A cura di Gerolamo Pelicanó e Lorenzo Aldera
La recente sentenza della Corte europea dei diritti dell’uomo dell’11 dicembre 2025, Agrisud 2014 S.r.l. e altri c. Italia, ha riacceso il dibattito sulla compatibilità dei poteri ispettivi delle autorità pubbliche con le garanzie previste dall’art. 8 CEDU.
Pur riferendosi al contesto tributario, la pronuncia si inserisce in un filone giurisprudenziale che trascende il singolo settore, ponendo questioni di carattere generale in ordine alla conformazione dei poteri amministrativi incidenti sulla sfera privata dei soggetti, inclusi quelli esercitati nei confronti delle persone giuridiche.
In tale prospettiva, appare opportuno interrogarsi sulla possibile estensione dei principi affermati dalla Corte anche ad altri ambiti dell’ordinamento, e in particolare ai poteri ispettivi del Garante per la protezione dei dati personali, autorità dotata, ai sensi del Regolamento (UE) 2016/679 (GDPR) e del D.lgs 30 giugno 2003, n. 196 (Codice Privacy), di incisivi poteri di accesso, verifica e acquisizione documentale.
I principi della Corte EDU in materia di poteri ispettivi
Con la sentenza Agrisud, la Corte ha ribadito che le attività di accesso ai locali aziendali e di acquisizione di documentazione costituiscono un’ingerenza nel diritto al rispetto del domicilio e della corrispondenza tutelato dall’art. 8 CEDU, anche quando riguardino persone giuridiche.
Il fulcro della decisione risiede nella verifica del requisito della “conformità alla legge” dell’ingerenza. Secondo la Corte, tale requisito implica non solo una base normativa formale, ma anche che la disciplina sia sufficientemente accessibile, prevedibile e idonea a circoscrivere la discrezionalità dell’autorità pubblica.
In particolare, sono stati individuati tre profili critici del sistema italiano:
La Corte ha inoltre sottolineato come l’esistenza di prassi amministrative o linee guida interne non sia sufficiente a colmare tali lacune, in quanto prive di forza normativa vincolante e, pertanto, inidonee a garantire una tutela effettiva contro possibili abusi.
I poteri ispettivi del Garante per la protezione dei dati personali
Nel quadro delineato dal GDPR, le autorità di controllo nazionali sono investite di poteri di indagine particolarmente ampi, funzionali ad assicurare un’applicazione effettiva e uniforme della disciplina in materia di protezione dei dati personali.
In particolare, l’art. 58, par. 1, GDPR attribuisce al Garante per la protezione dei dati personali una serie di poteri che, per intensità e pervasività, risultano pienamente assimilabili a quelli esercitati in altri ambiti dell’azione amministrativa ispettiva. Tra questi rientrano, in particolare, il potere di:
Le prerogative riconosciute a livello europeo trovano ulteriore specificazione negli artt. 157 e ss. del d.lgs. 196/2003, che disciplinano le richieste di informazioni e le attività ispettive. In particolare, il Garante può richiedere informazioni e documenti (art. 157), disporre accessi e verifiche (art. 158) e avvalersi della collaborazione di altri organi dello Stato (art. 159). Nella prassi, le verifiche vengono frequentemente svolte mediante accessi presso la sede del titolare o del responsabile del trattamento, nel corso dei quali vengono acquisiti documenti, estratti di banche dati, configurazioni dei sistemi e ulteriori elementi utili alla ricostruzione dei trattamenti effettuati.
Ulteriore specificazione delle modalità concrete di esercizio dei poteri ispettivi si rinviene nella disciplina interna del Garante, e in particolare nel Regolamento n. 1/2019, che prevede lo svolgimento delle verifiche sulla base di un ordine di servizio contenente l’indicazione del titolare o responsabile destinatario del controllo, dell’ambito dell’accertamento, dei poteri di indagine esercitati e dei soggetti incaricati. Il medesimo regolamento contempla espressamente la possibilità di delegare l’attività ispettiva alla Guardia di Finanza, nonché individua le principali facoltà esercitabili nel corso delle verifiche, tra cui l’acquisizione di documenti, l’accesso a banche dati e la copia degli archivi.
