La sentenza n. 22791/2026 della Prima Sezione civile della Corte di Cassazione chiarisce che il ritardo del Garante privacy nel concludere un procedimento non fa venir meno il potere di irrogare sanzioni.
Indice degli argomenti
La sentenza della Cassazione sul Garante privacy
La decisione ha già raccolto, a pochi giorni dalla pubblicazione, reazioni piuttosto eterogenee. Da un lato, non sono mancati apprezzamenti convinti per il rigore sistematico della decisione: si è sottolineato come la Corte abbia ricostruito con chiarezza la distinzione tra procedimento di reclamo e procedimento sanzionatorio, offrendo finalmente un punto fermo dopo anni di oscillazioni tra i diversi orientamenti di merito e di legittimità; e si è guardato con favore, dal versante editoriale e giornalistico, alla conferma di un margine di apprezzamento del giudice di merito sull’essenzialità dell’informazione, che lascia spazio a un bilanciamento caso per caso tra diritto di cronaca e protezione dei dati personali.
Dall’altro lato, si sono registrate letture più allarmate, secondo cui si sostiene che la pronuncia metterebbe a rischio “dalle fondamenta” la legittimità dell’intera attività sanzionatoria del Garante, denunciando un vuoto normativo sui termini di decadenza e financo un’urgenza regolamentare che l’Autorità non sarebbe nelle condizioni istituzionali di soddisfare. Vale la pena ripercorrere con ordine i passaggi della sentenza per verificare quale di queste letture regga.
Procedimenti distinti e potere sanzionatorio del Garante
Il primo merito della pronuncia è di ordine sistematico: la Corte distingue con nettezza il procedimento di reclamo (disciplinato dall’art. 143 del Codice, con il termine di nove/dodici mesi) dal procedimento sanzionatorio in senso proprio (disciplinato dall’art. 166 del Codice e dal Regolamento n. 1/2019).
Non si tratta di una distinzione di comodo: il reclamo è lo strumento con cui l’interessato chiede tutela per la propria posizione soggettiva, e può ottenerla anche in sede giudiziaria ordinaria; il procedimento sanzionatorio, invece, tutela un interesse pubblico distinto – quello alla deterrenza e al corretto funzionamento del sistema di protezione dei dati – e può essere avviato d’ufficio, indipendentemente da un reclamo. Attribuire al primo termine un effetto decadenziale sul secondo avrebbe significato confondere due funzioni che il legislatore ha tenuto volutamente separate. Su questo punto la sentenza non innova: conferma un impianto già chiaro nel Codice.
Il termine di 120 giorni nelle sanzioni privacy
Il punto più controverso riguarda la collocazione del termine di centoventi giorni previsto dall’allegato “B” del Regolamento n. 2/2019. La sentenza lo qualifica come termine per la contestazione delle violazioni, non per l’adozione dell’ordinanza-ingiunzione finale. Alcuni commentatori hanno letto in ciò una rottura rispetto ai precedenti Enel Energia (n. 18583/2025) e Rai (n. 984/2026). Non credo che la rottura sussista.
Già nella sentenza Enel la Cassazione aveva collocato il termine di 120 giorni a valle della fase preistruttoria, come termine endoprocedimentale per notificare la contestazione, e non come termine per l’irrogazione della sanzione. Nel caso Rai, l’annullamento della sanzione non si è fondato sul superamento dei 120 giorni riferiti alla fase sanzionatoria finale, bensì sul mancato rispetto del diverso termine di dodici mesi che l’Autorità si era autoassegnata per la conclusione dell’intero procedimento – errore di inquadramento che la stessa sentenza n. 22791/2026 segnala come “comunque privo di rilievo” ai fini del decisum. La sentenza in commento, dunque, non sposta l’ancoraggio del termine: lo chiarisce, ricomponendo un’imprecisione linguistica che si era insinuata nel dibattito, più che nella giurisprudenza.
Prescrizione e garanzie nel sistema sanzionatorio privacy
Si è sostenuto che l’assenza di un termine di decadenza per l’adozione dell’ordinanza-ingiunzione lascerebbe il Garante “legislativamente nudo”. È un’immagine fuorviante. Il regime residuale della prescrizione quinquennale ex art. 28 della legge n. 689/1981, richiamato dall’art. 166, comma 7, del Codice, non è un’anomalia riservata al Garante privacy: è lo stesso regime che la giurisprudenza di legittimità applica ai procedimenti sanzionatori di Banca d’Italia, Consob e delle altre Autorità indipendenti che operano nel perimetro della legge generale sulle sanzioni amministrative.
