L’Autorità garante della concorrenza e del mercato non può infliggere una sanzione per pratica commerciale scorretta legata a un illecito trattamento di dati senza avere prima sentito il Garante per la protezione dei dati personali. Il principio è stato affermato dalle Sezioni Unite della Corte di Cassazione con l’ordinanza n. 21030 del 21 giugno 2026. Il passaggio riguarda, per esempio, i procedimenti nei quali la condotta contestata consiste in un’informativa lacunosa sul trattamento dei dati.
La pronuncia conferma l’orientamento già espresso dal Consiglio di Stato con la sentenza n. 497 del 15 gennaio 2024. Si consolida così una regola procedurale precisa: quando l’Antitrust valuta una pratica commerciale e l’accertamento richiede anche un giudizio su aspetti propri della disciplina privacy, deve acquisire il parere dell’autorità specializzata. La sovrapposizione tra tutela del consumatore e protezione dei dati non elimina, dunque, la necessità di coinvolgere entrambe le competenze istituzionali.
Il confine assume un peso concreto nei servizi digitali, dove le modalità di raccolta e utilizzo delle informazioni possono entrare direttamente nel rapporto commerciale con l’utente. Una comunicazione incompleta sul trattamento dei dati può essere esaminata come possibile pratica commerciale scorretta, ma resta contemporaneamente legata alla normativa sulla privacy. L’ordinanza chiarisce che la presenza di questo secondo profilo impone all’Agcm un passaggio preventivo presso il Garante, prima dell’adozione della sanzione.
Ne deriva un rafforzamento del ruolo del Garante privacy nei procedimenti che attraversano più ambiti regolatori. Il suo intervento non viene trattato come un contributo meramente eventuale quando la decisione dipende dall’apprezzamento di questioni rientranti nella sua competenza. L’autorità procedente conserva le proprie attribuzioni in materia di tutela del mercato e dei consumatori, ma deve integrare l’istruttoria con il parere specialistico richiesto dalla natura della violazione esaminata.
Per le imprese si amplia, parallelamente, lo spazio della difesa. Un operatore economico può contestare la sanzione facendo valere come vizio l’omessa richiesta del parere, qualora il procedimento abbia richiesto una valutazione riservata alla competenza di un’altra autorità. La conseguenza indicata dalle Sezioni Unite non rimane circoscritta ai soli rapporti tra Antitrust e Garante: il criterio può essere invocato nei confronti delle autorità di vigilanza ogni volta che l’accertamento coinvolga profili affidati a un organismo specializzato.
Per gli operatori digitali, la distinzione tra adempimenti commerciali e obblighi sul trattamento dei dati diventa quindi anche una questione di correttezza del procedimento sanzionatorio. Informative, comunicazioni rivolte agli utenti e modalità di gestione dei dati possono generare valutazioni appartenenti a discipline diverse. In questi casi, la decisione finale deve essere preceduta dal confronto istituzionale previsto, mentre l’impresa può verificare non soltanto il merito della contestazione, ma anche la completezza dell’iter seguito dall’autorità.
La pronuncia delinea così un modello di vigilanza fondato sul coordinamento delle competenze. Nei mercati digitali, una stessa condotta può incidere sulla trasparenza commerciale e sulla protezione dei dati personali; la convergenza delle materie, però, non autorizza a prescindere dall’autorità competente sul profilo specialistico. Per imprese e utenti, il risultato è un sistema nel quale la tutela resta articolata tra più organismi, mentre la validità delle sanzioni dipende anche dal rispetto dei passaggi consultivi richiesti.