Le ultime pronunce della Cassazione chiariscono un punto decisivo per l’attività del Garante privacy: il termine di 120 giorni non segna la fine del potere sanzionatorio, ma disciplina il momento in cui l’illecito deve essere contestato.
Indice degli argomenti
Il termine di 120 giorni del Garante: cosa chiariscono le sentenze
Nel commento alla sentenza n. 22791/2026 della Prima Sezione civile della Corte di Cassazione si era sostenuto che le letture più allarmate di quella pronuncia — quelle che vi scorgevano un vuoto di garanzie per il Garante e un’urgenza regolamentare da affrontare — non trovassero riscontro né nel testo della decisione né nel sistema in cui essa si inserisce.
A distanza di poche settimane, la stessa Sezione, riunita nel medesimo collegio (Tricomi presidente, Pazzi, Caprioli e Reggiani consiglieri, Russo relatrice) e all’esito della medesima udienza pubblica del 24 giugno 2026, ha depositato il 31 agosto due ulteriori sentenze — le nn. 24861 e 24862 del 2026 — che intervengono, da angolazioni diverse e complementari, esattamente sui nodi al centro di quel dibattito.
Non si tratta di pronunce di scarso rilievo pratico:
- la prima definisce il ricorso di una società editoriale contro la sanzione per il trattamento illecito di dati personali in una vicenda di cronaca giudiziaria;
- la seconda decide, in senso opposto, un ricorso proposto dal Garante stesso contro una sentenza di merito che ne aveva annullato l’ordinanza-ingiunzione per presunta tardività.
Proprio perché pronunciate nello stesso giorno, dallo stesso collegio, su ricorsi promossi da parti diverse (una società privata contro il Garante, il Garante contro una società privata), le due sentenze offrono un banco di prova particolarmente attendibile per verificare se la linea tracciata a luglio regga alla prova dei fatti concreti. Vale la pena ricostruire per intero la trama che le tiene insieme, perché quanto ne emerge non è la correzione di rotta che qualcuno preannunciava, ma il completamento di un disegno.
Procedimento di reclamo e potere sanzionatorio del Garante
Il primo tassello, già isolato nel commento alla sentenza di luglio, riguarda la netta separazione tra il procedimento di reclamo — disciplinato dall’art. 143 del Codice, con il termine di nove-dodici mesi per la sua definizione, integrato dal regolamento del Garante n. 2/2019 e dalla tabella «A» ivi allegata — e il procedimento sanzionatorio in senso proprio, disciplinato dall’art. 166 del Codice e dal Regolamento del Garante n. 1/2019.
La sentenza n. 24861/2026, pronunciandosi sul ricorso della Società Editoriale Il Fatto S.p.A. contro la sanzione di 20.000 euro irrogata per la pubblicazione di un articolo che identificava i figli maggiorenni di un condannato per abusi su minori, ribadisce in termini netti che «il procedimento per l’adozione da parte del Collegio di provvedimenti correttivi e sanzionatori si configura come un procedimento amministrativo ulteriore e distinto e non come un sub-procedimento o un’altra fase relativa al complessivo procedimento di trattazione del reclamo dell’interessato» (Cass. civ. n. 24861/2026, pag. 9).
La Corte richiama, a sostegno, sia l’art. 166, comma 5, del Codice — che disciplina autonomamente l’avvio del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori, tanto a seguito di reclamo quanto d’iniziativa del Garante — sia l’art. 12 del regolamento n. 1/2019, che regola specificamente l’ipotesi in cui l’esame del reclamo non si concluda ai sensi dell’art. 11, comma 1, del medesimo regolamento (pag. 10). Da questa autonomia discende la conseguenza, altrettanto esplicita, che il termine annuale per la decisione sul reclamo «non vale, invece, a segnare una scadenza finale per l’esercizio del potere sanzionatorio autonomamente avviato dall’Autorità, seppure in seguito alla presentazione del reclamo» (ivi, pag. 10). Non un obiter isolato, dunque, ma la riaffermazione piena di un principio che il legislatore aveva già scolpito nella distinzione tra le due funzioni:
- la prima di tutela immediata della posizione soggettiva del reclamante — «in via alternativa domandabile anche al giudice ordinario», come precisa la Corte —,
- la seconda di tutela di interessi pubblici distinti, quali la deterrenza e il corretto funzionamento del sistema di protezione dei dati (pag. 10).
