Pubblicate su fonti pubblicamente accessibili le motivazioni della sentenza n. 2615/2023, emessa dal Tribunale di Roma il 13 febbraio 2023, che annulla la sanzione di oltre 26 milioni di euro irrogata ad Enel Energia S.p.a. dal Garante Privacy, per molteplici violazioni della normativa in tema di protezione dei dati personali, nel contesto dell’attività di telemarketing.
La sentenza aggiunge un importante tassello a tre questioni nodali:
a) la natura perentoria o ordinatoria dei termini stabiliti dalla legge e/o dall’autorità; b) la decorrenza dei termini in esame; c) lo svolgimento dell’istruttoria preliminare svolta contestualmente in relazione a più reclami.
I fatti antecedenti alla sentenza
A partire dal 2018, il Garante per la protezione dei dati personali (“Garante” o “Autorità”) avviava delle indagini a carico di Enel Energia S.p.A. per numerose segnalazioni di interessati, i quali lamentavano contatti telefonici su utenze in assenza di consenso o su utenze fisse iscritte al Registro Pubblico delle Opposizioni (“RPO”). I reclami pervenuti all’Autorità avevano ad oggetto, altresì, assenti o tardivi riscontri ad istanze di esercizio dei diritti di accesso ai dati personali oppure di opposizione al relativo trattamento per finalità di marketing (artt. 15 e 21 del Regolamento UE 2016/679, “GDPR”).
Alle indagini condotte si sono alternate le richieste di chiarimenti da parte del Garante, anche cumulative, rivolte alla società. Alla prima richiesta di chiarimenti, trasmessa ad Enel Energia il 13 dicembre 2018, la stessa forniva riscontro il 20 dicembre 2018, evidenziando come tutti casi segnalati all’Autorità fossero riconducibili a contatti telefonici di sedicenti operatori che spendevano illegittimamente il nome di Enel Energia, di conseguenza, non direttamente imputabili alla società.
Alla seconda richiesta di chiarimenti, del 19 agosto 2019, Enel Energia conduceva specifiche verifiche informatiche le cui risultanze provavano come “la maggior parte degli interessati non avesse mai avuto un rapporto contrattuale con la stessa. Solo in cinque dei casi i dati personali dei segnalanti erano presenti nei sistemi della società, in ragione di rapporti contrattuali in essere, mentre in sei casi i rapporti contrattuali risultavano cessati”.
Tra il 2019 e il 2020, a seguito di ulteriori reclami, proseguivano le indagini e le contestuali richieste di chiarimenti del Garante alla società, vertenti sulle medesime questioni.
Solo il 14 maggio 2021, l’Autorità comunicava l’avvio del procedimento sanzionatorio e il 16 dicembre dello stesso anno contestava ad Enel Energia 15 violazioni al GDPR e del D.lgs. 196/2003, (“Codice Privacy”), infliggendo la sanzione amministrativa pecuniaria di oltre 26,5 milioni di euro. Di qui, l’instaurazione del giudizio avente ad oggetto la contestazione della pesantissima sanzione.
