Prima di infliggere una sanzione per una pratica commerciale scorretta, consistente in un illecito trattamento di dati (es. lacunosa informativa), l’autorità Antitrust deve obbligatoriamente sentire il Garante della privacy. Il principio è stato affermato dall’ordinanza delle Sezioni Unite della Corte di Cassazione, n. 21030 del 21/6/2026, la quale ha confermato l’orientamento del Consiglio di Stato (sentenza n. 497 del 15/1/2024).

Da tale interpretazione derivano rilevanti e generalizzabili conseguenze pratiche. Da un lato, è enfatizzato il ruolo centrale del Garante della privacy. Dall’altro lato, sono ampliate le possibilità difensive delle imprese rispetto a tutte le autorità di vigilanza: gli operatori economici, infatti, possono invocare quale vizio della sanzione l’omessa richiesta di parere da parte dell’autorità procedente all’autorità specializzata, quando l’accertamento della violazione implichi l’apprezzamento di profili di competenza dell’autorità specializzata.

La sanzione (annullata) dell’Antitrust

La vicenda, al centro delle vicende giudiziarie, ha avuto come protagonista l'Autorità garante della concorrenza e del mercato (Agcm), la quale ha inflitto a un operatore commerciale una sanzione di 2 milioni di euro per una pratica commerciale scorretta. L’illecito consisteva nella carente informativa sul trattamento dei dati degli utenti, che richiedevano un preventivo di un servizio assicurativo. In particolare, gli interessati non venivano compiutamente informati a proposito dell’uso dei dati per scopo di marketing. La scorrettezza commerciale consisteva, dunque, nella violazione dell’obbligo di informare l’interessato, previsto dagli artt. 13 e 14 del Gdpr (Reg. UE 2016/679).

L’impresa ha impugnato la sanzione, ritenendo, oltre al resto, l’invalidità della stessa, in quanto l’Agcm non aveva acquisito il parere del Garante della privacy. Questa tesi è stata accolta dal Consiglio di stato, che ha annullato l’atto, proprio per il conculcamento delle prerogative del Garante della privacy e per la violazione del principio di leale collaborazione tra le autorità amministrative.

L’Agcm ha presentato ricorso in Cassazione, lamentando un eccesso di potere giurisdizionale da parte del Consiglio di Stato, che avrebbe di fatto esercitato una funzione legislativa, creando e applicando una norma di legge.

La prevalenza dell’obbligo di leale cooperazione

Al riguardo, l’Agcm ha spiegato che c’è una disposizione che le impone - nel corso di procedimenti sanzionatori - di sentire altre autorità: è il c. 1-bis dell’art. 27 del codice del consumo (D.Lgs. 206/2005), che letteralmente riserva l’obbligo di acquisire il parere delle “autorità di regolazione”. L’Agcm, tuttavia, interpreta la norma nel senso che l’obbligo di preventivo sub procedimento consulenziale riguarda solo le autorità del mercato dell’energia, del settore del credito e di quello assicurativo, ma non il Garante della privacy e ciò perché la privacy non costituisce un “settore” regolamentato ai sensi del citato art. 27, essendo al contrario una disciplina trasversale e generale.

Lo stop della Cassazione

L’impostazione dell’Agcm è stata bocciata dalla Cassazione, che è andata oltre il citato art. 27 e ha indicato, quale norma legittimante la decisione del Consiglio di Stato, l’art. 4 par. 3 del Trattato sull'Unione Europea (TUE). Quest’ultima è una norma generalissima che impone all’UE e agli stati dell’UE di lealmente cooperare.

Da tale latissima formulazione, tuttavia, la Corte di Cassazione fa discendere che autorità antitrust e autorità privacy devono collaborare tra loro e da tale doverosa collaborazione fa derivare, a cascata, che l’omessa collaborazione provoca l’invalidità degli atti sanzionatori.

La Cassazione spiega che tutto ciò è una lineare risultanza del diritto UE e cita a proprio sostegno la conforme sentenza della Corte di Giustizia dell’Unione europea (Cgue) del 4/7/2023 nella causa C-252/21.