La Corte non ignora, peraltro, l’argomento di segno opposto: quello secondo cui la decadenza del potere di decidere tardivamente priverebbe l’interessato delle garanzie previste dall’art. 58, par. 4, del Regolamento (Ue) 2016/679, e che il considerando n. 129 dello stesso Regolamento richiede che ogni misura vincolante dell’Autorità sia scritta, chiara e univoca, rechi indicazione dell’Autorità che l’ha adottata e faccia riferimento al diritto a un ricorso effettivo (pag. 9).
Ma proprio l’esistenza di un ricorso effettivo — esperibile in ogni caso in cui il Garante non decida il reclamo nei tempi previsti — è ciò che, secondo la Corte, rende superflua un’ulteriore sanzione di decadenza sul potere sanzionatorio: l’interessato non resta senza tutela, la ottiene semplicemente per una via diversa, quella giurisdizionale ordinaria.
Termine di 120 giorni del Garante: la contestazione
Nel commento alla sentenza n. 22791/2026 si era anche osservato come la collocazione del termine di centoventi giorni previsto dalla tabella «B» del Regolamento n. 2/2019 al momento della contestazione — e non dell’adozione dell’ordinanza-ingiunzione finale — non costituisse una rottura rispetto ai precedenti Enel Energia (n. 18583/2025) e Rai (n. 984/2026), ma solo il chiarimento di un’imprecisione linguistica insinuatasi nel dibattito. La sentenza n. 24861/2026 conferma puntualmente questa lettura, collocandola per di più in un quadro sistematico più ampio: quello dell’art. 14 della legge n. 689/1981, che impone la contestazione dell’illecito, se non effettuata nell’immediatezza dell’accertamento, entro novanta giorni per i residenti in Italia ed entro trecentosessanta giorni per i residenti all’estero, pena l’estinzione dell’obbligazione pecuniaria (pag. 10, ove si richiama la disciplina generale).
Il termine di centoventi giorni di cui alla tabella «B», punto 2, del regolamento n. 2/2019 replica, nella sostanza, questa stessa logica in un ambiente normativo speciale: «il termine di 120 giorni non è un termine per emettere la sanzione decorrente dalla contestazione delle violazioni, ma è un termine per notificare le contestazioni, il quale decorre dal definitivo accertamento, da apprezzare secondo criteri di ragionevolezza e congruità, non bastando la semplice acquisizione della notizia, ma occorrendo la capacità del Garante di valutare tutti gli elementi costitutivi dell’illecito sulla base degli elementi raccolti. Si tratta, dunque, di un termine endoprocedimentale, non di un termine finale» (ivi, pagg. 10-11).
Con questa precisazione, pronunciata dalla stessa Sezione che aveva generato l’equivoco, il dibattito sulla reale portata applicativa di quel termine può dirsi chiuso: il sistema delineato dal Codice della privacy per l’attività del Garante non è, come qualcuno aveva sostenuto, privo di termini interni; ne ha uno, e ha la stessa funzione — cristallizzare rapidamente l’addebito nei confronti del trasgressore — che l’art. 14 della legge n. 689/1981 assegna alla contestazione nel modello generale delle sanzioni amministrative. Quello che il sistema non prevede, per l’adozione dell’ordinanza-ingiunzione finale, è un termine ulteriore e autonomo di decadenza: esattamente come, si vedrà, accade per la generalità delle Autorità indipendenti prive di una previsione speciale di segno diverso.
Termine di 120 giorni e definitivo accertamento
Se la sentenza n. 24861/2026 fissa il punto di arrivo del termine (la contestazione, non la sanzione), è la sentenza n. 24862/2026 — resa nella controversia tra il Garante e la società K-City S.r.l. — a fissarne il punto di partenza, con una vicenda dai contorni particolarmente istruttivi. La società era stata sanzionata per avere svolto, tra il settembre 2019 e l’aprile 2020, il ruolo di responsabile esterno del trattamento dei dati personali per conto del Comune di Formia, nell’ambito della gestione del servizio di sosta a pagamento, senza un idoneo atto di nomina. È pacifico, in fatto, che il Garante avesse ricevuto un reclamo da un privato e avesse quindi chiesto chiarimenti al Comune, ottenendoli il 3 febbraio 2020; che l’Autorità avesse successivamente richiesto informazioni alla stessa K-City, la quale aveva risposto il 13 luglio 2021; e che la contestazione delle presunte violazioni fosse stata notificata il 30 luglio 2021, appena diciassette giorni dopo quella risposta.
