Guida operativa ai procedimenti e alle tutele dell’interessato

Abstract: Il presente contributo analizza in modo sistematico il contenzioso in materia di protezione dei dati personali, esaminando le procedure amministrative davanti al Garante Privacy e il rito del lavoro dinanzi all’Autorità giudiziaria ex art. 10 del D.Lgs. 150/2011. L’analisi tiene conto delle recenti evoluzioni normative, tra cui il Regolamento del Garante n. 1/2019, nonché della giurisprudenza più recente della Cassazione in tema di termini perentori dei procedimenti sanzionatori.

1. INTRODUZIONE

La tutela dei diritti in materia di protezione dei dati personali si articola secondo un sistema bifasico che consente all’interessato di scegliere tra due percorsi procedurali distinti: il ricorso amministrativo (reclamo) al Garante per la protezione dei dati personali, oppure il ricorso all’autorità giudiziaria ordinaria. Tale biforcazione procedurale, codificata dall’art. 140-bis del Codice Privacy (D. Lgs. 196/2003 come modificato dal D. Lgs. 101/2018) e dall’art. 79 del GDPR, rappresenta una peculiarità del sistema italiano che richiede un’attenta valutazione strategica da parte dei professionisti del settore.

È fondamentale sottolineare che i due percorsi sono alternativi ed esclusivi: ai sensi dell’art. 140-bis del Codice, “il reclamo al Garante non può essere proposto se, per il medesimo oggetto e tra le stesse parti, è stata già adita l’autorità giudiziaria”. Tale preclusione opera anche in senso inverso: la presentazione di un reclamo al Garante impedisce il successivo ricorso giudiziario, salvo il decorso infruttuoso dei termini di decisione previsti dalla legge.

2. IL PROCEDIMENTO DAVANTI AL GARANTE PRIVACY

2.1. Il reclamo: natura e presupposti

Il reclamo al Garante, disciplinato dagli artt. 77 del GDPR e 141 ss. del Codice Privacy, nonché dal Regolamento del Garante n. 1/2019, costituisce uno strumento di tutela amministrativa gratuito a disposizione dell’interessato che lamenta una violazione della normativa in materia di protezione dei dati personali.

Secondo quanto previsto dal Regolamento 1/2019 (disponibile sul sito del Garante), il reclamo deve essere presentato in forma scritta e deve contenere una serie di indicazioni essenziali, quali:

• i fatti e le circostanze su cui si fonda il reclamo;

• le disposizioni del GDPR o del Codice che si presumono violate;

• le misure richieste;

• gli estremi identificativi del titolare o del responsabile del trattamento.

2.1.1. L’istruttoria preliminare

Una volta ricevuto il reclamo, il Garante avvia un’istruttoria preliminare che si conclude entro 3 mesi dalla data di ricezione. Durante questa fase, l’Autorità verifica la sussistenza degli elementi costitutivi della presunta violazione e richiede eventuali chiarimenti sia al reclamante che al titolare del trattamento.

È importante evidenziare che l’istruttoria può concludersi con:

a) archiviazione, qualora non ricorrano i presupposti per l’adozione di provvedimenti;

b) avvio del procedimento per l’adozione di provvedimenti correttivi e/o sanzionatori.

2.2. Il procedimento sanzionatorio

Qualora l’istruttoria preliminare evidenzi profili di violazione della disciplina privacy, il Garante comunica formalmente al titolare o al responsabile del trattamento l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del GDPR e/o per l’irrogazione delle sanzioni amministrative di cui all’art. 83 del GDPR.

2.2.1. Il diritto di difesa

La comunicazione di avvio del procedimento contiene:

• i fatti contestati e le presunte violazioni;

• l’indicazione dell’unità organizzativa presso la quale è possibile prendere visione degli atti;

• l’avviso che entro 30 giorni è possibile depositare memorie difensive e/o richiedere l’audizione.

