Garante Privacy: compiti, poteri e come contattarlo

Che cos’è il Garante Privacy?

Il Garante per la protezione dei dati personali è un’autorità amministrativa indipendente. La sua indipendenza è fondamentale perché l’Autorità deve poter controllare sia soggetti privati sia amministrazioni pubbliche senza ricevere istruzioni nell’esercizio delle proprie funzioni.

Il Garante opera come autorità di controllo italiana ai sensi del GDPR e partecipa anche alla cooperazione europea tra le autorità nazionali competenti in materia di protezione dei dati.
Il suo compito non consiste soltanto nell’intervenire dopo una violazione. L’Autorità svolge anche funzioni preventive, consultive e informative: pubblica linee guida, esprime pareri, richiama l’attenzione su rischi emergenti e contribuisce allo sviluppo della cultura della protezione dei dati.

Come è composto il Garante Privacy?

Il Garante per la protezione dei dati personali è un organo collegiale.
La normativa prevede un Collegio composto da quattro membri eletti dal Parlamento. Il mandato ha una durata di sette anni e non è rinnovabile.

La composizione del Collegio può naturalmente cambiare nel tempo; per conoscere i nominativi in carica è quindi preferibile consultare direttamente la sezione istituzionale del sito del Garante.

Quali sono i principali compiti del Garante Privacy?

I compiti del Garante Privacy sono numerosi e riguardano sia la tutela individuale sia il controllo generale sul rispetto della disciplina. Tra le principali attività rientrano:

• esaminare i reclami presentati dagli interessati;
• svolgere accertamenti e attività ispettive;
• verificare la conformità dei trattamenti al GDPR e al Codice Privacy;
• ordinare a titolari e responsabili di adeguare determinati trattamenti;
• imporre limitazioni temporanee o definitive;
• vietare trattamenti illeciti;
• ordinare, nei casi previsti, la rettifica o la cancellazione dei dati;
• adottare ammonimenti e altri provvedimenti correttivi;
• applicare sanzioni amministrative pecuniarie;
• esprimere pareri su atti normativi e amministrativi che riguardano la protezione dei dati;
• segnalare al Parlamento o ad altre istituzioni la necessità di interventi normativi;
• promuovere la consapevolezza di cittadini, imprese e amministrazioni sui temi della privacy.

Il Garante partecipa inoltre alle attività europee e internazionali relative alla protezione dei dati e coopera con le altre autorità di controllo dell’Unione europea.

Quali poteri ha il Garante della Privacy?

Per svolgere efficacemente le proprie funzioni, il Garante dispone di poteri di indagine, correttivi, autorizzativi e consultivi.

Poteri di indagine

L’Autorità può acquisire informazioni, richiedere documenti e svolgere accertamenti sui trattamenti di dati personali.
Le attività ispettive possono essere effettuate anche con il supporto del Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza, nell’ambito della collaborazione istituzionale prevista.

Poteri correttivi

Quando viene accertata una violazione, il Garante può adottare differenti misure. Può, per esempio:

• rivolgere un ammonimento;
• ingiungere al titolare di soddisfare una richiesta dell’interessato;
• ordinare di rendere il trattamento conforme alla normativa;
• imporre una limitazione temporanea o definitiva;
• vietare un determinato trattamento;
• ordinare la rettifica o la cancellazione di dati personali;
• applicare una sanzione amministrativa pecuniaria quando ne ricorrono i presupposti.

La misura adottata dipende dalla natura della violazione e dalle circostanze concrete.

Quali sanzioni può applicare il Garante Privacy?

Il GDPR prevede un sistema di sanzioni amministrative pecuniarie articolato in base alla tipologia e alla gravità delle violazioni.
Per alcune violazioni il limite massimo può arrivare a 10 milioni di euro oppure, nel caso di imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.

Per le violazioni più gravi il massimo può raggiungere 20 milioni di euro oppure, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.
Questi importi rappresentano massimali, non sanzioni automaticamente applicate.

Nella determinazione concreta della sanzione vengono valutati diversi fattori, tra cui natura, gravità e durata della violazione, numero degli interessati coinvolti, carattere doloso o colposo della condotta, misure adottate per limitare il danno, eventuali precedenti e grado di cooperazione con l’Autorità.
Il GDPR stabilisce infatti che le sanzioni debbano essere effettive, proporzionate e dissuasive.