Tali attività sono frequentemente svolte con il supporto del Nucleo speciale della Guardia di Finanza, sulla base di un rapporto di collaborazione istituzionale formalizzato attraverso specifici protocolli d’intesa, da ultimo rinnovati nel marzo 2021. In base a tale accordo, il Garante si avvale della collaborazione del Corpo per l’esecuzione delle attività ispettive, che includono il reperimento di dati e informazioni, la partecipazione ad accessi, ispezioni e verifiche, nonché lo sviluppo di attività delegate o sub-delegate per l’accertamento delle violazioni; le richieste sono formulate dal Garante, che ne definisce ambito e finalità, mentre gli esiti degli accertamenti sono trasmessi all’Autorità ai fini delle successive determinazioni
Sotto il profilo procedurale, l’attività ispettiva del Garante si caratterizza per una certa flessibilità. Essa può essere avviata sia nell’ambito di procedimenti già instaurati (ad esempio, a seguito di un reclamo o di una segnalazione), sia d’ufficio, nell’ambito dei poteri di iniziativa autonoma dell’autorità. In tale fase, non sempre il perimetro dell’indagine risulta previamente delimitato in modo puntuale, potendo essere progressivamente definito anche in funzione degli elementi acquisiti nel corso dell’ispezione.
Dal punto di vista delle garanzie, l’ordinamento prevede alcuni presidi, ulteriormente precisati anche dalla disciplina interna dell’Autorità. In tale prospettiva, il Regolamento n. 1/2019 sembra incidere, almeno in parte, sui profili critici evidenziati in Agrisud. In particolare: (i) introduce alcuni elementi di delimitazione dell’attività ispettiva, prevedendo la previa individuazione del soggetto controllato, dell’ambito dell’accertamento e dei poteri esercitati; (ii) pur non introducendo un obbligo di motivazione in senso proprio, rafforza la formalizzazione dell’iniziativa ispettiva; (iii) prevede alcune garanzie procedurali, quali verbalizzazione, assistenza di consulenti e facoltà di produzione documentale; (iv) resta invece sostanzialmente non inciso il profilo relativo all’assenza di un controllo giurisdizionale immediato sull’atto ispettivo. Un primo profilo riguarda la determinatezza della base normativa. Sebbene il GDPR e il Codice Privacy delineino in modo relativamente puntuale i poteri dell’autorità, resta da valutare se tali disposizioni siano sufficientemente idonee a delimitare, in concreto, l’estensione delle verifiche, in termini di oggetto, durata e perimetro documentale, soprattutto nelle fasi iniziali dell’attività ispettiva.
Ne deriva un assetto in cui l’esercizio dei poteri di accesso e acquisizione documentale si inserisce in una fase caratterizzata da ampia discrezionalità, con un sindacato giurisdizionale che, pur esistente, non incide direttamente e immediatamente sulla legittimità dell’atto ispettivo in sé considerato. È proprio questo profilo a rendere particolarmente rilevante il confronto con i principi elaborati dalla giurisprudenza della Corte EDU in materia di ingerenze nei diritti garantiti dall’art. 8 CEDU.
Il confronto con i principi CEDU: analogie e possibili criticità
Alla luce dei principi enunciati nella sentenza Agrisud, si pone il tema della verifica della conformità dei poteri ispettivi del Garante ai principi della CEDU.
Un primo profilo riguarda la determinatezza della base normativa. Sebbene il GDPR e il Codice Privacy delineino in modo relativamente puntuale i poteri dell’autorità, resta da valutare se tali disposizioni siano sufficientemente idonee a delimitare, in concreto, l’estensione delle verifiche, in termini di oggetto, durata e perimetro documentale, soprattutto nelle fasi iniziali dell’attività ispettiva.
Un secondo aspetto concerne le garanzie procedurali. In particolare, si potrebbe interrogarsi sull’intensità dell’obbligo di motivazione degli atti ispettivi e sulla necessità di una più puntuale individuazione delle ragioni che giustificano l’accesso e l’acquisizione di specifiche categorie di dati, anche alla luce del principio di minimizzazione sancito dallo stesso GDPR.
Il profilo più delicato attiene, tuttavia, ai rimedi giurisdizionali. Anche nel caso delle ispezioni del Garante, il controllo del giudice tende a collocarsi in un momento successivo, generalmente in sede di impugnazione del provvedimento finale adottato dall’autorità. Ne deriva che eventuali vizi della fase istruttoria rischiano di non essere oggetto di un sindacato pieno e immediato, con possibili riflessi sull’effettività della tutela.