Il termine di 30 giorni può essere prorogato su istanza motivata, di norma per ulteriori 15 giorni, secondo criteri di proporzionalità. L’audizione, ove richiesta, si svolge presso la sede del Garante e consente all’interessato di farsi assistere da un legale o da un consulente tecnico.

2.2.2. Termini di decisione e tutele

Il Garante deve concludere il procedimento entro 9 mesi dalla data di presentazione del reclamo. Qualora entro tale termine l’Autorità non abbia adottato una decisione, l’interessato può proporre ricorso all’autorità giudiziaria entro 30 giorni dalla scadenza, in deroga al principio di alternatività dei rimedi.

Recentemente, la Corte di Cassazione con sentenza n. 759/2025 del 16 dicembre 2025 ha chiarito che anche il termine di 120 giorni per la conclusione del procedimento sanzionatorio, stabilito dal regolamento interno del Garante, ha natura perentoria. Il superamento di tale termine comporta la consumazione del potere sanzionatorio dell’Autorità, determinando l’annullamento del provvedimento adottato oltre il termine.

2.3. I provvedimenti del Garante

All’esito del procedimento, il Garante può adottare diversi tipi di provvedimenti:

Tipologia	Contenuto
Provvedimenti correttivi	Ordine di cessazione del trattamento illecito, cancellazione dei dati, limitazione del trattamento, divieto di ulteriore trattamento (art. 58, par. 2, lett. f, g, h, i GDPR)
Sanzioni pecuniarie	Applicazione delle sanzioni amministrative pecuniarie ex art. 83 GDPR e art. 166 Codice Privacy, con importi fino a 20 milioni di euro o fino al 4% del fatturato mondiale annuo
Sanzioni accessorie	Pubblicazione del provvedimento sul sito istituzionale del Garante (art. 166, comma 7, Codice Privacy)
Archiviazione	Dichiarazione di infondatezza del reclamo o insussistenza dei presupposti per l’adozione di provvedimenti

L’ordinanza-ingiunzione che irroga la sanzione pecuniaria è impugnabile dinanzi all’autorità giudiziaria ordinaria secondo le modalità che verranno illustrate nel successivo paragrafo 3.

3. IL CONTENZIOSO GIURISDIZIONALE

3.1. Il ricorso all’autorità giudiziaria

L’interessato può scegliere di rivolgersi direttamente all’autorità giudiziaria ordinaria, senza preventiva presentazione del reclamo al Garante, per far valere le violazioni della disciplina privacy. Tale opzione si rivela particolarmente opportuna quando:

• si intende ottenere il risarcimento del danno patrimoniale e/o non patrimoniale;

• è necessaria una tutela cautelare urgente;

• la controversia presenta profili di particolare complessità tecnica o giuridica;

• si desidera beneficiare di istruttoria probatoria completa.

3.1.1. Il rito del lavoro: disciplina applicabile

L’art. 10 del D. Lgs. 150/2011 stabilisce in modo inequivocabile che le controversie in materia di privacy sono regolate dal rito del lavoro (artt. 409 ss. c.p.c.). Tale previsione costituisce un’importante deroga ai riti ordinari e si applica a tutte le controversie previste dall’art. 152 del Codice Privacy, che comprendono:

• opposizione ai provvedimenti del Garante;

• ricorsi per violazioni della normativa privacy;

• azioni di risarcimento del danno ex art. 82 GDPR;

• qualunque controversia riguardante l’applicazione delle disposizioni in materia di protezione dei dati personali.

Il rito del lavoro si caratterizza per:

• concentrazione processuale: fissazione ravvicinata dell’udienza di discussione;

• poteri officiosi del giudice: il giudice può disporre d’ufficio mezzi di prova;

• limitazione per il contenzioso privacy dei gradi di giudizio: come vedremo, nel contenzioso privacy la sentenza di primo grado è inappellabile;

• esecutività immediata: la sentenza è provvisoriamente esecutiva.

3.1.2. Competenza territoriale

L’art. 10, comma 2, del D. Lgs. 150/2011 prevede una competenza territoriale alternativa. Il ricorso può essere proposto presso:

• il Tribunale del luogo in cui il titolare del trattamento risiede o ha sede; oppure

• il Tribunale del luogo di residenza dell’interessato.

