Nel quadro delle garanzie procedimentali connesse all’esercizio del potere sanzionatorio del Garante per la protezione dei dati personali, assume particolare rilievo la questione relativa alla durata del procedimento e alla definizione dei relativi termini. Il tema dei termini entro i quali il Garante può esercitare il proprio potere sanzionatorio è stato recentemente approfondito dalla Corte di cassazione attraverso tre pronunce della Prima Sezione civile: la n. 22791 del 6 luglio 2026 e le nn. 24861 e 24862 del 31 agosto 2026. Le decisioni si inseriscono in un dibattito già avviato dalle precedenti sentenze nn. 18583 del 2025 e 984 del 2026 e consentono di distinguere con maggiore precisione il termine previsto per la contestazione della violazione da quello relativo alla conclusione del procedimento sanzionatorio.

La vicenda esaminata dalla sentenza n. 22791/2026 traeva origine da un reclamo presentato al Garante il 27 maggio 2021 da due persone che lamentavano la diffusione dei propri dati personali all’interno di un libro riguardante una vicenda giudiziaria. L’Autorità aveva comunicato l’avvio del procedimento sanzionatorio il 23 novembre dello stesso anno e aveva successivamente adottato il provvedimento conclusivo, contenente una sanzione pecuniaria, nel marzo 2023. La casa editrice destinataria della sanzione aveva impugnato il provvedimento, sostenendo che il tempo trascorso dalla presentazione del reclamo fosse eccessivo e comportasse la decadenza dal potere sanzionatorio.

La Cassazione ha tuttavia distinto nettamente il procedimento avviato a seguito del reclamo da quello finalizzato all’irrogazione della sanzione. Il reclamo tutela principalmente l’interesse individuale del soggetto che si rivolge al Garante e mira a ottenere una risposta alla propria istanza entro un determinato periodo. Il procedimento sanzionatorio, invece, persegue un interesse pubblico più ampio, collegato alla deterrenza delle violazioni e al corretto funzionamento del sistema di protezione dei dati personali. Pertanto, secondo la Corte, i due procedimenti devono essere considerati autonomi, anche quando il secondo trae origine dal primo. Il superamento del termine annuale previsto per la conclusione del procedimento relativo al reclamo non determina, quindi, l’estinzione del potere sanzionatorio del Garante, che resta soggetto al termine prescrizionale quinquennale previsto per le sanzioni amministrative.

Particolare attenzione è stata dedicata anche al termine di 120 giorni previsto dal regolamento del Garante n. 2 del 2019. La Cassazione ha chiarito che tale termine non rappresenta il limite entro il quale l’Autorità deve adottare la decisione finale, ma riguarda esclusivamente la notificazione della contestazione della violazione. Esso decorre dal momento in cui l’illecito può considerarsi definitivamente accertato e non dalla semplice acquisizione di informazioni sui fatti. Si tratta, dunque, di un termine interno al procedimento e non di un termine finale per l’adozione della sanzione.

Rimane così aperta la questione relativa al periodo successivo alla contestazione, poiché l’ordinamento non stabilisce un termine specifico entro il quale il Garante debba concludere il procedimento con l’ordinanza-ingiunzione o con l’archiviazione. La Cassazione ha richiamato, sul punto, la sentenza della Corte costituzionale n. 151 del 2021, nella quale era stato evidenziato come la sola prescrizione quinquennale non fosse sufficiente a garantire pienamente la certezza della posizione dell’incolpato e l’effettività del diritto di difesa. La Consulta aveva tuttavia ritenuto che l’individuazione di un termine preciso spettasse al legislatore, trattandosi di una scelta caratterizzata da un certo margine di discrezionalità.

La questione assume rilievo anche alla luce del diritto dell’Unione europea. La Cassazione richiama, infatti, una pronuncia della Corte di giustizia del 15 gennaio 2026, relativa ai procedimenti sanzionatori in materia antitrust, nella quale è stata valorizzata la necessità che la durata dei procedimenti rimanga comunque ragionevole e sia soggetta al controllo giurisdizionale. Tale orientamento conferma l’esigenza di evitare che l’assenza di un termine perentorio si traduca in una durata indefinita dell’attività amministrativa.

L’incertezza temporale presenta conseguenze significative anche per le imprese sottoposte a procedimento. Il protrarsi dell’istruttoria può infatti rendere più difficile la conservazione e la ricostruzione delle prove, soprattutto quando siano coinvolti dati tecnici, documentazione organizzativa o soggetti che, nel frattempo, abbiano cessato di operare presso l’impresa.

Una possibile soluzione potrebbe essere individuata nell’esercizio del potere regolamentare già riconosciuto al Garante dall’art. 166, comma 9, del Codice in materia di protezione dei dati personali. Il procedimento sanzionatorio si articola, infatti, in tre principali fasi temporali: la contestazione della violazione, l’esercizio del diritto di difesa e la decisione finale. Mentre le prime due fasi risultano soggette a specifiche scansioni temporali, la fase conclusiva risulta attualmente priva di un termine specifico.

La questione si collega, infine, ai principi costituzionali sanciti dagli artt. 24 e 97 Cost., relativi, rispettivamente, al diritto di difesa e al buon andamento e all’imparzialità dell’amministrazione. La natura sanzionatoria del procedimento rende infatti particolarmente rilevante la necessità di una scansione temporale ragionevole, idonea a garantire sia l’effettività dell’azione amministrativa sia la certezza della posizione del destinatario.

In sintesi, l’introduzione di termini maggiormente definiti per la conclusione del procedimento potrebbe rendere più prevedibile l’esercizio del potere sanzionatorio, assicurando un più equilibrato bilanciamento tra l’interesse pubblico alla repressione delle violazioni e le esigenze di certezza giuridica e di effettività del diritto di difesa del destinatario della sanzione.

Visualizzazioni: 1