In sintesi
- L'art. 152 disciplina l'impugnazione dei provvedimenti del Garante davanti al Tribunale civile.
- La competenza è del Tribunale civile in composizione monocratica del luogo di residenza del titolare.
- Il termine è di 30 giorni dalla notifica del provvedimento.
- Si applica il rito del lavoro (artt. 414 ss. c.p.c.).
- Il giudice può confermare, modificare o annullare il provvedimento con sindacato pieno.
- L'opposizione non sospende automaticamente l'esecuzione del provvedimento (salvo istanza cautelare).
Testo dell'articoloVigente
1. Tutte le controversie che riguardano le materie oggetto del Regolamento e del presente codice, comprese quelle inerenti ai provvedimenti del Garante in materia di protezione dei dati personali, sono attribuite all’autorità giudiziaria ordinaria.
Informazione giuridica di carattere generale — Il presente contenuto costituisce informazione giuridica di carattere generale e non sostituisce in alcun modo il parere di un avvocato iscritto all'Albo. La norma riportata è tratta da fonti ufficiali (Normattiva, Gazzetta Ufficiale) e il commento ha finalità divulgativa. Per la valutazione del caso specifico è necessario consultare un professionista abilitato.
Commento
La tutela giurisdizionale: tribunale civile
L'art. 152 del Codice Privacy attribuisce al Tribunale civile la competenza a conoscere delle controversie in materia di protezione dei dati personali. Si tratta del giudice naturale della privacy in Italia: ogni provvedimento del Garante è impugnabile davanti al Tribunale civile in composizione monocratica del luogo di residenza del titolare del trattamento o, in alternativa, del luogo in cui ha sede l'autorità che ha emesso il provvedimento. La scelta legislativa è motivata: il giudice civile è abituato a bilanciare diritti soggettivi e a applicare il rito speciale del lavoro, particolarmente snello.
Il rito del lavoro
Il giudizio segue il rito del lavoro disciplinato dagli artt. 414 ss. c.p.c.: a) ricorso introduttivo entro 30 giorni dalla notifica del provvedimento; b) deposito presso la cancelleria del Tribunale; c) udienza di discussione fissata d'urgenza; d) decisione contestuale all'udienza salvo riserva di provvedere entro 60 giorni. Il rito è caratterizzato da: oralità, concentrazione, immediatezza. Sono ammesse prove testimoniali, documentali, perizie. La sentenza è impugnabile con appello davanti alla Corte d'Appello.
Sindacato pieno del giudice
Il sindacato del giudice ordinario sui provvedimenti del Garante è pieno, non limitato al solo vizio di legittimità (come avviene nel processo amministrativo). La Cassazione (Cass. civ. n. 11125/2020) ha chiarito che il giudice può: a) confermare il provvedimento; b) modificarlo nei contenuti (per esempio, riducendo la sanzione); c) annullarlo integralmente. È quindi un sindacato di legittimità e di merito. La motivazione del Garante può essere integrata dal giudice; la sanzione può essere rideterminata.
Le parti del processo
Parti del giudizio sono: a) il ricorrente (titolare del trattamento sanzionato o, in caso di reclamo respinto, l'interessato); b) il Garante per la protezione dei dati personali, che si costituisce per difendere il provvedimento; c) eventuali contraddittori necessari (per esempio, altro titolare se il provvedimento incide su rapporti tra titolari). L'Avvocatura dello Stato rappresenta il Garante. Il processo è soggetto al contributo unificato dovuto per le controversie civili.
Sospensione dell'efficacia del provvedimento
L'opposizione ex art. 152 non sospende automaticamente l'esecuzione del provvedimento del Garante. Il ricorrente può chiedere al Tribunale, con istanza cautelare, la sospensione dell'efficacia. La sospensione è concessa se ricorrono fumus boni iuris (apparente fondatezza del ricorso) e periculum in mora (rischio di danno grave e irreparabile dall'esecuzione immediata). La sanzione pecuniaria non è generalmente sospesa salvo prova di danno irreparabile.
Foro alternativo e tutela ordinaria
Oltre all'impugnazione di provvedimenti del Garante, l'art. 152 vale anche per le azioni di tutela ordinaria: a) azione di accertamento del diritto alla protezione dei dati; b) inibitoria; c) risarcimento del danno ex art. 82 GDPR. Il foro è il Tribunale civile del luogo di residenza dell'interessato (forum actoris) o del titolare. Il rito è quello del lavoro per le opposizioni a provvedimenti, il rito ordinario o sommario di cognizione per le altre controversie.