In questa prospettiva, merita di essere richiamata anche la più recente giurisprudenza di legittimità. Con la sentenza Cass. civ., sez. I, 8 luglio 2025, la Suprema Corte infatti ribadito la netta distinzione tra una fase investigativa, caratterizzata dall’esercizio dei poteri di indagine di cui all’art. 58 GDPR e all’art. 166, comma 4, del Codice privacy, e una successiva fase sanzionatoria in senso stretto, che prende avvio solo con la formale contestazione delle violazioni. Nell’ambito della fase preliminare, l’Autorità gode di un ampio margine di discrezionalità nella conduzione degli accertamenti, potendo modulare tempi, modalità e perimetro delle indagini anche in funzione della complessità del caso e della necessità di acquisire un quadro conoscitivo completo. In tale contesto, il controllo del giudice è circoscritto alla verifica di eventuali ipotesi di inerzia ingiustificata o di violazione della ragionevole durata del procedimento, non potendo invece estendersi a un sindacato sostitutivo sulle scelte istruttorie dell’Autorità. Se, da un lato, tale impostazione risponde all’esigenza di garantire l’effettività dell’azione di vigilanza e di evitare che l’esercizio del potere sanzionatorio si fondi su accertamenti incompleti o affrettati, dall’altro lato essa sembra confermare l’esistenza, anche nell’ambito della protezione dei dati personali, di una fase ispettiva connotata da elevata discrezionalità e da un controllo giurisdizionale solo successivo e indiretto. Proprio tale configurazione appare suscettibile di essere riletta criticamente alla luce dei principi affermati dalla Corte EDU nella sentenza Agrisud, nella misura in cui impone di interrogarsi sull’adeguatezza delle garanzie che presidiano l’esercizio di poteri amministrativi idonei a incidere significativamente sulla sfera privata dei soggetti interessati.Il parallelismo con il sistema tributario, pur non potendo essere tracciato in modo automatico, evidenzia una comune tensione tra ampiezza dei poteri amministrativi e adeguatezza delle garanzie, che la giurisprudenza convenzionale tende sempre più a scrutinare con particolare rigore.
La sentenza Agrisud conferma la crescente attenzione della giurisprudenza della Corte EDU verso la struttura e i limiti dei poteri ispettivi delle autorità pubbliche, imponendo agli ordinamenti nazionali un ripensamento delle relative discipline alla luce dei principi di legalità, prevedibilità e proporzionalità.
In tale contesto, i poteri del Garante per la protezione dei dati personali, pur inserendosi in un ambito normativo distinto e caratterizzato dalla finalità di tutela dei diritti fondamentali, non appaiono sottratti a un analogo scrutinio, soprattutto con riferimento all’adeguatezza delle garanzie procedurali e all’effettività dei rimedi giurisdizionali.
Più che trarre conclusioni definitive, la pronuncia offre dunque uno spunto per una riflessione sistematica, volta a verificare se l’attuale assetto normativo sia pienamente conforme agli standard convenzionali o se, al contrario, richieda interventi di affinamento. In questa chiave, la giurisprudenza della Corte EDU potrebbe svolgere, anche in ambito privacy, una funzione propulsiva analoga a quella già manifestata nel settore tributario, contribuendo a orientare l’evoluzione del sistema verso un più equilibrato bilanciamento tra poteri pubblici e diritti fondamentali.
Alla luce delle considerazioni che precedono, appare verosimile attendersi un progressivo intervento del legislatore volto a chiarire e, se del caso, affinare il perimetro e le modalità di esercizio dei poteri ispettivi delle autorità amministrative indipendenti, ivi incluso il Garante per la protezione dei dati personali. L’evoluzione della giurisprudenza convenzionale, unitamente alla crescente centralità dei diritti fondamentali nella disciplina dei trattamenti di dati personali, sembra infatti richiedere un rafforzamento delle garanzie sostanziali e procedurali che presidiano l’attività ispettiva, soprattutto nei profili attinenti alla prevedibilità delle verifiche, alla delimitazione del loro oggetto e all’effettività del controllo giurisdizionale. In tale contesto, un intervento normativo potrebbe contribuire a rendere più esplicito il bilanciamento tra le esigenze di efficacia dell’azione di vigilanza e la tutela delle posizioni giuridiche dei soggetti interessati, in linea con gli standard elaborati a livello europeo e sovranazionale. Più che incidere sull’ampiezza dei poteri attribuiti all’Autorità, tale intervento potrebbe riguardare, in particolare, la tipizzazione delle condizioni di esercizio dei poteri ispettivi e il rafforzamento dei presidi di controllo, anche al fine di prevenire possibili tensioni con i principi sanciti dall’art. 8 CEDU.
