Quanto tempo ha il Garante per la protezione dei dati personali per contestare una violazione? E quanto può trascorrere, invece, prima che venga adottata la sanzione?
Le due domande sono strettamente collegate, ma riguardano momenti diversi dell’attività amministrativa. Le sentenze della Prima Sezione civile della Cassazione nn. 22791, 24861 e 24862 del 2026 hanno contribuito a chiarire la portata del termine di centoventi giorni previsto dal regolamento del Garante n. 2/2019, distinguendo la contestazione dell’illecito dalla successiva conclusione del procedimento.
Il chiarimento è rilevante, soprattutto perché il tempo trascorso tra la prima segnalazione e l’irrogazione della sanzione può essere considerevole. La soluzione della Cassazione, tuttavia, non elimina ogni interrogativo. Se il termine di centoventi giorni decorre dall’accertamento definitivo e non dalla semplice acquisizione della notizia, occorre comprendere quando l’istruttoria possa dirsi effettivamente conclusa e quali limiti impediscano all’Autorità di prolungarla ingiustificatamente. È su questo punto che si misura l’equilibrio tra l’efficacia dei poteri di vigilanza e le garanzie di chi è sottoposto a un procedimento sanzionatorio.
Il problema dei termini
La durata di un procedimento sanzionatorio non è una questione puramente organizzativa. L’incertezza sull’esito dell’accertamento può incidere sulla posizione economica e reputazionale del destinatario e rendere più difficile ricostruire fatti risalenti. D’altra parte, nel settore della protezione dei dati personali, i trattamenti possono coinvolgere numerosi soggetti, rapporti contrattuali complessi e flussi informativi che richiedono approfondimenti. Non sarebbe ragionevole pretendere che ogni violazione venga contestata senza un’istruttoria adeguata; altrettanto problematico sarebbe ammettere che l’esigenza di approfondimento giustifichi qualsiasi durata.
Il principio di legalità delle sanzioni amministrative riguarda anche le modalità temporali di esercizio del potere. Lo ricorda la Corte costituzionale nella sentenza n. 151/2021, pronunciandosi sulle questioni relative all’assenza di un termine per concludere il procedimento previsto dall’art. 18 della legge n. 689/1981. La Corte dichiarò inammissibili le questioni sottoposte al suo esame, ma evidenziò che la prescrizione quinquennale, considerata isolatamente, non garantisce la certezza della posizione dell’incolpato né l’effettività del diritto di difesa.
La Consulta rimise al legislatore l’individuazione di termini adeguati, eventualmente modulati in relazione agli interessi coinvolti. Il passaggio è significativo: la mancanza di una decadenza espressa non equivale a dichiarare irrilevante la durata del procedimento. Significa, piuttosto, che un eventuale limite finale deve trovare fondamento in una regola giuridica e non può essere introdotto dal giudice attraverso la creazione di una causa di decadenza non prevista dall’ordinamento.
Reclamo e procedimento sanzionatorio: due percorsi distinti
Uno dei punti centrali della sentenza del 31 agosto 2026 n. 24861 riguarda il rapporto tra il reclamo dell’interessato e il procedimento diretto all’adozione di misure correttive o sanzioni. Il reclamo consente alla persona che ritiene violati i propri diritti di rivolgersi al Garante. Il procedimento sanzionatorio risponde invece all’esigenza di accertare la violazione della normativa e, quando ne ricorrono i presupposti, di applicare una sanzione. Le due procedure possono originare dagli stessi fatti, ma perseguono finalità non coincidenti.
La controversia riguardava la Società Editoriale Il Fatto S.p.A., destinataria di una sanzione di 20.000 euro per la pubblicazione di un articolo che consentiva di identificare i figli maggiorenni di una persona condannata per abusi su minori. La Cassazione ha ribadito l’autonomia del procedimento sanzionatorio rispetto alla trattazione del reclamo, richiamando l’art. 166, comma 5, del Codice privacy e l’art. 12 del regolamento del Garante n. 1/2019.
Da questa distinzione deriva una conseguenza precisa: il termine previsto per la decisione del reclamo, ordinariamente di nove mesi e prorogabile a dodici in presenza di motivate esigenze istruttorie, non costituisce automaticamente una scadenza finale per l’esercizio del potere sanzionatorio. Il superamento di quel termine non determina, da solo, la decadenza del Garante dal potere di contestare l’illecito o di concludere il distinto procedimento sanzionatorio.
