Sanzioni privacy, il termine di 120 giorni inizia dalla piena conoscenza della violazione

La Corte di cassazione, sezione I civile - con l’ordinanza n, 24998/2026 - ha chiarito che, nel procedimento sanzionatorio dell’Autorità di controllo per la protezione dei dati personali, occorre distinguere nettamente due fasi consequenziali ma autonome:
- l’istruttoria preliminare, soggetta soltanto a un termine meramente ordinatorio, e
- il successivo procedimento sanzionatorio in senso stretto, che deve invece essere avviato entro un termine perentorio decorrente dall’accertamento della violazione contestata.

Tale accertamento, però, non coincide affatto con la semplice constatazione materiale del fatto segnalato dal titolare del trattamento, bensì con il momento in cui l’Autorità ha maturato una ponderata e completa valutazione degli elementi costitutivi dell’illecito, potendo quindi reiterare richieste istruttorie e trattare congiuntamente più episodi collegati tra loro, senza che ciò renda automaticamente tardiva la successiva contestazione formale degli addebiti al titolare del trattamento coinvolto.

Un ente pubblico previdenziale aveva segnalato all’Autorità di controllo tre distinti episodi di violazione dei dati personali verificatisi nell’ambito di un servizio online riservato agli utenti iscritti, attraverso il quale alcuni soggetti avevano potuto visualizzare, e in un caso persino scaricare, informazioni personali riferite ad altri iscritti al medesimo portale.

L’Autorità aveva richiesto chiarimenti in più occasioni e, dopo aver ricevuto risposte progressive dall’ente, aveva infine notificato la contestazione formale delle violazioni, irrogando una sanzione pecuniaria e disponendo la pubblicazione del provvedimento sul proprio sito istituzionale.

L’ente aveva impugnato il provvedimento davanti al giudice ordinario, ottenendo l’annullamento parziale della sanzione relativa al primo episodio, ritenuto tardivamente contestato, e una riduzione dell’importo dovuto per l’ultimo episodio, quello riconducibile a un errore nel rilascio di una versione non aggiornata del software gestionale.

La forza innovativa di questa ordinanza sta nel modo in cui viene finalmente sciolto un nodo pratico che da tempo affliggeva enti pubblici e imprese destinatari di contestazioni per violazioni della disciplina sulla protezione dei dati personali: quando inizia davvero a scorrere il termine entro cui l’Autorità deve contestare formalmente l’illecito, pena la decadenza dal potere sanzionatorio.

Fino a oggi si registrava una tensione tra due esigenze opposte:
- quella dei soggetti indagati a conoscere in tempi rapidi l’accusa mossa nei loro confronti, e
- quella dell’Autorità di controllo a condurre un’istruttoria realmente completa prima di formalizzare una contestazione, evitando addebiti approssimativi o affrettati che rischierebbero di essere smentiti in sede di successiva difesa.

La Corte sceglie una via di equilibrio che appare al tempo stesso solida sul piano dei principi e utile sul piano operativo. Da un lato, ribadisce che il termine per l’apertura del procedimento sanzionatorio vero e proprio è perentorio, e dunque la sua violazione comporta l’illegittimità dell’intero provvedimento successivamente adottato: su questo fronte nessuna incertezza, a tutela della prevedibilità dell’azione amministrativa e del diritto di difesa del titolare del trattamento interessato.
Dall’altro lato, e qui sta il cuore della novità, la Corte chiarisce che il dies a quo di quel termine non coincide con il primo momento in cui l’Autorità viene a conoscenza del fatto potenzialmente illecito, ma con il momento successivo in cui essa, attraverso un’attività istruttoria adeguata e non meramente dilatoria, giunge a una vera e propria valutazione ponderata della sussistenza degli elementi costitutivi dell’infrazione contestata.

Questo significa che l’Autorità può legittimamente richiedere più chiarimenti, anche a distanza di tempo, e può scegliere di trattare insieme più episodi segnalati separatamente, quando ciò risponda a un’esigenza di comprensione unitaria e coerente della vicenda complessiva, senza che il tempo così impiegato faccia scattare automaticamente la tardività della contestazione finale mossa al titolare del trattamento.

Un simile approccio, mutuato dalla consolidata esperienza maturata in materia di sanzioni finanziarie e di vigilanza bancaria, dove da tempo si distingue tra semplice constatazione dei fatti e loro effettivo accertamento tecnico-giuridico, viene qui trasferito con naturalezza al terreno della protezione dei dati personali, un ambito relativamente giovane, ma già caratterizzato da procedimenti sanzionatori sempre più frequenti e tecnici.

La pronuncia offre così agli operatori, pubblici e privati, un criterio pratico prezioso e immediatamente spendibile: il giudice, chiamato a valutare la tempestività della contestazione, non deve guardare al giorno della prima segnalazione, ma deve ricostruire, caso per caso, il momento in cui l’istruttoria avrebbe potuto ragionevolmente considerarsi conclusa, tenendo conto della complessità della vicenda, del numero di episodi coinvolti e della necessità di un contraddittorio informativo con il soggetto indagato prima dell’apertura della fase sanzionatoria.

Ne discende un temperamento importante rispetto a letture eccessivamente formalistiche del principio di celerità, che rischierebbero di trasformarsi in un facile scudo di impunità per chi abbia commesso violazioni complesse e articolate, richiedenti tempo e approfondimento per essere compiutamente comprese e sanzionate dall’Autorità competente.

La decisione, in definitiva, restituisce respiro e concretezza all’azione dell’Autorità di controllo, senza tuttavia rinunciare alla garanzia della perentorietà del termine una volta che l’accertamento sia davvero maturo e completo, in un delicato bilanciamento tra efficacia della vigilanza pubblica e certezza del diritto per i destinatari dei provvedimenti sanzionatori, equilibrio destinato a orientare i futuri procedimenti in materia di data breach e di violazioni della disciplina privacy.