Indice
In sintesi
- L'art. 2-bis individua nel Garante per la protezione dei dati personali l'autorità di controllo nazionale ai sensi degli artt. 51 ss. GDPR.
- Il Garante è un'autorità amministrativa indipendente, istituita dalla L. 675/1996 e oggi disciplinata dagli artt. 51 ss. del Codice.
- È composto da un collegio di quattro membri eletti dal Parlamento (due dalla Camera, due dal Senato).
- Esercita poteri di indagine, correttivi e sanzionatori previsti dall'art. 58 GDPR.
- Adotta provvedimenti generali, autorizzazioni, codici di condotta e regole deontologiche.
- Rappresenta l'Italia presso il Comitato Europeo per la Protezione dei Dati (EDPB).
Testo dell'articoloVigente
1. Il Garante per la protezione dei dati personali è l’autorità di controllo designata ai sensi dell’articolo 51 del Regolamento (UE) 2016/679.
Informazione giuridica di carattere generale — Il presente contenuto costituisce informazione giuridica di carattere generale e non sostituisce in alcun modo il parere di un avvocato iscritto all'Albo. La norma riportata è tratta da fonti ufficiali (Normattiva, Gazzetta Ufficiale) e il commento ha finalità divulgativa. Per la valutazione del caso specifico è necessario consultare un professionista abilitato.
Commento
Il Garante come autorità di controllo nazionale
L'art. 2-bis del Codice Privacy, introdotto dal D.Lgs. 101/2018, individua nel Garante per la protezione dei dati personali l'autorità di controllo nazionale ai sensi degli artt. 51 ss. GDPR. La norma è il punto di raccordo tra l'architettura istituzionale italiana, già consolidata dal 1997, e l'obbligo del GDPR di designare almeno un'autorità nazionale indipendente in ogni Stato membro. L'Italia ha scelto un'autorità unica e centralizzata, dotata di competenza generale su tutto il territorio.
Natura giuridica: l'indipendenza come pilastro
Il Garante è un'autorità amministrativa indipendente, non sottoposta a indirizzo politico né a controllo gerarchico. L'indipendenza è garantita su tre piani: organizzativo (autonomia regolamentare), funzionale (insindacabilità dei provvedimenti se non in sede giurisdizionale) e finanziario (gestione autonoma del bilancio). Il GDPR rafforza questo profilo richiedendo che ogni autorità di controllo agisca "in piena indipendenza" (art. 52 GDPR), liberi da influenze esterne. La Corte di Giustizia UE ha più volte sottolineato che l'indipendenza è un requisito non solo formale ma sostanziale.
Composizione e nomina
Il collegio del Garante è composto da quattro membri eletti dal Parlamento, due dalla Camera dei deputati e due dal Senato. Restano in carica sette anni e non sono rinnovabili. La scelta del Parlamento garantisce la legittimazione democratica; il limite del mandato non rinnovabile rafforza l'indipendenza. Il presidente è eletto al suo interno. Il Garante si avvale di un Ufficio del Garante con personale tecnico, articolato in dipartimenti per settore (sanità, comunicazioni elettroniche, lavoro, pubblica amministrazione, sicurezza).
Poteri del Garante: art. 58 GDPR
I poteri del Garante sono enumerati dall'art. 58 GDPR e disciplinati nel Codice agli artt. 154 ss. Si distinguono in: poteri di indagine (accesso ai dati, audizioni, ispezioni); poteri correttivi (avvertimenti, ammonimenti, ordini di adeguamento, limitazioni temporanee del trattamento, ordini di cancellazione, sanzioni amministrative pecuniarie); poteri autorizzativi e consultivi (autorizzazioni preventive, pareri sulle DPIA, approvazione di codici di condotta). Il Garante adotta inoltre provvedimenti generali che hanno effetto regolatorio (per esempio, il provvedimento del 10 giugno 2021 sui cookie).
Provvedimenti generali e codici di condotta
Una funzione strategica del Garante è quella regolatoria: provvedimenti generali su categorie omogenee di trattamenti (videosorveglianza, marketing, cookie, intelligenza artificiale, controlli sui lavoratori), regole deontologiche per giornalisti, ricercatori, investigatori privati, approvazione di codici di condotta settoriali (art. 40 GDPR). Questa funzione, pur non formalmente vincolante, definisce nei fatti gli standard di compliance richiesti a imprese e PA. Il provvedimento sui cookie del 2021, in particolare, ha riscritto la prassi del web tracking italiano.
Rapporti con il Comitato Europeo (EDPB)
Il Garante rappresenta l'Italia presso il Comitato Europeo per la Protezione dei Dati (EDPB), organismo che riunisce tutte le autorità nazionali UE e il Garante Europeo. L'EDPB adotta linee guida vincolanti per gli Stati membri (per esempio, sulle DPIA, sui trasferimenti extra-UE post-Schrems II, sulla designazione del DPO). Nei trattamenti transfrontalieri opera il meccanismo dello sportello unico (one-stop-shop): il Garante è autorità capofila o coinvolta a seconda della collocazione del titolare. La cooperazione tra autorità è disciplinata dagli artt. 60-67 GDPR.