Di quali problemi si occupa oggi il Garante Privacy?

L’attività del Garante riguarda ormai quasi ogni settore nel quale vengono utilizzati dati personali. Tra i temi più ricorrenti troviamo:

• telemarketing e comunicazioni commerciali indesiderate;
• videosorveglianza e riconoscimento biometrico;
• trattamenti di dati sanitari;
• gestione dei dati dei lavoratori;
• cookie e sistemi di tracciamento online;
• intelligenza artificiale e utilizzo massivo di dati;
• raccolta automatizzata di informazioni online e web scraping;
• data breach e incidenti di sicurezza;
• diritto di accesso e altri diritti degli interessati;
• pubblicazione e diffusione di dati personali sul web;
• protezione dei minori.

Un esempio della crescente complessità del settore è rappresentato dall’utilizzo automatizzato di dati disponibili online. UniD Professional ha già approfondito il tema nell’articolo sull’indagine del Garante Privacy sulle attività di web scraping.

Come tutelare i propri dati prima di rivolgersi al Garante?

Quando una persona ritiene che il trattamento dei propri dati non sia corretto, non sempre il primo passaggio deve essere un reclamo al Garante.
Gli articoli da 15 a 22 del GDPR riconoscono all’interessato diversi diritti, che possono comprendere, a seconda delle circostanze:

• accesso ai dati personali;
• rettifica;
• cancellazione;
• limitazione del trattamento;
• opposizione;
• portabilità dei dati;
• tutele connesse a determinate decisioni automatizzate.

La richiesta per esercitare questi diritti va normalmente rivolta al titolare del trattamento, per esempio l’impresa, il sito, l’amministrazione pubblica o l’organizzazione che utilizza i dati. Quando è presente un Responsabile della protezione dei dati, la richiesta può essere trasmessa anche attraverso il DPO.

Il titolare deve normalmente fornire un riscontro entro un mese, salvo le possibilità di proroga previste dal GDPR in relazione alla complessità o al numero delle richieste. Per un approfondimento specifico sul diritto di accesso puoi consultare l’articolo dedicato all’articolo 15 del GDPR e all’accesso ai dati personali.

Come presentare un reclamo al Garante Privacy?

Il reclamo al Garante Privacy è lo strumento attraverso il quale un interessato può rappresentare una presunta violazione della normativa sulla protezione dei dati personali e chiedere l’intervento dell’Autorità. Il reclamo è previsto dall’articolo 77 del GDPR e dagli articoli da 140-bis a 143 del Codice Privacy.
La presentazione del reclamo è gratuita.

Può essere sottoscritto direttamente dall’interessato oppure, per suo conto, da un avvocato, procuratore, organismo, organizzazione o associazione senza scopo di lucro, secondo le condizioni previste.

Quali informazioni deve contenere il reclamo?

Il reclamo deve essere sufficientemente circostanziato. È opportuno indicare:

• i dati identificativi del reclamante;
• il titolare del trattamento al quale viene attribuita la presunta violazione;
• il responsabile del trattamento, quando conosciuto e pertinente;
• una descrizione dettagliata dei fatti e delle circostanze;
• eventuali richieste già rivolte al titolare;
• le disposizioni che si ritengono violate, quando individuabili;
• le misure richieste all’Autorità;
• la documentazione utile a ricostruire il caso.

Non è quindi corretto parlare di “querelante” e “colpevole”: il reclamo amministrativo davanti al Garante non coincide con una querela penale.

Come si firma il reclamo?

Secondo le indicazioni ufficiali del Garante, il reclamo può essere sottoscritto:

• con firma autenticata;
• con firma digitale;
• oppure con firma autografa, allegando in quest’ultimo caso copia di un documento di riconoscimento in corso di validità.

Il sito ufficiale mette inoltre a disposizione un modello di reclamo utilizzabile dagli interessati.

Come inviare un reclamo al Garante?

Il Garante indica attualmente tre principali modalità di presentazione:

• PEC all’indirizzo protocollo@pec.gpdp.it;
• raccomandata A/R indirizzata al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma;
• consegna a mano presso gli uffici dell’Autorità in Piazza Venezia 11, Roma.