La conclusione non implica che il reclamante sia privo di tutela contro l’inerzia dell’Autorità. Significa che la tutela contro la mancata o tardiva gestione del reclamo non può essere automaticamente trasformata in una causa di estinzione del potere sanzionatorio, in assenza di una specifica previsione normativa. La distinzione tra le due procedure, quindi, non elimina il problema dei ritardi: impedisce soltanto di risolverlo applicando a un procedimento il termine stabilito per l’altro.
| Trattamento dei dati personali nell’intelligenza artificiale tra GDPR e AI ACT, 12 ore – 4 incontri live, Altalex Formazione. Il Corso è rivolto ad Avvocati, Consulenti informatici, Consulenti privacy, Dirigenti, Manager, impiegati e funzionari di aziende private ed Enti pubblici, Responsabili della protezione dei dati. Scopri subito programma e relatori |
La funzione dei 120 giorni
Il termine di centoventi giorni previsto dalla tabella B del regolamento del Garante n. 2/2019 riguarda la notificazione della contestazione delle presunte violazioni. Non coincide, dunque, con il tempo entro cui deve essere adottata l’ordinanza-ingiunzione finale. La Cassazione ha chiarito questo aspetto nella sentenza n. 24861/2026, collocando il termine nella fase che segue l’accertamento dell’illecito e precede la conclusione del procedimento sanzionatorio.
La contestazione ha una funzione essenziale: rende conoscibili al destinatario i fatti addebitati e gli consente di organizzare la propria difesa. Il termine per notificarla serve a impedire che, una volta completato l’accertamento, l’Autorità possa rinviare senza limiti la formalizzazione dell’addebito. In questo senso la disciplina del Garante si inserisce nella logica generale dell’art. 14 della legge n. 689/1981, che regola i termini per la contestazione delle violazioni amministrative.
Occorre pertanto evitare un equivoco frequente: il semplice fatto che siano trascorsi molti mesi tra il reclamo e l’ordinanza-ingiunzione non dimostra, da solo, che il termine di centoventi giorni sia stato violato. Per verificare la tempestività della contestazione bisogna individuare il momento in cui l’accertamento può dirsi definitivo e confrontarlo con la data di notificazione dell’addebito.
L’accertamento definitivo e la decorrenza del termine
La sentenza n. 24862/2026 affronta proprio la questione del dies a quo. Il caso riguardava K-City S.r.l., sanzionata per avere operato come responsabile del trattamento per conto del Comune di Formia, nell’ambito del servizio di sosta a pagamento, senza un idoneo atto di nomina. Il Garante aveva ricevuto informazioni dal Comune il 3 febbraio 2020, aveva poi chiesto chiarimenti alla società, che aveva risposto il 13 luglio 2021, e aveva notificato la contestazione il 30 luglio successivo.
Il Tribunale di Roma aveva fatto decorrere i centoventi giorni dalla prima acquisizione di informazioni, ritenendo tardiva la contestazione. La Cassazione ha censurato questa ricostruzione: la conoscenza iniziale dei fatti non coincide necessariamente con l’accertamento definitivo dell’illecito. Per formulare un addebito occorre disporre di elementi sufficienti a valutarne i presupposti e ad attribuire la condotta al soggetto interessato. Nel caso concreto, l’interlocuzione con K-City era rilevante per chiarirne la posizione, non essendo sufficiente la sola documentazione proveniente dal Comune.
La soluzione è comprensibile. Una prima segnalazione può descrivere un’anomalia senza offrire ancora gli elementi necessari per individuare la violazione e il soggetto responsabile. Pretendere una contestazione immediata potrebbe condurre ad addebiti prematuri, basati su una ricostruzione incompleta. Il contraddittorio e gli approfondimenti istruttori possono quindi essere necessari anche nell’interesse di una contestazione corretta.
