Il Garante garantisce troppo e viola il GDPR.

In autostrada il limite di velocità ordinario è di 130 km/h.

Se passa un matto a 180 all'ora, la polizia s'incazza, lo insegue e, giustamente, lo blinda. La sanzione è doverosa e siamo tutti d'accordo che il fenomeno della pista meriti una multa, il ritiro della patente, il pubblico biasimo, ecc.

Quindi? Che si fa? Basta guidare al di sotto dei 130 Km/h?

Normalmente si, ma potremmo trovare un altro matto.

C'è una macchina che, convinta dell'importanza di quel limite, pensando di fare la cosa giusta, si piazza in mezzo alla carreggiata a 30 Km/h, per scrupolo, per massima sicurezza, perché, secondo chi guida, più si va adagio meglio è.

Risultato? 

Una catastrofe apocalittica, tamponamenti multipli, morti e feriti, ecatombe on the road.

Dopo lo schianto arrivano i carabinieri e scoprono, con grande sorpresa, che la macchina che ha causato il disastro, andando a 30 all'ora, era proprio l'auto dei colleghi poliziotti... 

Più o meno, questa storiella rappresenta ciò che è realmente capitato nel mondo della data protection: 

il Garante, la cui missione è far rispettare da tutti la normativa "privacy" e il GDPR, ha applicato un criterio talmente restrittivo, talmente rigoroso, talmente estremo da eccedere sul versante opposto rispetto a quella della tutela. Il Garante ha ritenuto riservate informazioni che, al contrario, avrebbe potuto, anzi, dovuto condividere.

In effetti, sono in molti ad aver storto il naso osservando numerose recenti decisioni poco condivisibili e inconciliabili con la norma, ma siamo in un mondo in cui nessuno può contestare l'operato della massima autorità, formalmente indipendente, posta a garanzia e presidio del GDPR.

Nel mondo della Privacy, non c'è nessuno che controlla il controllore, e questo può favorire una certa disinvoltura nell'operato dei membri del Collegio.

Ma, come nella storiella autostradale, poi arrivano i carabinieri e, fuori dalla metafora, troviamo il TAR del Lazio che, dovendo giudicare su un brutto fatto che ha riguardato la RAI e la pubblicazione di squallide baruffe riguardanti politicanti di dubbia stima, ha potuto impugnare un nodoso randello di legno di rovere, adornato con bitorzolute borchie metalliche, e calarlo con vigore sulla testa del Collegio del Garante più improbabile e inquisito che la storia ricordi.

Tutto nasce dalla sanzione di 150.000 euro inflitta dal Garante alla RAI a seguito della messa in onda di un servizio televisivo (Report e l'audio della conversazione privata dell'allora ministro Gennaro Sangiuliano), successivamente annullata dal Tribunale. Una squallida vicenda in odore di ritorsione politica e scontro di poteri.

Per difendersi in giudizio, RAI ha chiesto al Garante l'accesso agli atti del procedimento, compreso il verbale del 23 ottobre 2025, la seduta ufficiale nella quale il Collegio del Garante ha deciso e formalizzato la multa. Ma il Garante Privacy ha deciso di oscurare, per privacy, alcune parti del verbale di adunanza (nello specifico a pagina 4 e pagina 5 del punto 29), rendendo di fatto inutile il documento.

Per privacy... il Garante ha applicato la normativa in materia di Privacy in modo talmente rigoroso da arrivare ad eccedere in senso contrario, violando, di fatto, la stessa norma di cui dovrebbe garantire l'applicazione, dimenticando i propri obblighi di trasparenza e la garanzia del diritto di accesso agli atti. Il garante si è messo a 30 all'ora in mezzo all'autostrada perché andare forte è pericoloso e proibito!

