Reclamo al Garante privacy: come si presenta, tempi, alternative

In breve

Reclamo gratuito, senza avvocato, dell'interessato che ritiene violato il GDPR (art. 77 GDPR; artt. 141-142 Codice privacy): fatti, norme, misure richieste, titolare, documenti, firma; modello sul sito del Garante, via PEC.
Prima: richiesta al titolare, che deve rispondere entro 1 mese (art. 12 GDPR).
Il Garante informa entro 3 mesi e decide entro 9 (12 con esigenze istruttorie), con ordini, divieti e sanzioni fino a 20 milioni o il 4% del fatturato (artt. 58 e 83 GDPR; art. 143 e 166 Codice).
La segnalazione è per chiunque, senza diritto a una decisione (art. 144).
Dopo: ricorso al tribunale in 30 giorni contro il provvedimento o contro il silenzio; causa diretta contro il titolare per far cessare e per il risarcimento (artt. 79 e 82 GDPR; art. 10 D.Lgs. 150/2011).

Come si presenta e che cosa succede

Art. 142, commi 1-3, D.Lgs. 196/2003 — Proposizione del reclamo

«Il reclamo contiene un'indicazione per quanto possibile dettagliata dei fatti e delle circostanze su cui si fonda, delle disposizioni che si presumono violate e delle misure richieste, nonché gli estremi identificativi del titolare o del responsabile del trattamento, ove conosciuto. Il reclamo è sottoscritto dall'interessato o, su mandato di questo, da un ente del terzo settore soggetto alla disciplina del decreto legislativo 3 luglio 2017, n. 117, che sia attivo nel settore della tutela dei diritti e delle libertà degli interessati, con riguardo alla protezione dei dati personali. Il reclamo reca in allegato la documentazione utile ai fini della sua valutazione e l'eventuale mandato, e indica un recapito per l'invio di comunicazioni anche tramite posta elettronica, telefax o telefono».

Strumento	Chi	Che cosa si ottiene	Tempi
Richiesta al titolare (artt. 15-22 GDPR)	L'interessato	Accesso, rettifica, cancellazione, opposizione, limitazione, portabilità	Risposta entro 1 mese, prorogabile di 2 (art. 12)
Reclamo al Garante (art. 77 GDPR; artt. 141-143)	L'interessato, anche tramite ente del terzo settore o avvocato	Istruttoria; provvedimenti correttivi dell'art. 58 (ammonimento, ingiunzione, divieto, ordine di cancellazione); sanzioni dell'art. 83	Informazione entro 3 mesi; decisione entro 9 (12); sospensione per la cooperazione UE
Segnalazione (art. 144)	Chiunque	Valutazione discrezionale, possibili provvedimenti d'ufficio; nessun diritto a una decisione	Nessun termine
Ricorso contro il Garante (art. 78 GDPR; art. 10 D.Lgs. 150/2011)	Chi è destinatario del provvedimento o il reclamante	Annullamento o riforma del provvedimento; ordine di provvedere	30 giorni dalla comunicazione (60 dall'estero); 30 giorni dalla scadenza dei termini in caso di silenzio
Causa contro il titolare (art. 79 GDPR; art. 152 Codice)	L'interessato	Cessazione della violazione, cancellazione, risarcimento del danno materiale e immateriale (art. 82); cautelare in urgenza	Rito del lavoro; tribunale della sede del titolare o della residenza dell'interessato

Il reclamo va indirizzato al Garante per la protezione dei dati personali (PEC istituzionale o raccomandata), usando il modello disponibile sul sito, con copia del documento di identità e degli atti: la richiesta inviata al titolare e la prova del silenzio o del rifiuto, gli screenshot, i messaggi, le informative, i contratti. Le richieste devono essere precise (ordinare la cancellazione, vietare il trattamento, ingiungere la risposta, disporre la rimozione dei contenuti) perché il Garante decide su quelle, e la lamentela deve riguardare dati propri: chi segnala un trattamento altrui (una telecamera del vicino, un sito che pubblica dati di terzi) presenta una segnalazione. Il reclamo per il mancato riscontro alle richieste sui diritti GDPR segue una corsia semplificata prevista dal regolamento del Garante. Per i titolari con stabilimento principale in un altro Stato UE (piattaforme, social, big tech) il Garante trasmette il reclamo all'autorità capofila nel meccanismo dello sportello unico (art. 60 GDPR) e il termine resta sospeso, con tempi molto più lunghi.

