Condivido in lista questa storia nella speranza che possa generare dibattito e soprattutto possa portare altri colleghi a condividere storie simili (perché so che ce ne sono molte).

Un caro saluto a tutti e grazie per l'attenzione. Simone Aliprandi

- - - - - - - - - - - - - - - - - - - -

TITOLO: Doveva essere un ricorso contro l’inerzia del Garante Privacy, e invece…

ABSTRACT: Doveva essere un ricorso contro l’inerzia del Garante Privacy, e invece è arrivato uno strano e irrituale provvedimento di archiviazione cumulativa, più facilmente impugnabile. Quindi eccoci qui con un ricorso presentato per impugnare quel provvedimento e per chiedere il rinvio pregiudiziale alla CGUE sul tema delicato dell’inerzia del Garante Privacy italiano. Ma concedetemi un po’ della vostra attenzione per capire bene tutta la storia che ci ha portati a questo punto e soprattutto per capire la ratio giuridica di questa iniziativa.

FONTE ORIGINALE: https://aliprandi.org/2026/09/28/ricorso-contro-inerzia-garante-privacy-invece/ 

TESTO 

** 1. Il problema dell’inerzia del Garante Privacy e il suo obbligo di trattare i reclami **

Forse non tutti lo sanno, ma se il Garante Privacy non tratta adeguatamente e tempestivamente un reclamo la legge prevede uno specifico strumento di impugnazione, appunto un’impugnazione non contro un provvedimento vero e proprio bensì contro l’inerzia dell’autorità. Lo dice l’art. 78, comma 2, del GDPR:

“Fatto salvo ogni altro ricorso amministrativo o extragiudiziale, ciascun interessato ha il diritto di proporre un ricorso giurisdizionale effettivo qualora l’autorità di controllo […] non tratti un reclamo o non lo informi entro tre mesi dello stato o dell’esito del reclamo proposto ai sensi dell’art. 77”

Ne consegue che il Garante ha un obbligo giuridico di trattare ogni reclamo presentato e di farlo entro tempi ben definiti, fatti salvi forse i casi di reclami manifestamente infondati e pretestuosi. Quest’obbligo in concreto significa: protocollare il reclamo ricevuto comunicando il protocollo al reclamante; dare al reclamante un aggiornamento sul procedimento in corso entro tre mesi; qualora il reclamo risulti fondato, aprire un’istruttoria in cui si coinvolge il reclamato e si cerca di appurare i fatti; concludere il procedimento con un provvedimento definitorio che può essere di archiviazione o di “rinvio” al Collegio per l’applicazione di misure correttive e sanzioni. Il tutto entro i tempi che il Garante stesso si è dato con il regolamento n. 1/2019: cioè massimo nove mesi, prorogabili a dodici mesi in casi di particolare complessità.

Questi obblighi sono stati anche più volte confermati e argomentati dalla giurisprudenza della Corte di Giustizia UE che nella sentenza del 9 gennaio 2025 (C-416/23) ha chiarito che:
(i) la facoltà di rifiuto ex art. 57, par. 4, costituisce eccezione da interpretare restrittivamente, esercitabile solo in casi eccezionali;
(ii) che la scarsità di risorse non è opponibile al reclamante, essendo gli Stati membri tenuti a dotare l’autorità di mezzi adeguati al trattamento di tutti i reclami;
(iii) che l’eccessività presuppone la prova, gravante sull’Autorità, di un intento abusivo dell’interessato, non potendo il numero dei reclami costituire, di per sé, criterio sufficiente.

** 2. L’istituto giuridico del silenzio-diniego non è applicabile **

A scanso di equivoci, precisiamo anche che, nel caso del reclamo ex art. 77 GDPR, a nostro avviso non è applicabile l’istituto giuridico del silenzio-diniego, proprio in virtù degli obblighi che abbiamo già menzionato. A ben vedere infatti lo strumento del reclamo è alternativo a quello del ricorso di fronte al tribunale (art. 78 GDPR), nel senso che quest’ultimo non può essere esperito se è ancora pendente un procedimento amministrativo di reclamo presso il Garante. Quindi il mancato riscontro di un reclamo da parte del Garante lascia il cittadino in una scomoda posizione di incertezza e di attesa, impossibilitato a tutelare i propri diritti in altre sedi.