Tale previsione, in linea con l’art. 79, par. 2, del GDPR, consente all’interessato di scegliere il foro più conveniente, facilitando l’accesso alla giustizia.

3.2. L’opposizione ai provvedimenti del garante

Avverso i provvedimenti del Garante (sia correttivi che sanzionatori) è possibile proporre opposizione all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice Privacy e 10 del D.Lgs. 150/2011. Il procedimento segue il rito del lavoro.

3.2.1. Termini e modalità

Il ricorso deve essere proposto entro 30 giorni dalla comunicazione del provvedimento (60 giorni se il ricorrente risiede all’estero). Il termine è perentorio a pena di inammissibilità del ricorso (art. 10, comma 3, D.Lgs. 150/2011).

Il procedimento si caratterizza per:

• fissazione dell’udienza di comparizione delle parti secondo il rito del lavoro;

• possibilità di disporre misure cautelari e tutela d’urgenza (art. 10, comma 4);

• decisione con sentenza immediatamente esecutiva;

• sentenza non appellabile: è possibile solo il ricorso per Cassazione (art. 10, comma 10, D.Lgs. 150/2011).

3.2.2. Effetti dell’opposizione e poteri del giudice

L’opposizione al provvedimento del Garante:

• non sospende automaticamente l’efficacia del provvedimento impugnato;

• l’interessato può richiedere al giudice la sospensione cautelare dell’esecutività;

• il giudice può confermare, modificare o annullare il provvedimento del Garante.

Importante: l’art. 10, comma 9, del D. Lgs. 150/2011 attribuisce al giudice ampi poteri, consentendogli di prescrivere le misure necessarie anche in deroga al divieto di cui all’art. 4 della legge 20 marzo 1865, n. 2248, allegato E) (divieto per il giudice ordinario di revocare o modificare atti amministrativi). Ciò significa che il giudice può intervenire anche sull’atto del soggetto pubblico titolare o responsabile dei dati.

3.3. L’azione di risarcimento del danno

L’art. 82 del GDPR riconosce a chiunque abbia subito un danno materiale o immateriale causato da una violazione del Regolamento il diritto di ottenere il risarcimento dal titolare del trattamento o dal responsabile. L’azione risarcitoria, anch’essa regolata dal rito del lavoro ex art. 10 D. Lgs. 150/2011, può essere proposta:

a) contestualmente al ricorso per violazione privacy;

b) in via autonoma, anche dopo la conclusione del procedimento davanti al Garante;

c) anche qualora il Garante abbia archiviato il reclamo.

È importante evidenziare che la giurisprudenza riconosce la risarcibilità anche del danno non patrimoniale derivante da violazioni privacy, anche in assenza di conseguenze economiche dirette, qualora sia provato un pregiudizio alla dignità, alla reputazione o alla sfera personale dell’interessato.

4. ASPETTI PROCEDURALI E STRATEGICI

4.1. La scelta del foro: Garante o AGO

La scelta tra il ricorso al Garante e quello all’autorità giudiziaria richiede un’attenta valutazione strategica basata su diversi fattori:

Criterio	Reclamo al Garante	Ricorso all’AGO (rito del lavoro)
Costi	Gratuito	Contributo unificato + spese legali
Tempi	Massimo 9 mesi (termine perentorio)	Tempi del rito del lavoro (generalmente più rapidi del rito ordinario)
Tutele ottenibili	Provvedimenti inibitori, sanzioni amministrative, ordini di cancellazione (NO risarcimento del danno)	Risarcimento del danno, tutela cautelare, provvedimenti d’urgenza, misure inibitorie
Istruttoria	Prevalentemente documentale, con poteri officiosi del Garante	Istruttoria completa con prove testimoniali, CTU, accertamenti tecnici, poteri officiosi del giudice
Impugnabilità	Opposizione dinanzi all’AGO entro 30 giorni	Sentenza NON appellabile – solo ricorso per Cassazione

4.2. La litispendenza e il divieto di cumulo

L’art. 140-bis del Codice Privacy stabilisce un rigido principio di alternatività tra i due rimedi. Tuttavia, la giurisprudenza ha chiarito che la litispendenza opera solo quando sussistono contestualmente:

• identità soggettiva (le stesse parti);

• identità di petitum (la stessa richiesta);

• identità di causa petendi (gli stessi fatti costitutivi della domanda).

