Il Tribunale di Roma, con sentenza n. 9551/2022 R.G. ha annullato il provvedimento del Garante Privacy impugnato di una nota società energetica perché tardivo.
- La vicenda
Il procedimento avanti al Tribunale prende avvio dal ricorso proposto dalla società energetica (parte ricorrente) nei confronti del Garante (parte resistente), che ha impugnato il provvedimento con il quale il Garante le ha contestato ben 15 violazioni del GDPR, infliggendo una sanzione di oltre € 26 Milioni.
In particolare, il Garante ha iniziato la sua attività di indagine verso la fine del 2018, a seguito di numerose segnalazioni e reclami pervenuti in tempi diversi, che sono stati accorpati e ‘cumulati’ dal Garante in quattro gruppi (o, come chiamate dal Garante e dal Tribunale stesso, in quattro “CUM”), a cui sono pervenute le richieste di informazioni del Garante.
Solo però più di due anni dopo le richieste di cui ai primi CUM, il Garante dava avvio al procedimento sanzionatorio, dandone comunicazione alla società.
Secondo il Garante, l’avvio del procedimento sanzionatorio sarebbe avvenuto nei termini, in quanto:
a. il Garante si avvale della norma derogatoria di cui all’Art. 2, co. 5, della L. 241/1990 che rimette alle autorità la facoltà di stabilire esse stessa i termini dei propri procedimenti (nel caso del Garante si tratta di 120 giorni);
b. il dies a quo (ossia, il momento da cui decorrono i termini) decorre dal momento in cui si conclude la valutazione dei fatti da parte dell’Autorità; e
c. in ogni caso il termine non è perentorio, ma bensì, ordinatorio, in assenza di un’espressa previsione di legge, essendo un termine che deriva da regolamenti interni dell’Autorità stessa.
- I principi di diritto affrontati dal Tribunale
Il Tribunale afferma che, in linea generale, la certezza dei tempi entro i quali l’autorità deve iniziare e poi concludere il procedimento è requisito per il rispetto del diritto di difesa, per la certezza del diritto, e per la c.d. rule of law (che non tollera spazi di arbitrio della autorità).
Alla luce di ciò, i termini per concludere un procedimento, anche se dettati dal Garante stesso sulla base della norma derogatoria di cui all’Art. 2, co. 5, della L. 241/1990, non possono che ritenersi perentori, in quanto questo è presupposto irrinunciabile per l’effettivo rispetto dei principi fondamentali dell’ordinamento. Come afferma il Tribunale, un’incertezza rispetto a questi termini spalanca “le porte all’arbitrio e alla disparità di
Il dies a quo non può essere determinato al momento in cui si conclude la valutazione dei fatti da parte dell’Autorità, come invece affermato dal Garante. Questo perché tali valutazioni si formano “nel segreto delle sue deliberazioni interne” e non sono pertanto calcolabili (non potendo definirsi come “termine”).
Secondo il Tribunale, il dies a quo va individuato invece nella data in cui:
- il Garante riceve le risposte alle sue richieste di informazioni, ed eventualmente, gli ulteriori chiarimenti;
- nel caso di silenzio da parte del titolare, scade il termine assegnato al titolare per fornire risposta.
3. Le Conclusioni sul provvedimento tardivo del Garante Privacy
Per le ragioni di cui sopra, il Tribunale ritiene che la contestazione del Garante alle violazioni della società sia avvenuta ben oltre il termine di 120 giorni che il Garante avrebbe dovuto rispettare rispetto ai vari CUM, e che pertanto tale contestazione debba ritenersi illegittima e debba essere annullata.
Quanto disposto dal Tribunale è certamente un punto di svolta da tenere in considerazione quando si ricevono richieste di informazioni da parte del Garante: il non rispetto del termine dei 120 giorni dalle risposte del titolare per la contestazione della violazione, porta dunque all’illegittimità dell’atto, dovendo considerarsi tardivo.
La sentenza è disponibile qui.
Su un simile argomento può essere interessante il seguente articolo: “Il Tribunale di Milano condanna Google sul diritto all’oblio a procedere con la deindicizzazione di alcuni siti e risarcire i danni”.
