Illecito trattamento dei dati personali – sanzioni Garante per la protezione dati personali (procedimento di adozione dei provvedimenti correttivi e sanzionatori)

Nel procedimento per l'adozione dei provvedimenti correttivi e sanzionatori del Garante per la protezione dei dati personali, il termine di 120 giorni previsto dalla Tabella B allegata al Regolamento del Garante n. 2/2019 per la comunicazione/notifica delle "presunte violazioni" (art. 166, comma 5, d.lgs. n. 196/2003) ha natura perentoria, in ragione delle esigenze di certezza del diritto e di effettività del diritto di difesa del destinatario della sanzione. Tale termine decorre non dalla mera conoscenza o constatazione materiale del fatto (es. ricezione della notifica di violazione ex art. 33 Reg. UE 2016/679) né da ciascuna singola sottofase dell'attività istruttoria, bensì dal momento in cui, all'esito dell'istruttoria preliminare, il Garante perviene all'effettivo "accertamento" della violazione, inteso come apprezzamento della sussistenza dei presupposti, oggettivi e soggettivi, per l'irrogazione della sanzione. Non è conforme a diritto far decorrere il termine dalle prime fasi d'indagine o dalla prima segnalazione del data breach, dovendo riconoscersi all'Autorità un congruo margine di approfondimento istruttorio, anche unitario e cumulativo rispetto a più episodi correlati (artt. 10 e 11 Reg. n. 1/2019), purché in tempi ragionevoli.