La sentenza n. 13317/2026, richiamata anche nella pronuncia in commento, lo ribadisce proprio con riferimento alla Banca d’Italia. Non si tratta, dunque, di un vuoto che colpisce selettivamente il Garante, ma della fisiologia di un sistema sanzionatorio che il legislatore ha strutturato in questo modo per tutte le Autorità indipendenti prive di una previsione speciale di segno diverso. Definire “nudo” questo assetto equivale a definire “nude” anche le sanzioni bancarie e finanziarie.
Il self-restraint della Cassazione dopo la Consulta
Un secondo ordine di critiche riguarda l’uso che la Cassazione fa della sentenza della Corte costituzionale n. 151/2021. Si è parlato di un uso “paradossale”, quasi che la Corte citasse la diagnosi della Consulta per poi eludere la cura. Ma ritengo sia esattamente l’opposto.
La Consulta, nel 2021, ha sì segnalato l’inadeguatezza della sola prescrizione quinquennale a garantire la certezza della posizione dell’incolpato; tuttavia, ha dichiarato inammissibile la questione, rimettendo espressamente al legislatore – e non al giudice – l’individuazione dello strumento più idoneo, in ragione della discrezionalità politica che il bilanciamento comporta.
Se la Cassazione avesse fatto quello che una parte della dottrina parrebbe rimpiangere – cioè trapiantare in via interpretativa il termine annuale del reclamo nel procedimento sanzionatorio, creando ex novo una decadenza che nessuna norma prevede – avrebbe compiuto proprio quell’operazione additiva che la Consulta, nella stessa sentenza, ha ritenuto preclusa al potere giudiziario. Il self-restraint della Prima Sezione non è un’abdicazione: è la fedele applicazione del principio di separazione dei poteri che la stessa Corte costituzionale aveva tracciato. E non è nemmeno una garanzia meramente evanescente: la Cassazione individua comunque, nel rispetto (o meno) del termine di dodici mesi per la decisione del reclamo, un parametro di ragionevolezza che il giudice di merito potrà utilizzare in concreto per valutare se il tempo impiegato per l’accertamento sia stato o meno giustificato – una tecnica di sindacato case-by-case non dissimile da quella già impiegata dalla stessa Cassazione in materia bancaria e finanziaria.
Nessuna urgenza regolamentare per il Garante privacy
Da ultimo, sembra opportuno chiarire che non emerge l’esigenza di un intervento regolamentare urgente del Garante. Sotto un primo profilo, la sentenza non impone alcuna modifica regolamentare: si limita a interpretare, con validità generale, un quadro normativo che resta quello attuale e che governa, in modo del tutto fisiologico, anche le sanzioni di altre Autorità indipendenti. Sotto un secondo profilo, l’eventuale adozione o modifica di disposizioni interne sui termini procedimentali rientra nell’ordinaria attività regolamentare del Collegio, e non richiede affatto la qualificazione di “atto di straordinaria amministrazione”: si tratta di un tipico atto di autorganizzazione che l’Autorità può adottare, se e quando lo ritenga opportuno, secondo le regole di funzionamento e i quorum ordinariamente previsti per la validità delle deliberazioni collegiali, a prescindere dal numero dei componenti in carica in un dato momento.
La sentenza 22791/2026 nel quadro delle Autorità indipendenti
La sentenza n. 22791/2026 merita di essere letta per quello che è: una pronuncia tecnicamente solida, che ricompone con chiarezza la distinzione tra procedimento di reclamo e procedimento sanzionatorio, che colloca correttamente il termine di 120 giorni nella fase di contestazione, e che rispetta senza forzature il perimetro tracciato dalla Corte costituzionale nel 2021.
Non vedo in essa alcun arretramento delle tutele del Garante né tantomeno un’emergenza organizzativa. Vedo piuttosto la conferma di un sistema che, pur perfettibile – come la stessa Consulta ha riconosciuto, indicando nel legislatore il soggetto competente a intervenire – funziona secondo le stesse regole che governano le sanzioni di tutte le principali Autorità indipendenti italiane.
Partecipa alla community