Come recentemente confermato dal Garante nel Provvedimento del 21 maggio 2025 (doc. web n. 10143261), non sussiste litispendenza quando il ricorso giudiziario ha ad oggetto questioni diverse (ad esempio, l’impugnazione di un licenziamento) rispetto al reclamo al Garante (ad esempio, la violazione privacy nel procedimento disciplinare). In tali casi, i due procedimenti possono proseguire parallelamente.

4.3. Il rapporto tra procedimento privacy e rito del lavoro

Una questione di particolare rilevanza pratica riguarda il coordinamento tra il contenzioso privacy e le controversie di lavoro. Secondo la giurisprudenza consolidata, il Garante conserva piena competenza ad accertare le violazioni della disciplina privacy anche quando i fatti si inseriscono nel contesto di un rapporto di lavoro già oggetto di giudizio.

Come chiarito nel Provvedimento del 24 aprile 2024 (n. 268, doc. web n. 10021491), costituisce violazione privacy l’utilizzo, nell’ambito di un procedimento disciplinare, di dati relativi alla vita privata del dipendente ottenuti mediante controlli non autorizzati, anche se tali dati sono successivamente utilizzati in un giudizio di impugnazione del licenziamento. L’illiceità del trattamento rimane indipendente dall’esito del giudizio del lavoro.

L’applicazione del rito del lavoro a tutte le controversie privacy (ex art. 10 D. Lgs. 150/2011) garantisce uniformità procedimentale e consente un efficace coordinamento tra le diverse tutele.

5. NOVITÀ NORMATIVE E GIURISPRUDENZIALI RECENTI

5.1. La sentenza della Cassazione sui termini perentori (2025)

La Corte di Cassazione, con la sentenza n. 759/2025 del 16 dicembre 2025, ha affermato un principio di fondamentale importanza: il termine di 120 giorni previsto dal regolamento interno del Garante per la conclusione del procedimento sanzionatorio ha natura perentoria. Il superamento di tale termine comporta la consumazione del potere dell’Autorità e l’annullamento del provvedimento adottato oltre il termine.

Questa pronuncia ha rilevanti implicazioni pratiche:

• i titolari del trattamento possono eccepire l’intempestività del provvedimento sanzionatorio nell’opposizione giurisdizionale;

• il rispetto dei termini diventa requisito di legittimità del provvedimento;

• aumentano le possibilità di successo delle opposizioni fondate su profili procedurali.

5.2. L’inappellabilità della sentenza ex art. 10 d. Lgs. 150/2011

Un aspetto di fondamentale rilevanza è costituito dall’inappellabilità della sentenza emessa all’esito del giudizio in materia privacy. L’art. 10, comma 10, del D. Lgs. 150/2011 stabilisce espressamente che la sentenza che definisce il giudizio non è appellabile, essendo esperibile solo il ricorso per Cassazione per i motivi di cui all’art. 360 c.p.c.

Tale previsione comporta che:

• il giudizio di primo grado assume carattere sostanzialmente definitivo sul merito;

• è fondamentale curare con particolare attenzione la fase di primo grado;

• l’istruttoria probatoria deve essere completa sin dalla prima fase;

• la strategia difensiva deve essere calibrata tenendo conto dell’impossibilità di un riesame nel merito in appello.

