La Cassazione Civile, Sez. I, con sentenza del 6 luglio 2026 n. 22791 (Pres. Giusti) si è pronunciata relativamente al termine per l’irrogazione delle sanzioni da parte del Garante privacy.
La Corte, in tale contesto, ricorda dapprima come il procedimento sanzionatorio per le violazioni amministrative, disciplinato dalla L. 689/1981, si articoli in due fasi:
- la prima in cui gli organi di vigilanza acquisiscono elementi istruttori
- e la seconda destinata all’adozione, da parte dell’autorità sanzionatoria, dell’ordinanza-ingiunzione, di applicazione della sanzione pecuniaria e di ingiunzione del relativo pagamento, ovvero dell’ordinanza di archiviazione.
Tra l’una e l’altra fase vi è la contestazione dell’illecito la quale, ex art. 14 L. 689/1981, può essere notificata nell’immediatezza o entro 90 giorni, estendibili a 360 per i residenti all’estero.
Per la fase decisoria, invece, l’art 17 L. 689/1981 fissa il termine di 30 giorni dalla contestazione o notificazione della violazione.
Pur non essendo previsto un termine per l’emissione dell’ordinanza-ingiunzione, la Corte ritiene applicabile quello previsto per la conclusione del procedimento amministrativo dall’art. 2 L. 241/1990.
La Corte, in tale contesto richiama la propria pronunciata n. 18583 del 2025, che evidenzia che con riguardo, invece, all’attività procedimentale dell’Autorità garante, vi siano due fasi:
- la prima di natura investigativa o preistruttoria
- l’altra di natura sanzionatoria in senso stretto.
Il termine, da considerarsi perentorio, di 120 giorni previsto al punto 2 dell’allegato “B” del regolamento del Garante 2/2019 si riferisce alla fase sanzionatoria in senso stretto e decorre dalla conclusione della fase preistruttoria che culmina con l’effettivo accertamento delle violazioni ascritte al trasgressore e la notifica della contestazione. Non esiste un termine di natura perentoria per il completamento dell’attività investigativa.
Nell’odierna pronuncia, la Corte, evidenzia che, in presenza di un reclamo, l’interessato tende all’emanazione di misure volte alla protezione della sua sfera personale. L’emissione della sanzione amministrativa pecuniaria rappresenta l’esito di un procedimento ulteriore che si apre a valle del procedimento di reclamo da cui pur trae origine.
La previsione del termine di un anno è, quindi, finalizzata alla definizione del reclamo, quale garanzia del diritto del reclamante a ottenere la rapida conclusione del procedimento promosso. Tale termine non vale a segnare una scadenza finale per l’esercizio del potere sanzionatorio autonomamente avviato dall’Autorità.
Il procedimento per l’adozione dei provvedimenti sanzionatori è, infatti, disciplinato da una norma autonoma. Il mancato rispetto del termine di un anno non determina, quindi, l’estinzione del potere sanzionatorio, purché la contestazione della violazione o delle violazioni sia stata comunicata tempestivamente.
La Corte, inoltre, evidenzia che il termine di 120 giorni non si riferisce all’emissione della sanzione decorrente dalla contestazione delle violazioni, ma è un termine per notificare le contestazioni.
Il dies a quo, precisa, è il definitivo accertamento, non bastando la semplice acquisizione della notizia, ma occorrendo la capacità del Garante di valutare tutti gli elementi costitutivi dell’illecito sulla base degli elementi raccolti.
Entro il termine di 120 giorni, quindi, il Garante deve contestare le violazioni ex art. 166 co. 5, del Codice Privacy, e non già il termine entro il quale deve essere irrogata la sanzione.
