Per otto anni l’enforcement della protezione dei dati è stato pensato come un raggio: dall’autorità di controllo al titolare.
Oggi è una rete. Accanto al Garante operano l’Agenzia per la cybersicurezza nazionale, le autorità per l’intelligenza artificiale, la Commissione europea per DSA e DMA, l’autorità antitrust, che la Corte di giustizia ha legittimato a valutare la conformità al GDPR in via incidentale, e il giudice civile, che con l’articolo 82 è diventato protagonista.
Questo secondo capitolo di una serie dedicata agli effetti di otto anni di enforcement sul GDPR ricostruisce la mappa, spiega in che senso l’enforcement sia diventato anche “privato”, guardando a chi lo mette in moto, a chi lo finanzia e a chi controlla per primo, e conclude con due priorità: protocolli di coordinamento scritti tra le autorità e la consapevolezza che, dentro l’organizzazione, una sola figura è in grado di vedere il quadro intero.
Indice degli argomenti
Un raggio, un modello durato dieci anni
Il modello da cui siamo partiti era lineare. Un’autorità di controllo indipendente vigilava, riceveva reclami, svolgeva ispezioni, adottava misure correttive e sanzioni.
Il titolare del trattamento era il destinatario. Il giudice interveniva in seconda battuta, su opposizione.
Era un raggio: partiva da un centro e arrivava a un punto. Quel modello non è scomparso, ma non descrive più la realtà.
Lo stesso fatto, per esempio un trattamento di dati personali per addestrare un modello di intelligenza artificiale, può essere valutato dal Garante come questione di base giuridica, dall’autorità antitrust come abuso di posizione dominante, dall’Agenzia per la cybersicurezza come incidente, dal giudice civile come danno.
Ciascuno con i propri poteri, i propri tempi, i propri criteri. Il raggio è diventato una rete.
Le autorità che non c’erano
Alcuni nodi della rete sono nuovi.
L’Agenzia per la cybersicurezza nazionale è l’autorità competente per la NIS 2, e ogni incidente significativo che coinvolge dati personali passa ormai, oltre che dal Garante, anche da tale autorità.
La legge 132 del 2025 ha designato l’Agenzia per l’Italia digitale e la stessa ACN come autorità nazionali per l’intelligenza artificiale, ferme restando le competenze del Garante: l’ACN compare due volte, e non è un errore di conteggio, è un sintomo.
La Commissione europea vigila direttamente sulle piattaforme di dimensioni molto grandi ai sensi del Digital Services Act e sui gatekeeper ai sensi del Digital Markets Act, due regolamenti che contengono numerose regole sull’uso dei dati personali.
Si potrebbe continuare con l’AGCOM per i servizi digitali e con le autorità di vigilanza finanziaria per DORA.
Il punto non è il numero, ma che ciascuna di queste autorità, nel proprio ambito, prende decisioni che incidono sul modo in cui i dati personali sono trattati, senza che esista un luogo in cui quelle decisioni vengano composte.
L’antitrust e la leale cooperazione
Un nodo antico è entrato nella rete per decisione della Corte di giustizia.
Con la sentenza della Grande Sezione del 4 luglio 2023, causa C-252/21, Meta Platforms contro Bundeskartellamt, la Corte ha stabilito che un’autorità nazionale di concorrenza può constatare, in via incidentale, che un trattamento di dati personali non è conforme al GDPR, quando tale accertamento è necessario per stabilire l’esistenza di un abuso di posizione dominante.
La Corte ha posto limiti precisi. L’autorità antitrust non si sostituisce all’autorità di controllo: non applica le sanzioni del Regolamento Generale sulla Protezione dei Dati, e adotta misure soltanto sulla base del diritto della concorrenza.
Peraltro, deve consultare e cooperare lealmente con l’autorità di protezione dei dati competente e non può discostarsi dalle decisioni che questa, o un giudice, abbia già adottato sulla stessa condotta.
