelte di compliance (accountability); valutare sempre l’opportunità di una composizione bonaria prima dell’escalation del contenzioso; nei procedimenti davanti al Garante, utilizzare pienamente i 30 giorni per le memorie difensive; verificare costantemente la conformità dei contratti con i responsabili del trattamento; nell’opposizione giurisdizionale, preparare difesa completa considerando l’inappellabilità della sentenza.

Per le PMI: investire in formazione privacy per il personale (prevenzione > contenzioso); affidarsi a consulenti specializzati sin dalle prime fasi di un potenziale contenzioso; considerare l’opportunità di nominare un DPO anche quando non obbligatorio; stipulare polizze assicurative cyber risk che coprano anche il contenzioso privacy.

RIFERIMENTI NORMATIVI E FONTI

Normativa principale:

• Regolamento UE 2016/679 (GDPR)

• D.Lgs. 196/2003 (Codice Privacy), come modificato dal D. Lgs. 101/2018

• D.Lgs. 150/2011 – Art. 10 (Riduzione e semplificazione dei riti civili)

• Regolamento del Garante n. 1/2019

Fonti istituzionali:

• Sito del Garante Privacy: https://www.garanteprivacy.it

• Gazzetta Ufficiale: https://www.gazzettaufficiale.it

• Federprivacy: https://www.federprivacy.org

Giurisprudenza rilevante:

• Cass., sez. I, sent. n. 759/2025 del 16 dicembre 2025 (termini perentori)

• Garante Privacy, Provv. 21 maggio 2025, doc. web n. 10143261 (litispendenza)

• Garante Privacy, Provv. 4 giugno 2025, doc. web n. 10143278 (accountability)

• Garante Privacy, Provv. 24 aprile 2024, n. 268 (privacy e lavoro)

* * *

Articolo redatto a febbraio 2026

Definizioni, ruoli, obblighi e responsabilità

1. Premessa e collocazione sistematica

La presente relazione costituisce il terzo approfondimento di un ciclo dedicato al Regolamento (UE) 2016/679 (GDPR), complementare alle precedenti analisi su accountability, obblighi del titolare e sistema sanzionatorio, nonché sulle basi giuridiche del trattamento. L’obiettivo è fornire una disamina tecnico-giuridica dei soggetti coinvolti nel trattamento dei dati personali, analizzandone definizioni, funzioni, obblighi e reciproche relazioni.

L’articolo 4 del GDPR fornisce le definizioni fondamentali, mentre il Capo IV (artt. 24-43) disciplina gli obblighi specifici dei diversi soggetti. A livello interpretativo, le Linee guida 07/2020 dell’EDPB sui concetti di titolare del trattamento e di responsabile del trattamento (versione 2.0 del 7 luglio 2021) rappresentano il documento di riferimento a livello europeo, sostituendo il precedente Parere 1/2010 del Gruppo di lavoro Articolo 29.

2. Nozioni fondamentali: dato personale e trattamento

2.1 Dato personale

L’articolo 4, punto 1, del GDPR definisce il dato personale come qualsiasi informazione riguardante una persona fisica identificata o identificabile (interessato). La nozione è volutamente ampia e comprende non solo identificatori diretti come nome, codice fiscale o immagine, ma anche informazioni che consentano l’identificazione indiretta attraverso la combinazione con altri dati, quali indirizzi IP, dati di localizzazione, identificativi online o fattori specifici dell’identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale.

Le categorie particolari di dati (art. 9 GDPR), precedentemente denominati “dati sensibili” nel Codice Privacy italiano, comprendono dati che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, nonché dati genetici, biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale. Per questi dati vige un divieto generale di trattamento, salvo le eccezioni tassativamente previste dall’articolo 9, paragrafo 2.

2.2 Trattamento

L’articolo 4, punto 2, definisce il trattamento come qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali. L’elenco fornito dal Regolamento è esemplificativo e comprende: raccolta, registrazione, organizzazione, strutturazione, conservazione, adattamento o modifica, estrazione, consultazione, uso, comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, raffronto o interconnessione, limitazione, cancellazione o distruzione.

