Termine perentorio per la contestazione Garante e decorrenza dall’accertamento effettivo (Cass. civ. Sez. I n. 24998 del 04.09.2026)

Principi di diritto (Massima)
Il termine di centoventi giorni previsto dalla tabella B allegata al Regolamento del Garante n. 2/2019 per la contestazione delle presunte violazioni dei dati personali ha natura perentoria, in ragione delle esigenze di certezza giuridica e di effettività del diritto di difesa. Esso riguarda esclusivamente l’avvio del procedimento sanzionatorio in senso stretto, che prende avvio con la notificazione di cui all’art. 166, comma 5, cod. privacy, e non l’istruttoria preliminare che lo precede. Il dies a quo non coincide con la mera constatazione materiale dei fatti e neppure con le singole sottofasi investigative, ma va individuato nel momento dell’accertamento effettivo, inteso come ponderata valutazione dell’esistenza dei presupposti per l’irrogazione della sanzione. Per la chiusura dell’istruttoria preliminare non è previsto alcun termine perentorio, applicandosi il solo termine ordinatorio di novanta giorni di cui all’art. 2 della legge n. 241/1990.

Il Fatto

Il Garante per la protezione dei dati personali ha impugnato davanti alla Corte di cassazione la sentenza con cui il Tribunale di Roma, in parziale accoglimento dell’opposizione proposta dall’INAIL, aveva annullato il provvedimento sanzionatorio limitatamente a un primo episodio di data breach e aveva rideterminato la sanzione per un terzo episodio.

Il Tribunale aveva ritenuto tardiva la contestazione del primo episodio, notificata il 3-4 dicembre 2020, rispetto al termine di centoventi giorni decorrente dalla segnalazione dell’Istituto del 16 maggio 2019. Il Garante ha censurato la qualificazione del termine come perentorio e la sua decorrenza dalla data della notificazione della violazione. L’INAIL ha proposto ricorso incidentale.

La Motivazione della Corte

La Corte ricostruisce la struttura del procedimento davanti al Garante, distinguendo l’istruttoria preliminare di cui all’art. 166, comma 4, cod. privacy, avente funzione investigativa e destinata a concludersi con l’archiviazione o con l’avvio del procedimento sanzionatorio, da quest’ultimo, che ha funzione decisoria e inizia con la comunicazione delle presunte violazioni.

Richiamando il proprio precedente Cass., sez. I, n. 18583 del 2025, la Corte conferma che il termine di centoventi giorni ha natura perentoria e riguarda esclusivamente l’avvio del procedimento sanzionatorio in senso stretto. Per la chiusura dell’istruttoria preliminare, invece, non è previsto alcun termine perentorio: si applica il termine ordinatorio di novanta giorni richiamato dall’art. 3, comma 5, del Regolamento n. 2/2019, che rinvia all’art. 2 della legge n. 241/1990.

Il primo motivo del ricorso principale è pertanto respinto. Il secondo motivo è accolto: la Corte rileva che il dies a quo non può being individuato nella mera ricezione della notificazione della violazione, né nelle singole sottofasi investigative. Esso va collocato nel momento in cui il Garante perviene a un’effettiva conoscenza degli elementi costitutivi della condotta sanzionabile, anche in considerazione della complessità dell’istruttoria e dell’opportunità di trattare congiuntamente più segnalazioni.

La Corte richiama i principi elaborati in materia di sanzioni Consob e Banca d’Italia circa la non coincidenza tra constatazione materiale e accertamento, ribadendo che il giudice non può sostituirsi all’autorità nella valutazione dell’opportunità dell’esercizio dei poteri di indagine, salvo il controllo sull’ingiustificata inerzia.

Quanto al ricorso incidentale dell’INAIL, i primi tre motivi sono dichiarati inammissibili, il quarto assorbito. La sentenza è cassata con rinvio al Tribunale di Roma, in persona di magistrato diverso, per un nuovo esame e per la liquidazione delle spese anche del giudizio di legittimità.