L’esperienza italiana mostra come la porta si sia aperta
Nell’istruttoria sull’integrazione di Meta AI in WhatsApp, avviata nel luglio 2025, l’AGCM ha considerato i dati e le interazioni degli utenti come una risorsa concorrenziale, un vantaggio nell’addestramento e un fattore di fidelizzazione forzata.
Non ha accertato una violazione del GDPR, anche perchè non le serviva, ma ha mostrato che la stessa realtà dei dati può essere letta con le lenti della concorrenza.
Il giudice civile, il nodo più antico e il più nuovo
Poi c’è il nodo che è insieme il più antico e il più nuovo: il giudice civile.
Il più antico, perché la tutela della riservatezza in Italia è nata in sede giurisdizionale, prima ancora dell’istituzione di una specifica autorità di controllo.
Fu la Cassazione, con la sentenza n. 2129 del 27 maggio 1975 – la celebre sentenza sul caso Soraya – a riconoscere la riservatezza come diritto autonomo, ricavandola dai principi generali dell’ordinamento e dall’art. 2 della Costituzione, in assenza di una norma che la prevedesse espressamente.
Cosa riconosce l’art. 82 del GDPR
Il più nuovo, perché l’art. 82 del GDPR, che riconosce il diritto al risarcimento del danno materiale o immateriale derivante da una violazione del Regolamento, è rimasto a lungo poco praticato e di difficile applicazione.
Dal 2023 la Corte di giustizia ne ha scritto, sentenza dopo sentenza, il diritto privato.
Con Österreichische Post, causa C-300/21, ha stabilito che la sola violazione non basta, ma che il danno immateriale non deve superare alcuna soglia di gravità.
Ha chiarito che il risarcimento ha funzione compensativa e non punitiva, che il timore fondato di un uso illecito dei propri dati può essere un danno e che la colpa del titolare si presume.
Con Lindenapotheke, nell’ottobre 2024, ha ammesso che a far valere il General Data Protection Regulation possa essere anche un concorrente, con un’azione di concorrenza sleale.
E già nel 2022, con la causa C-319/20, aveva riconosciuto alle associazioni di consumatori la legittimazione ad agire.
Le conseguenze dopo lo scraping ai danni di milioni di utenti di Facebook
Abbiamo poi assistito ad una conseguenza rilevante: in Germania, dopo lo scraping dei dati di centinaia di milioni di utenti di Facebook, sono state promosse migliaia di azioni risarcitorie standardizzate.
Il Bundesgerichtshof, con la sentenza del 18 novembre 2024, ha ritenuto che anche la perdita di controllo sui propri dati, se provata, costituisca un danno immateriale, considerando adeguato nel caso esaminato un ristoro nell’ordine di cento euro.
Il limite della Corte di giustizia
Ancora, il 19 marzo 2026, nella causa C-526/24, Brillen Rottler, la Corte di giustizia ha posto un limite: anche una prima richiesta di accesso può essere respinta come eccessiva, se il titolare dimostra che la stessa mira soltanto a costruire artificialmente le condizioni di un risarcimento.
Si mette un argine a ciò che funziona.
Perché “privato”
L’enforcement è, così, diventato policentrico, perché gli enforcer sono diventati molti; ma anche privato.
Ci si chiederà perché “privato” se le autorità e i giudici sono tutti soggetti pubblici? L’aggettivo “privato” non descrive chi giudica ma chi muove, chi finanzia e chi controlla per primo.
A muovere sono il Garante, l’AGCM e l’ACN possono agire d’ufficio; il giudice no. Il giudice attende una domanda che viene scritta da un privato: l’interessato, un’associazione, un concorrente, con un interesse proprio, il risarcimento o la tutela della propria posizione sul mercato.
Chi finanzia: intorno alle azioni seriali si sono organizzati studi specializzati e, in alcuni Paesi, finanziatori del contenzioso. La direttiva europea sulle azioni rappresentative, recepita in Italia nel 2023, include espressamente il GDPR tra le discipline tutelabili.