L’ampiezza della definizione implica che qualsiasi contatto con dati personali, anche la mera consultazione occasionale, costituisce trattamento e ricade pertanto nell’ambito applicativo del GDPR.

3. Il titolare del trattamento

3.1 Definizione e natura funzionale

L’articolo 4, punto 7, del GDPR definisce il titolare del trattamento (controller) come la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali. L’elemento caratterizzante è dunque il potere decisionale sugli aspetti essenziali del trattamento: il “perché” (finalità) e il “come” (mezzi).

Le Linee guida EDPB 07/2020 chiariscono che si tratta di un concetto funzionale, non formale: lo status di titolare deriva dall’analisi fattuale delle circostanze concrete, non dalla mera designazione contrattuale. L’EDPB sottolinea che “l’allocazione dei ruoli non è negoziabile tra le parti”: se un soggetto determina di fatto finalità e mezzi, sarà considerato titolare indipendentemente da quanto stabilito contrattualmente.

Il concetto è anche autonomo: la sua interpretazione si basa principalmente sul diritto dell’UE e non deve essere confusa con nozioni analoghe di altri ambiti giuridici (proprietà intellettuale, diritto societario, diritto del lavoro).

3.2 Determinazione delle finalità e dei mezzi

La titolarità può derivare da tre fonti. In primo luogo, da previsione normativa esplicita: quando la legge designa espressamente il titolare o ne stabilisce i criteri di individuazione. In secondo luogo, da competenza implicita: ruoli o funzioni tradizionalmente associati a determinate responsabilità (il datore di lavoro per i dati dei dipendenti, l’ospedale per i dati dei pazienti). Infine, dall’influenza fattuale: il soggetto che concretamente esercita il controllo sulle decisioni relative al trattamento.

L’EDPB distingue tra mezzi essenziali e mezzi non essenziali. I primi (tipo di dati trattati, durata, categorie di destinatari, categorie di interessati) devono essere determinati dal titolare. I secondi (aspetti tecnici come hardware, software, misure di sicurezza specifiche) possono essere delegati al responsabile del trattamento, che gode di un certo margine di autonomia nella loro scelta.

3.3 Obblighi principali del titolare

Il titolare è il principale destinatario degli obblighi previsti dal GDPR. Deve garantire e dimostrare la conformità al Regolamento attraverso misure tecniche e organizzative adeguate (art. 24), implementare la protezione dei dati fin dalla progettazione e per impostazione predefinita (art. 25), tenere il registro delle attività di trattamento (art. 30), effettuare la valutazione d’impatto quando necessaria (art. 35), notificare le violazioni all’autorità di controllo e comunicarle agli interessati nei casi previsti (artt. 33-34), designare il DPO quando obbligatorio (art. 37) e rispettare i diritti degli interessati (artt. 12-22).

4. La contitolarità del trattamento

4.1 Nozione e presupposti

L’articolo 26 del GDPR disciplina la contitolarità (joint controllership): quando due o più titolari determinano congiuntamente le finalità e i mezzi del trattamento, essi sono contitolari. Non è necessario che la partecipazione sia paritaria: la responsabilità congiunta può derivare da decisioni comuni, da decisioni convergenti o anche dalla mera influenza determinante sugli elementi del trattamento.

Le Linee guida EDPB 07/2020 precisano che la contitolarità può sussistere anche quando i soggetti sono coinvolti in fasi diverse del trattamento o a livelli differenti, purché ciascuno eserciti un’influenza determinante su finalità o mezzi.

4.2 Giurisprudenza della CGUE sulla contitolarità

La Corte di Giustizia dell’Unione Europea ha progressivamente ampliato la nozione di contitolarità attraverso una serie di pronunce fondamentali.