Casistica giurisprudenziale e orientamenti recenti
La giurisprudenza ha sviluppato orientamenti consolidati: a) Cass. civ. n. 11125/2020 sul sindacato pieno del giudice (legittimità e merito); b) Cass. civ. n. 18302/2014 sull'utilizzabilità dei dati raccolti in violazione dell'art. 4 Statuto (inutilizzabili); c) Cass. SU n. 17321/2023 sul rapporto art. 152 e altre giurisdizioni (TAR per provvedimenti generali); d) Cass. civ. n. 7245/2024 sulla competenza territoriale (foro residente vs sede titolare); e) Cass. civ. n. 4892/2024 sulla riduzione delle sanzioni in sede di opposizione. La giurisprudenza è in continua evoluzione, con tendenza al rafforzamento della tutela dell'interessato e al sindacato di merito sul Garante.
Tempi e costi del processo privacy
Il rito del lavoro è generalmente celere: l'udienza è fissata entro 60 giorni dal ricorso; la decisione segue entro 6-12 mesi nei tribunali con minor carico, fino a 24 mesi nei tribunali maggiori. Il contributo unificato è dovuto secondo le regole ordinarie. Le spese legali sono ammesse a rimborso secondo il principio di soccombenza. Per le opposizioni a sanzioni il rito è particolarmente snello. La fase di appello davanti alla Corte d'Appello richiede tipicamente 18-36 mesi. La Cassazione interviene su questioni di diritto.
Prassi e linee guida
Garante per la protezione dei dati personali
Garante per la protezione dei dati personali
Leggi il documento su www.garanteprivacy.itCasi pratici
Caso 1: Tizio S.p.A.: opposizione a sanzione
Tizio S.p.A. riceve dal Garante una sanzione di 500.000 euro per data breach. Entro 30 giorni dalla notifica, propone ricorso ex art. 152 davanti al Tribunale civile in composizione monocratica con rito del lavoro. Il giudice valuta legittimità e merito; può confermare, ridurre o annullare la sanzione.
Caso 2: Caia interessata: reclamo respinto
Caia ha presentato reclamo al Garante per uso illecito dei suoi dati da una società. Il Garante archivia il reclamo. Caia può impugnare l'archiviazione ex art. 152: chiede al Tribunale di riconoscere la violazione e di ordinare al Garante di proseguire l'istruttoria.
Caso 3: Sempronia: sospensione cautelare
Sempronia Srl riceve un provvedimento del Garante che le impone di cancellare un database di 1 milione di clienti. Propone opposizione ex art. 152 e chiede sospensione cautelare: dimostra periculum (perdita irreparabile del database) e fumus (legittimità della raccolta). Il Tribunale concede la sospensione fino alla decisione di merito.
Caso 4: Commento applicativo
L'art. 152 è la chiave della tutela giurisdizionale. Il rito del lavoro è snello e celere; il sindacato del giudice è pieno. La cumulabilità con sanzioni penali (art. 167) e civili (art. 82 GDPR) impone strategia processuale articolata. La sospensione cautelare è strumento delicato ma decisivo nelle controversie più gravi.
Domande frequenti
Come si impugna un provvedimento del Garante?
Con ricorso al Tribunale civile in composizione monocratica entro 30 giorni dalla notifica. Si applica il rito del lavoro (artt. 414 ss. c.p.c.). La sentenza è impugnabile in appello.
Qual è il tribunale competente?
Quello del luogo di residenza del titolare del trattamento sanzionato o del luogo della sede del Garante (Roma). Per le azioni dell'interessato vale anche il foro del suo domicilio (forum actoris).
L'opposizione sospende il provvedimento?
No automaticamente. Il ricorrente può chiedere sospensione cautelare se ricorrono fumus boni iuris e periculum in mora. Per le sanzioni pecuniarie la sospensione è raramente concessa.
Il giudice può ridurre la sanzione?
Sì. Il sindacato è pieno: il giudice può confermare, modificare (anche riducendo la sanzione) o annullare integralmente il provvedimento. Lo ha confermato Cass. civ. n. 11125/2020.
Posso chiedere risarcimento al titolare per illecito privacy?
Sì, ex art. 82 GDPR davanti al Tribunale civile competente. È un'azione ordinaria, separata dall'opposizione a provvedimenti del Garante. La giurisprudenza riconosce sia danno patrimoniale sia non patrimoniale.
Vedi anche