Chi controlla per primo: il modello dell’accountability affida al titolare il primo livello di vigilanza su sé stesso, con la valutazione d’impatto, il registro, il bilanciamento del legittimo interesse.
I vigilanti senza divisa
Intorno a lui si sono moltiplicati vigilanti senza divisa:
- il DPO;
- gli organismi di monitoraggio dei codici di condotta;
- gli organismi di certificazione;
- quelli notificati dell’AI Act,
- la funzione di conformità che il DMA impone ai gatekeeper;
- la catena di fornitura della NIS 2 che trasforma ogni contratto in una clausola di sicurezza;
- l’assicuratore cyber che detta i propri standard prima di firmare la polizza.
L’app Tracking Transparency di Apple
Nel 2021 Apple ha introdotto con iOS 14.5 l’app Tracking Transparency, che impone all’app di chiedere il consenso prima di tracciare gli utenti tra app e siti di terzi.
Nel febbraio 2022 Meta ha stimato in circa dieci miliardi di dollari l’impatto delle modifiche di iOS sui propri ricavi di quell’anno.
La sanzione più alta della storia del GDPR, inflitta a Meta nel 2023, è stata di 1,2 miliardi di euro.
Non sono grandezze omogenee, ma il confronto mostra la forza di una regola privata incorporata nell’architettura tecnica.
Una mappa senza cartografo
Il risultato di quanto è stato descritto è una rete in cui ogni nodo vede una parte.
A questa mappa si aggiungono il pubblico ministero, quando la violazione è anche un reato, e, per le amministrazioni pubbliche, la Corte dei conti, perché una sanzione pagata con denaro pubblico può diventare un danno erariale con un nome e un cognome.
Nessuno di questi soggetti ha il quadro intero e nessuno ha il compito di comporlo.
Gli strumenti di raccordo esistono, ma sono frammentari.
A livello europeo, il Digital Markets Act ha istituito un gruppo ad alto livello in cui siedono, tra gli altri, il Comitato europeo per la protezione dei dati e il Garante europeo, insieme agli organismi delle autorità di concorrenza e di regolazione delle comunicazioni.
Il Digital Services Act prevede forme di cooperazione tra i coordinatori nazionali dei servizi digitali e le altre autorità competenti.
La sentenza Meta contro Bundeskartellamt ha imposto un dovere di consultazione tra antitrust e autorità privacy.
Certamente, sono passi utili, ma ciascuno copre solo un segmento della rete; nessuno la copre per intero.
Il rischio maggiore riguarda le persone
Il rischio più grande non riguarda le organizzazioni – che pure devono rispondere a più interlocutori con linguaggi diversi – riguarda le persone.
Quando più autorità guardano lo stesso fatto, ciascuna vede la propria parte e nessuna vede l’interessato, specie quello che non agirà mai in giudizio, perché non dispone di risorse da dedicare al contenzioso.
L’enforcement del GDPR è una rete: serve una mappa
Una rete senza coordinamento non è un sistema, ma una somma di procedimenti.
Quindi, per le autorità, la prima priorità è costituita da: protocolli di coordinamento scritti tra il Garante, l’AGCM, l’ACN e l’AgID, che stabiliscano come informarsi, come consultarsi e come evitare decisioni contraddittorie, prima che il primo caso concorrente li renda urgenti.
La leale cooperazione che la Corte ha imposto all’antitrust può diventare un metodo generale.
La seconda priorità riguarda le organizzazioni. Davanti a una rete di enforcer, l’unica figura che, all’interno, può vedere l’intero quadro è il DPO.
Dico “può”, non “ha”: perché ciò accada, deve essere competente, indipendente e ascoltato.
L’enforcement è diventato una rete e il problema non è tanto che i nodi siano troppi quanto che nessuno, finora, ne ha disegnato la mappa.
Partecipa alla community