Garante Privacy: come fare un reclamo all'Autorità per la protezione dei dati

Il Garante per la protezione dei dati personali è l'autorità indipendente che vigila sulla protezione dei dati in Italia. La maggior parte di chi lo cerca vuole una risposta precisa: come presentare concretamente un reclamo, e cosa succede dopo averlo fatto.

Informazioni verificate il 20 luglio 2026. Questa pagina fornisce informazioni legali di carattere generale e non costituisce consulenza legale per un caso specifico.

Ambito di applicazione: Questo articolo riguarda il Garante per la protezione dei dati personali, l'autorità di controllo per l'Italia. Un reclamo relativo a un'organizzazione stabilita principalmente in un altro paese dell'UE può rientrare nella competenza dell'autorità di controllo di quel paese, a seconda di dove vengono effettivamente prese le decisioni sul trattamento.

Cos'è il Garante e cosa fa

Il Garante per la protezione dei dati personali è l'autorità amministrativa indipendente italiana per la protezione dei dati personali. Vigila sulle modalità con cui le organizzazioni pubbliche e private raccolgono, utilizzano, conservano e condividono i dati personali, in base al GDPR (Regolamento UE 2016/679) e al Codice Privacy (D.Lgs. 196/2003), come modificato, non sostituito, dal D.Lgs. 101/2018, che ha allineato la normativa italiana al GDPR a partire dal 19 settembre 2018.

Tra i suoi compiti dichiarati rientrano la verifica della conformità del trattamento dei dati al GDPR e alla normativa italiana, la prescrizione di misure correttive alle organizzazioni quando necessario, e l'esame dei reclami presentati dal pubblico. Ha inoltre poteri di indagine e correttivi concreti: può ordinare a un'organizzazione di modificare le modalità di trattamento dei dati, limitare o vietare un'attività di trattamento e irrogare sanzioni amministrative.

Ciò che non è, è un tribunale che assegna un risarcimento in denaro a un singolo reclamante, e questa distinzione condiziona tutto ciò che segue.

Reclamo, segnalazione, ricorso: tre parole diverse, tre strumenti diversi

Il materiale dello stesso Garante distingue diversi percorsi che un privato può intraprendere, e confonderli è una fonte comune di frustrazione.

Il reclamo è la procedura di denuncia formale prevista dall'art. 77 del GDPR. È un atto documentato che descrive una presunta violazione delle norme sulla protezione dei dati, e presentarne uno obbliga il Garante a esaminarlo e, alla fine, a comunicare al reclamante l'esito o lo stato della pratica. È il percorso su cui si concentra questo articolo, perché è ciò di cui ha bisogno quasi chiunque cerchi «come fare un reclamo al Garante».

La segnalazione è un avviso o una comunicazione meno formale. Segnala un possibile problema al Garante senza la stessa garanzia di esame formale che ha il reclamo, ed è un'opzione più leggera per chi vuole sollevare una preoccupazione senza costruire un fascicolo completo.

Il ricorso è una procedura separata e più circoscritta, storicamente utilizzata per chiedere al Garante di risolvere direttamente specifiche controversie sui diritti. Oggi la maggior parte delle questioni individuali che un tempo passavano per il ricorso vengono gestite tramite il percorso del reclamo qui descritto, quindi il reclamo è il punto di partenza corretto per la stragrande maggioranza dei lettori.

Prima di presentare il reclamo: contattare prima il titolare del trattamento

Il modulo di reclamo dello stesso Garante chiede se il reclamante ha già sollevato la questione con il titolare del trattamento (l'organizzazione responsabile dei dati), e in caso affermativo cosa è successo.

Farlo conviene nella pratica, per due motivi. Molte questioni, in particolare una richiesta di accesso, rettifica o cancellazione dei propri dati, si risolvono una volta che l'organizzazione riceve una richiesta scritta chiara. E un precedente tentativo documentato rafforza un reclamo che prosegue, perché dimostra che l'organizzazione ha avuto una reale opportunità di risolvere il problema per prima.

In base al GDPR, un'organizzazione che riceve una richiesta relativa ai diritti dell'interessato ha generalmente un mese di tempo per rispondere, a partire dalla data di ricezione della richiesta. Tale termine può essere prorogato fino a due mesi ulteriori per una richiesta complessa, ma solo se l'organizzazione comunica al richiedente la proroga entro il termine originario di un mese. Come esempio pratico: una richiesta ricevuta il 3 marzo 2026 deve normalmente ricevere risposta entro il 3 aprile 2026, o al più tardi entro il 3 giugno 2026 se l'organizzazione proroga validamente il termine e lo comunica prima del 3 aprile. Se il termine scade senza risposta, o l'organizzazione rifiuta senza un motivo valido, quella mancata risposta documentata è di per sé un motivo solido per un reclamo.

Cosa deve contenere un reclamo e come presentarlo

Un reclamo deve identificare il titolare del trattamento coinvolto, con dettagli sufficienti perché il Garante sappia contro chi è rivolto. Deve includere l'identità e i recapiti dello stesso reclamante. Deve esporre i fatti in modo chiaro, incluso ogni contatto già avuto con il titolare e il relativo esito, e deve indicare la specifica norma sulla protezione dei dati che si ritiene sia stata violata, quando il reclamante è in grado di identificarla.

