Il procedimento del Garante non comincia con un’ispezione a sorpresa. Comincia, quasi sempre, con una busta: una richiesta di informazioni che fissa un termine e chiede conto di un trattamento specifico. Chi a quel punto cerca un avvocato privacy Napoli ha davanti un bivio stretto, perché quella prima risposta orienta tutto il seguito, e le sanzioni che l’Autorità ha adottato nel 2026 mostrano che l’ordine di grandezza non è simbolico.
Da dove nasce un procedimento
Le porte di ingresso sono poche e tutte abbastanza prevedibili.
- Il reclamo di un interessato. È la via più comune: un cliente, un dipendente, un ex dipendente, un paziente che ritiene di avere subito un trattamento illecito. È da un reclamo e da due segnalazioni per telefonate indesiderate che ha preso origine, ad esempio, il procedimento chiuso dal Garante nel marzo 2026 con una sanzione superiore a 563.000 euro a carico di un grande operatore energetico.
- La notifica di data breach. Comunicare una violazione è un obbligo, ma è anche una dichiarazione che apre un fascicolo: l’Autorità esamina la violazione e, con essa, l’assetto di sicurezza che l’ha resa possibile.
- L’attività d’ufficio. Istruttorie di settore, segnalazioni di altre amministrazioni, accertamenti a campione.
In tutti i casi il perimetro della verifica si allarga rapidamente: una contestazione su un singolo trattamento porta l’Autorità a chiedere il registro, le informative, i contratti con i fornitori, le misure di sicurezza. Non per cattiveria istruttoria, ma perché l’accountability funziona così: è il titolare che deve dimostrare la conformità.
Avvocato privacy Napoli: cosa viene contestato davvero
I provvedimenti del 2026 disegnano un quadro ricorrente, e nessuna delle contestazioni più pesanti riguarda la mancanza di un documento.
La sicurezza dei sistemi. È il capitolo più costoso. Nel maggio 2026 il Garante ha sanzionato un operatore di telecomunicazioni per 1.715.600 euro dopo due accessi abusivi: alcuni soggetti si erano finti tecnici dell’assistenza e avevano convinto gli operatori di due punti vendita a consentire l’accesso ai sistemi, sottraendo i dati anagrafici e di contatto di oltre 365.000 clienti e, per oltre 41.000 di questi, anche i metodi di pagamento. Le contestazioni sono andate alla gestione delle credenziali e dei certificati digitali e all’inefficacia delle verifiche di sicurezza.
La base giuridica dei contatti commerciali. Nel provvedimento sul telemarketing citato sopra l’Autorità ha rilevato che, durante contatti nati come gestionali, venivano formulate proposte commerciali senza una base giuridica valida, in alcuni casi anche a clienti che avevano negato il consenso al marketing. La responsabilità è stata affermata su tutta la filiera, società terze comprese.
Il controllo sui fornitori. Nel maggio 2026 il Garante ha sanzionato con 50.000 euro il titolare e con 30.000 euro il responsabile in una vicenda di recupero crediti: al titolare è stato contestato di non avere vigilato adeguatamente sul fornitore e sulle istruzioni impartite. È la contestazione che le aziende sottovalutano di più, perché si tende a considerare la nomina ex articolo 28 un adempimento che si esaurisce con la firma. Il tema è ripreso nell’approfondimento sul recupero crediti e le sanzioni a titolare e responsabile.
Quanto si rischia
L’articolo 83 del Regolamento costruisce due fasce: fino a 10 milioni di euro o al 2 per cento del fatturato mondiale annuo per un primo gruppo di violazioni, fino a 20 milioni o al 4 per cento per le violazioni dei principi, delle condizioni del consenso e dei diritti degli interessati. Si applica l’importo più elevato tra i due.
Nella determinazione concreta pesano gravità e durata, carattere doloso o colposo, misure adottate per attenuare il danno, grado di cooperazione con l’Autorità, precedenti. Nei provvedimenti recenti la collaborazione e le misure correttive hanno effettivamente ridotto l’importo: non hanno mai evitato l’accertamento della violazione. È una distinzione che conviene tenere a mente, perché il rimedio tardivo attenua, non sana. Il quadro complessivo degli importi è ricostruito nell’articolo su quanto costa una violazione del GDPR.
L’errore che si fa nelle prime settimane
Rispondere alla richiesta di informazioni da soli, in fretta e in modo esteso. È comprensibile: si vuole dimostrare trasparenza. Il risultato, però, è spesso un’autodenuncia involontaria su trattamenti che non erano oggetto della contestazione, oppure una ricostruzione dei fatti che poi non si può più correggere.
La risposta a un’istruttoria è un atto difensivo, con un termine, un perimetro e conseguenze. Richiede di sapere cosa l’Autorità sta effettivamente chiedendo, cosa va documentato e cosa non va aggiunto. Ed è proprio il tipo di valutazione che non si può ricavare da un modello scaricato.
Prima o dopo
La differenza tra le aziende che escono bene da un’istruttoria e quelle che escono male non sta nella qualità della difesa. Sta in cosa esisteva prima: se il registro dei trattamenti era aggiornato, se le informative corrispondevano ai trattamenti reali, se i contratti con i fornitori contenevano istruzioni verificabili, se qualcuno aveva controllato che fossero rispettate. Chi arriva davanti al Garante con questo materiale discute di un episodio; chi arriva senza discute di un’organizzazione.
Lo studio, con sede a Napoli e attività su tutto il territorio nazionale, assiste aziende, studi professionali ed enti pubblici nei procedimenti davanti al Garante e nell’adeguamento che li precede: il perimetro è descritto nella pagina sui pacchetti di consulenza privacy e nell’approfondimento sulla consulenza privacy a Napoli per aziende e studi. Chi ha ricevuto una richiesta di informazioni, una contestazione o un reclamo può chiedere un esame preliminare della documentazione e dei termini dalla pagina dei contatti. Per il contenzioso amministrativo collegato il riferimento è lo studio legale dell’avv. Elio Errichiello.
Avv. Elio Errichiello
