Per titolari del trattamento, responsabili e responsabili della protezione dei dati (RPD/DPO), il piano ispettivo del Garante Privacy funge in concreto da bussola.
Infatti dovrebbe essere funzione di rischi ritenuti prioritari dall’Autorità, nei settori in cui la conformità meramente documentale è considerata insufficiente e negli ambiti nei quali occorre dimostrare l’effettiva tenuta di processi, sistemi e assetti di responsabilità.
Indice degli argomenti
Il piano ispettivo del Garante privacy non è un calendario dei controlli
Alla programmazione ispettiva del Garante per la protezione dei dati personali relativa al periodo gennaio-luglio 2026 (deliberazione 797 del 30 dicembre 2025) non ha ancora fatto seguito (all’8 settembre) la pubblicazione del programma riferito alla restante parte dell’anno.
La circostanza merita qualche attenzione, poiché il piano ispettivo non costituisce un mero calendario dei controlli.
La citata deliberazione n. 797/2025 ha previsto almeno quaranta accertamenti ispettivi, da eseguire direttamente dal Garante o anche per mezzo della Guardia di Finanza.
Le aree di intervento in esso individuate comprendono: violazioni di dati personali relative a banche dati pubbliche; applicativi di whistleblowing; sistemi di intelligenza artificiale in ambito scolastico; dossier sanitario; telemarketing nel settore energetico; sistema informativo doganale; tecniche di anonimizzazione impiegate dalle società di telecomunicazioni nella condivisione di grandi basi di dati.
Il Garante stesso, inoltre, evidenzia nei vari Piani semestrali “l’opportunità di dare pubblicità alle scelte operate”.
A settembre 2026, pertanto, l’assenza di una programmazione pubblicata per la parte residua dell’anno non rappresenta una questione meramente formale.
Ad oltre un mese dalla scadenza del piano definito per gennaio-luglio, imprese, amministrazioni e professionisti non dispongono ancora della consueta indicazione pubblica delle successive priorità ispettive.
Programmazione estesa a 7 mesi: manca la motivazione
La delimitazione temporale da gennaio a luglio si è discostata dalla cadenza semestrale ordinariamente seguita.
Sebbene la deliberazione individui con precisione il periodo di riferimento, il Garante non esplicita le ragioni della sua estensione a sette mesi.
Il fondamento organizzativo della programmazione è rinvenibile nell’art. 4, comma 1, del regolamento del Garante n. 1/2019, ai sensi del quale l’Autorità determina e aggiorna, «con cadenza almeno semestrale», la programmazione dei lavori del Collegio, le priorità nella trattazione degli affari e il programma delle attività ispettive.
La disposizione non stabilisce una durata specifica della programmazione né termine perentorio per l’adozione nonché per la pubblicazione del piano.
La cadenza almeno semestrale esprime, tuttavia, un’esigenza di continuità programmatoria, tanto più significativa in quanto la stessa Autorità richiama, nelle deliberazioni in materia, l’opportunità di assicurare pubblicità alle scelte compiute. Peraltro si osserva che nel 2025, il Piano per l’intero secondo semestre è stato deliberato a inizio agosto.
Il contenuto regolatorio della programmazione
La programmazione gennaio-luglio non si esaurisce nell’individuazione dei settori da sottoporre a controllo.
Letta congiuntamente ai piani precedenti, ha delineato un modello di vigilanza orientato alla governance dei trattamenti complessi: sicurezza delle banche dati, controllo degli accessi, affidabilità delle filiere esternalizzate, tracciabilità delle operazioni, verifica dei fornitori, robustezza delle tecniche di anonimizzazione e capacità di governo dei sistemi di intelligenza artificiale impiegati in contesti sensibili.
Questa prospettiva è stata già esaminata in un precedente contributo su questo portale.
Proprio perché il piano assolve una funzione di indirizzo oltre che di vigilanza, la sua tempestiva conoscibilità consente ai titolari di tradurre le priorità rese pubbliche in verifiche interne, attività di audit e misure preventive.
La mancata pubblicazione del programma successivo non determina alcuna sospensione dei poteri di indagine del Garante né un Piano emanato vincola il Garante.
La deliberazione n. 797/2025, infatti, fa espressamente salve ulteriori attività avviate d’ufficio o conseguenti a urgenze, segnalazioni e reclami.
La questione invece è diversa: in assenza di una programmazione resa pubblica, risulta attenuata la funzione di orientamento ex ante che distingue il piano ispettivo da una mera successione di controlli.
I termini procedimentali del Garante: le sentenze della Cassazione
In tale contesto, assumono rilievo le sentenze della corte di Cassazione, Prima sezione civile, nn. 24861 e 24862 del 31 agosto 2026.
Pur originate da vicende differenti, le due pronunce ricostruiscono in modo coordinato le scansioni temporali dell’azione del Garante, distinguendo il procedimento di reclamo dall’attività istruttoria e dal successivo procedimento sanzionatorio.
