L’articolo di Umberto Fantigrossi, pubblicato su Il Sole 24 Ore il 4 agosto 2026 con il titolo Una riforma urgente per il Garante sulla privacy, pone questioni reali e meritevoli di attenzione: il ruolo delle autorità indipendenti, i limiti dell’azione del Garante, il rapporto tra protezione dei dati personali, libertà di informazione e trasparenza, nonché il tema del controllo giurisdizionale sui provvedimenti dell’Autorità.
Sono questioni che non possono essere liquidate con una difesa d’ufficio dell’esistente. Al contrario, proprio perché la protezione dei dati personali è ormai una dimensione trasversale della vita economica, sociale e amministrativa, è necessario interrogarsi con lucidità sul modo in cui l’Autorità esercita le proprie funzioni.
Detto questo, alcune critiche mosse da Fantigrossi mi sembrano condivisibili solo in parte. Altre, invece, rischiano di spostare il problema dal piano corretto del metodo e della proporzionalità dell’azione del Garante a quello, molto più delicato, della sua legittimazione istituzionale.
1. La legittimazione europea del Garante
Il primo punto da chiarire è proprio questo: il Garante per la protezione dei dati personali non è il risultato di una scelta occasionale del legislatore italiano. La sua esistenza trova fondamento nel diritto dell’Unione europea, nella Carta dei diritti fondamentali e nei Trattati. La protezione dei dati personali non è una materia amministrativa qualsiasi, ma un diritto fondamentale autonomo, espressamente riconosciuto a livello europeo.
Per questa ragione, a mio avviso, occorre distinguere due piani. Da un lato, la legittimità dell’origine del Garante, che è solidamente radicata nel sistema costituzionale europeo. Dall’altro, la legittimità concreta della sua attività, che invece può e deve essere discussa, soprattutto quando si tratta di valutare metodo, proporzionalità, prevedibilità delle decisioni e corretto bilanciamento con altri diritti.
Criticare singoli orientamenti, prassi o modalità d’intervento dell’Autorità è non solo possibile, ma necessario. Diverso sarebbe però sostenere che l’Autorità perda legittimazione perché esercita attività di bilanciamento. In una materia come la protezione dei dati personali, il bilanciamento non è un incidente di percorso: è parte fisiologica dell’applicazione della norma.
2. Giudice ordinario o giudice amministrativo?
Un secondo profilo riguarda la proposta di trasferire al giudice amministrativo la competenza sulle impugnazioni dei provvedimenti del Garante. Fantigrossi considera anomala l’attuale devoluzione al giudice ordinario, ritenendo che l’attività del Garante, in quanto attività autoritativa pubblica, dovrebbe essere sindacata dal giudice amministrativo.
La questione, però, va collocata nel suo esatto quadro europeo. Il legislatore dell’Unione non ha imposto un modello unico di riparto della giurisdizione, ma ha rimesso ai singoli Stati membri la scelta delle forme e delle procedure di tutela giurisdizionale contro le decisioni delle autorità di controllo. Alcuni ordinamenti, come Francia e Belgio, hanno seguito il canale amministrativo; l’Italia ha invece preferito una diversa soluzione, affidando il sindacato sui provvedimenti del Garante al giudice ordinario.
L’argomento favorevole al giudice amministrativo ha dunque una sua coerenza, soprattutto se si guarda alla natura del soggetto che adotta il provvedimento. Tuttavia, mi pare che questa impostazione rischi di trascurare la natura dell’oggetto della decisione: la tutela di un diritto fondamentale della persona. La scelta italiana non appare quindi priva di razionalità, proprio perché consente di collocare il giudizio nel contesto della tutela dei diritti soggettivi.
Inoltre, non si può dire che l’azione del Garante sia priva di contrappesi. I provvedimenti dell’Autorità sono impugnabili davanti al giudice ordinario e possono essere sottoposti anche al vaglio della Corte di Cassazione. Il bilanciamento compiuto dal Garante non è dunque definitivo né sottratto al controllo giurisdizionale.
3. La “postura didattica” e il rischio di cumulo dei poteri
Più complesso è il tema della cosiddetta “postura didattica” del Garante. Qui, a mio avviso, occorre distinguere. Non condivido l’idea che l’Autorità debba limitarsi a un ruolo puramente passivo o meccanico di applicazione della legge. La protezione dei dati personali è una materia dinamica, attraversata da innovazioni tecnologiche continue e da contesti applicativi sempre nuovi. Pretendere che ogni questione sia regolata in modo esaustivo dal legislatore significherebbe ignorare la realtà.
Il GDPR, del resto, affida alle autorità di controllo compiti ampi, non solo sanzionatori, ma anche consultivi, interpretativi, cooperativi e di promozione della corretta applicazione della disciplina. Anche il Codice Privacy riconosce al Garante un ruolo di indirizzo attraverso linee guida riguardanti le misure organizzative e tecniche di attuazione dei principi del Regolamento.
Sotto questo profilo, una funzione di orientamento non è di per sé patologica. È anzi uno degli strumenti attraverso cui una disciplina generale e tecnologicamente neutra può adattarsi ai casi concreti.
