Quanto tempo ha il Garante per la protezione dei dati personali per contestare una violazione? E quanto può trascorrere, invece, prima che venga adottata la sanzione? Le due domande sono strettamente collegate, ma riguardano momenti diversi dell’attività amministrativa. Le sentenze della Prima Sezione civile della Cassazione nn. 22791, 24861 e 24862 del 2026 hanno contribuito a chiarire la portata del termine di centoventi giorni previsto dal regolamento del Garante n. 2/2019, distinguendo la contestazione dell’illecito dalla successiva conclusione del procedimento.
Il chiarimento è rilevante, soprattutto perché il tempo trascorso tra la prima segnalazione e l’irrogazione della sanzione può essere considerevole. La soluzione della Cassazione, tuttavia, non elimina ogni interrogativo. Se il termine di centoventi giorni decorre dall’accertamento definitivo e non dalla semplice acquisizione della notizia, occorre comprendere quando l’istruttoria possa dirsi effettivamente conclusa e quali limiti impediscano all’Autorità di prolungarla ingiustificatamente. È su questo punto che si misura l’equilibrio tra l’efficacia dei poteri di vigilanza e le garanzie di chi è sottoposto a un procedimento sanzionatorio.
Il problema dei termini
La durata di un procedimento sanzionatorio non è una questione puramente organizzativa. L’incertezza sull’esito dell’accertamento può incidere sulla posizione economica e reputazionale del destinatario e rendere più difficile ricostruire fatti risalenti. D’altra parte, nel settore della protezione dei dati personali, i trattamenti possono coinvolgere numerosi soggetti, rapporti contrattuali complessi e flussi informativi che richiedono approfondimenti. Non sarebbe ragionevole pretendere che ogni violazione venga contestata senza un’istruttoria adeguata; altrettanto problematico sarebbe ammettere che l’esigenza di approfondimento giustifichi qualsiasi durata.
Il principio di legalità delle sanzioni amministrative riguarda anche le modalità temporali di esercizio del potere. Lo ricorda la Corte costituzionale nella sentenza n. 151/2021, pronunciandosi sulle questioni relative all’assenza di un termine per concludere il procedimento previsto dall’art. 18 della legge n. 689/1981. La Corte dichiarò inammissibili le questioni sottoposte al suo esame, ma evidenziò che la prescrizione quinquennale, considerata isolatamente, non garantisce la certezza della posizione dell’incolpato né l’effettività del diritto di difesa.
La Consulta rimise al legislatore l’individuazione di termini adeguati, eventualmente modulati in relazione agli interessi coinvolti. Il passaggio è significativo: la mancanza di una decadenza espressa non equivale a dichiarare irrilevante la durata del procedimento. Significa, piuttosto, che un eventuale limite finale deve trovare fondamento in una regola giuridica e non può essere introdotto dal giudice attraverso la creazione di una causa di decadenza non prevista dall’ordinamento.
Reclamo e procedimento sanzionatorio: due percorsi distinti
Uno dei punti centrali della sentenza del 31 agosto 2026 n. 24861 riguarda il rapporto tra il reclamo dell’interessato e il procedimento diretto all’adozione di misure correttive o sanzioni. Il reclamo consente alla persona che ritiene violati i propri diritti di rivolgersi al Garante. Il procedimento sanzionatorio risponde invece all’esigenza di accertare la violazione della normativa e, quando ne ricorrono i presupposti, di applicare una sanzione. Le due procedure possono originare dagli stessi fatti, ma perseguono finalità non coincidenti.
La controversia riguardava la Società Editoriale Il Fatto S.p.A., destinataria di una sanzione di 20.000 euro per la pubblicazione di un articolo che consentiva di identificare i figli maggiorenni di una persona condannata per abusi su minori. La Cassazione ha ribadito l’autonomia del procedimento sanzionatorio rispetto alla trattazione del reclamo, richiamando l’art. 166, comma 5, del Codice privacy e l’art. 12 del regolamento del Garante n. 1/2019.
Da questa distinzione deriva una conseguenza precisa: il termine previsto per la decisione del reclamo, ordinariamente di nove mesi e prorogabile a dodici in presenza di motivate esigenze istruttorie, non costituisce automaticamente una scadenza finale per l’esercizio del potere sanzionatorio. Il superamento di quel termine non determina, da solo, la decadenza del Garante dal potere di contestare l’illecito o di concludere il distinto procedimento sanzionatorio.
La conclusione non implica che il reclamante sia privo di tutela contro l’inerzia dell’Autorità. Significa che la tutela contro la mancata o tardiva gestione del reclamo non può essere automaticamente trasformata in una causa di estinzione del potere sanzionatorio, in assenza di una specifica previsione normativa. La distinzione tra le due procedure, quindi, non elimina il problema dei ritardi: impedisce soltanto di risolverlo applicando a un procedimento il termine stabilito per l’altro.
| Trattamento dei dati personali nell’intelligenza artificiale tra GDPR e AI ACT, 12 ore – 4 incontri live, Altalex Formazione. Il Corso è rivolto ad Avvocati, Consulenti informatici, Consulenti privacy, Dirigenti, Manager, impiegati e funzionari di aziende private ed Enti pubblici, Responsabili della protezione dei dati. Scopri subito programma e relatori |
La funzione dei 120 giorni
Il termine di centoventi giorni previsto dalla tabella B del regolamento del Garante n. 2/2019 riguarda la notificazione della contestazione delle presunte violazioni. Non coincide, dunque, con il tempo entro cui deve essere adottata l’ordinanza-ingiunzione finale. La Cassazione ha chiarito questo aspetto nella sentenza n. 24861/2026, collocando il termine nella fase che segue l’accertamento dell’illecito e precede la conclusione del procedimento sanzionatorio.
La contestazione ha una funzione essenziale: rende conoscibili al destinatario i fatti addebitati e gli consente di organizzare la propria difesa. Il termine per notificarla serve a impedire che, una volta completato l’accertamento, l’Autorità possa rinviare senza limiti la formalizzazione dell’addebito. In questo senso la disciplina del Garante si inserisce nella logica generale dell’art. 14 della legge n. 689/1981, che regola i termini per la contestazione delle violazioni amministrative.
Occorre pertanto evitare un equivoco frequente: il semplice fatto che siano trascorsi molti mesi tra il reclamo e l’ordinanza-ingiunzione non dimostra, da solo, che il termine di centoventi giorni sia stato violato. Per verificare la tempestività della contestazione bisogna individuare il momento in cui l’accertamento può dirsi definitivo e confrontarlo con la data di notificazione dell’addebito.
L’accertamento definitivo e la decorrenza del termine
La sentenza n. 24862/2026 affronta proprio la questione del dies a quo. Il caso riguardava K-City S.r.l., sanzionata per avere operato come responsabile del trattamento per conto del Comune di Formia, nell’ambito del servizio di sosta a pagamento, senza un idoneo atto di nomina. Il Garante aveva ricevuto informazioni dal Comune il 3 febbraio 2020, aveva poi chiesto chiarimenti alla società, che aveva risposto il 13 luglio 2021, e aveva notificato la contestazione il 30 luglio successivo.
Il Tribunale di Roma aveva fatto…
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
Source link