La sentenza n. 24861/2026 chiarisce che il termine previsto per la decisione sul reclamo tutela l’interesse del reclamante a una sollecita definizione, ma il suo superamento non determina la decadenza dell’Autorità dal distinto potere sanzionatorio.
La sentenza n. 24862/2026 precisa invece che il termine decadenziale per la contestazione delle violazioni – 120 giorni per i residenti in Italia e 360 per quelli residenti all’estero – decorre dal definitivo accertamento dell’illecito, non dalla mera acquisizione della notizia.
Nel loro insieme, le decisioni delineano quindi procedimenti autonomi, soggetti a termini differenti per funzione, decorrenza ed effetti.
In questo quadro, il limite temporale finale da considerare per il potere sanzionatorio andrebbe visto nella prescrizione quinquennale prevista dall’art. 28 della legge n. 689/1981, decorrente, in via generale, dalla commissione della violazione e suscettibile di interruzione.
Da piano descrittivo a programmazione verificabile
Attualizzare le direttrici dell’azione ispettiva costituisce importante momento per rafforzare la qualità informativa della programmazione, senza pregiudicare la riservatezza delle indagini né consentire l’identificazione preventiva dei soggetti destinatari dei controlli.
Se si conviene su ciò, il Garante potrebbe andare oltre. Accanto ai settori prioritari e al numero minimo di accertamenti, potrebbe pubblicare le seguenti ulteriori informazioni:
- motivi dell’inserimento di determinate linee di indagine;
- obiettivi: esplicitazione dei risultati conoscitivi, correttivi o di conformità perseguiti da ciascuna linea ispettiva;
- esiti: rappresentazione aggregata delle principali criticità accertate e delle misure adottate.
Un rapporto sintetico di consuntivazione, associato a ciascun piano, consentirebbe di valutare non soltanto il numero degli accertamenti eseguiti, ma anche il valore regolatorio prodotto dalla programmazione.
Si tratterebbe di uno sviluppo coerente con il principio di responsabilizzazione che l’Autorità richiede ai soggetti vigilati: se la conformità deve essere dimostrabile, anche l’indirizzo della vigilanza può essere reso maggiormente intelligibile e verificabile nei suoi risultati complessivi.
L’opportunità e l’esigenza di un chiarimento istituzionale
L’assenza di un termine espressamente qualificato come perentorio per la pubblicazione del piano non consente di ricondurre al ritardo conseguenze di illegittimità. La questione qui posta ha natura diversa.
A settembre già iniziato, sarebbe opportuno che il Garante chiarisse se il programma relativo alla restante parte del 2026 sia stato adottato, sia ancora in corso di elaborazione oppure se le priorità fissate per gennaio luglio debbano intendersi confermate o prorogate.
Anche quest’ultima soluzione, ove ritenuta adeguata, dovrebbe formare oggetto di una comunicazione espressa.
Un chiarimento istituzionale produrrebbe almeno tre effetti:
- ripristinerebbe la continuità informativa dell’attività di vigilanza;
- consentirebbe a titolari, responsabili e RPD/DPO di calibrare le verifiche interne sui rischi ritenuti prioritari;
- rafforzerebbe la coerenza tra la trasparenza richiesta agli operatori e quella dell’azione di supervisione.
Non si tratta di comprimere la necessaria discrezionalità ispettiva dell’Autorità, bensì di rendere conoscibili l’indirizzo dell’azione di controllo e, in forma aggregata, i risultati già conseguiti.
Nel caso che il Garante intendesse superata l’”opportunità di dare pubblicità alle scelte operate”, potrebbe essere vagliata un’istanza di accesso civico generalizzato ai sensi dell’art. 5, comma 2, del d.lgs. n. 33/2013.
Tale strumento riguarda documenti e dati già detenuti dall’amministrazione, non impone la formazione di un atto inesistente; fra le esclusioni quella prevista nell’art. 5-bis circa la tutela del “regolare svolgimento delle attività ispettive” che non parrebbe applicabile alla mera programmazione ispettiva.
Piano ispettivo del Garante privacy: il dubbio sull’assetto organizzativo
Resta, infine, un dubbio: richiamando il noto detto attribuito a un politico secondo cui «a pensar male si fa peccato, ma spesso ci si indovina», è da escludere che la protratta composizione del Collegio in tre componenti, anziché quattro, può avere inciso sulla complessiva operatività del Garante e, fra l’altro, sulla programmazione ispettiva?
In assenza di elementi specifici non è possibile stabilire tale correlazione; la questione può tuttavia offrire lo spunto per una riflessione sull’assetto organizzativo e sulla governance dell’Autorità.
Comunque il Parlamento (dovrebbe farlo la Camera dei Deputati che aveva nominato Guido Scorza) dovrebbe reintegrare la compagine a quattro componenti.
Partecipa alla community