Natura perentoria del termine per l’irrogazione delle sanzioni del Garante per la protezione dei dati personali (Cass. civ. Sez. 1 n. 984 del 17.01.2026)

Principi di diritto (Massima)
In tema di trattamento dei dati personali, la complessiva attività procedimentale dell’Autorità Garante per la protezione dei dati personali, finalizzata all’accertamento di violazioni e all’irrogazione delle corrispondenti sanzioni, consta di due fasi logicamente e cronologicamente distinte: una fase sanzionatoria in senso stretto, ex art. 166, comma 5, d.lgs. n. 196/2003, e una precedente fase investigativa o preistruttoria, disciplinata dal comma 4 del medesimo articolo. Il termine di centoventi giorni previsto al punto 2 dell’allegato “B” del Regolamento del Garante n. 2/2019 ha natura perentoria e si riferisce esclusivamente alla fase sanzionatoria in senso stretto. Detto termine decorre dalla conclusione della fase preistruttoria, che culmina con l’effettivo accertamento delle violazioni ascritte al trasgressore e la notifica della contestazione, e il suo inutile decorso determina l’esaurimento della potestà sanzionatoria. La natura perentoria discende dalle esigenze costituzionali di certezza giuridica della posizione del trasgressore e di effettività del diritto di difesa, come richiamate da Corte Cost. n. 151 del 2021, e non richiede un’espressa qualificazione normativa in termini decadenziali.

Il Fatto

La società ricorrente aveva convenuto in giudizio dinanzi al Tribunale di Roma il Garante per la protezione dei dati personali, chiedendo l’accertamento della liceità del trattamento dei dati personali realizzato in occasione della diffusione di alcuni servizi giornalistici e l’annullamento del provvedimento sanzionatorio n. 297 del 6 luglio 2023, con il quale era stato vietata l’ulteriore diffusione delle e-mail proiettate nei servizi. Il tribunale aveva accolto il ricorso, ritenendo che il termine di dodici mesi indicato dall’Autorità per la conclusione del procedimento sanzionatorio avesse carattere perentorio e che il provvedimento sanzionatorio fosse stato adottato tardivamente. Avverso tale decisione hanno proposto ricorso per cassazione sia la società, con due motivi, sia il Garante, con ricorso incidentale affidato a un unico motivo.

La Motivazione della Corte

La Suprema Corte, esaminati congiuntamente i motivi di ricorso principale e incidentale in ragione della loro sovrapponibilità, ha ricostruito la struttura del procedimento sanzionatorio dinanzi al Garante, richiamando la recente sentenza n. 18583/2025 della medesima Sezione. L’attività dell’Autorità finalizzata all’accertamento di violazioni e all’irrogazione delle sanzioni si articola in una fase investigativa o preistruttoria, disciplinata dall’art. 166, comma 4, d.lgs. n. 196/2003, e in una successiva fase sanzionatoria in senso stretto, che prende avvio con la notifica delle presunte violazioni ai sensi del comma 5 del medesimo articolo e culmina nell’adozione del provvedimento finale. L’elemento di raccordo tra le due fasi è costituito dal Regolamento del Garante n. 2/2019, il cui allegato “B” prevede, per l’esercizio dei poteri sanzionatori, un termine di centoventi giorni dall’accertamento della violazione per la notificazione della stessa.

La Corte ha quindi affermato che a tale termine deve essere riconosciuta natura perentoria, richiamando la giurisprudenza costituzionale — in particolare Corte Cost. n. 151 del 2021 — secondo cui la predefinizione legislativa di un limite temporale per l’emissione di una sanzione espressiva della potestà punitiva della pubblica amministrazione, il cui inutile decorso produca la consumazione del potere stesso, risulta coessenziale a un sistema sanzionatorio coerente con i parametri costituzionali di sicurezza giuridica e diritto di difesa. In assenza di un termine finale perentorio, l’autorità titolare della potestà punitiva si troverebbe in una posizione ingiustificatamente privilegiata. Nell’ipotesi in cui il termine sia fissato in via regolamentare, sia pure senza espressa sanzione decadenziale, le medesime esigenze costituzionali impongono di interpretare la fonte primaria di attribuzione del potere regolamentare — art. 166, comma 9, d.lgs. n. 196/2003 — e le disposizioni secondarie nel senso di vincolare perentoriamente l’autorità alla loro osservanza.

Applicando tali principi al caso di specie, la Corte ha rilevato che il Garante aveva comunicato l’avvio del procedimento sanzionatorio in data 10 agosto 2021 e che il termine di centoventi giorni era maturato il 9 dicembre 2021, mentre il provvedimento sanzionatorio era stato adottato soltanto il 6 luglio 2023, oltre un anno e mezzo dopo la scadenza. La decisione impugnata è risultata pertanto coerente con i principi enunciati, dovendo essere corretta — ai sensi dell’art. 384, comma 4, cod. proc. civ. — soltanto nella parte in cui individuava il termine rilevante in quello di dodici mesi autoassegnato dall’Autorità, piuttosto che in quello generale di centoventi giorni previsto dal Regolamento n. 2/2019, con errore di nessuna rilevanza ai fini della decisione.

La Corte ha infine rigettato il secondo motivo di ricorso, relativo alla condanna alle spese, rilevando che il regime delle spese processuali è ispirato al principio della soccombenza e che la valutazione sulla compensazione rientra nel potere discrezionale del giudice di merito, non censurabile in sede di legittimità. Il ricorso principale e il ricorso incidentale sono stati pertanto respinti, con integrale compensazione delle spese del giudizio di legittimità in ragione della novità della questione trattata.