Poteri del Garante, sanzioni e vie giudiziarie

Istruttoria: l'ufficio chiede informazioni al titolare, che deve rispondere (l'omessa o falsa risposta è sanzionata), può disporre ispezioni con la Guardia di Finanza e, se il reclamo non è manifestamente infondato, adottare anche prima della decisione i provvedimenti dell'art. 58 GDPR (art. 143, c. 1).
Provvedimento: accoglimento con ingiunzioni e divieti, ammonimento, archiviazione o rigetto; decisione entro 9 mesi (12 con esigenze istruttorie), preceduta dall'informazione sullo stato entro 3 mesi; pubblicazione nella Gazzetta Ufficiale quando i destinatari non sono facilmente identificabili.
Sanzioni (art. 166; art. 83 GDPR): procedimento separato con notifica delle presunte violazioni al titolare, 30 giorni per scritti difensivi e audizione, ordinanza-ingiunzione secondo la L. 689/1981, sanzione fino a 10 milioni o 2% del fatturato per le violazioni organizzative e fino a 20 milioni o 4% per quelle sui principi, sui diritti e sui trasferimenti, con pubblicazione sul sito o campagne di comunicazione; l'azienda si difende come spiegato nella guida alle sanzioni.
Tribunale: contro il provvedimento del Garante, ricorso entro 30 giorni con il rito del lavoro (art. 10 D.Lgs. 150/2011); contro il silenzio, entro 30 giorni dalla scadenza dei termini; l'interessato può dare mandato a un ente del terzo settore; il giudice può sospendere il provvedimento e decide con sentenza.
Risarcimento: solo davanti al giudice ordinario, con l'azione contro il titolare o il responsabile (artt. 79 e 82 GDPR): danno materiale e immateriale, responsabilità del titolare salvo prova che l'evento non gli è «in alcun modo imputabile», solidarietà tra più titolari; il provvedimento del Garante è una prova forte ma non vincola il giudice.

I casi frequenti mostrano quale via conviene: per il telemarketing e le newsletter indesiderate il reclamo è efficace perché il Garante colpisce l'intera filiera; per la videosorveglianza del vicino o del datore di lavoro il reclamo (o la segnalazione) ottiene l'ordine di rimozione; per le foto o i dati pubblicati da un ex partner o su un sito serve la rapidità del giudice, con il cautelare e la querela per diffamazione o diffusione illecita di immagini; per la segnalazione in centrale rischi senza preavviso reclamo e causa vanno insieme; per il data breach il reclamo attiva l'istruttoria sulla notifica omessa e la causa il risarcimento. In tutti i casi, il primo passo è la richiesta scritta al titolare: senza quella, il reclamo per mancato riscontro non esiste, e il giudice valuta la buona fede di chi non ha nemmeno chiesto.

Domande frequenti

Ho chiesto a un'azienda di cancellare i miei dati e non risponde da due mesi: che cosa faccio?

Il titolare deve rispondere alle richieste di accesso, rettifica, cancellazione, opposizione e portabilità entro un mese, prorogabile di due mesi per richieste complesse con avviso motivato (art. 12, par. 3, GDPR). Scaduto il termine, può presentare reclamo al Garante (art. 77 GDPR; artt. 141-142 Codice privacy) allegando la richiesta inviata, la prova della ricezione e il silenzio: è il caso più semplice e più frequente, per il quale il Garante prevede una trattazione semplificata, e di regola si chiude con l'ingiunzione al titolare di soddisfare la richiesta, eventualmente con una sanzione. In alternativa, o in aggiunta, può agire davanti al tribunale con il rito del lavoro (art. 152 Codice privacy; art. 10 D.Lgs. 150/2011), che è la strada obbligata se vuole anche il risarcimento del danno.

Come si scrive il reclamo e quanto costa?

