Premessa

Con sentenza n. 2615/2023 il Tribunale di Roma ha annullato una sanzione amministrativa pecuniaria pari ad euro 26.513.977,00 comminata dal Garante per la protezione dei dati personali (il “Garante” o l’“Autorità”) ad Enel Energia S.p.A. (“Enel Energia”) per presunte violazioni della normativa vigente.

Enel Energia, in particolare, aveva contestato il mancato rispetto da parte del Garante del termine prescritto per lo svolgimento e la conclusione del procedimento sanzionatorio e aveva eccepito la nullità del provvedimento impugnato. La pronuncia offre quindi importanti spunti di riflessione in merito alla natura dei termini procedimentali, alla loro decorrenza e all’esigenza di certezza normativa.

Fattispecie

A partire dal 2018 il Garante aveva avviato diverse istruttorie nei confronti di Enel Energia a seguito di numerose segnalazioni di utenti che lamentavano:

• la ricezione di telefonate promozionali indesiderate, in assenza del necessario consenso degli interessati ovvero rispetto ad utenze fisse nonostante l’iscrizione della numerazione nel registro pubblico delle opposizioni;
• il tardivo riscontro ad istanze di esercizio dei diritti di accesso ai dati personali oppure di opposizione al relativo trattamento per finalità di marketing.

Nell’ambito di tali istruttorie Enel Energia si era trovata ad affrontare una serie di richieste di chiarimenti del Garante qui in sintesi esaminate.

• Richieste del 13 dicembre 2018 e 19 settembre 2019: Enel Energia aveva riscontrato tali richieste rispettivamente in date 20 dicembre 2018 e 6 settembre 2019 precisando che in tutti i casi segnalati, da un lato, le numerazioni risultavano riferibili ad operatori non riconducibili alla medesima e che spendevano illegittimamente il nome di Enel Energia e, dall’altro lato, si trattava di operatori commerciali con i quali Enel Energia non aveva mai avuto alcun rapporto contrattuale ovvero con i quali i rapporti erano cessati da tempo. A fronte di tali riscontri non era pervenuta alcuna replica o ulteriore richiesta da parte del Garante.
• Richieste del 17 dicembre 2019 e 10 luglio 2020: Enel Energia aveva riscontrato tali richieste e le relative circostanze non sono state oggetto della controversia esame.

Il 24 dicembre 2020 il Garante aveva poi indirizzato ad Enel Energia nuove richieste di chiarimenti, cui era stato dato riscontro il 14 gennaio 2021.

Soltanto il 17 maggio 2021 il Garante aveva dato avvio al procedimento sanzionatorio e il 16 dicembre 2021, infine, la medesima aveva contestato ad Enel Energia in totale 15 violazioni del Regolamento UE 2016/679 (“GDPR”) e del D. Lgs. 196/2003 e ss.mm.ii. (“Codice Privacy”), infliggendo la predetta sanzione pecuniaria oltre a diversi avvertimenti, ammonizioni e prescrizioni.

Merito della controversia

A) La qualificazione del termine per la conclusione del procedimento sanzionatorio

Nell’esaminare anzitutto la problematica concernente la qualificazione dei termini prescritti dalla normativa vigente in materia di procedimenti sanzionatori, il Giudice si è soffermato in generale sull’articolo 2, comma 2, della legge 241/1990, il quale stabilisce che “nei casi in cui disposizioni di legge ovvero i provvedimenti di cui ai commi 3, 4 e 5 non prevedono un termine diverso, i procedimenti amministrativi di competenza delle amministrazioni statali e degli enti pubblici nazionali devono concludersi entro il termine di trenta giorni”. Nella specie il Garante, in virtù del comma 5 dello stesso articolo – che autorizza le autorità di controllo e vigilanza a determinare termini prolungati in linea con i propri ordinamenti interni – si è attribuito il termine più lungo di 120 giorni dall’accertamento della violazione per la notificazione della contestazione formale. A fronte di ciò, il Tribunale di Roma ha accolto le contestazioni sollevate da Enel Energia riguardo l’invalidità del provvedimento sanzionatorio per violazione di tale termine, interpretato non come meramente procedurale, ma come perentorio. Ciò anche in considerazione della circostanza per cui, in materia sanzionatoria, la perentorietà dei termini entro i quali l’autorità procedente deve concludere le varie fasi del procedimento, sino al provvedimento finale, è presupposto irrinunciabile per l’effettivo rispetto di principi fondamentali dell’ordinamento quali la certezza del diritto e il diritto alla difesa, garantiti sia a livello nazionale che sovranazionale.

B) La decorrenza del termine per la conclusione del procedimento sanzionatorio

Il Giudice si è poi soffermato sulla questione relativa al momento di decorrenza del termine per la conclusione del procedimento sanzionatorio. Ed invero, il Tribunale ha in particolare obiettato la tesi dominante in giurisprudenza che individua il dies a quo, non già nel momento in cui l’autorità procedente viene a conoscenza “del fatto ipoteticamente sanzionabile nella sua materialità”, bensì in quello successivo in cui essa acquista “piena conoscenza della condotta illecita: conoscenza a sua volta implicante il riscontro, anche ai fini di una corretta formulazione della contestazione, dell’inesistenza e della consistenza dell’infrazione e dei suoi effetti”. Infatti, un termine il cui dies a quo è del tutto incerto, rimesso alla mera volontà dell’organo amministrativo, non è calcolabile e ciò non è compatibile con la certezza del diritto e con le esigenze del diritto di difesa. Secondo il Tribunale, quindi, il momento di decorrenza del termine va individuato nella data in cui il Garante riceve le risposte definitive alle sue richieste di informazioni ed eventualmente, poi, di ulteriori chiarimenti. In altri termini, la formale contestazione va notificata allo scadere del termine di 120 giorni decorrente o dall’ultima risposta fornita o – in caso di silenzio – dalla vana scadenza del termine assegnato per fornirla.