Il TAR (Sentenza T.A.R. Lazio Roma, sez. V bis, 21/07/2026, n. 13343) ha valutato la questione e accolto il ricorso, stabilendo che il Garante ha violato l'articolo 5 del GDPR in questo modo:

• Facendo uso improprio dell'oscuramento (omissis): Nelle righe del punto 29 del verbale (ovvero la sezione dedicata esclusivamente al procedimento sanzionatorio contro RAI), il Garante ha inserito diversi omissis per coprire frasi ed elementi del testo.

• Giustificandosi con motivazioni del tutto generiche e infondate: Per giustificare l'oscuramento di quelle parti, il Garante ha affermato che riguardavano "soggetti terzi" o "altri procedimenti". Tuttavia, quando il TAR ha ordinato l'esibizione riservata del documento in busta chiusa e lo ha potuto esaminarlo, ha riscontrato che i riferimenti ai terzi erano meramente generici e non c'era alcun rischio reale per la riservatezza. Così, la pecettatura applicata dal Garante si è trasformata in una privazione ingiustificata del diritto di accesso ai dati per la RAI, limitandone la conoscibilità dei presupposti con cui l'Autorità aveva deciso la sanzione.

Il TAR va oltre, stabilendo che il Garante si è macchiato di inosservanza del principio di proporzionalità e trasparenza: per il Tribunale Amministrativo Regionale del Lazio, che non è l'ultimo pirla della combriccola, il Garante ha violato il principio di bilanciamento previsto anche dall'art. 5 del GDPR. L'oscuramento deve essere una misura eccezionale, da applicare solo se c'è un reale pregiudizio per terzi, quello che si chiama un "diritto prevalente". Coprire alcuni passaggi con motivazioni inconsistenti comporta che la parte colpita da una sanzione non possa esercitare appieno il proprio diritto costituzionale di difesa (art. 24 Cost.).

Il TAR ha quindi ordinato al Garante di rimediare:

Per le pagine 4 e 5 (Comportamento ILLEGITTIMO del Garante) gli oscuramenti sono stati annullati. I riferimenti erano generici e il Garante è stato obbligato a mostrare il testo integrale alla RAI entro 30 giorni.

Per la pagina 10 (Comportamento LEGITTIMO del Garante)  gli omissis sono stati ritenuti corretti, poiché contenevano l'identificazione precisa di soggetti estranei, procedimenti sanzionatori paralleli ed esiti di reclami altrui coperti da reale segreto e tutela della privacy.

Il Tar non ha fatto "la multa", certamente, ma stabilire che il Garante Privacy abbia violato la normativa in materia di Privacy direi che non è poca cosa.

Personalmente, ho sempre iniziato a studiare le norme dall'inizio e, come prima cosa, ho sempre trovato il titolo:

Il GDPR si intitola così: "REGOLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati)".

Ecco, quelle paroline, il riferimento alla libera circolazione dei dati, spiegano, fin dal titolo, quale sia lo scopo ultimo e ispiratore del GDPR, la ratio,  non solo una chiave di lettura ma il senso stesso della norma: non vietare, ma agevolare la circolazione dei dati personali. Non impedire ma regolare, non oscurare ma condividere, contemperando ovviamente gli altri diritti concorrenti e bilanciando eventuali interessi contrapposti. 

Purtroppo, a volte, ragionando troppo su trascurabili dettagli, ricercando il compiacimento del particolare, facendo porno-privacy, si rischia di perdere di vista il quadro complessivo e il vero scopo del proprio lavoro. 

Tornando alla metafora, direi che il Garante è stato multato dalla volante del TAR per ostacolo alla circolazione dei dati!

La privacy non è mai un ostacolo. Mai.