Il Tribunale di Roma aveva accolto l’opposizione della società, ritenendo che il termine di centoventi giorni dovesse farsi decorrere dal 3 febbraio 2020 — data in cui, a suo dire, il Garante disponeva già degli elementi fattuali posti a fondamento dell’addebito — e considerando l’inerzia dell’Autorità tra quella data e il luglio 2021 priva di giustificazione, non essendo stata rappresentata alcuna ulteriore attività istruttoria nel frattempo.
La Cassazione cassa questa impostazione, chiarendo che il giudice di merito «ha di fatto imposto un termine alla fase istruttoria che secondo il Tribunale si sarebbe conclusa nel momento stesso in cui il Garante ha ricevuto gli estremi della notizia, senza considerare la necessità di instaurare un contraddittorio con la società interessata e di attenderne la risposta; e senza considerare che il “definitivo accertamento”, dal quale far decorrere il termine di cui alla tabella B del citato Regolamento, non consiste nella semplice acquisizione della notizia, ma richiede la capacità del Garante di valutare tutti gli elementi costitutivi dell’illecito sulla base degli elementi raccolti» (Cass. civ. n. 24862/2026, pag. 4).
La pronuncia, richiamando espressamente i precedenti Enel e Rai, ribadisce che il termine di centoventi giorni «ha natura perentoria e decorre dal definitivo accertamento dell’illecito» (ivi, pag. 3): ma proprio per questo l’accertamento non può essere anticipato alla prima notizia grezza, tanto meno quando quella notizia riguardi un soggetto terzo (il Comune) e non ancora la posizione del soggetto che verrà poi sanzionato (K-City).
La fase preistruttoria resta aperta fino a quando l’Autorità non abbia concretamente raccolto e valutato gli elementi, oggettivi e soggettivi, necessari per formulare la contestazione nei confronti del trasgressore — un’operazione che, nel caso di specie, richiedeva evidentemente di sentire la stessa K-City prima di poterle addebitare alcunché. Il computo corretto del termine, dunque, non parte dal 3 febbraio 2020, ma da un momento successivo, prossimo al 13 luglio 2021: e rispetto a quel momento la contestazione del 30 luglio 2021 risulta, con ampio margine, tempestiva.
Il Garante privacy nel sistema delle Autorita indipendenti
La sentenza n. 24861/2026 dedica un passaggio significativo alla ricostruzione del contesto giurisprudenziale, civile e amministrativo, in cui la questione si inserisce — un passaggio che merita di essere ripercorso perché smonta, con dovizia di riferimenti, l’idea che il regime residuale applicato al Garante sia un’eccezione priva di precedenti. Nel plesso della giurisdizione amministrativa, la Corte dà atto che si confrontano storicamente due indirizzi sui termini dei procedimenti sanzionatori delle Autorità indipendenti. Il primo, riconducibile a Consiglio di Stato, Sez. VI, 9 novembre 2020, n. 6891 (in materia di sanzioni ARERA), ritiene che, in assenza di un’espressa previsione legislativa, i termini debbano considerarsi ordinatori, «non essendo dato riscontrare alcuna norma che riconnetta al ritardo la consumazione del potere di accertamento in capo all’Autorità» (pag. 5). Il secondo, riconducibile a Consiglio di Stato, Sez. VI, 25 maggio 2020, n. 3307 (sanzione AGCM), distingue invece i termini di conclusione dei procedimenti amministrativi generali — di norma ordinatori ex art. 2 della legge n. 241/1990 — da quelli dei procedimenti sanzionatori afflittivi, che avrebbero natura perentoria «in ragione dei pregiudizi che possono derivare alla sfera giuridica dei destinatari» (pag. 5); orientamento ribadito da Consiglio di Stato, Sez. VI, 19 gennaio 2021, n. 584, in tema di sanzioni ARERA, secondo cui il termine avrebbe addirittura natura «sostanziale», il cui superamento comporta la decadenza dal potere e l’illegittimità del provvedimento tardivo (pag. 6).
I termini sanzionatori tra diritto europeo e vigilanza bancaria
A questo quadro già composito si aggiunge la sentenza della Corte di giustizia dell’Unione europea (Sez. X) del 15 gennaio 2026, causa C-588/24, interrogata dal Consiglio di Stato sulla compatibilità con il diritto Ue della disciplina italiana in tema di concorrenza. La Corte di Lussemburgo ha ritenuto che l’art. 101 TFUE, letto alla luce del principio di buon andamento dell’amministrazione e dell’art. 47 della Carta dei diritti fondamentali, non osta a una normativa nazionale che non attribuisca espressamente natura perentoria al termine di conclusione della fase istruttoria fissato dall’Autorità garante della concorrenza nel provvedimento di avvio, consentendo così all’Autorità di prorogarlo unilateralmente con provvedimento motivato e sindacabile in sede giurisdizionale, purché il differimento non travalichi un termine ragionevole (pag. 6). È una conferma, sul piano eurounitario, della stessa impostazione che la Prima Sezione applica al Garante privacy: l‘assenza di una perentorietà espressa non equivale a un vuoto di garanzie, perché il controllo di ragionevolezza del giudice colma lo spazio che il legislatore ha lasciato aperto.
