Garante privacy: la Cassazione sui tempi delle sanzioni

Le imprese che ricevono una contestazione dal Garante per la protezione dei dati personali non possono contare su un termine finale certo entro cui l'Autorità deve chiudere il procedimento con la sanzione. Lo ha chiarito la Cassazione con tre pronunce depositate a poche settimane di distanza: la sentenza n. 22791 del 6 luglio 2026 e le sentenze gemelle nn. 24861 e 24862 del 31 agosto 2026, tutte della Prima Sezione civile. Il tema riguarda direttamente i titolari e i responsabili del trattamento coinvolti in un procedimento sanzionatorio privacy, oltre ai DPO e ai consulenti che devono valutare la strategia difensiva basata sui tempi dell'Autorità.

Reclamo e sanzione: due procedimenti distinti

Le sentenze distinguono procedimento di reclamo e procedimento sanzionatorio del Garante privacy, chiarendo che i ritardi nella conclusione del primo non fanno decadere il potere di irrogare sanzioni. In pratica, il termine di dodici mesi previsto per la decisione sul reclamo tutela l'interesse del segnalante a una risposta rapida, ma non incide sul potere sanzionatorio dell'Autorità, che segue una disciplina autonoma.

I 120 giorni riguardano la contestazione, non la sanzione

Il punto più rilevante per le imprese riguarda il termine di 120 giorni previsto dall'allegato B del Regolamento del Garante n. 2/2019. Il termine parte dall'accertamento definitivo e riguarda la contestazione dell'illecito, non la sanzione finale. Il termine di 120 giorni non è un termine per emettere la sanzione decorrente dalla contestazione delle violazioni, ma è un termine per notificare le contestazioni, il quale decorre dal definitivo accertamento, da apprezzare secondo criteri di ragionevolezza e congruità, non bastando la semplice acquisizione della notizia, ma occorrendo la capacità del Garante di valutare tutti gli elementi costitutivi dell'illecito. Si tratta quindi di un termine endoprocedimentale e non di un termine finale.

Il nodo aperto: nessun termine per l'ordinanza-ingiunzione

Una volta notificata la contestazione, il procedimento per l'adozione dell'ordinanza-ingiunzione resta soggetto al termine di prescrizione quinquennale, senza un termine di decadenza specifico. La Cassazione richiama sul punto la sentenza della Corte Costituzionale n. 151/2021, che aveva già segnalato l'assenza di un termine finale come una lacuna da colmare in via legislativa, senza però poter intervenire direttamente perché la scelta di un termine specifico spetta al legislatore.

Per le imprese destinatarie di un procedimento, la conseguenza pratica è che la sola tardività della sanzione finale non basta più, da sola, a fondare un'eccezione di decadenza: resta invece utile contestare la ragionevolezza dei tempi impiegati dal Garante per accertare la violazione prima della contestazione.