È gratuito e non richiede l'avvocato. Deve contenere (art. 142 Codice privacy) i fatti in modo dettagliato e in ordine cronologico, le norme che si ritengono violate (per esempio gli artt. 5, 6, 12-22 GDPR), le misure che si chiedono (cancellazione, blocco, ordine di rispondere, divieto del trattamento, sanzione), gli estremi del titolare o del responsabile se conosciuti, un recapito per le comunicazioni, la firma dell'interessato e i documenti utili (richieste inviate, risposte, screenshot, contratti, informative). Il Garante mette a disposizione un modello sul proprio sito; l'invio si fa via PEC, raccomandata o consegna. Si può dare mandato a un ente del terzo settore che tutela i dati personali, o farsi assistere da un avvocato. Un reclamo generico o senza documenti viene archiviato come manifestamente infondato; chi non è l'interessato può fare solo una segnalazione (art. 144), che il Garante valuta liberamente e senza obbligo di decidere.

Quanto tempo ci mette il Garante e che cosa può ottenere?

Entro tre mesi dalla presentazione il Garante informa il reclamante sullo stato del procedimento e decide entro nove mesi, prorogabili a dodici per motivate esigenze istruttorie comunicate all'interessato; se il titolare ha lo stabilimento principale in un altro Stato UE parte la cooperazione con l'autorità capofila e il termine è sospeso (art. 143). Può adottare i provvedimenti dell'art. 58 GDPR anche prima della decisione finale: ammonimento, ingiunzione a soddisfare la richiesta, ordine di rettifica o cancellazione, limitazione o divieto del trattamento; e, con il procedimento dell'art. 166 (contestazione, 30 giorni per le difese, audizione), la sanzione fino a 10 o 20 milioni di euro o al 2% o 4% del fatturato mondiale (art. 83), con pubblicazione del provvedimento. La sanzione va allo Stato: il reclamante ottiene la cessazione della violazione e un provvedimento che pesa nella causa civile, non un indennizzo.

Se il Garante archivia o non risponde, posso fare qualcosa?

Sì. Contro il provvedimento del Garante, anche di archiviazione o di rigetto, si ricorre al tribunale entro 30 giorni dalla comunicazione (60 se si risiede all'estero), con il rito del lavoro, davanti al tribunale del luogo in cui il titolare ha sede o in cui lei risiede (art. 10 D.Lgs. 150/2011); contro il silenzio, entro 30 giorni dalla scadenza dei nove mesi, o dei tre mesi senza informazioni sullo stato (art. 78 GDPR). Indipendentemente dal reclamo, l'azione contro il titolare per far cessare la violazione e per il risarcimento del danno materiale e immateriale (artt. 79 e 82 GDPR) si propone allo stesso tribunale, con l'onere per il titolare di provare che l'evento non gli è in alcun modo imputabile; in urgenza, per esempio per contenuti online, si può chiedere un provvedimento cautelare. Il reclamo al Garante e la causa possono coesistere.

Fonti normative

I testi sono quelli vigenti su normattiva.it alla data di verifica della pagina.