5.3. Evoluzione della prassi del Garante

L’analisi dei provvedimenti del Garante pubblicati nel 2024 e 2025 evidenzia alcune tendenze significative:

1. Maggiore rigore nell’accertamento del principio di accountability: il Garante richiede sempre più spesso la dimostrazione documentale delle misure adottate dal titolare per garantire la compliance (cfr. Provv. 4 giugno 2025, doc. web n. 10143278);

2. Attenzione crescente alla gestione dei rapporti con i responsabili del trattamento: viene sanzionata non solo l’assenza di contratti ex art. 28 GDPR, ma anche la loro inadeguatezza e il carente controllo sull’operato dei responsabili;

3. Tutela rafforzata dei minori: particolare severità nelle violazioni che coinvolgono dati di minori, anche in contesti sportivi o associativi (cfr. Provv. 17 luglio 2025, doc. web n. 10172356);

4. Valorizzazione del double opt-in per il marketing digitale: pur non essendo formalmente obbligatorio, viene considerato dal Garante come misura minima di protezione e come elemento di prova della liceità del consenso.

6. CONCLUSIONI E BEST PRACTICES

Il contenzioso in materia di privacy richiede una conoscenza approfondita sia degli strumenti di tutela amministrativa che di quelli giurisdizionali. La scelta del rimedio più appropriato deve tenere conto di molteplici fattori: dalla natura della violazione lamentata, agli obiettivi della tutela, dai tempi processuali ai costi, fino alle peculiarità del caso concreto.

È fondamentale tenere presente che tutte le controversie privacy sono regolate dal rito del lavoro ex art. 10 del D.Lgs. 150/2011, con le conseguenti peculiarità procedimentali (concentrazione, poteri officiosi del giudice, inappellabilità della sentenza).

6.1. Raccomandazioni operative

Per i professionisti del settore (avvocati, DPO, privacy officer) si suggeriscono le seguenti best practices:

Per gli interessati/reclamanti: valutare attentamente la procedura più adeguata prima di agire; conservare tutta la documentazione probatoria fin dall’inizio; esperire sempre l’istanza di esercizio dei diritti prima del reclamo (salvo casi di urgenza); monitorare costantemente i termini processuali, sia amministrativi che giudiziari; tenere presente che la sentenza di primo grado non è appellabile: massima cura nella fase iniziale.

Per i titolari del trattamento: predisporre procedure interne chiare per la gestione di reclami e istanze; mantenere documentazione completa delle misure di sicurezza e delle scelte di compliance (accountability); valutare sempre l’opportunità di una composizione bonaria prima dell’escalation del contenzioso; nei procedimenti davanti al Garante, utilizzare pienamente i 30 giorni per le memorie difensive; verificare costantemente la conformità dei contratti con i responsabili del trattamento; nell’opposizione giurisdizionale, preparare difesa completa considerando l’inappellabilità della sentenza.

Per le PMI: investire in formazione privacy per il personale (prevenzione > contenzioso); affidarsi a consulenti specializzati sin dalle prime fasi di un potenziale contenzioso; considerare l’opportunità di nominare un DPO anche quando non obbligatorio; stipulare polizze assicurative cyber risk che coprano anche il contenzioso privacy.

RIFERIMENTI NORMATIVI E FONTI

Normativa principale:

• Regolamento UE 2016/679 (GDPR)

• D.Lgs. 196/2003 (Codice Privacy), come modificato dal D. Lgs. 101/2018

• D.Lgs. 150/2011 – Art. 10 (Riduzione e semplificazione dei riti civili)

• Regolamento del Garante n. 1/2019

Fonti istituzionali:

• Sito del Garante Privacy: https://www.garanteprivacy.it

• Gazzetta Ufficiale: https://www.gazzettaufficiale.it

• Federprivacy: https://www.federprivacy.org

Giurisprudenza rilevante:

• Cass., sez. I, sent. n. 759/2025 del 16 dicembre 2025 (termini perentori)

• Garante Privacy, Provv. 21 maggio 2025, doc. web n. 10143261 (litispendenza)

• Garante Privacy, Provv. 4 giugno 2025, doc. web n. 10143278 (accountability)

• Garante Privacy, Provv. 24 aprile 2024, n. 268 (privacy e lavoro)

* * *

Articolo redatto a febbraio 2026