Può essere presentato in tre modi: via posta elettronica certificata (PEC) a protocollo@pec.gpdp.it, per posta raccomandata a Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, oppure consegnato di persona allo stesso indirizzo. La presentazione è gratuita.

Un reclamo, ed eventualmente una procura se ne viene utilizzata una (un avvocato o un ente senza scopo di lucro può presentarlo per conto di qualcuno), deve essere firmato, con firma autenticata, firma digitale, oppure firma ordinaria accompagnata da copia di un documento di identità valido.

Cosa succede dopo la presentazione

Una volta ricevuto, un reclamo passa attraverso un esame preliminare (istruttoria). A seconda di ciò che emerge da tale esame, può portare a un procedimento amministrativo completo, in base ai poteri che il GDPR attribuisce al Garante all'art. 58: questi vanno da un semplice richiamo o ammonimento all'organizzazione, fino a un ordine di conformare il trattamento, una limitazione temporanea o permanente del trattamento, oppure una sanzione amministrativa.

Non esiste un numero fisso di giorni entro cui un reclamo deve essere definito, e questo articolo non ne inventerà uno. I dati sull'attività dello stesso Garante, riportati di seguito, sono la migliore prova disponibile di quanto effettivamente venga definito in un anno.

Cosa può e non può fare il Garante riguardo al tuo denaro

Questo è il punto su cui la maggior parte dei reclamanti si sbaglia, quindi vale la pena dirlo chiaramente: il Garante non può ordinare a un'organizzazione di versare un risarcimento alla persona che ha presentato il reclamo. I suoi strumenti correttivi agiscono sulle prassi dell'organizzazione, e quando viene irrogata una sanzione, questa viene versata allo Stato, non al reclamante.

Chi ha subito un danno reale e dimostrabile, perdita economica, sofferenza o un altro danno concreto, derivante da una violazione della protezione dei dati ha un percorso separato: l'art. 82 del GDPR consente a quella persona di promuovere un'azione civile davanti a un tribunale ordinario contro il titolare o il responsabile del trattamento coinvolto. I due percorsi possono procedere in parallelo. Un reclamo riguarda la conformità dell'organizzazione e può portare a un ordine o a una sanzione del Garante; un'azione civile riguarda il risarcimento per il singolo, e solo un giudice può assegnarlo, dopo che chi agisce dimostra la violazione, il danno e il nesso tra i due.

I massimali delle sanzioni GDPR, e cosa significano nella pratica

Quando il Garante procede con una sanzione, è il GDPR a fissare i limiti massimi. Per le violazioni più gravi, le sanzioni possono arrivare a 20 milioni di euro o al 4% del fatturato mondiale totale annuo dell'organizzazione, se questa cifra è superiore; le categorie di violazioni meno gravi hanno un tetto inferiore.

Per rendere concreto il concetto: per un'organizzazione con 50 milioni di euro di fatturato mondiale annuo, il 4% corrisponde a 2 milioni di euro, quindi la cifra fissa di 20 milioni di euro è la maggiore delle due ed è pertanto quella che si applica. La percentuale supera la cifra fissa solo una volta che il fatturato mondiale supera circa 500 milioni di euro. Per la maggior parte delle aziende, in altre parole, i 20 milioni di euro rappresentano il tetto reale, e sono le grandi multinazionali a vedere la propria esposizione determinata dalla percentuale. La maggior parte dei reclami individuali, relativi per esempio a una richiesta di accesso senza risposta o a una telefonata commerciale indesiderata, sono ben lontani da entrambi i massimali, perché il Garante calibra la sanzione sulla violazione effettiva, non sul massimo previsto dalla legge.

Il Garante è davvero attivo? I numeri del 2025

Alcuni lettori si chiedono ragionevolmente se un reclamo porti effettivamente a qualcosa. La relazione sull'attività 2025 dello stesso Garante, presentata a metà 2026, fornisce una risposta documentata: 807 provvedimenti collegiali adottati nel corso dell'anno, di cui 506 provvedimenti correttivi e sanzionatori, e oltre 37 milioni di euro di sanzioni registrate. Ha risposto a 4.288 reclami e ha definito 145.846 segnalazioni, ha svolto 130 ispezioni, ha registrato 2.415 notifiche di data breach (in aumento di circa il 10% rispetto al 2024), e ha trasmesso 65 casi all'autorità giudiziaria penale.

Questi dati descrivono il carico di lavoro complessivo dell'Autorità su tutte le materie di sua competenza, non una promessa sull'esito, la tempistica o l'entità di un'eventuale sanzione per uno specifico reclamo. Vanno considerati come contesto sul livello di attività reale del Garante, non come una previsione per un singolo caso.

Altri argomenti di privacy in Italia

I reclami nascono spesso da una situazione specifica, come una telecamera che riprende oltre i confini della proprietà del suo titolare; la nostra guida di approfondimento sulle telecamere di sicurezza domestiche in Italia spiega esattamente dove si colloca quel confine e cosa aggiunge l'art. 615-bis c.p. rispetto alla questione GDPR. Per il quadro più ampio in cui si inserisce la protezione dei dati in Italia, si veda la nostra panoramica sulle leggi sulla privacy in Italia. Per l'intera gamma di contenuti dedicati all'Italia su questo sito, si veda l'hub Italia.