La natura dei termini
In prima battuta, il giudice di merito affronta la questione relativa alla qualificazione dei termini fissati dalla normativa e/o dall’Autorità. L’art. 2, comma 2 della legge n. 241/1990 asserisce che: “nei casi in cui disposizioni di legge ovvero i provvedimenti di cui ai commi 3, 4 e 5 non prevedono un termine diverso, i procedimenti amministrativi di competenza delle amministrazioni statali e degli enti pubblici nazionali devono concludersi entro il termine di trenta giorni”. Il Garante, sfruttando la disposizione contenuta nel comma 5 del medesimo articolo – che consente alle autorità di garanzia e di vigilanza di fissare termini più lunghi in conformità ai propri ordinamenti – ha derogato al termine ordinario di 30 giorni fissando, con il proprio regolamento n. 2/2019, un termine pari a 120 giorni decorrenti dall’accertamento della violazione riconducibile all’art. 166 del Codice Privacy per la notificazione della stessa. Ebbene, in considerazione di tale circostanza, il Tribunale di Roma ha ritenuto di poter accogliere le contestazioni di Enel circa la nullità del provvedimento sanzionatorio per sistematica violazione di tale termine che, secondo il ragionamento del giudice di merito non può ritenersi ordinatorio, bensì perentorio. Difatti, esso concerne l’esercizio di un potere afflittivo a conclusione di un procedimento che deve rispettare i principi fondamentali dell’ordinamento (certezza del diritto, diritto di difesa), coperti da garanzia costituzionale e da strumenti che assumono rilievo anche internazionale: basti pensare al diritto ad un equo processo e alla durata ragionevole dei procedimenti consacrati dalla CEDU e dalla Carta dei Diritti Fondamentali dell’UE. A tanto si aggiunga che, nel caso di specie, si tratta di termini stabiliti dall’Autorità con proprio regolamento, per cui sarebbe difficile sostenere la natura ordinatoria, anche in considerazione del fatto che, sul punto, il Garante ha derogato ad una disciplina normativa (la legge n. 241/1990).
La decorrenza dei termini
Nel passaggio successivo della decisione, il tribunale si sofferma sulla determinazione del dies a quo. Di fronte alla tesi difensiva del Garante – mutuata da buona parte della giurisprudenza - secondo cui il termine di 120 giorni decorre dal momento in cui si conclude la “valutazione dei dati acquisiti ed afferenti gli elementi (oggettivi e soggettivi) dell’infrazione e, quindi, della fase finale di deliberazione correlata alla complessità, nella fattispecie, delle indagini tese a riscontrare la sussistenza dell'infrazione medesima e ad acquisire piena conoscenza della condotta illecita, sì da valutarne la consistenza agli effetti della corretta formulazione della contestazione”, il giudice di merito argomenta diversamente: la corretta individuazione del dies a quo risiede nel momento della conoscenza “del fatto ipoteticamente sanzionabile nella sua materialità”. Ragionando altrimenti, infatti, il rischio è quello di attribuire eccessiva discrezionalità all'Autorità, svilendo del tutto la qualificazione del “termine” tanto nella propria funzione normativa quanto nella stessa natura “terminologica”. La decorrenza di un termine per l’adozione di un provvedimento che incide, in positivo o in negativo, sulla situazione soggettiva del singolo non può essere rimesso alla libera volontà dell’autorità che emette il provvedimento, a pena di irrimediabile sacrificio della posizione soggettiva, con un risultato inaccettabile per uno stato di diritto.
Lo svolgimento dell’istruttoria preliminare svolta contestualmente in relazione a più reclami
Il Tribunale di Roma si esprime, altresì, sul “fumoso” tenore letterale dell’art. 10, comma 4, del regolamento 1/2019 dell’Autorità, nella parte in cui consente di svolgere l’istruttoria preliminare in relazione a questioni, anche pervenute in “tempi diversi”. Non è, pertanto, specificato il periodo entro il quale tali questioni devono sorgere, per poter essere istruite contestualmente e cumulativamente. Si potrebbe giungere al paradosso per cui l’Autorità accumuli un numero considerevole di reclami/segnalazioni nell’arco (perfino) di un decennio prima ancora di inviare al titolare del trattamento la prima richiesta di informazioni, ponendolo nell’assurda condizione di riferire rispetto ad accadimenti verificatisi molti anni prima e di esporsi in maniera del tutto indefinita a provvedimenti di natura sanzionatoria.
Verso una maggiore certezza normativa?
Questa pronuncia rappresenta una svolta non solo per l’annullamento di un provvedimento di portata sanzionatoria considerevole, ma per gli evidenti riflessi sul contenuto dei regolamenti n. 1 e n. 2 del 2019 emessi dall’Autorità. Nonostante questi rimangano in vigore, è difficile pensare che non subiranno interventi modificativi, quantomeno a seguito di ulteriori pronunce da parte della Corte di Cassazione se non, addirittura, della Corte Costituzionale.
Avv. Rossella Bucca e Dott.ssa Alice Dal Bello
