Tribunale di Roma: le sanzioni del Garante privacy nulle se comminate dopo 120 giorni.

La sentenza del Tribunale di Roma, sezione civile 18ª, n. 2615/2023 depositata il 13/1/2024, nella vicenda che ha visto il giudice annullare una sanzione di oltre 26 milioni irrogata a Enel Energia S.p.A. per telefonate commerciali indesiderate, è costruita con grande logica argomentativa (anche assai severa verso l’Autorità Garante per la protezione dei dati) e contiene importanti principi sulla natura e decorrenza dei termini che l’Authority ha per irrogare legittimante una sanzione per violazioni data protection, ai sensi dell’articolo 166 del Codice della privacy e del Regolamento interno del Garante n. 2/2019 con cui lo stesso Garante ha individuato i termini dei propri procedimenti, tra cui quello per l'irrogazione delle sanzioni (120 giorni dall’accertamento della violazione, termine che – nota il giudice – già eccede di molti quelli previsti dalle applicabili L. 241/1990, 3 art. 14 della L. 689/1981). Mentre il Garante ha sostenuto in giudizio che il termine è ordinatorio e che decorre dal momento in cui l’Autorità ha svolto tutte le valutazioni e gli approfondimenti concreti del caso (anche mediante l’invio di richieste di chiarimenti), il giudice sconfessa del tutto tali posizioni ritenendo intanto che il termine sia perentorio, a garanzia della certezza del diritto di difesa, soprattutto nella materia sanzionatoria (a maggior ragione, dice il giudice, considerando che il Garante, come consentito dalla L. 214/1990, ha nel suo Reg. 2/2019 notevolmente prolungato il termine a 120 giorni rispetto alle leggi 241/90 3 689/81). Inoltre, quanto alla necessità di individuare un termine di decorrenza iniziale certo dei 120 giorni (onde evitare di “spalancare le porte all’arbitrio” a causa del “segreto inconoscibile delle deliberazioni interne”, consentendo al tempo stesso la “rigorosa prevedibilità di compiti, azioni, prerogative e limiti all’autorità irrogante”), il giudice fissa il principio che i 120 giorni decorrono dal ricevimento da parte del Garante dell'ultima risposta alle richieste di chiarimenti o – in caso di mancata risposta del titolare o del responsabile - dalla scadenza che il Garante ha fissato nella ultima richiesta di chiarimenti per fornire la riposta, poi non pervenuta. Il Garante, una volta mandata una richiesta di chiarimenti con un termine per la risposta, ha comunque 120 giorni per notificare la violazione o eventualmente chiedere ulteriori chiarimenti, e la richiesta di ulteriori chiarimenti anche in caso di risposte insoddisfacenti, dice il giudice, non può portare al superamento del termine perentorio. Entro lo stesso termine perentorio di 120 giorni il Garante può anche cumulare una pluralità di segnalazioni pervenute in tempi diversi. Se il Garante non rispetta il termine, la sanzione irrogata va annullata, come nel caso ENEL (l’ultima richiesta di chiarimenti era giunta dopo sette mesi dalla precedente, mentre la sanzione irrogata il 16 dicembre 2021 concludeva un procedimento avviato nel 2018).