L’indirizzo PEC del Garante è configurato per ricevere comunicazioni provenienti da caselle di posta elettronica certificata.
Prima di inviare un reclamo è sempre opportuno consultare la pagina ufficiale dedicata ai reclami, perché modalità operative e modulistica possono essere aggiornate nel tempo.

Qual è la differenza tra reclamo e segnalazione al Garante?

Reclamo e segnalazione non sono la stessa cosa. Il reclamo è un atto circostanziato attraverso il quale un interessato lamenta una violazione della normativa e richiede una verifica dell’Autorità.
La segnalazione, invece, può essere utilizzata per portare all’attenzione del Garante una situazione potenzialmente illecita anche quando non si dispone di tutti gli elementi necessari per predisporre un reclamo strutturato.

Per alcune materie, come telemarketing, revenge porn e cyberbullismo, il Garante mette a disposizione procedure o strumenti specifici.

Come inviare una segnalazione?

Per la segnalazione non sono previste particolari formalità, ma è comunque importante fornire all’Autorità tutti gli elementi utili a valutare la possibile illegittimità del trattamento.
Le indicazioni ufficiali prevedono attualmente l’invio attraverso:

• posta elettronica ordinaria all’indirizzo protocollo@gpdp.it;
• posta elettronica certificata all’indirizzo protocollo@pec.gpdp.it;
• posta ordinaria indirizzata a Piazza Venezia 11, 00187 Roma.

Per alcune tipologie di segnalazione sono disponibili moduli o procedure telematiche dedicate.

Cosa succede dopo un reclamo al Garante Privacy?

Alla presentazione del reclamo segue una istruttoria preliminare. Se ne ricorrono i presupposti, può essere avviato un procedimento amministrativo formale.
Durante l’istruttoria il Garante può richiedere informazioni, documenti o chiarimenti ai soggetti coinvolti e svolgere ulteriori accertamenti.

Il procedimento può concludersi con differenti esiti, a seconda del caso:

• archiviazione;
• ammonimento;
• ordine di soddisfare i diritti dell’interessato;
• ordine di modificare un trattamento;
• limitazione o divieto del trattamento;
• ordine di rettifica o cancellazione;
• applicazione di una sanzione amministrativa.

Le decisioni del Garante possono essere impugnate davanti all’autorità giudiziaria secondo quanto previsto dalla normativa applicabile.

Il Garante può riconoscere un risarcimento dei danni?

Occorre distinguere la funzione del Garante dalla tutela risarcitoria davanti al giudice.
Il Garante può verificare la liceità del trattamento, adottare provvedimenti correttivi e applicare sanzioni amministrative, ma il risarcimento del danno derivante da una violazione della normativa sulla protezione dei dati rientra nella tutela giurisdizionale.

Il GDPR riconosce infatti il diritto al risarcimento a chi abbia subito un danno materiale o immateriale derivante da una violazione, ma la relativa pretesa deve essere valutata nella sede competente.

UniD Professional ha approfondito alcuni profili collegati anche nell’articolo sul furto di dati personali e risarcimento.

Come contattare il Garante Privacy?

La sede del Garante per la protezione dei dati personali è:

Piazza Venezia, 11
00187 Roma

Il numero del centralino istituzionale è +39 06 696771. Per informazioni sulla normativa, sulle modalità di tutela, sui reclami e sulle procedure è disponibile anche l’Ufficio relazioni con il pubblico, URP. Il numero telefonico indicato dal Garante per l’URP è +39 06 69677 2917.

Dal momento che recapiti e orari possono cambiare, prima di contattare l’Autorità è consigliabile verificare la pagina ufficiale dei contatti del Garante.

Qual è la differenza tra Garante Privacy e DPO?

Garante Privacy e DPO svolgono funzioni profondamente diverse. Il Garante è un’autorità pubblica indipendente di controllo.
Il DPO, o Responsabile della protezione dei dati, è invece una figura prevista dal GDPR che opera all’interno o al servizio di una determinata organizzazione nei casi in cui la sua designazione sia obbligatoria o venga comunque effettuata.

Per approfondire questa figura professionale puoi leggere l’articolo DPO: compiti, nomina e ruolo del Data Protection Officer.

Che rapporto c’è tra Garante Privacy e data breach?

