Sfida al Garante, quando conviene davvero

Sempre più spesso vi sono società sanzionate dal Garante della privacy che invece di pagare decidono di impugnare il provvedimento e andare a vantare le proprie ragioni nelle aule dei tribunali. Questa tendenza sembra segnare l’apertura di una nuova stagione in cui le multe dell’Authority non vengono più accettate passivamente come avveniva in passato, ma un numero crescente di imprese valuta invece l’opportunità di fare opposizione. Prima di intraprendere questa strada, occorre tuttavia fare un’attenta analisi, perché il ricorso può rivelarsi una scelta vincente oppure trasformarsi in un pericoloso effetto boomerang.

La decisione di ricorrere al giudice contro una sanzione del Garante rappresenta infatti una vera e propria scelta di risk management, nella quale entrano in gioco aspetti economici, reputazionali, organizzativi e strategici, e perciò dovrebbe essere ponderata con gli stessi criteri con cui un’impresa valuta un investimento, un contenzioso commerciale, o un rischio industriale.

Una scelta di governance d’impresa

Qualora il tribunale accerti vizi procedurali, carenze nella motivazione o un’errata applicazione del Gdpr, il ricorso può condurre all’obiettivo di ottenere l’annullamento integrale del provvedimento, mentre in altri casi il giudice può comunque ritenere eccessiva la quantificazione della sanzione e ridurne l’importo, con un rilevante beneficio economico, specialmente quando l’importo originario della sanzione era a nove zeri. E in presenza di certi presupposti, l’impresa potrebbe valutare addirittura la possibilità di chiedere un risarcimento dei danni derivanti da una multa rivelatasi illegittima, anche se si tratta di un’azione autonoma che deve essere dimostrata con prove concrete.

D’altra parte, è necessario essere consapevoli che il ricorso non è privo di controindicazioni. La scelta di impugnare una sanzione comporta innanzitutto la rinuncia in partenza alla possibilità di beneficiare del pagamento in misura ridotta previsto dalla Legge 689/1981, che consente di estinguere l’illecito contestato con il versamento della metà dell’importo della sanzione. Inoltre, se il provvedimento del Garante venisse integralmente confermato, l’azienda dovrebbe sostenere non solo l’intero importo della multa, ma accollarsi anche tutti i costi del contenzioso.

È proprio questa duplice prospettiva a rendere il ricorso una decisione di governance d’impresa, e non una semplice scelta processuale.

Il ricorso come strumento di risk management

In molte organizzazioni il contenzioso viene ancora percepito come un costo da contenere, e per questo è spesso considerato come l’ultima spiaggia su cui approdare quando proprio è inevitabile, ma sotto il profilo della governance rappresenta in realtà uno degli strumenti attraverso cui gestire il rischio d’impresa derivante dalla compliance normativa.

Una sanzione per violazione del Gdpr non produce infatti soltanto un impatto economico immediato. Può incidere sui rapporti con clienti, investitori, partner commerciali, organismi di vigilanza, banche e assicurazioni. In alcuni casi può perfino influenzare operazioni straordinarie, gare pubbliche o processi di due diligence.

Rassegnarsi a pagare subito una sanzione con l’intento di metterci una pietra sopra, può quindi generare conseguenze che vanno ben oltre il semplice costo dell’importo contestato, ma d’altra parte ostinarsi nel promuovere un ricorso pur sapendo che comporta elevate probabilità di essere respinto significherebbe prolungare l’incertezza, sostenere ulteriori costi e mantenere aperta una vicenda che potrebbe continuare a produrre effetti reputazionali negativi.

Le valutazioni da fare

La prima domanda che dovrebbe porsi un management che deve decidere tra pagare la sanzione o fare ricorso, non è se il Garante abbia ragione o torto, ma se per quello specifico caso il ricorso rappresenti effettivamente la soluzione con il miglior rapporto tra costi, benefici e probabilità di successo.

Poi, è necessario valutare la solidità giuridica del provvedimento. Il procedimento amministrativo ha rispettato pienamente le garanzie difensive? Le motivazioni risultano coerenti con il Gdpr e con la giurisprudenza? La quantificazione della sanzione appare proporzionata?

Un’altra valutazione riguarda il valore economico della controversia. Non bisogna considerare soltanto l’importo della sanzione, ma anche i costi del contenzioso, i possibili effetti sul bilancio, gli eventuali accantonamenti e il tempo che il management dovrà dedicare alla gestione della vicenda.

Va poi tenuto in considerazione il precedente che potrebbe crearsi. Per alcune imprese, soprattutto nei settori regolamentati e quelli data driven, lasciare consolidare un’interpretazione particolarmente restrittiva dell’Autorità potrebbe imporre costosi cambiamenti organizzativi destinati a diventare strutturali.

Anche l’entità della sanzione rappresenta inevitabilmente una variabile decisiva nell’analisi costi-benefici. Più è elevato il valore economico in gioco, e maggiore sarà generalmente l’interesse dell’impresa a verificare se esistano validi motivi per contestare il provvedimento. In presenza di sanzioni milionarie, anche una riduzione dell’importo può incidere sensibilmente sul bilancio aziendale e giustificare il ricorso, purché esso sia sorretto da concrete prospettive di accoglimento.

Quando il ricorso è una scelta razionale

In alcune circostanze l’opposizione può rappresentare una scelta pienamente coerente con una corretta strategia di governance aziendale. Ad esempio, quando la sanzione si fonda su questioni interpretative controverse, oppure quando introduce principi in≠novativi non ancora consolidati dalla giurisprudenza che possono essere messi in discussione, e anche quando presenta profili di manifesta sproporzione rispetto alla gravità della violazione.

Anche la presenza di rilevanti conseguenze reputazionali può rendere opportuno chiedere al giudice una verifica della legittimità del provvedimento. Per le società quotate ed altre grandi realtà una sanzione privacy può infatti incidere sul valore percepito dell’azienda, e in questi casi il ricorso può diventare uno strumento di tutela dell’interesse complessivo dell’impresa.

Quando invece è preferibile non impugnare

Vi sono però situazioni nelle quali il ricorso rischia di rappresentare soltanto un azzardo che finirebbe per penalizzare l’azienda. Se i fatti risultano infatti sostanzialmente incontestabili, la documentazione aziendale evidenzia carenze oggettive e la giurisprudenza si è ormai consolidata in senso sfavorevole, le probabilità di successo possono risultare molto limitate.

In tali circostanze può essere più conveniente concentrare le proprie risorse sul rafforzamento del sistema di compliance, adottando le misure correttive richieste e dimostrando concretamente la volontà di prevenire future violazioni.

La convenienza del ricorso non dipende quindi dall’importo della sanzione in sé, ma dal rapporto tra il valore economico potenzialmente recuperabile e la probabilità concreta di conseguire tale risultato. È proprio dall’equilibrio tra questi due fattori che discende una decisione realmente orientata al risk management.