La preoccupazione diventa invece fondata quando questa funzione di orientamento si somma al potere ispettivo, correttivo e sanzionatorio. Il vero nodo non è quindi che il Garante interpreti la norma, ma che lo stesso ecosistema istituzionale concentri in capo all’Autorità funzioni diverse: indirizzo, controllo, decisione e sanzione.
Qui il rischio di cortocircuito esiste. Le linee guida del Garante e dell’EDPB assumono sempre più spesso un peso para-normativo e vengono richiamate anche dalla giurisprudenza. Questo fenomeno richiede attenzione, perché può incidere sulla separazione delle funzioni e sulla percezione di neutralità del sistema. È forse questo il punto più forte della critica: non la necessità di ridurre il Garante a mero esecutore della legge, ma l’esigenza di interrogarsi seriamente sul cumulo dei poteri.
4. Privacy, informazione e trasparenza: quale bilanciamento?
Altro passaggio centrale dell’articolo riguarda il presunto sbilanciamento strutturale a favore della privacy, a scapito della libertà di informazione, della trasparenza amministrativa e della circolazione dei dati. È un tema reale, perché la protezione dei dati personali non è un diritto assoluto e deve essere bilanciata con altri diritti e interessi di rilievo costituzionale.
Tuttavia, parlare di sistematico sbilanciamento richiede cautela. Il GDPR stesso chiarisce che il diritto alla protezione dei dati personali deve essere considerato alla luce della sua funzione sociale e contemperato con gli altri diritti fondamentali, secondo il principio di proporzionalità. Non si può quindi attribuire alla disciplina europea una vocazione automaticamente espansiva e assorbente.
Se si sostiene che il Garante privilegi stabilmente la riservatezza rispetto ad altri diritti, questa affermazione dovrebbe essere verificata sulla base di elementi oggettivi. E uno degli indicatori più significativi è proprio l’andamento delle impugnazioni dei provvedimenti dell’Autorità. Se le decisioni del Garante vengono in larga parte confermate dai giudici di merito e dalla Corte di Cassazione, diventa più difficile sostenere, in termini generali, l’esistenza di una lettura arbitraria o forzata della normativa.
Ciò non significa che ogni decisione del Garante sia corretta. Significa però che la critica allo sbilanciamento non può essere costruita solo su una percezione. Deve misurarsi con il controllo giurisdizionale effettivo e con la tenuta delle decisioni dell’Autorità davanti ai giudici.
5. Legalità, Parlamento e ruolo tecnico dell’Autorità
Infine, vi è il tema della legalità e del ruolo del Parlamento. Fantigrossi propone una disciplina legislativa più dettagliata sulla raccolta e sull’uso dei dati nei vari settori dell’economia e dell’azione pubblica, in modo da ridurre la discrezionalità del Garante. L’esigenza di maggiore certezza del diritto è senz’altro condivisibile.
Ma anche qui occorre evitare soluzioni troppo nette. In una materia soggetta a evoluzioni tecnologiche rapidissime, la legge non può disciplinare in anticipo tutte le possibili applicazioni concrete. Se il legislatore pretendesse di regolare ogni dettaglio, produrrebbe probabilmente norme rapidamente obsolete o eccessivamente rigide.
La soluzione più equilibrata mi sembra un’altra: rafforzare la qualità della legislazione primaria sui principi, sugli obiettivi e sui limiti dell’intervento, lasciando però all’Autorità tecnica il compito di declinarli nei contesti applicativi, con criteri trasparenti, controllabili e proporzionati.
In questa prospettiva, il Parlamento non dovrebbe sostituirsi al Garante nella casistica tecnica, ma dovrebbe presidiare meglio il perimetro entro cui l’Autorità opera. Il Garante, a sua volta, dovrebbe rendere sempre più verificabile il percorso argomentativo dei propri bilanciamenti, distinguendo chiaramente tra norma vincolante, orientamento interpretativo e raccomandazione operativa.
Conclusione. Riformare senza indebolire
La conclusione, dunque, non è che il Garante debba essere difeso così com’è, né che debba essere ridimensionato in nome di una generica diffidenza verso le autorità indipendenti.
La questione vera è più precisa: occorre preservare l’indipendenza dell’Autorità, perché essa è essenziale alla tutela di un diritto fondamentale europeo; ma occorre anche rafforzare legalità, trasparenza, proporzionalità e controllo sull’esercizio concreto dei suoi poteri.
Riformare il Garante può essere utile. Ma una riforma efficace non dovrebbe indebolire la protezione dei dati personali, né riportare una materia dinamica entro schemi amministrativi troppo rigidi. Dovrebbe piuttosto chiarire meglio i confini tra legislazione, indirizzo tecnico, controllo e sanzione.
È lì, probabilmente, che si gioca il vero equilibrio: non tra privacy e libertà, come se fossero poli irriducibili, ma tra indipendenza dell’Autorità e responsabilità nell’esercizio del potere.
Rosario