Nella causa C-210/16 Wirtschaftsakademie Schleswig-Holstein (5 giugno 2018), la CGUE ha stabilito che l’amministratore di una fanpage su Facebook è contitolare insieme a Facebook del trattamento dei dati dei visitatori, in quanto la creazione della pagina implica decisioni su categorie di interessati e finalità del trattamento, anche se l’amministratore non ha accesso diretto ai dati.

Nella causa C-40/17 Fashion ID (29 luglio 2019), la Corte ha affermato che il gestore di un sito web che incorpora un plug-in social (come il pulsante “Mi piace” di Facebook) è contitolare limitatamente alle operazioni di raccolta e trasmissione dei dati, anche se non ha alcun controllo sulle successive fasi di trattamento effettuate dal fornitore del plug-in. La sentenza ha introdotto il concetto di contitolarità limitata a specifiche operazioni di trattamento.

4.3 Accordo tra contitolari

L’articolo 26, paragrafo 1, impone ai contitolari di determinare in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all’osservanza degli obblighi del GDPR, con particolare riguardo all’esercizio dei diritti dell’interessato e agli obblighi informativi. Sebbene il GDPR non specifichi la forma dell’accordo, l’EDPB raccomanda un documento vincolante (contratto o altro atto giuridico) per garantire certezza del diritto.

Il contenuto essenziale dell’accordo deve essere messo a disposizione degli interessati (art. 26, par. 2). Tuttavia, l’accordo non è opponibile all’interessato: indipendentemente dalla ripartizione interna, l’interessato può esercitare i propri diritti nei confronti di ciascun contitolare (art. 26, par. 3).

5. Il responsabile del trattamento

5.1 Definizione e caratteristiche

L’articolo 4, punto 8, definisce il responsabile del trattamento (processor) come la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare. Elementi caratterizzanti sono la separatezza giuridica dal titolare e l’agire nell’interesse di quest’ultimo secondo le sue istruzioni.

Le Linee guida EDPB 07/2020 chiariscono che agire “per conto di” richiama il concetto giuridico di delega: il responsabile serve gli interessi del titolare e non può trattare i dati per proprie finalità autonome. Se lo fa, diventa titolare autonomo per quel trattamento (art. 28, par. 10) con tutte le conseguenti responsabilità.

Non ogni fornitore esterno è automaticamente responsabile del trattamento. L’EDPB cita l’esempio del consulente IT chiamato a riparare un bug: se l’accesso ai dati è incidentale e non finalizzato al trattamento, il consulente non assume il ruolo di responsabile.

5.2 Il Data Processing Agreement (art. 28 GDPR)

L’articolo 28, paragrafo 3, impone che i trattamenti da parte del responsabile siano disciplinati da un contratto o altro atto giuridico vincolante che preveda contenuti obbligatori: oggetto e durata del trattamento, natura e finalità, tipo di dati e categorie di interessati, obblighi e diritti del titolare. Il contratto deve inoltre prevedere specifici obblighi in capo al responsabile.

Tra questi figurano: trattare i dati solo su istruzione documentata del titolare; garantire che le persone autorizzate si siano impegnate alla riservatezza; adottare misure di sicurezza ai sensi dell’articolo 32; rispettare le condizioni per il ricorso a sub-responsabili; assistere il titolare per l’evasione delle richieste degli interessati; assistere il titolare per gli obblighi degli articoli 32-36 (sicurezza, notifica violazioni, DPIA); cancellare o restituire i dati al termine del rapporto; mettere a disposizione informazioni per dimostrare la conformità e consentire audit.

La Commissione europea ha adottato clausole contrattuali tipo (Standard Contractual Clauses) con la Decisione di esecuzione (UE) 2021/915 del 4 giugno 2021 per facilitare la redazione di DPA conformi.

5.3 Sub-responsabili

L’articolo 28, paragrafo 2, subordina il ricorso a sub-responsabili all’autorizzazione scritta del titolare, che può essere specifica (per ciascun sub-responsabile) o generale (con obbligo di informativa preventiva sulle modifiche e possibilità di opposizione). Il sub-responsabile deve essere vincolato dagli stessi obblighi del responsabile principale, il quale rimane pienamente responsabile nei confronti del titolare per l’operato dei sub-responsabili (art. 28, par. 4).