Resta, però, un problema: se il termine decorre soltanto quando l’Autorità ritiene completato l’accertamento, tale momento deve essere verificabile. Altrimenti, sarebbe sufficiente prolungare la fase preliminare per spostare in avanti il dies a quo. La complessità del caso può giustificare ulteriori richieste di informazioni, ma la loro pertinenza e la durata dell’istruttoria devono poter essere ricostruite dagli atti. Il controllo giudiziale non dovrebbe limitarsi a prendere atto della data indicata dal Garante, ma verificare se il percorso che conduce a quella data risulti ragionevole rispetto alle circostanze concrete.
La durata del procedimento dopo la contestazione
Secondo le pronunce esaminate, una volta notificata tempestivamente la contestazione non è previsto un ulteriore termine di centoventi giorni per adottare l’ordinanza-ingiunzione. Né il termine previsto per decidere il reclamo può essere utilizzato come termine finale del procedimento sanzionatorio. La disciplina richiama anche l’art. 28 della legge n. 689/1981, che prevede la prescrizione quinquennale del diritto a riscuotere le somme dovute per le violazioni amministrative, salva l’interruzione e ferme le eventuali disposizioni speciali.
Non bisogna, tuttavia, confondere prescrizione e durata del procedimento. Sono istituti diversi: la prima riguarda il diritto alla riscossione secondo la disciplina applicabile; un termine di conclusione, invece, serve a garantire che la posizione dell’incolpato sia definita entro un periodo ragionevole. Proprio su questo punto la sentenza costituzionale n. 151/2021 impedisce di liquidare il problema sostenendo che la prescrizione quinquennale sia una garanzia sufficiente.
La Cassazione non afferma che ogni ritardo sia legittimo. Più precisamente, esclude che sia possibile ricavare automaticamente una decadenza finale in assenza di una norma che la preveda. Rimane distinta la questione dei ritardi ingiustificati e del loro eventuale impatto sul diritto di difesa, che deve essere valutata alla luce delle regole applicabili e delle circostanze del singolo procedimento.
Le garanzie ancora necessarie
Le pronunce del 2026 chiariscono la scansione dei termini esistenti, ma non esauriscono il problema della durata dell’azione amministrativa. La Corte costituzionale aveva già segnalato che l’assenza di un termine per la conclusione del procedimento può lasciare il destinatario esposto troppo a lungo all’incertezza. La scelta della soluzione spetta al legislatore, che potrebbe introdurre un termine ordinario di conclusione, accompagnato da proroghe motivate e verificabili, calibrate sulla complessità dell’istruttoria.
Una disciplina di questo tipo dovrebbe evitare due estremi. Una decadenza automatica e indifferenziata potrebbe impedire la conclusione di accertamenti complessi; l’assenza di un limite finale, d’altra parte, rischia di lasciare il destinatario in una condizione di incertezza prolungata. Il punto è costruire un equilibrio che consenta gli approfondimenti necessari, ma richieda all’Autorità di giustificare i tempi impiegati e renda effettivo il controllo sulla loro ragionevolezza.Sul piano difensivo, la giurisprudenza impone una ricostruzione puntuale della cronologia: non basta indicare la data del reclamo, ma occorre individuare quando il Garante disponeva degli elementi necessari per formulare l’addebito e verificare se la contestazione sia stata notificata entro centoventi giorni da quel momento. Per l’Autorità, parallelamente, diventa essenziale documentare le ragioni degli approfondimenti svolti e la loro effettiva rilevanza.
Conclusioni
Le sentenze della Cassazione nn. 22791, 24861 e 24862 del 2026 chiariscono tre aspetti: il reclamo e il procedimento sanzionatorio sono autonomi; il termine di centoventi giorni decorre dall’accertamento definitivo e riguarda la contestazione; non è invece possibile ricavare per via interpretativa un autonomo termine finale di decadenza per l’adozione dell’ordinanza-ingiunzione.
La distinzione rende più preciso il quadro giuridico, ma non risolve ogni questione. Perché la garanzia temporale sia effettiva, l’accertamento definitivo deve essere documentabile e la durata dell’istruttoria deve trovare una giustificazione concreta. La Cassazione ha delimitato ciò che può essere ricavato dalle norme vigenti; resta al legislatore valutare l’introduzione di un termine finale che concili la complessità degli accertamenti con il diritto a una definizione tempestiva della propria posizione.
IN COLLABORAZIONE CON
>> Scopri il Corso online il trattamento dei dati personali nell’utilizzo dell’intelligenza artificiale di Altalex!
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