Quanto, infine, alle sanzioni pecuniarie in materia di intermediazione finanziaria e vigilanza bancaria, la Cassazione richiama la propria giurisprudenza più recente: Cass., Sez. II, 17 aprile 2024, n. 10348, secondo cui trova applicazione «il termine quinquennale di prescrizione previsto dall’art. 28 della legge n. 689 del 1981, e non i diversi termini previsti dalla legge n. 241 del 1990», poiché quest’ultima, pur entrata in vigore successivamente, non ha abrogato la disciplina speciale dettata dalla legge n. 689/1981 (pag. 6-7); e, più di recente ancora, Cass., Sez. II, 8 maggio 2026, n. 13317, in tema di sanzioni della Banca d’Italia, secondo cui «la formulazione finale del provvedimento sanzionatorio, una volta rispettati i termini per la contestazione formale, non è assoggettata da alcuno sbarramento temporale decadenziale, salva la prevalenza di leggi speciali di pari grado», sicché «i procedimenti sanzionatori bancari sono soggetti solo al termine quinquennale di prescrizione della pretesa punitiva ex art. 28 della legge n. 689 del 1981, e non a termini ulteriori di decadenza e/o perenzione, non stabiliti dalla legge stessa» (pag. 7). Il parallelo non potrebbe essere più esplicito: quando la Prima Sezione applica lo stesso regime al Garante privacy, non sta ritagliando per l’Autorità un trattamento peggiorativo rispetto alle altre, ma sta semplicemente estendendo a un nuovo settore una soluzione già consolidata per la vigilanza bancaria e finanziaria.
La prescrizione quinquennale nel procedimento del Garante
Resta il tema, più generale, sollevato dai commenti più allarmati alla sentenza di luglio: l’assenza di un termine di decadenza per l’adozione dell’ordinanza-ingiunzione lascerebbe il Garante privo di ogni presidio temporale, «legislativamente nudo». Anche su questo punto la sentenza n. 24861/2026 non lascia margini di dubbio, richiamando l’art. 28 della legge n. 689/1981: il procedimento sanzionatorio «è disciplinato da una normativa autonoma e distinta, alla quale non è applicabile il termine annuale a pena di decadenza. Ciò in ragione anche del richiamo alle norme dettate dalla legge n. 689 del 1981, incompatibili con una simile decadenza, tra le quali assume rilievo l’art. 28, che prevede la prescrizione quinquennale decorrente dalla commissione del fatto» (ivi, pag. 10). Alla luce del quadro sistematico appena ricostruito, definire «nudo» questo assetto equivarrebbe a definire tali anche le sanzioni bancarie, finanziarie e, in una certa misura, quelle antitrust: un’affermazione che, come già osservato in occasione della sentenza n. 22791/2026, nessuno finora si è sentito di sostenere con la stessa enfasi riservata al Garante privacy.
Il limite interpretativo sul termine di 120 giorni
Colpisce, infine, che entrambe le sentenze richiamino la sentenza della Corte costituzionale n. 151 del 2021 con argomentazioni pressoché sovrapponibili. La n. 24862/2026 ricorda che la Consulta, pur segnalando l’inadeguatezza della sola prescrizione quinquennale a garantire la certezza della posizione dell’incolpato, «non è pervenuta […] a una declaratoria di illegittimità costituzionale, ma a una pronuncia di inammissibilità, avendo rimesso alla valutazione del legislatore l’individuazione di termini che siano idonei» ad assicurare un’adeguata protezione ai principi costituzionali, se del caso modulandone l’ampiezza in relazione agli interessi di volta in volta incisi (pag. 4), concludendo che «la valutazione in sede interpretativa non può spingersi sino alla elaborazione di una norma nuova con l’assunzione di un ruolo sostitutivo del legislatore» (ivi).
