Potere sanzionatorio del Garante per la privacy con tempi incerti
/ Elisa TOMBARI
Il reclamo al Garante per la protezione dei dati personali di cui agli artt. 140-bis e ss. del DLgs. 196/2003 è il rimedio previsto per segnalare una violazione della disciplina in materia. Tale strumento di tutela è stato recentemente oggetto della sentenza della Corte di Cassazione n. 22791/2026, con particolare riguardo ai termini del procedimento e all’esercizio del potere sanzionatorio del Garante, facendo emergere alcuni profili controversi. Nel caso di specie, una casa editrice era stata sanzionata con un’ordinanza-ingiunzione dal Garante, in esito a un reclamo presentato per illecita diffusione dei dati personali di alcuni soggetti coinvolti in una vicenda giudiziaria, sorta a seguito di una pubblicazione editoriale. La casa editrice aveva presentato ricorso in Cassazione avverso la sentenza di rigetto del proprio ricorso in opposizione, sostenendo che il termine massimo di 12 mesi, previsto dall’art. 143 comma 3 del DLgs. 196/2003 per la decisione del reclamo da parte del Garante, dovesse trovare applicazione non soltanto con riguardo al potere/dovere di pronunciarsi, ma anche all’adozione del provvedimento sanzionatorio. Pertanto, a parere della società ricorrente, al momento della notifica dell’ordinanza-ingiunzione tale termine doveva ritenersi spirato e l’Autorità decaduta dal potere di provvedere. Di contrario avviso la Cassazione. Innanzitutto, con riferimento al caso in esame – secondo i giudici di legittimità – non occorre prendere posizione sulla natura perentoria od ordinatoria del termine di 12 mesi previsto dall’art. 143 del DLgs. 196/2003 per la decisione sul reclamo, dal momento che esso non è applicabile all’esercizio del potere sanzionatorio da parte del Garante. La Suprema Corte evidenzia, infatti, che il procedimento sanzionatorio, pur potendo trarre origine dal reclamo, è autonomo rispetto a quest’ultimo ed è disciplinato da una normativa distinta, alla quale non si applica il termine annuale per la definizione del reclamo. Tale termine è finalizzato esclusivamente alla definizione del reclamo, a tutela del diritto del reclamante a ottenere una sollecita conclusione del procedimento promosso e non costituisce una scadenza finale per l’esercizio del potere sanzionatorio. La sentenza in commento, nel richiamare alcuni propri precedenti, offre anche l’occasione per ricostruire il quadro giurisprudenziale in materia di termini dei procedimenti innanzi al Garante della privacy. La Cassazione propone, inoltre, un quadro generale relativo ai procedimenti sanzionatori in caso di violazioni amministrative, per i quali trova applicazione la L. 689/1981 e che si articola su due distinte fasi: la prima, deputata all’acquisizione degli elementi istruttori, e la seconda (contenziosa e decisoria), finalizzata all’adozione dell’ordinanza-ingiunzione o all’archiviazione. Laddove manchi un termine per l’emissione dell’ordinanza-ingiunzione non è possibile applicare quello previsto per la conclusione del procedimento amministrativo (la prima fase), ma deve applicarsi il termine di prescrizione quinquennale di cui all’art. 28 della L. 689/1981 (cfr. Corte Cost. n. 151/2021). Con particolare riguardo, poi, ai procedimenti innanzi al Garante, gli stessi giudici di legittimità, con le sentenze n. 18583/2025 e n. 984/2026, hanno affermato (in coerenza con l’impostazione dei procedimenti sanzionatori per le violazioni amministrative) che, in tema di trattamento dei dati personali, la complessiva attività procedimentale del Garante di accertare le violazioni e di irrogare le corrispondenti sanzioni si divide in due fasi logicamente e cronologicamente distinte. La prima fase, preistruttoria, al termine della quale il Garante può archiviare o avviare la seconda fase, sanzionatoria in senso stretto, che si apre con la notifica, al titolare e al responsabile del trattamento dei dati, delle presunte violazioni. [CATENACCIO] Con la sentenza in commento, la Suprema Corte dunque sostiene che il procedimento sanzionatorio, anche se originato dal reclamo ex art. 143 del DLgs. 196/2003, è, rispetto ad esso, autonomo, poiché mira a tutelare interessi pubblici (non la sfera individuale del reclamante) ed è regolato dall’art. 166 del DLgs. 196/2003. A tale fase sanzionatoria in senso stretto si riferisce il termine, da considerarsi perentorio, di 120 giorni previsto dal Regolamento del Garante n. 2/2019, allegato B, punto 2, che decorre “dalla conclusione della fase preistruttoria, che culmina con l’effettivo accertamento delle violazioni ascritte al trasgressore e la notifica della contestazione”. Tale termine, dunque, misurerebbe il lasso di tempo che deve intercorrere tra l’accertamento e la contestazione delle violazioni, ai sensi dell’art. 166 comma 5 del DLgs. 196/2003. Sul punto si è espressa anche la Cassazione con la sentenza n. 984/2026, nella quale il termine di 120 giorni è individuato quale termine perentorio per l’irrogazione della sanzione. Nella sentenza n. 22791/2026, invece, i 120 giorni, decorrenti dalla conclusione della fase preistruttoria, vengono ricondotti alla contestazione delle violazioni. Ne consegue che si tratta di un termine endoprocedimentale, riferito alla contestazione delle violazioni, e non di termine finale per l’adozione dell’ordinanza-ingiunzione. Rimane ferma l’applicazione della prescrizione quinquennale prevista dall’art. 28 della L. 689/1981, decorrente dalla commissione della violazione.