Le recenti sentenze della Cassazione hanno fornito importanti chiarimenti sul termine di 120 giorni del Garante Privacy, stabilendo che questo non segna la fine del potere sanzionatorio, ma disciplina il momento in cui l’illecito deve essere contestato. Questo chiarimento è fondamentale per comprendere il ruolo del Garante Privacy e il suo potere di sanzionare le violazioni della privacy.
Le sentenze in questione, depositate il 31 agosto 2026, sono state emesse dalla Prima Sezione civile della Corte di Cassazione, presieduta da Tricomi, con i consiglieri Pazzi, Caprioli e Reggiani, e la relatrice Russo. Queste pronunce intervengono su un dibattito che aveva visto interpretazioni contrastanti riguardo al termine di 120 giorni e al potere sanzionatorio del Garante.
La separazione tra procedimento di reclamo e potere sanzionatorio
Le sentenze n. 24861 e 24862 del 2026 hanno ribadito la netta separazione tra il procedimento di reclamo, disciplinato dall’art. 143 del Codice della Privacy, e il procedimento sanzionatorio in senso proprio, disciplinato dall’art. 166 del Codice e dal Regolamento del Garante n. 1/2019. La sentenza n. 24861/2026, in particolare, ha stabilito che il procedimento sanzionatorio è un procedimento amministrativo ulteriore e distinto, non una fase del procedimento di reclamo.
La Corte ha richiamato l’art. 166, comma 5, del Codice della Privacy, che disciplina autonomamente l’avvio del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori, sia a seguito di reclamo che d’iniziativa del Garante. Inoltre, l’art. 12 del regolamento n. 1/2019 regola specificamente l’ipotesi in cui l’esame del reclamo non si concluda ai sensi dell’art. 11, comma 1, del medesimo regolamento.
La tutela immediata e la deterrenza
La Corte ha sottolineato che il termine annuale per la decisione sul reclamo non vale come scadenza finale per l’esercizio del potere sanzionatorio autonomamente avviato dall’Autorità. Questo principio è stato già scolpito nella distinzione tra le due funzioni: la prima di tutela immediata della posizione soggettiva del reclamante, la seconda di tutela di interessi pubblici distinti, quali la deterrenza e il corretto funzionamento del sistema di protezione dei dati.
La Corte ha anche considerato l’argomento secondo cui la decadenza del potere di decidere tardivamente priverebbe l’interessato delle garanzie previste dall’art. 58, par. 4, del Regolamento (Ue) 2016/679. Tuttavia, ha stabilito che l’esistenza di un ricorso effettivo, esperibile in ogni caso in cui il Garante non decida il reclamo nei tempi previsti, rende superflua un’ulteriore sanzione di decadenza sul potere sanzionatorio.
Il termine di 120 giorni e la contestazione
Le sentenze hanno chiarito che il termine di 120 giorni previsto dalla tabella ‘B’ del Regolamento n. 2/2019 non è un termine per emettere la sanzione decorrente dalla contestazione delle violazioni, ma è un termine per notificare le contestazioni. Questo termine decorre dal definitivo accertamento, che richiede la capacità del Garante di valutare tutti gli elementi costitutivi dell’illecito sulla base degli elementi raccolti.
La sentenza n. 24862/2026 ha fissato il punto di partenza del termine di 120 giorni, chiarendo che il ‘definitivo accertamento’ non consiste nella semplice acquisizione della notizia, ma richiede la capacità del Garante di valutare tutti gli elementi costitutivi dell’illecito. Questo chiarimento è stato reso in una controversia tra il Garante e la società K-City S.r.l., che era stata sanzionata per avere svolto il ruolo di responsabile esterno del trattamento dei dati personali per conto del Comune di Formia senza un idoneo atto di nomina.
Il Tribunale di Roma aveva accolto l’opposizione della società, ritenendo che il termine di centoventi giorni dovesse farsi decorrere dal 3 febbraio 2020, data in cui, a suo dire, il Garante disponeva già degli elementi fattuali posti a fondamento dell’addebito. La Cassazione ha cassato questa impostazione, chiarendo che il giudice di merito aveva imposto un termine alla fase istruttoria senza considerare la necessità di instaurare un contraddittorio con la società interessata e di attenderne la risposta.
Il Garante Privacy nel sistema delle Autorità indipendenti
La sentenza n. 24861/2026 ha dedicato un passaggio significativo alla ricostruzione del contesto giurisprudenziale, civile e amministrativo, in cui la questione si inserisce. La Corte ha dato atto che si confrontano storicamente due indirizzi sui termini dei procedimenti sanzionatori delle Autorità indipendenti. Il primo, riconducibile a Consiglio di Stato, Sez. VI, 9 novembre 2020, n. 6891, ritiene che, in assenza di un’espressa previsione legislativa, i termini debbano considerarsi ordinatori.
Il secondo indirizzo, riconducibile a Consiglio di Stato, Sez. VI, 25 maggio 2020, n. 3307, distingue i termini di conclusione dei procedimenti amministrativi generali da quelli dei procedimenti sanzionatori afflittivi, che avrebbero natura perentoria. Questo orientamento è stato ribadito da Consiglio di Stato, Sez. VI, 19 gennaio 2021, n. 584, in tema di sanzioni ARERA, secondo cui il termine avrebbe addirittura natura ‘sostanziale’, il cui superamento comporta la decadenza dal potere e l’illegittimità del provvedimento tardivo.
La sentenza della Corte di giustizia dell’Unione europea (Sez. X) del 15 gennaio 2026, causa C-588/24, ha ritenuto che l’art. 101 TFUE, letto alla luce del principio di buon andamento dell’amministrazione e dell’art. 47 della Carta dei diritti fondamentali, non osta a una normativa nazionale che non attribuisca espressamente natura perentoria al termine di conclusione della fase istruttoria fissato dall’Autorità garante della concorrenza nel provvedimento di avvio.
Quanto alle sanzioni pecuniarie in materia di intermediazione finanziaria e vigilanza bancaria, la Cassazione ha richiamato la propria giurisprudenza più recente, secondo cui trova applicazione il termine quinquennale di prescrizione previsto dall’art. 28 della legge n. 689 del 1981, e non i diversi termini previsti dalla legge n. 241 del 1990.