Da leggere insieme

Privacy e GDPRI diritti GDPR: accesso, rettifica, cancellazione, opposizione, portabilitàCome si presenta la richiesta e a chi (titolare, DPO), termine di un mese e proroga, gratuità e richieste eccessive, identità, i singoli diritti (accesso e copia, rettifica, cancellazione e limiti, limitazione, portabilità, opposizione e marketing, decisioni automatizzate), limiti dell'art. 2-undecies, reclamo al Garante (9 mesi) o ricorso al tribunale (rito del lavoro, 30 giorni per impugnare il Garante), risarcimento del danno, sanzioni.
Banche, consumatori e assicurazioniSegnalazione in CRIF e in Centrale rischi: come cancellarlaLe banche dati (SIC privati: CRIF/Eurisc, Experian, CTC, gestiti dal Codice di condotta approvato dal Garante nel 2019, con dati positivi e negativi su prestiti, mutui, carte e richieste; Centrale dei rischi della Banca d'Italia: esposizioni da 30.000 euro e sofferenze da 250 euro, dati mensili, visibilità degli ultimi 36 mesi agli intermediari; Centrale di allarme interbancaria per assegni e carte), il preavviso (art. 125 c. 3 TUB: il finanziatore informa il consumatore la prima volta che segnala informazioni negative e, entro 30 giorni dalla registrazione, dei suoi diritti; art. 5 Codice di condotta: preavviso di almeno 15 giorni con raccomandata, PEC o altro mezzo tracciabile; per la Centrale rischi la Banca d'Italia richiede la comunicazione preventiva della prima segnalazione a sofferenza; senza preavviso la segnalazione è illegittima e va cancellata), che cosa si può segnalare (ritardi e inadempimenti reali, non contestazioni pendenti in buona fede; nei SIC solo dati esatti e aggiornati, art. 125 c. 4; in Centrale rischi la sofferenza richiede la valutazione dell'insolvenza complessiva, non il singolo ritardo, secondo la Circolare 139/1991 e la Cassazione; gli incagli e i past due), i tempi di conservazione (Codice di condotta, art. 7 e allegato: richieste in istruttoria 180 giorni, rifiutate o rinunciate 90 giorni; ritardi fino a 2 rate regolarizzati 12 mesi dalla regolarizzazione; oltre 2 rate 24 mesi; inadempimenti non regolarizzati 36 mesi dalla scadenza del rapporto o dall'ultimo aggiornamento, massimo 60 mesi; dati positivi 60 mesi dalla cessazione; Centrale rischi: storico degli ultimi 36 mesi, con la sofferenza che resta visibile finché non è estinta e poi per il periodo), i diritti (accesso gratuito ai propri dati presso ogni SIC e alla Centrale rischi tramite il servizio online della Banca d'Italia; rettifica, integrazione, cancellazione, art. 15-17 GDPR; annotazione della contestazione; il pagato dopo un saldo e stralcio segnalato come «regolarizzato» o «transatto» e i tempi), come si cancella (reclamo al finanziatore con prova del pagamento o del difetto di preavviso; richiesta al gestore del SIC; reclamo al Garante o ricorso all'Arbitro Bancario Finanziario, che decide entro pochi mesi e ordina la cancellazione; ricorso d'urgenza al tribunale, art. 700 c.p.c., per i danni imminenti; nessuna cancellazione anticipata a pagamento: le società che la promettono vendono nulla), il risarcimento (danno patrimoniale per il credito negato o più caro e danno non patrimoniale alla reputazione economica, riconosciuto dalla giurisprudenza anche in via equitativa; art. 82 GDPR; prova del nesso), la prevenzione (pagare entro i termini di grazia, contestare per iscritto prima della scadenza, chiedere la rateizzazione, controllare i propri dati prima di chiedere un mutuo).
Reati informaticiLa diffamazione online: social, recensioni, gruppi WhatsAppGli elementi (art. 595: offesa alla reputazione comunicata ad almeno due persone in assenza dell'offeso; online basta la potenziale lettura da parte di più utenti; la persona offesa deve essere identificabile anche senza nome; l'ingiuria in chat privata a due non è reato ma illecito civile), le tre ipotesi (c. 1 semplice, fino a 1 anno; c. 2 attribuzione di un fatto determinato, fino a 2 anni; c. 3 mezzo di pubblicità, 6 mesi-3 anni o multa non inferiore a 516 euro: post pubblici, profili aperti, siti, forum, recensioni, gruppi numerosi; non la stampa, quindi non l'art. 13 L. 47/1948), i luoghi (bacheche e storie pubbliche; gruppi WhatsApp e Telegram chiusi con più di due persone: diffamazione senza aggravante o con l'aggravante secondo la dimensione e l'apertura del gruppo; messaggi privati: ingiuria civile; commenti e condivisioni: chi rilancia risponde; tag e menzioni; meme e foto), le recensioni (critica lecita se il fatto è vero, di interesse per gli altri utenti e il linguaggio è continente; reato se il fatto è falso, se l'autore non è mai stato cliente, se l'espressione è insulto gratuito; la