6. Le persone autorizzate al trattamento

L’articolo 29 del GDPR prevede che il responsabile del trattamento, o chiunque agisca sotto la sua autorità o quella del titolare, non possa trattare dati personali se non è istruito in tal senso dal titolare, salvo obblighi di legge. Questa disposizione riguarda le persone autorizzate al trattamento, definite all’articolo 4, punto 10, come le persone fisiche autorizzate a compiere operazioni di trattamento sotto l’autorità diretta del titolare o del responsabile.

Questa figura sostituisce il precedente “incaricato del trattamento” del Codice Privacy italiano (art. 30 del D.lgs. 196/2003 nella versione ante D.lgs. 101/2018). L’articolo 2-quaterdecies del Codice novellato, introdotto dal D.lgs. 101/2018, prevede che il titolare o il responsabile possano prevedere, sotto la propria responsabilità e nell’ambito del proprio assetto organizzativo, che specifici compiti e funzioni connessi al trattamento siano attribuiti a persone fisiche espressamente designate.

In un parere del Garante per la protezione dei dati personali del 12 maggio 2020 sugli Organismi di Vigilanza, l’Autorità ha precisato che i membri dell’OdV devono essere designati quali soggetti autorizzati ai sensi degli articoli 4, punto 10, 29 e 32, paragrafo 4, del GDPR, dovendo attenersi alle istruzioni impartite dal titolare. Questa impostazione trova applicazione generale per tutte le figure interne che accedono ai dati nell’ambito delle proprie funzioni.

L’obbligo di designazione e istruzione delle persone autorizzate rientra nelle misure tecniche e organizzative che il titolare deve adottare ai sensi dell’articolo 32, paragrafo 4. La formazione del personale e la definizione di policy interne sul trattamento dei dati costituiscono elementi di accountability valutabili in sede di verifica della conformità.

7. L’interessato e i suoi diritti

7.1 Nozione di interessato

L’interessato (data subject) è la persona fisica identificata o identificabile cui si riferiscono i dati trattati. Il GDPR tutela esclusivamente le persone fisiche: le persone giuridiche, gli enti e le associazioni non rientrano nell’ambito soggettivo di protezione del Regolamento, salvo che il trattamento di dati a essi riferiti comporti indirettamente il trattamento di dati di persone fisiche (es. dati del legale rappresentante).

7.2 Diritti dell’interessato

Il Capo III del GDPR (artt. 12-22) disciplina organicamente i diritti dell’interessato. L’articolo 12 fissa le modalità trasversali per l’esercizio di tutti i diritti: il titolare deve agevolare l’esercizio, rispondere senza ingiustificato ritardo e comunque entro un mese (prorogabile di due mesi per richieste complesse), fornire le informazioni a titolo gratuito salvo richieste manifestamente infondate o eccessive.

I diritti specifici comprendono: il diritto di informazione (artt. 13-14), ossia il diritto a ricevere un’informativa completa al momento della raccolta dei dati (art. 13) o entro un mese se i dati non sono raccolti presso l’interessato (art. 14); il diritto di accesso (art. 15), che consente di ottenere conferma del trattamento, copia dei dati e informazioni su finalità, categorie, destinatari, periodo di conservazione, origine dei dati e logica del trattamento automatizzato;

il diritto di rettifica (art. 16), per ottenere la correzione di dati inesatti o l’integrazione di dati incompleti; il diritto alla cancellazione o diritto all’oblio (art. 17), esercitabile quando i dati non sono più necessari, il consenso è revocato, vi è opposizione accolta, il trattamento è illecito, o sussiste un obbligo legale di cancellazione; il diritto di limitazione (art. 18), che consente di “congelare” il trattamento in determinate situazioni (contestazione dell’esattezza, trattamento illecito ma l’interessato si oppone alla cancellazione, dati necessari per difesa in giudizio, opposizione in attesa di verifica);