La n. 24861/2026 sviluppa lo stesso argomento in termini più ampi e quasi programmatici, osservando che l’ostacolo a un intervento surrogatorio del giudice-interprete «è costituito dall’impossibilità di far discendere quella soluzione immediatamente dal sistema, finendo con il costruire, per via di pronuncia nomofilattica, in un ambiente normativo che conosce un termine di prescrizione stabilito dalla legge, un termine di decadenza per l’esercizio finale del potere sanzionatorio, esercitando in luogo del legislatore scelte politiche che implicano bilanciamento di interessi» (pag. 12).
Poco prima, la stessa sentenza precisa che tale conclusione «è imposta dal rispetto del pluralismo e dell’equilibrio tra i poteri, profilo centrale della democrazia, perché la ricerca dell’effettività deve seguire precise strade compatibili con il principio di leale collaborazione e con il dialogo istituzionale che la Corte costituzionale ha avviato con il legislatore» (pag. 11-12).
Non è una coincidenza redazionale: è la stessa Sezione che, a distanza di poche righe di verbale d’udienza, ribadisce in due sentenze parallele — l’una a favore della società sanzionata, l’altra a favore del Garante — che il self-restraint verso la discrezionalità del legislatore non è un’opzione tra le altre, ma il perimetro invalicabile del sindacato di legittimità. Il fatto che lo stesso argomento regga, con lo stesso esito sistematico, sia quando la Corte respinge il ricorso del privato sia quando accoglie quello dell’Autorità, ne segnala la tenuta: non è un argomento piegato all’esigenza del caso concreto, ma un principio applicato con coerenza a prescindere da chi ne benefici nell’esito pratico della singola controversia.
Come opera il termine di 120 giorni del Garante
Dalla lettura congiunta delle tre pronunce emerge una scansione temporale del procedimento ormai sufficientemente definita, utile a orientare l’attività istruttoria dell’Autorità.
La fase di acquisizione e valutazione degli elementi — sia essa innescata da un reclamo, da un’attività ispettiva d’iniziativa o da una segnalazione di terzi — non è sottoposta ad alcun termine perentorio di conclusione, ma deve comunque essere condotta senza ingiustificati ritardi imputabili a disfunzioni organizzative, restando sindacabile, in sede giudiziale, secondo un criterio di ragionevolezza e congruità rispetto alla complessità del caso concreto; una volta raggiunto il definitivo accertamento — che richiede, come mostra il caso K-City, l’effettivo contraddittorio con il soggetto poi sanzionato e non la mera acquisizione di notizie provenienti da terzi — decorre il termine di centoventi giorni per la notifica della contestazione, la cui inosservanza estingue l’obbligazione pecuniaria; effettuata la contestazione nei termini, il procedimento per l’adozione dell’ordinanza-ingiunzione resta soggetto al solo termine di prescrizione quinquennale di cui all’art. 28 della legge n. 689/1981. Non vi è, in questo schema, alcuna urgenza di natura regolamentare: le sentenze non impongono modifiche al Regolamento n. 2/2019, ma si limitano a interpretare, con validità generale, un quadro normativo che resta quello attuale e che governa, in modo del tutto fisiologico, anche le sanzioni delle altre Autorità indipendenti.
Conclusioni
Le tre sentenze del 2026 — la n. 22791, la n. 24861 e la n. 24862 — non vanno lette come pronunce isolate, ma come tre lati di una stessa figura.
La prima ricostruisce l’architettura generale: due procedimenti autonomi, nessuna decadenza mutuata dal termine del reclamo.
La seconda ne precisa il funzionamento interno, collocando il termine di centoventi giorni nella fase di contestazione e non in quella di irrogazione della sanzione, e situandolo nel solco della disciplina generale dettata dall’art. 14 della legge n. 689/1981.
La terza ne fissa il punto di partenza, ancorandolo al definitivo accertamento dell’illecito — da apprezzare nel contraddittorio con l’interessato, non nella prima notizia grezza proveniente da terzi — e ne mostra l’applicazione concreta in un caso in cui l’apparente inerzia dell’Autorità era in realtà l’attesa, doverosa, del contraddittorio con la società poi sanzionata.
Nessuna delle tre introduce una regola nuova: tutte si limitano a interpretare, con gli strumenti ordinari dell’ermeneutica e nel rispetto dei limiti che la stessa Corte costituzionale ha tracciato nel 2021, un quadro normativo che resta quello vigente, lo stesso che governa — con le medesime cadenze e gli stessi presidi — le sanzioni delle altre Autorità indipendenti, dall’antitrust alla vigilanza bancaria e finanziaria. Se un vuoto c’era nel dibattito di questi mesi, era un vuoto argomentativo, non normativo: e la Prima Sezione, con tre pronunce ravvicinate e coerenti, lo ha ora colmato.
Partecipa alla community