Sanzioni privacy senza attese infinite: la Cassazione mette un limite ai tempi del Garante
Con sentenza del 16 dicembre 2025, su ricorso iscritto al n. 759/2025 R.G., la Cassazione si è espressa sulla natura dei termini entro cui il Garante è tenuto ad adottare il provvedimento conclusivo del procedimento di ingiunzione-sanzione
Si è recentemente tornati a parlare della vicenda Report-Garante privacy, ormai conosciuta anche ai non esperti del settore. Questa volta però l’attenzione si è spostata dalle inchieste sulle attività interne dell’Autorità alle modalità con cui viene esercitato il suo potere sanzionatorio.
Come è noto, il GDPR (il Regolamento europeo sulla protezione dei dati) riconosce alle autorità di controllo poteri di indagine e correttivi, tra cui il potere di notificare al titolare del trattamento le presunte violazioni, di rivolgere avvertimenti, ammonimenti e di infliggere sanzioni amministrative pecuniarie.
Il legislatore europeo non interviene sul piano procedimentale, la cui disciplina è rimessa a ogni Stato membro. In Italia, il procedimento per l’adozione dei provvedimenti correttivi e sanzionatori è disciplinato dall’art. 166 del Codice privacy e dal Regolamento interno 2/2019 del Garante privacy con cui è l’Autorità stessa a determinare la durata dei diversi procedimenti amministrativi che la coinvolgono. Tra questi, il Garante ha stabilito un termine di 120 giorni per l’irrogazione della sanzione.
Nonostante siano chiaramente individuati i termini dei procedimenti che si svolgono innanzi al Garante, è noto come spesso questi nella pratica si dilunghino, lasciando di fatto titolari e responsabili del trattamento sospesi, talvolta anche per anni, in attesa della definizione della vertenza.
È su questo tema che si è espressa la Corte di Cassazione, con sentenza del 16 dicembre 2025 su un ricorso iscritto al n. 759/2025 R.G., giudicando la natura dei termini (se perentoria o ordinatoria) entro cui il Garante è tenuto ad adottare il provvedimento conclusivo del procedimento di ingiunzione-sanzione.
Il caso riguardava un provvedimento sanzionatorio del Garante nei confronti di RAI Radiotelevisione Italiana s.p.a., adottato a luglio 2023 nonostante l’avvio del procedimento sanzionatorio fosse stato comunicato nel mese di agosto 2021, dunque a distanza di quasi due anni.
Il Tribunale di Roma, a cui era stato presentato il caso in primo grado, si era già espresso a favore della natura perentoria dei termini, rilevando come “la natura afflittiva della potestà sanzionatoria imponesse la tempestività dell’intero procedimento” anche al fine di “garantire che l’accertamento della violazione non fosse troppo distante dalla sua punizione ed assicurare che l’irrogazione della sanzione conseguisse il suo obiettivo di effettività e avesse capacità dissuasiva”.
Il Garante privacy tuttavia presentava ricorso avverso la sentenza del Tribunale di Roma, ritenendo che questi avesse “errato nel ritenere che il termine di conclusione procedimentale abbia carattere perentorio, in assenza di un’espressa previsione normativa in questo senso”.
La Cassazione, con una sentenza alquanto lineare, rigetta il ricorso del Garante e riconosce la perentorietà dei termini procedimentali sulla base delle seguenti argomentazioni.
Riprendendo una precedente pronuncia della stessa Cassazione (la n. 18583/2025, commentata da questo Studio, qui), i giudici ermellini ricordano che il procedimento dinanzi al Garante privacy consta di due fasi, “logicamente e cronologicamente distinte”: la prima è una fase investigativa o preistruttoria, la seconda è la vera e propria fase sanzionatoria in senso stretto.
Soltanto una volta che la fase investigativa può dirsi esaurita, qualora ritenga si siano effettivamente realizzate una o più violazioni, il Garante può avviare la seconda fase “notificando al titolare o al responsabile le presunte violazioni”.
Dunque, scrive la Cassazione, il termine individuato dal Garante stesso nel proprio regolamento interno, pari a 120 giorni, “decorre dal definitivo accertamento dell’illecito ed impone l’esercizio del potere sanzionatorio”.
Oltre a chiarire una volta per tutte il corretto computo dei termini, la Cassazione specifica che tale termine ha natura perentoria e non potrebbe esserci conclusione diversa dal momento che “la predefinizione legislativa di un limite temporale per l’emissione di una sanzione espressiva della potestà punitiva della pubblica amministrazione, il cui inutile decorso produca la consumazione del potere stesso, risulta coessenziale ad un sistema sanzionatorio coerente con i parametri costituzionali di sicurezza giuridica e diritto di difesa”. La mancanza di un termine finale perentorio, al contrario, collocherebbe l’autorità titolare della potestà punitiva “in una posizione ingiustificatamente privilegiata che, nell’attuale contesto ordinamentale, si configura come un anacronistico retaggio della supremazia speciale della pubblica amministrazione”.
Secondo la Cassazione, in altre parole, la previsione di un preciso limite temporale per l’irrogazione della sanzione “tutela la certezza giuridica (in termini di prevedibilità delle conseguenze derivanti dalla reazione autoritativa alla violazione di un precetto pubblico, con finalità di prevenzione speciale e generale) e l’effettività del diritto di difesa dei consociati (la quale richiede una contiguità temporale tra l’accertamento dell’illecito e l’applicazione della sanzione)”.
Grazie a questa pronuncia la Cassazione va nella direzione di assicurare un equilibrio tra efficacia dell’azione amministrativa e tutela dei diritti dei destinatari, rafforzando al contempo la certezza giuridica e la coerenza del sistema sanzionatorio con i principi costituzionali.
______
*Avv. Laura Greco – Studio legale Finocchiaro
