Sanzioni del Garante Privacy: perentorio il termine di 120 giorni, oltre il quale il potere si consuma (Cass. 984/2026)
Corte di Cassazione, Sez. I civile, sentenza n. 984 del 17 gennaio 2026 (R.G.N. 759/2025) — Presidente Laura Tricomi, Relatore Alberto Pazzi
Il principio di diritto
In tema di trattamento dei dati personali, la complessiva attività procedimentale del Garante, finalizzata all’accertamento delle violazioni e all’irrogazione delle sanzioni, consta di due fasi logicamente e cronologicamente distinte — una investigativa o preistruttoria e una sanzionatoria in senso stretto; il termine di centoventi giorni previsto al punto 2 dell’allegato “B” del Regolamento del Garante n. 2/2019, da considerarsi perentorio, si riferisce esclusivamente alla fase sanzionatoria in senso stretto e decorre dalla conclusione della fase preistruttoria, che culmina con l’effettivo accertamento delle violazioni e la notifica della contestazione.
Il fatto
Una società conveniva davanti al Tribunale di Roma il Garante per la protezione dei dati personali per far accertare la liceità del trattamento di dati personali posto in essere nella realizzazione e diffusione di due servizi giornalistici del 2020, e per ottenere l’annullamento del provvedimento sanzionatorio del Garante n. 297 del 6 luglio 2023. Il Tribunale annullava il provvedimento, ritenendo perentorio il termine (di dodici mesi dalla presentazione del reclamo) che l’autorità stessa si era assegnata e che era decorso al momento dell’adozione tardiva della sanzione. Contro la sentenza proponevano ricorso per cassazione un privato (due motivi) e, in via incidentale, il Garante, sostenendo la natura meramente ordinatoria del termine.
La motivazione
I ricorsi sono respinti. Riprendendo il proprio recente arresto (Cass. n. 18583/2025), la Corte distingue nel procedimento del Garante una fase investigativa o preistruttoria (art. 166, comma 4, d.lgs. 196/2003) e una sanzionatoria in senso stretto (art. 166, commi 5, 6 e 7), raccordate dal Regolamento del Garante n. 2/2019. Il termine di centoventi giorni per l’esercizio del potere sanzionatorio (allegato “B”, punto 2) decorre dal definitivo accertamento della violazione e dalla notifica della contestazione e ha natura perentoria: il suo inutile decorso consuma la potestà sanzionatoria.
La perentorietà discende dai principi costituzionali di certezza giuridica e diritto di difesa (Corte cost. n. 151/2021): la predefinizione di un limite temporale per l’emissione della sanzione è coessenziale a un sistema sanzionatorio conforme a Costituzione, mentre la sua mancanza collocherebbe l’autorità in una posizione ingiustificatamente privilegiata. La decisione del Tribunale è coerente con questi principi e va solo corretta ex art. 384, comma 4, c.p.c. nella parte in cui individua il termine in quello autoassegnato dall’autorità (dodici mesi) anziché in quello generale di centoventi giorni — correzione irrilevante, perché la sanzione era stata comunque adottata oltre un anno e mezzo dopo. Respinto anche il motivo sulle spese: il regime segue soccombenza e causalità e la parte che aveva condiviso in giudizio le tesi del Garante non può dirsi estranea alla lite, mentre la compensazione resta potere discrezionale del giudice di merito.
Implicazioni pratiche
Per chi è destinatario di un procedimento sanzionatorio del Garante Privacy: la sanzione va irrogata entro centoventi giorni dall’accertamento della violazione e dalla notifica della contestazione. Oltre quel termine il potere si consuma e il provvedimento è annullabile per tardività, anche in assenza di una norma che qualifichi espressamente il termine come decadenziale. Il principio, ancorato a Corte cost. n. 151/2021, rafforza la certezza dei tempi dell’azione sanzionatoria delle autorità amministrative indipendenti e offre alla difesa un preciso parametro per contestare i provvedimenti tardivi.
Provvedimento integrale: scarica il PDF