il diritto alla portabilità (art. 20), che permette di ricevere i dati in formato strutturato, di uso comune e leggibile da dispositivo automatico e di trasmetterli a un altro titolare, quando il trattamento si basa su consenso o contratto ed è effettuato con mezzi automatizzati; il diritto di opposizione (art. 21), esercitabile per motivi connessi alla situazione particolare dell’interessato quando la base giuridica è il legittimo interesse o l’interesse pubblico, e in modo incondizionato per il marketing diretto; il diritto a non essere sottoposto a decisioni automatizzate (art. 22), inclusa la profilazione, quando producano effetti giuridici significativi, salve le eccezioni previste.

Le Linee guida EDPB 01/2022 sul diritto di accesso (versione adottata il 28 marzo 2023) forniscono indicazioni operative dettagliate su portata del diritto, modalità di risposta, formato delle informazioni e gestione di richieste complesse.

8. Il Responsabile della protezione dei dati (DPO)

8.1 Natura e collocazione sistematica

Il Data Protection Officer (DPO) o Responsabile della protezione dei dati (RPD) è una figura introdotta dal GDPR agli articoli 37-39. A differenza degli altri soggetti analizzati, il DPO non è parte attiva nel trattamento: la sua funzione è di consulenza, sorveglianza e raccordo tra titolare/responsabile, interessati e autorità di controllo. Le Linee guida WP 243 del Gruppo di lavoro Articolo 29, adottate il 13 dicembre 2016 e emendate il 5 aprile 2017, successivamente approvate dall’EDPB, costituiscono il documento interpretativo di riferimento.

8.2 Designazione obbligatoria

L’articolo 37, paragrafo 1, prevede l’obbligatorietà della designazione in tre casi: quando il trattamento è effettuato da autorità o organismo pubblico (eccetto le autorità giurisdizionali nell’esercizio delle funzioni giurisdizionali); quando le attività principali consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala; quando le attività principali consistono nel trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali e reati.

Le Linee guida WP 243 chiariscono i concetti indeterminati. Per “attività principali” si intendono le operazioni essenziali per raggiungere gli obiettivi del titolare o del responsabile, incluse quelle in cui il trattamento dei dati è parte ineludibile dell’attività. Per “larga scala” rilevano: volume dei dati, numero di interessati (anche in percentuale sulla popolazione), estensione geografica, durata o permanenza del trattamento. Per “monitoraggio regolare e sistematico” si includono tutte le forme di tracciamento e profilazione, anche online, indipendentemente dal fatto che l’interessato sia cliente del titolare.

8.3 Requisiti, posizione e compiti

Il DPO deve essere designato in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati (art. 37, par. 5). Può essere un dipendente o un soggetto esterno (art. 37, par. 6). Un gruppo imprenditoriale può nominare un unico DPO, purché facilmente raggiungibile da ciascuno stabilimento.

L’articolo 38 disciplina la posizione del DPO, garantendone l’indipendenza: deve essere coinvolto tempestivamente in tutte le questioni riguardanti la protezione dei dati; non può ricevere istruzioni relative all’esecuzione dei suoi compiti; non può essere rimosso o penalizzato per l’adempimento delle sue funzioni; riferisce direttamente al vertice gerarchico; gli interessati possono contattarlo per tutte le questioni relative al trattamento e all’esercizio dei loro diritti.

L’articolo 39 elenca i compiti minimi del DPO: informare e fornire consulenza al titolare/responsabile e ai dipendenti; sorvegliare l’osservanza del GDPR; fornire parere in merito alla DPIA e sorvegliarne lo svolgimento; cooperare con l’autorità di controllo; fungere da punto di contatto per l’autorità. Il DPO deve svolgere i propri compiti considerando i rischi associati ai trattamenti, tenendo conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento.