Ciò nonostante, chiunque abbia avuto a che fare con il Garante Privacy in questi ultimi anni saprà benissimo che la realtà si allontana ampiamente dal quadro ideale disegnato dalle norme e dalla giurisprudenza. L’autorità in questione non è proprio nota per il ferreo rispetto di quegli obblighi e per il rispetto dei termini per l’assunzione delle decisioni (termini per altro qualificati come perentori da recente giurisprudenza). Sono molti i procedimenti sanzionatori che vanno oltre il famigerato termine dei 120 giorni e che poi vengono regolarmente annullati dai tribunali. Sono moltissimi i reclami che vengono riscontrati ben oltre i dodici mesi; e alcuni vengono anche lasciati cadere nel dimenticatoio senza alcun riscontro né tanto meno un provvedimento definitorio. [Ovviamente tutto ciò non succede se il reclamante ha un nome altisonante come Raoul Bova o Gennaro Sangiuliano; in quel caso i provvedimenti del Garante arrivano anche nell’arco di pochi giorni. Ma questo è un altro problema di cui ho trattato in altre sedi.]

** 3. Una lunga storia di reclami non riscontrati o addirittura “dispersi” **

Nella mia personale esperienza ci sono vari reclami presentati tra il 2023 e il 2026 che hanno avuto questo decorso fatto di lunghissime attese e di assenza di riscontri definitori. Addirittura per due di questi reclami non ho ricevuto nemmeno la conferma dell’avvenuta protocollazione. Ho solo la mia PEC di invio e l’attestazione di consegna. Inutile sottolineare che la mancata protocollazione viola di per sé un obbligo basilare che investe ogni pubblica amministrazione e va contro ogni principio di buon andamento della PA. In questi anni ho inviato diverse richieste formali di aggiornamento e ho anche provato a ottenere informazioni telefonando al call center, senza che la situazione si sbloccasse concretamente.

Dopo essermi confrontato con alcuni colleghi avvocati esperti in materia, sono arrivato alla decisione di presentare presso il tribunale competente un ricorso contro l’inerzia del Garante, incaricando all’uopo l’Avv. Luigi Cristiano, giovane collega che tramite alcuni scambi di opinioni sui social media aveva già mostrato una particolare sensibilità sul tema. Mentre egli studiava i vari documenti e imbastiva la prima bozza di ricorso, ho pensato di esperire un ultimo tentativo per smuovere le acque e ottenere qualche notizia dei miei reclami “dispersi” nei meandri degli uffici del Garante, quantomeno quelli più datati risalenti al 2023. Lo scorso giugno ho inviato agli uffici del Garante quattro istanze di accesso ai documenti amministrativi ai sensi della L. 241/1990 chiedendo che mi venisse inviato il contenuto dei fascicoli riguardanti i relativi quattro procedimenti di reclamo. Tre di queste erano rivolte al Dipartimento Reti Telematiche e Marketing (DRTM), una era rivolta al Dipartimento Associazioni, Liberi professionisti e Videosorveglianza (DALV).

** 4. La risposta atipica e irrituale ricevuta dal Garante **

La risposta a queste mie richieste è stata atipica e per certi versi inattesa. Il DALV ha risposto ammettendo per iscritto che il fascicolo relativo al mio reclamo era effettivamente andato perso a causa di una riorganizzazione dei dipartimenti (sic!) e nello stesso tempo mi si faceva notare che comunque avrei dovuto interpretare l’assenza di riscontri come una sorta di silenzio-diniego. Questa comunicazione scritta non si qualificava come provvedimento definitorio, ma si presentava più che altro come un semplice chiarimento scritto in risposta alla mia richiesta di accesso.

Il DRTM ha invece risposto con un documento diverso, di cui ho già fatto cenno nell’incipit di questo articolo. Si tratta di uno strano e irrituale ibrido tra un provvedimento di archiviazione cumulativa e una comunicazione di aggiornamento sui miei procedimenti di reclamo fornita per riscontrare il mio accesso ex L. 241/1990. Più precisamente, con questo documento sono stati archiviati sette reclami da me presentati tra la fine del 2023 e l’inizio del 2024 di cui non avevo più avuto più notizie; un ottavo reclamo veniva qualificato come inammissibile. E nello stesso tempo mi si dava conto dello stato di tutti gli altri procedimenti ancora in corso di trattazione, per un totale di sessantatré (63) procedimenti. Sì lo so, sono davvero tanti, ma vi assicuro che nessuno di questo è frutto della mia fantasia; sono tutti reclami contro “spammer” che prelevano i miei dati personali dal web o dall’albo professionale e li usano per comunicazioni commerciali non autorizzate.