Il vademecum per le amministrazioni

Anzi, sulla scorta del precedente della Cgue, per gestire le possibili interferenze tra procedimenti di diverse autorità amministrative, nell’ordinanza della Cassazione viene stilato un apposito prontuario, articolato in queste fasi:

1. l’autorità procedente deve verificare se le autorità privacy o la Cgue abbiano già pronunciato una decisione in merito al comportamento oggetto di indagine;
2. in caso affermativo, l’autorità procedente è tenuta ad attenersi a tale decisione, salva la possibilità di trarne le proprie conclusioni sotto il profilo dell’applicazione delle normative di propria competenza;
3. se l’autorità procedente ha dubbi sulla portata della valutazione effettuata dalle autorità privacy, deve consultarle e chiederne la cooperazione;
4. se non ci sono decisioni delle autorità privacy (indagine non avviata o ancora in corso) l’autorità procedente è tenuta ad attivare la cooperazione con le autorità privacy e verificare se attendere l’adozione di una decisione delle stesse;
5. le autorità privacy sono tenute a rispondere compiutamente alle richieste di informazioni e di cooperazione e precisare, in assenza di decisione, se intendano esse stesse avviare un procedimento;
6. se le autorità privacy non rispondono entro termini ragionevoli oppure se non sollevano obiezioni alla prosecuzione delle indagini da parte dell’autorità procedente, quest’ultima può andare avanti.

Su queste basi, la Cassazione enfatizza una vera e propria primazia delle autorità privacy, le cui determinazioni condizionano l’azione delle altre autorità amministrative. Sul punto, tra l’altro, una lettura dottrinale ancora più estrema della sentenza della Cgue ritiene che, se le autorità privacy escludono la sussistenza degli elementi necessari per iniziare un proprio procedimento di accertamento, anche tale valutazione è vincolante per le altre autorità amministrative.

Ruolo centrale del Garante della privacy

In ogni caso, va sottolineato ed apprezzato lo sforzo profuso dalle corti europee ed italiane per prevenire il pericolo di divergenze valutative tra le diverse autorità in merito all’interpretazione del Gdpr, attribuendo al Garante un ruolo cruciale. Tutto ciò, anzi, merita di essere ulteriormente sviluppato.

In effetti, in questo quadro, prevalendo il diritto UE, per non lasciare le imprese sotto il torchio di plurime e defatiganti ispezioni e indagini amministrative, le autorità amministrative devono chiarire come intendono in concreto sviluppare la loro leale cooperazione, recependo il sopra riferito vademecum in dettagliate regole procedurali (e non limitandosi a vaghi accordi di collaborazione istituzionale).

Tra l’altro, considerata la pervasività della privacy in tutti gli aspetti delle attività produttive ed economiche, dal predetto vademecum consegue che il Garante della privacy va sentito in una valanga di ipotesi, a pena, in caso di omissione, dell’invalidità dell’atto sanzionatorio. Si considerino, tra le innumerevoli, tutte le possibili violazioni in materia di ambiente o di lavoro, nelle quali emergano profili attinenti alla protezione dei dati.

Non può tacersi, poi, il fatto che in una prospettiva contenziosa, sempre il vademecum agevola la formulazione di argomenti, basati sui descritti difetti di procedura, a sostegno dell’opposizione contro i provvedimenti sanzionatori.

Evitare il cumulo delle sanzioni

Da ultimo, si deve constatare che sono, certamente, commendevoli tutte le prese di posizione tese a evitare che le autorità amministrative si pestino i piedi e si smentiscano a vicenda, provocando disorientamento negli operatori economici. Peraltro, si deve sottolineare che tutto ciò non tocca il vero problema e cioè il cumulo di sanzioni portate da una legislazione tanto sconfinata quanto farraginosa. Lo stato della legislazione europea e nazionale è tale per cui un medesimo fatto può essere contemporaneamente, in tutto o in parte, considerato elemento costitutivo di più disposizioni incolpatrici, ciascuna corredata da autonomo e pesante apparato sanzionatorio. Pertanto, occorrono non solo regole procedurali tese al doveroso coordinamento endoprocedimentale, ma anche e soprattutto regole sostanziali volte a evitare sproporzionati diluvi sanzionatori.