Il data breach è una violazione di sicurezza che comporta accidentalmente o illecitamente distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai dati personali.
Quando ricorrono le condizioni previste dal GDPR, il titolare del trattamento deve notificare la violazione al Garante, in linea generale senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza.

Non ogni incidente informatico comporta automaticamente gli stessi obblighi: occorre valutare natura dell’evento, dati coinvolti e rischio per i diritti e le libertà delle persone.
Per approfondire cause, prevenzione e gestione delle violazioni puoi consultare l’articolo Data breach: significato, cause e come prevenirlo.

Garante Privacy e GDPR: qual è il rapporto?

Il GDPR definisce le regole generali sulla protezione dei dati personali applicabili nell’Unione europea e prevede che ogni Stato membro disponga di una o più autorità di controllo indipendenti.
In Italia questa funzione è svolta dal Garante per la protezione dei dati personali.

Il Garante non “crea” autonomamente il GDPR e non sostituisce il legislatore. La sua funzione consiste nell’applicare e far rispettare la disciplina nell’ambito delle competenze attribuitegli, interpretandola nei casi concreti e adottando provvedimenti quando necessario.

Per un quadro più ampio su principi, basi giuridiche, consenso, diritti degli interessati e obblighi organizzativi rimandiamo alla guida completa al GDPR.

Domande frequenti sul Garante Privacy

A cosa serve il Garante Privacy?

Serve a vigilare sull’applicazione della normativa sulla protezione dei dati personali e a tutelare i diritti degli interessati attraverso attività di controllo, accertamento, informazione e intervento.

Chi controlla il rispetto del GDPR in Italia?

L’autorità nazionale di controllo è il Garante per la protezione dei dati personali, nell’ambito del sistema europeo di cooperazione previsto dal GDPR.

Come posso segnalare una violazione della privacy?

È possibile utilizzare, a seconda delle circostanze, un reclamo o una segnalazione al Garante. Prima di farlo può essere opportuno esercitare direttamente i propri diritti nei confronti del titolare del trattamento.

Quanto costa presentare un reclamo al Garante?

La presentazione del reclamo al Garante è gratuita.

Serve un avvocato per presentare un reclamo?

No. L’interessato può sottoscrivere direttamente il reclamo. Può comunque scegliere di farsi rappresentare da un avvocato o da altri soggetti ammessi dalla normativa.

Il Garante può cancellare i miei dati?

Il Garante può ordinare al titolare o al responsabile del trattamento la cancellazione di dati quando ricorrono i presupposti previsti dalla normativa. Normalmente, tuttavia, l’interessato esercita prima il diritto di cancellazione direttamente nei confronti del titolare.

Il Garante può applicare sanzioni?

Sì. Il Garante può applicare sanzioni amministrative pecuniarie e adottare altri provvedimenti correttivi nei casi previsti dal GDPR e dalla normativa nazionale.

Garante Privacy e DPO sono la stessa cosa?

No. Il Garante è l’autorità pubblica di controllo; il DPO è una figura che assiste una specifica organizzazione nella gestione della conformità alla normativa sulla protezione dei dati.

Posso contattare direttamente il Garante per ottenere la cancellazione dei miei dati?

In genere il primo interlocutore per esercitare i diritti previsti dal GDPR è il titolare del trattamento. Se la risposta non arriva nei termini previsti, non è soddisfacente oppure il trattamento viene ritenuto illecito, l’interessato può valutare gli strumenti di tutela davanti al Garante o all’autorità giudiziaria.

Garante Privacy: cosa ricordare

Il Garante Privacy è l’autorità italiana indipendente incaricata di vigilare sul rispetto della normativa relativa alla protezione dei dati personali. Può svolgere controlli, esaminare reclami e segnalazioni, adottare provvedimenti correttivi, vietare o limitare trattamenti e applicare sanzioni amministrative.

Per il cittadino è particolarmente importante distinguere tre strumenti: l’esercizio dei diritti direttamente nei confronti del titolare, il reclamo al Garante e la segnalazione.
Per imprese e professionisti, invece, conoscere i poteri dell’Autorità significa comprendere che la conformità al GDPR non coincide con la semplice predisposizione di documenti: richiede una gestione concreta, documentabile e continuativa dei trattamenti di dati personali.