Questo documento di archiviazione, firmato dal vice-segretario generale del Garante e notificatomi lo scorso 10 luglio, si autoqualifica come provvedimento definitorio impugnabile entro 30 giorni (a differenza della comunicazione ricevuta dal DALV). È così che siamo arrivati alla decisione di non presentare solo un ricorso contro l’inerzia del Garante, ma appunto di presentare un ricorso ex art. 78 GDPR per impugnare quel provvedimento di archiviazione cumulativa e nello stesso tempo sollevare la questione dell’inerzia e del mancato rispetto dei termini di legge nella trattazione dei reclami.

** 5. I dubbi interpretativi sollevati e la richiesta di rimessione pregiudiziale alla CGUE **

Il ricorso è complesso e articolato quindi non è il caso di ripercorrere in questa sede i suoi contenuti. I più curiosi possono comunque leggerlo integralmente qui [https://aliprandi.org/wp-content/uploads/2026/09/aliprandi_ricorso_inerzia_garante_privacy_08set2026_web.pdf].

Posso però dire che tra le richieste formulate al tribunale competente vi è anche una rimessione pregiudiziale alla Corte di Giustizia dell’Unione Europea su tre questioni interpretative davvero fondamentali, che riporto di seguito.

Il ricorso ex art. 78 GDPR postula un sindacato pieno, tuttavia resta controverso nel diritto interno se il giudice adito ai sensi dell’art. 10 del d.lgs. 150/2011 possa spingersi fino a ordinare all’Autorità di trattare e definire il reclamo entro un termine, ovvero se debba limitarsi ad annullare l’atto con rinvio all’Autorità, con il rischio di perpetuare l’inerzia sine die.
Quanto al coordinamento tra la disciplina interna dell’alternatività e il sistema eurounitario dei rimedi, si rappresenta che gli artt. 77, 78 e 79 GDPR configurano rimedi concorrenti e indipendenti, privi di priorità o esclusività, mentre l’art. 140-bis del Codice – se interpretato rigidamente – rischia di precludere all’interessato l’accesso alla tutela di merito nei confronti dei titolari finché il reclamo penda irrisolto per l’inerzia dell’Autorità, con l’effetto di incertezza e assenza di effettiva tutela descritto al sesto motivo.
Quanto alla decorrenza di un termine di decadenza dal silenzio dell’Autorità, la tesi avversaria vorrebbe che il ricorso per inerzia debba proporsi entro un termine ancorato al decorso dei tre mesi dell’art. 78, par. 2, GDPR, con una decadenza a carico dell’interessato fondata su un silenzio non qualificato né comunicato.
Confido che la condivisione pubblica di questa mia storia e dei dettagli della mia iniziativa giudiziale possa generare un fervido dibattito tra colleghi giuristi e porti al chiarimento delle questioni controverse segnalate poco sopra. Il tutto ovviamente va a collocarsi nel solco di un generale malcontento verso il (non) funzionamento dell’autorità nazionale che dovrebbe tutelare i diritti dei cittadini in materia di trattamento dei dati personali.

** 6. Per approfondire **
- Versione inglese di questo articolo > https://aliprandi.org/2026/10/10/appeal-against-inaction-of-italian-privacy-authority/
- Testo originale del ricorso presentato presso il Tribunale di Lodi> https://aliprandi.org/wp-content/uploads/2026/09/aliprandi_ricorso_inerzia_garante_privacy_08set2026_web.pdf
- Serie di video esplicativi su questa iniziativa (durata totale: circa 8 minuti) > https://youtube.com/playlist?list=PLPA__GYDMyYw&si=oIXXEyrTPJqZTStO
- Testo dell’articolo 78 del GDPR, con il commento del Considerando n. 143 > https://www.altalex.com/documents/news/2018/04/12/articolo-78-gdpr-diritto-giurisdizionale-nei-confronti-dell-autorita-di-controllo