risposta del professionista; la rimozione tramite la piattaforma e la richiesta dei dati dell'autore), le esimenti (diritto di critica e di cronaca, art. 51 c.p.: verità o verosimiglianza, interesse pubblico, continenza; satira; il contesto della polemica; la reazione a una provocazione; l'errore sui fatti), la querela e la prova (3 mesi dalla conoscenza; screenshot con URL, data e ora, meglio se autenticati da un verbale di polizia o da un notaio o acquisiti con strumenti forensi; querela contro ignoti e richiesta di identificazione tramite IP e dati della piattaforma; le difficoltà con i social esteri), il processo (tribunale monocratico per l'ipotesi aggravata, giudice di pace per le altre; remissione della querela; risarcimento in sede penale o civile; il gestore del sito e il direttore: l'art. 57 non si applica ai siti non registrati, responsabilità solo per concorso o omessa rimozione dopo la segnalazione; Corte cost. 150/2021: carcere solo per i casi di eccezionale gravità), la rimozione (notifica alla piattaforma con il Digital Services Act, art. 16; segnalazione al Garante; ordine del giudice civile in via cautelare, art. 700 c.p.c.; deindicizzazione e oblio), il risarcimento (danno non patrimoniale liquidato con criteri equitativi; parametri dell'Osservatorio di Milano; rettifica e pubblicazione della sentenza), i rischi per chi denuncia (calunnia se si sa che il fatto non è reato; spese).
La causa di lavoroIl rito del lavoro: come funziona la causa davanti al giudice del lavoroLe controversie del rito (art. 409: lavoro subordinato privato, rapporti agrari, agenzia e collaborazioni coordinate e continuative, dipendenti di enti pubblici economici, pubblico impiego privatizzato; art. 442: previdenza e assistenza, infortuni, malattie professionali), il giudice (tribunale in funzione di giudice del lavoro; competenza per territorio: luogo in cui è sorto il rapporto o si trova l'azienda o la dipendenza, art. 413; clausole derogative nulle; per gli agenti il loro domicilio; per il pubblico impiego la sede dell'ufficio), prima della causa (tentativo di conciliazione facoltativo presso l'Ispettorato o in sede sindacale, art. 410-411, che interrompe la prescrizione e sospende le decadenze per la durata più 20 giorni; obbligatorio solo per i contratti certificati; conciliazione e arbitrato, art. 412; rinunce e transazioni impugnabili entro 6 mesi salvo sede protetta, art. 2113 c.c.; per i licenziamenti l'impugnazione stragiudiziale in 60 giorni e il deposito in 180), il ricorso (art. 414: fatti, diritto, conclusioni, prove e documenti tutti subito, a pena di decadenza; deposito telematico; decreto del giudice entro 5 giorni con udienza entro 60 giorni; notifica del ricorso e del decreto entro 10 giorni e almeno 30 giorni prima dell'udienza, art. 415), la difesa (memoria difensiva almeno 10 giorni prima dell'udienza con eccezioni, riconvenzionali, prove e documenti a pena di decadenza, art. 416; contestazione specifica dei fatti; chiamata del terzo, art. 420 c. 9), l'udienza (comparizione personale, interrogatorio libero, tentativo di conciliazione con proposta del giudice il cui rifiuto ingiustificato è valutabile, art. 420; procuratore con potere di conciliare; modifica delle domande solo per gravi motivi; ammissione delle prove e assunzione in udienze ravvicinate; poteri d'ufficio del giudice anche oltre i limiti del codice civile, accesso sul luogo di lavoro, informazioni ai sindacati, art. 421; ordinanze di pagamento delle somme non contestate e provvisionali, art. 423), la decisione (sentenza con lettura del dispositivo e delle ragioni in udienza, o deposito entro 60 giorni nei casi complessi, art. 429; rivalutazione e interessi sui crediti di lavoro; esecutività immediata con la sola copia del dispositivo per il lavoratore e sospensione in appello solo per gravissimo danno, art. 431; per il datore secondo gli artt. 282-283), i licenziamenti (art. 441-bis: trattazione prioritaria con termini dimezzabili quando si chiede la reintegra; art. 441-quater: nullità discriminatoria anche con i riti speciali; abolito il rito Fornero), l'appello (ricorso alla corte d'appello entro 30 giorni dalla notifica o 6 mesi dalla pubblicazione, motivi specifici a pena di inammissibilità, art. 434; niente nuove prove salvo indispensabili, art. 437; inammissibilità manifesta con ordinanza, art. 436-bis), costi e tempi (contributo unificato ridotto alla metà ed esente fino a 40.978,92 euro di reddito, art. 9 c. 1-bis D.P.R. 115/2002; esenzione da bolli e spese per il lavoratore, art. 10; gratuito patrocinio; durata media 1-2 anni in primo grado con forti differenze locali; spese di soccombenza).