L’intervento della Cassazione nel definire i poteri sanzionatori del Garante per la Protezione dei Dati Personali

Prima di applicare una sanzione per una violazione della normativa sulla protezione dei dati personali, il Garante deve contestare l’illecito al presunto responsabile: deve cioè comunicargli quali violazioni gli attribuisce e consentirgli di difendersi. La contestazione e l’eventuale irrogazione della sanzione sono dunque due passaggi distinti. Individuare i rispettivi termini è essenziale per stabilire se l’Autorità abbia agito tempestivamente e quali conseguenze un eventuale ritardo possa avere sulla validità della sanzione.

Il Regolamento del Garante n. 2/2019 prevede, per il procedimento sanzionatorio, un termine di 120 giorni. La portata di questa previsione è al centro del dibattito: i 120 giorni delimitano il tempo a disposizione dell’Autorità per contestare la violazione oppure quello per applicare la sanzione? E da quando iniziano a decorrere?

Tre recenti sentenze della Corte di cassazione — la n. 22791/2026 e le successive nn. 24861 e 24862 del 2026 — affrontano questi interrogativi. Le pronunce esaminano inoltre una questione connessa: quando l’intervento del Garante nasce dal reclamo di chi ritiene che i propri dati siano stati trattati illecitamente, occorre distinguere il termine per decidere sul reclamo dai termini che regolano l’esercizio del potere sanzionatorio.

La sentenza n. 24861/2026 riguarda la Società Editoriale Il Fatto S.p.A., destinataria di una sanzione pecuniaria di 20.000 euro per la pubblicazione di un articolo nel quale erano identificabili i figli maggiorenni di una persona condannata per abusi su minori.

La società aveva impugnato la sanzione, sostenendo che il Garante fosse intervenuto tardivamente: poiché il procedimento era nato da un reclamo, avrebbe dovuto concludersi entro il termine massimo di dodici mesi previsto per la relativa decisione.

La Suprema Corte, confermando l’impostazione della sentenza n. 22791, ribadisce che il procedimento di reclamo, disciplinato dall’art. 143 del Codice della privacy, e quello sanzionatorio, disciplinato dall’art. 166, sono due procedimenti distinti. Il termine per decidere il reclamo — fissato in nove mesi, elevabili a dodici in presenza di motivate esigenze istruttorie comunicate all’interessato, salve le sospensioni previste — non costituisce anche il termine finale entro cui il Garante deve necessariamente irrogare la sanzione.

La questione più delicata riguarda il termine di 120 giorni previsto dalla tabella «B» del Regolamento n. 2/2019. Secondo la ricostruzione accolta nelle sentenze nn. 22791 e 24861, tale termine non riguarda l’adozione della sanzione finale, bensì la notificazione della contestazione, e decorre dal definitivo accertamento della violazione. La natura perentoria del termine, ribadita dalla sentenza n. 24862, rende il suo rispetto decisivo: la tardività della contestazione può essere fatta valere per ottenere l’annullamento della sanzione.

La sentenza n. 24862/2026 si sofferma, in particolare, sul momento dal quale decorrono i 120 giorni.

Nel caso K-City S.r.l., sanzionata per aver trattato dati personali per conto del Comune di Formia senza un idoneo atto di nomina a responsabile del trattamento, il Garante aveva acquisito informazioni dal Comune, ma aveva successivamente ritenuto necessario interpellare direttamente la società destinataria della contestazione. La risposta della società, ricevuta nel luglio 2021, aveva preceduto di soli diciassette giorni la contestazione. La Cassazione ha ritenuto erroneo far decorrere il termine dall’acquisizione delle informazioni comunali, senza considerare la necessità degli ulteriori approfondimenti, e ha quindi cassato con rinvio la decisione del Tribunale che aveva annullato la sanzione.

Ai fini della decorrenza del termine, dunque, la semplice conoscenza dei fatti non coincide necessariamente con il loro definitivo accertamento: occorre che il Garante disponga degli elementi necessari per valutare compiutamente la violazione, anche attraverso l’interlocuzione con la società interessata, ove occorrente. Il momento dell’accertamento deve però essere individuato secondo criteri di ragionevolezza e congruità, senza indebite dilazioni.

Resta da chiarire quale limite temporale operi per l’irrogazione della sanzione, una volta notificata la contestazione. Nella ricostruzione accolta dalle sentenze nn. 22791 e 24861, viene in rilievo la prescrizione quinquennale prevista dall’art. 28 della legge n. 689/1981, soggetta a interruzione e distinta da un termine massimo di durata del procedimento. I cinque anni non rappresentano, quindi, un limite complessivo e invalicabile: gli atti interruttivi fanno decorrere un nuovo periodo di prescrizione.

Lette insieme, le tre pronunce contribuiscono a chiarire il rapporto tra il termine per decidere il reclamo, quello per contestare la violazione e la prescrizione della pretesa sanzionatoria. Resta tuttavia discusso il coordinamento di questa ricostruzione con i precedenti nn. 18583/2025 e 984/2026, e in particolare con il riferimento, contenuto in quest’ultima decisione, ai 120 giorni come termine finale della fase sanzionatoria. Sul piano delle garanzie, rimane inoltre aperta la questione dell’adeguatezza della sola prescrizione quinquennale, suscettibile di interruzione, ad assicurare certezza sulla durata del procedimento dopo la contestazione dell’illecito.

Dott.ssa Cristina Alberini