Più tempo per l’accertamento delle infrazioni da parte del Garante Privacy e delle autorità amministrative
La Cassazione afferma un nuovo principio di diritto sul termine di irrogazione delle sanzioni applicabile a tutti i procedimenti amministrativi, ivi inclusi quelli innanzi all’Autorità Garante della Concorrenza e del Mercato o la Consob
Con la sentenza depositata in data 8 luglio 2025, n. 18583 la Corte di Cassazione ha affrontato per la prima volta un importante questione in materia di accertamento delle sanzioni derivanti dall’illecito trattamento dei dati personali.
Prima di questa pronuncia, si era diffuso un orientamento di merito secondo cui i provvedimenti sanzionatori emessi dalla citata autorità garante devono essere notificati al presunto contravventore entro centoventi giorni dalla conoscenza dell’infrazione da parte dell’ autorità stessa, limite fissato dall’art. 2 della legge 241/1990 in materia di procedimento amministrativo e dal regolamento 2/2019 della stessa Autorità Garante per la protezione dei dati personali.
Tale orientamento aveva indotto alcuni Tribunali ad annullare le sanzioni comminate dall’Autorità Garante per la protezione dei dati personali, il Garante riteneva invece che il predetto termine di centoventi giorni dovesse decorrere dalla chiusura dell’istruttoria, intesa come il complesso delle operazioni di accertamento dell’infrazione e di valutazione degli elementi istruttori emersi, e non dalla mera conoscenza dell’infrazione.
Giova rilevare come il caso esaminato dalla Corte di Cassazione non fosse di poco rilievo economico: riguardava infatti una sanzione di oltre 26 milioni di euro irrogata dall’Autorità Garante per la protezione dei dati personali a una importante società del settore energetico con provvedimento 443/2021.
Il citato provvedimento era annullato in primo grado dal Tribunale di Roma.
Ad avviso del Tribunale, il termine di centoventi giorni per la definizione del procedimento amministrativo andava fatto decorrere dalla conoscenza del fatto illecito da parte dell’Autorità Garante per la protezione dei dati personali.
Di diverso avviso era invece la Suprema Corte, adita su ricorso dell’ Autorità Garante per la protezione dei dati personali.
Secondo la Corte di Cassazione, infatti, in tema di trattamento dei dati personali, la complessiva attività procedimentale dell’Autorità Garante per la protezione di questi ultimi, finalizzata all’accertamento di violazioni ed alla irrogazione delle corrispondenti sanzioni, consta di due fasi logicamente e cronologicamente distinte.
Un prima fase, investigativa o preistruttoria, nell’ambito della quale l’ Autorità Garante per la protezione dei dati personali può chiedere chiarimenti e integrazioni della documentazione istruttoria, e una seconda fase sanzionatoria in senso stretto.
Il termine di centoventi giorni previsto al punto 2 dell’allegato “B” del Regolamento dell’Autorità Garante per la protezione dei dati personali n. 2/2019 è sì un termine perentorio, ma si riferisce esclusivamente alla fase sanzionatoria in senso stretto e decorre dalla conclusione della fase preistruttoria che culmina con l’effettivo accertamento delle violazioni ascritte al trasgressore e la notifica della contestazione.
La decisione è particolarmente importante, perché consente all’Autorità Garante per la protezione dei dati personali di accertare i fatti e formulare eventuali contestazioni ai trasgressori con maggior agio, senza dovere rispettare un termine di centoventi giorni che, in alcuni procedimenti particolarmente complessi e articolati, risultava, secondo le difese dell’ Autorità Garante per la protezione dei dati personali, eccessivamente compresso per il compimento delle attività istruttorie.
La sentenza è inoltre di particolare importanza perché stabilisce un principio applicabile a tutti i procedimenti amministrativi, ivi inclusi quelli innanzi alle altre autorità indipendenti, come l’Autorità Garante della Concorrenza e del Mercato o la Consob.
_______
*Avv. Alessandro Candini, Studio Legale Finocchiaro