8.4 Incompatibilità e conflitto di interessi

L’articolo 38, paragrafo 6, consente al DPO di svolgere altri compiti e funzioni, purché non diano adito a conflitto di interessi. Le Linee guida WP 243 indicano che il DPO non può ricoprire posizioni che comportino la determinazione di finalità e mezzi del trattamento: sono incompatibili ruoli quali amministratore delegato, responsabile operativo, responsabile finanziario, responsabile del personale, responsabile IT e responsabile marketing. L’esistenza di conflitti deve essere valutata caso per caso.

9. Altri soggetti rilevanti

9.1 Destinatario

L’articolo 4, punto 9, definisce il destinatario come la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che riceve comunicazione di dati personali, che si tratti o meno di terzi. Le autorità pubbliche che ricevono dati nell’ambito di un’indagine specifica non sono considerate destinatari. La nozione rileva ai fini dell’informativa (art. 13, par. 1, lett. e) e art. 14, par. 1, lett. e)) e della comunicazione di rettifiche, cancellazioni e limitazioni (art. 19).

9.2 Terzo

L’articolo 4, punto 10, definisce il terzo come la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo diverso dall’interessato, dal titolare, dal responsabile e dalle persone autorizzate al trattamento. La nozione serve a delimitare i soggetti legittimati al trattamento da quelli esterni all’organizzazione privacy.

9.3 Rappresentante

L’articolo 27 impone ai titolari o responsabili non stabiliti nell’Unione che trattano dati di interessati che si trovano nell’UE di designare per iscritto un rappresentante nell’Unione, stabilito in uno degli Stati membri in cui si trovano gli interessati. Il rappresentante funge da interlocutore per le autorità di controllo e gli interessati per tutte le questioni relative al trattamento.

10. Conclusioni

La corretta qualificazione dei soggetti del trattamento costituisce un presupposto indefettibile per l’applicazione del GDPR. L’approccio funzionale adottato dal Regolamento e confermato dalla giurisprudenza della CGUE e dalle Linee guida dell’EDPB impone un’analisi sostanziale delle relazioni e dei poteri effettivi, non limitata alle qualificazioni formali.

La distinzione tra titolare e responsabile determina l’allocazione degli obblighi e delle responsabilità, incluse quelle risarcitorie (art. 82) e sanzionatorie (art. 83). La contitolarità, fenomeno in espansione per effetto della digitalizzazione e dell’interconnessione dei servizi, richiede accordi chiari e trasparenti ma non solleva alcun contitolare dalla responsabilità solidale verso gli interessati.

Il DPO, figura di garanzia e raccordo, deve operare in condizioni di indipendenza effettiva. Le persone autorizzate al trattamento devono essere adeguatamente istruite e la loro designazione documentata ai fini dell’accountability. L’interessato, infine, è titolare di un fascio di diritti azionabili che costituiscono il nucleo della tutela apprestata dal Regolamento.

Riferimenti normativi e documentali

Fonti normative:

– Regolamento (UE) 2016/679 (GDPR)

– D.lgs. 30 giugno 2003, n. 196, come modificato dal D.lgs. 10 agosto 2018, n. 101

– Decisione di esecuzione (UE) 2021/915 della Commissione (clausole contrattuali tipo)

Linee guida e documenti interpretativi:

– EDPB, Linee guida 07/2020 sui concetti di titolare del trattamento e di responsabile del trattamento, versione 2.0 del 7 luglio 2021

– Gruppo di lavoro Articolo 29, Linee guida sui responsabili della protezione dei dati (WP 243 rev. 01), 5 aprile 2017

– EDPB, Linee guida 01/2022 sul diritto di accesso, versione adottata il 28 marzo 2023

– Garante per la protezione dei dati personali, Parere sulla qualificazione soggettiva degli OdV, 12 maggio 2020, doc. web n. 9347842

Giurisprudenza CGUE:

– CGUE, causa C-210/16, Wirtschaftsakademie Schleswig-Holstein, 5 giugno 2018

– CGUE, causa C-40/17, Fashion ID, 29 luglio 2019

Nell’esperienza comune, il lavoratore che subisce un infortunio o il “tecnopatico” affetto da malattia professionale tendono a considerare l’indennizzo erogato dall’inail come l’unico ristoro possibile. Si è diffusa l’erronea convinzione che, una volta ottenuta la prestazione dall’istituto, il rapporto risarcitorio sia definitivamente esaurito. In realtà, l’intervento del sistema di protezione sociale non preclude l’accesso alle tutele civilistiche. Esiste un perimetro di responsabilità che va oltre la tutela indennitaria, volto a garantire l’integrale riparazione del pregiudizio subito attraverso il cosiddetto “danno differenziale”, un ambito tecnico-giuridico troppo spesso trascurato.

Il mito dell’esonero: dalla transazione sociale alla funzione prevenzionale

Storicamente, il rapporto tra assicurazione sociale e responsabilità civile poggiava sul concetto di “transazione sociale”: il datore di lavoro, attraverso il versamento dei premi assicurativi, acquistava l’esonero dalla responsabilità civile per gli infortuni dei propri dipendenti. In questo schema, il lavoratore rinunciava a un’incerta azione di risarcimento in cambio di un indennizzo automatico, svincolato dalla prova della colpa.

Oggi, tuttavia, la giurisprudenza ha riletto questa impostazione alla luce dei principi costituzionali di solidarietà. L’assicurazione non è più un mero strumento di gestione del rischio d’impresa, ma una forma di protezione della persona. Come sottolineato dalla dottrina più autorevole:

“l’assicurazione sociale… Non ha (o non ha più) come finalità essenziale quella di garantire il rischio di impresa, ma è volta essenzialmente alla protezione del lavoratore.”

In questa nuova prospettiva, l’esonero non rappresenta un privilegio del datore di lavoro, ma assolve a una finalità prevenzionale: il sistema incoraggia l’adozione di misure di sicurezza, ma cessa di proteggere il patrimonio aziendale non appena emergono violazioni che integrano fattispecie di reato.

Articolo 2087 cc: la “norma di chiusura” e il regime della prova

L’esonero cade integralmente qualora l’evento lesivo derivi da un reato perseguibile d’ufficio addebitabile al datore di lavoro o ai soggetti incaricati della sicurezza. Sotto il profilo tecnico, la soglia di punibilità d’ufficio scatta in presenza di:

• Morte del lavoratore;
• Lesioni volontarie con inabilità temporanea superiore a 20 giorni;
• Lesioni colpose gravi con inabilità superiore a 40 giorni o presenza di postumi permanenti;
• Malattia professionale (tecnopatia).

Il cardine di questo sistema è l’articolo 2087 del codice civile, norma di chiusura del sistema prevenzionistico. Essa impone al datore di lavoro l’adozione di tutte le misure necessarie a tutelare l’integrità fisica e morale dei prestatori di lavoro. Un aspetto fondamentale per il giurista è la natura della responsabilità: si tratta di responsabilità contrattuale ex art. 1218 c.c., che rappresenta un’eccezione favorevole rispetto alla generale responsabilità extracontrattuale (art. 2043 c.c.). Qui l’onere della prova è invertito: spetta al datore di lavoro dimostrare di aver adottato ogni cautela, inclusi gli obblighi di formazione e vigilanza, per evitare il danno. Le controversie contro il datore di lavoro, in virtù della natura del rapporto, rientrano nella competenza funzionale del giudice del lavoro.

L’innocuità della colpa del lavoratore e l’esperienza professionale

Un punto spesso frainteso riguarda il comportamento del danneggiato. La giurisprudenza è costante nell’affermare che la colpa del lavoratore, anche se esperto, non esclude né riduce il risarcimento del danno. Il sistema di protezione è infatti progettato per prevenire anche le disattenzioni o le imprudenze che rientrano nel normale rischio professionale. Il diritto al risarcimento viene meno soltanto dinanzi alla “colpa abnorme, imprevedibile ed esorbitante”: un comportamento del tutto estraneo alle mansioni e alle direttive ricevute, tale da spezzare il nesso di causalità tra l’attività lavorativa e l’evento.