Provvedimenti notori del Garante e impatto regolatorio
L'attività del Garante ha plasmato la prassi italiana in modo decisivo. Tra i provvedimenti più impattanti: a) cookie (10 giugno 2021): ha riscritto le regole del web tracking; b) videosorveglianza (provv. 8 aprile 2010 e aggiornamenti): ha fissato le condizioni di liceità per impianti privati e pubblici; c) marketing (linee guida 2013 e aggiornamenti): ha disciplinato il telemarketing e l'email marketing; d) intelligenza artificiale (provv. 30 marzo 2023 su ChatGPT): primo intervento europeo su un LLM, ha imposto temporaneamente il blocco; e) videosorveglianza con riconoscimento facciale (provv. SARI 2018, SARI Real-Time 2024): ha imposto limiti stretti all'uso di facial recognition. Questi provvedimenti definiscono di fatto gli standard di compliance attesi e sono il principale benchmark per le imprese.
Cooperazione internazionale: EDPB e casi Big Tech
Il Garante italiano è uno dei più attivi a livello europeo. Nel triennio 2022-2024 ha partecipato a procedimenti EDPB su: Meta (decisioni sul targeting comportamentale e sui trasferimenti extra-UE post-Schrems II); Google (cookie e fingerprinting); TikTok (minori e targeting); ClearView AI (riconoscimento facciale, ban operato in più paesi UE); OpenAI (ChatGPT, primo blocco temporaneo); Replika (chatbot e minori). La sanzione record del 2024 è stata l'1,2 miliardi di euro a Meta per trasferimenti extra-UE illegittimi, decisa dall'autorità irlandese (DPC) ma con voto vincolante del Garante italiano. La cooperazione internazionale rende il Garante italiano un giocatore di primo piano nella regolazione globale dei dati.
Massime giurisprudenziali
Corte Cost., sent. n. 271/2005
Perché è importante: Riservatezza come diritto inviolabile
Prassi e linee guida
Disciplina generale · Codice in materia di protezione dei dati
Garante Privacy
Hub del Garante per la protezione dei dati personali: disciplina del D.Lgs. 196/2003 coordinato con il GDPR.
Leggi il documento su www.garanteprivacy.itCasi pratici
Caso 1: Tizio: reclamo al Garante per cookie
Tizio visita un sito web che installa cookie di profilazione senza chiedere il consenso. Presenta reclamo al Garante ex art. 77 GDPR. Il Garante, in virtù dei poteri dell'art. 2-bis e degli artt. 154 ss., apre istruttoria, sente il titolare, e con provvedimento conclude irrogando sanzione amministrativa basata sul provvedimento generale 10 giugno 2021 sui cookie.
Caso 2: Caio S.p.A.: ispezione del Garante
Caio S.p.A., banca italiana, subisce un'ispezione del Garante a seguito di data breach. Il Garante esercita i poteri di indagine dell'art. 58, par. 1, GDPR (accesso ai dati, audizioni, copia documentale). Conclusa l'istruttoria, applica il potere correttivo (ordine di adeguamento, art. 58, par. 2, lett. d) e una sanzione amministrativa di 2 milioni di euro (art. 83 GDPR).
Caso 3: Sempronia: opposizione al provvedimento
Sempronia, titolare sanzionata, impugna il provvedimento del Garante davanti al Tribunale civile in composizione monocratica (rito del lavoro), ai sensi dell'art. 152 del Codice. Il giudice civile può confermare, modificare o annullare il provvedimento. L'indipendenza del Garante non esclude il sindacato giurisdizionale di legittimità e merito.
Caso 4: Commento applicativo
L'art. 2-bis è la chiave istituzionale del Codice. Il Garante svolge una funzione di authority a tutto tondo: regolatore (provvedimenti generali, codici di condotta), supervisor (ispezioni, reclami), enforcer (sanzioni amministrative), advisor (pareri, DPIA). La sua attività plasma di fatto la prassi italiana della protezione dati, in continuità con l'EDPB e nel rispetto del GDPR.
Domande frequenti
Chi è l'autorità di controllo per la privacy in Italia?
Il Garante per la protezione dei dati personali, individuato dall'art. 2-bis del Codice e dagli artt. 51 ss. È un'autorità amministrativa indipendente con sede a Roma.
Da chi è composto il Garante?
Da un collegio di quattro membri eletti dal Parlamento (due dalla Camera, due dal Senato) per sette anni non rinnovabili. Il presidente è eletto tra i componenti.
Quali poteri ha il Garante?
Poteri di indagine (ispezioni, audizioni), correttivi (avvertimenti, ordini, sanzioni pecuniarie fino al 4% del fatturato globale), autorizzativi (pareri, codici di condotta), consultivi e normativi (provvedimenti generali).
Come si impugna un provvedimento del Garante?
Davanti al Tribunale civile in composizione monocratica con rito del lavoro, entro 30 giorni dalla notifica (art. 152 del Codice). In alternativa è ammesso ricorso al TAR per i provvedimenti generali a contenuto regolamentare.
Il Garante coopera con altre autorità europee?
Sì, attraverso il Comitato Europeo per la Protezione dei Dati (EDPB). Nei trattamenti transfrontalieri opera il meccanismo one-stop-shop disciplinato dagli artt. 60-67 GDPR.
Vedi anche