Dopo

• i servizi di Report,
• i tentativi del collegio di acquisire e violare la posta elettronica delle persone che al Garante ci lavorano veramente,
• le tristi e squallide indagini interne per cercare di scovare "la talpa",
• l'apertura delle numerose indagini della magistratura per reati e violazioni contabili e amministrative di ogni tipo,
• l'incredibile fuitina e l'accesso notturno di funzionari apicali che hanno accompaganto loschi figuri per trafficare sui computer dell'Autorità,
• le tessere sconto Alitalia regalate a chi stava decidendo sul caso Alitalia,
• i provvedimenti tanto miti da generare sospetti di conflitto di interessi o amichettismo,
• i provvedimenti incredibilmente compiacenti verso soggetti con la medesima posizione novax di alcuni membri del collegio,
• gli intrecci tra membri del garante e mogli, soci, ex soci di studi legali specializzati,
• le fettine panate della macelleria Feroci in nota spese,
• l'uso personale delle auto di servizio,
• i viaggi turistici di rappresentanza in comitiva a spese dell'autorità,
• il rifiuto di viaggiare come i comuni mortali e la pretesa di andare in prima classe,
• le visite riservate per ricevere ordini di scuderia dai politici,
• la sistematica violazione dei termini di definizione delle istruttorie che ha portato all'annullamento sistematico di numerosi provvedimenti sanzionatori,
• le improvvide e disdicevoli dimissioni di vari funzionari apicali,

e ancora...

• la pubblicazione di jaccuse potenti e circostanziati, preparati e diffusi da funzionari interni all'Autorità sotto lo pseudonimo di "Rodotà dall'aldilà",
• che accumula la posta dell'ente da sempre, senza una policy interna, vietandolo alle aziende,
• l'incredibile lentezza di alcune istruttorie, procrastinate con ogni possibile stratagemma comprese le consultazioni pubbliche promosse per acquisire il parere dei destinatari dei provvedimenti sanzionatori (cookiewall),
• i discutibili e inopportuni comportamenti, sfacciatamente attuati alla luce del sole e senza vergogna,
• le comparsate mauto-promozionali presso i podcast degli amici di merende,
• la bramosia di visibilità e i continui viaggi spesati connessi ad ogni convegno dibattito o sagra di paese,
• gli utili articoli di chiarimento o di anticipazione sull'operato dell'autorità, pubblicati da editori amici e sotto paywall (peraltro in aperta violazione del GDPR stesso),
• il costante tentativo di attribuirsi il titolo di "Garante" da parte dei singoli componenti del Collegio anche durante attività che nulla hanno di istituzionale...

e dopo tutto quello che abbiamo letto in cronaca, questa ennesima mazzata, il fatto che il Garante sia incapace di applicare la normativa che presidia, rischia di avere un effetto disgregante sull'Autorità, sul prestigio e l'autorevolezza che ha sempre contraddistinto il suo operato, sugli operosi funzionari che assistono inermi a questo disastro che sta portando le persone a ritenere che la protezione dei dati sia solo un a barzelletta o, al più, un orpello formale.

Se le persone comuni, le aziende, i grandi player ridono, ritenendo che la privacy sia solo una barzelletta, ora sappiamo chi ha contribuito più di tutto al disfacimento del "diritto ad avere diritti".

Catastrofe. 

Che dire... dopo 4 anni, i veicoli fanno la revisione. Il Garante affronterà la sua revisione e l'azzeramento dell'intero Collegio nel luglio 2027.

Prosit

Su questo blog ci sono altri 207 articoli.
Esplora, cerca, curiosa in giro...

Grazie per il tuo tempo. Se ti è piaciuto l'articolo o ti ha dato spunti utili, prendi in considerazione l'idea di sostenere il mio lavoro.

Puoi farlo in tre modi:
- Condividendo sui tuoi social. Così facendo aiuterai altre persone a trovarlo.
- Dicendomi cosa ne pensi, mi aiuterai a migliorare,
- Con una donazione. Aiuterai me a dedicare tempo al Blog.

Un messaggio speciale per i colleghi professionisti della privacy: il confronto è essenziale per migliorarsi, fammi sapere la tua opinione. Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ti ha ispirato nell'ambito di una riunione? Ti ha agevolato nella stesura di un parere? O, semplicemente, ti ha evitato un brutto scivolone con un cliente?
Se la risposta è sì... allora una birra virtuale è d'obbligo!