Il danno differenziale: differenza ontologica tra indennizzo e risarcimento

Per comprendere la portata del ristoro integrale, occorre distinguere le due nature giuridiche delle prestazioni:

1. Indennizzo (inail): fondato sull’art. 38 della costituzione, ha la finalità sociale di garantire i “mezzi adeguati alle esigenze di vita”. Non mira alla riparazione totale, ma a una tutela standardizzata basata su tabelle specifiche.
2. Risarcimento (civile): mira alla restitutio in integrum, ovvero al ripristino dello status quo ante attraverso la riparazione di tutte le poste di danno.

Poiché l’inail non copre voci fondamentali come il danno morale o il danno esistenziale (danni complementari), il lavoratore ha diritto di agire civilmente per ottenere il danno differenziale. Questo rappresenta lo scarto tra l’importo liquidato dall’istituto e il danno effettivo calcolato secondo i parametri civilistici, quali le tabelle del tribunale di milano o del tribunale di roma.

Covid-19: la diligenza come argine alla responsabilità oggettiva

L’equiparazione del contagio da sars-cov-2 all’infortunio sul lavoro ha sollevato il timore di una deriva verso la responsabilità oggettiva dell’impresa. La dottrina e la giurisprudenza hanno tuttavia chiarito che l’art. 2087 c.c. non configura una responsabilità automatica. Per andare esente da colpa, al datore di lavoro è stato sufficiente dimostrare l’adempimento diligente dei protocolli sanitari e delle raccomandazioni delle autorità pubbliche, confermando che il “debito di sicurezza” è parametrato alle conoscenze tecniche e scientifiche del momento.

Le azioni di rivalsa: surroga e regresso

L’inail non opera a fondo perduto: qualora sussista una responsabilità civile, l’istituto agisce per recuperare i costi delle prestazioni erogate. È necessario distinguere tra due istituti:

• Surroga (art. 1916 c.c.): si esercita contro terzi estranei al rapporto di lavoro (es. Incidente stradale in itinere causato da altro automobilista). È una successione a titolo particolare nel diritto al risarcimento del lavoratore. Se l’infortunio deriva da circolazione stradale, l’art. 142 del codice delle assicurazioni impone alle compagnie assicurative l’obbligo di accantonare le somme per l’inail prima di pagare il danneggiato. L’istituto ha 45 giorni di tempo dalla comunicazione dell’assicurazione per dichiarare la propria volontà di surrogarsi. Tali azioni sono di competenza del giudice civile.
• Regresso (art. 11 t.u.): è l’azione autonoma esperita dall’inail contro il datore di lavoro o i soggetti responsabili della sicurezza in caso di reato. L’azione è soggetta a termini rigorosi di prescrizione e decadenza (triennali), decorrenti dal passaggio in giudicato della sentenza penale o da altri provvedimenti definitivi.

La guerra dei calcoli: verso un sistema unitario del danno

Il calcolo del danno differenziale è al centro di un aspro dibattito finalizzato a evitare la locupletazione (l’arricchimento ingiustificato del lavoratore tramite la doppia percezione di indennizzo e risarcimento per la medesima voce).

• Criterio “posta per posta”: prevede il confronto solo tra voci omogenee (es. Danno biologico inail vs danno biologico civilistico).
• Criterio del “differenziale puro”: sottrae l’intero valore dell’indennizzo dal complessivo risarcimento civilistico.

Le “sentenze gemelle” della Cassazione (2018) hanno dato impulso al criterio del differenziale puro, ribadendo che il danno alla persona è unitario. La distinzione tra le varie voci ha valore meramente descrittivo; ciò che rileva è che la somma dei ristori non superi l’interesse leso. Nonostante il tentativo della legge di bilancio 2019 (poi abrogata) di imporre criteri intermedi, oggi prevale l’idea che la diversità ontologica tra le prestazioni (previdenziale vs civilistica) consenta comunque un raffronto quantitativo globale per garantire l’equilibrio del sistema.