C) Non rilevanza dei c.d. “cumuli ” rispetto alla perentorietà dei termini

Anticipando delle perplessità circa la formulazione dell’art. 10, comma 4, del regolamento 1/2019 dell’Autorità, rispetto a come debbano essere gestite questioni “anche pervenute in tempi diversi” (i c.d. “cumuli” o “CUM”), il Tribunale dichiara discutibile “(…) la legittimità di una previsione di tal fatta che non specifichi in alcun modo (neppure indirettamente) l’arco temporale entro il quale devono sorgere quelle questioni, per poter essere accorpate e istruite cumulativamente. Una tale vaghezza lascia, ancora una volta, al puro arbitrio dell’autorità la scelta dei tempi (e dei contenuti) delle contestazioni sulle quali il titolare del trattamento dovrà rispondere”.

Al passaggio successivo, il Tribunale censura inoltre le scelte del Garante di (i) attendere grandi quantità di reclami, (ii) raggrupparli in cumuli, (iii) chiedere informazioni su ciascuno di essi, per infine, (iv) “notificare alla società un’unica contestazione di violazione che li comprendeva tutti”.

Emerge di conseguenza un interessante profilo: anche rispetto a questa nota prassi di raggruppamento di più reclami o istruttorie, l’Autorità non può esimersi di agire nel rispetto del termine di 120 giorni.

D) Esiti

Alla stregua di tutto quanto considerato, il Giudice ha osservato nella specie che:

• in risposta alle prime due richieste del Garante, datate 13 dicembre 2018 e 19 agosto 2019, Enel Energia aveva fornito riscontro rispettivamente il 20 dicembre 2018 e il 6 settembre 2019 senza ricevere ulteriori solleciti o contestazioni;
• la terza richiesta del GARANTE, datata 17 dicembre 2019, era rimasta senza risposta fino al sollecito con la quarta richiesta del 10 luglio 2020, a cui Enel Energia aveva poi fornito riscontro. Solo il 24 dicembre 2020 il Garante aveva richiesto ulteriori chiarimenti, forniti da Enel Energia il 14 gennaio 2021.

In sostanza, già l’ultima richiesta di chiarimenti del 10 luglio 2020, comprendente anche il sollecito di risposta alla precedente, era giunta dopo la scadenza dei 120 giorni e ciò aveva portato Enel Energia a ritenere che non ci fossero fondamenti per un procedimento sanzionatorio. Se il Garante avesse avuto elementi sufficienti per una contestazione o avesse necessitato di ulteriori informazioni per decidere su un’eventuale azione sanzionatoria, infatti, avrebbe dovuto agire in tempi più ristretti, soprattutto considerando il lasso temporale significativo tra le richieste iniziali e la contestazione finale. E ciò senza considerare le precedenti richieste del 2018 e 2019, che precedono addirittura di due anni la richiesta di chiarimenti e la successiva contestazione.

Di fronte a queste circostanze, il Tribunale ha quindi concluso per la tardività delle contestazioni da parte del Garante e ha annullato il provvedimento sanzionatorio con conseguente decadenza delle sanzioni inflitte.

Riflessioni conclusive

Si tratta di una pronuncia di fondamentale importanza, nonché la più rilevante di un tribunale ordinario (almeno dall’entrata in vigore del GDPR) sul rapporto tra la materia di protezione dei dati personali e il resto dell’ordinamento.

Nel provvedimento il giudice di merito richiama più volte il diritto ad un equo processo e il diritto di difesa, diritti che spesso nell’ambito dei procedimenti davanti alle Autorità Indipendenti subiscono delle compressioni che, davanti ad altri organi giudiziari, sarebbero difficilmente ipotizzabili. Spesso la fluidità e la poca formalità dei procedimenti può essere vantaggiosa anche per le parti che ricevono le richieste di informazioni o le contestazioni ma, come già segnalato da tanti osservatori, tenendo ben presente che l’Autorità assume sia la funzione requirente che quella giudicante, c’è da interrogarsi se i regolamenti interni non siano da sottoporre quanto meno ad una revisione periodica.

Per chi ha esperienza in procedimenti davanti al Garante è noto che le tempistiche illustrate nella sentenza in commento sono la normalità e, anzi, è difficile vedere che tali termini siano in concreto rispettati. Ancora una volta, però, occorre onestà intellettuale nel ricordare che non sempre questo può essere sfavorevole per le parti coinvolte: si pensi ad esempio ai procedimenti instaurati prima di una novità normativa rilevante (ad esempio la decisione di adeguatezza che ha legittimato il trasferimento dei dati personali verso gli Stati Uniti), dove perlomeno la parte di trattamenti “del presente” non deve essere sanata (sulle violazioni passate, ovviamente, non vale il principio della retroattività).

Fino ad un’eventuale pronuncia della Suprema Corte non si avrà una conferma definitiva di quanto illustrato in modo innovativo nella sentenza in commento, ma senz’altro si tratta di principi che andranno soltanto a consolidarsi, oppure – auspicabilmente – ad evolversi verso una maggiore parità tra le parti in campo.