GARANTE PRIVACY: PUÒ SANZIONARE ANCHE DOPO UN ANNO DAL RECLAMO? CASSAZIONE N. 22791/2026

Il principio affermato dalla Cassazione

Con la sentenza n. 22791 del 6 luglio 2026, depositata il 7 luglio, la Prima Sezione civile della Corte di cassazione ha chiarito che il termine di un anno previsto dall’art. 143, comma 3, del d.lgs. n. 196/2003 per la decisione sul reclamo presentato al Garante per la protezione dei dati personali non costituisce un termine finale di decadenza dal potere sanzionatorio dell’Autorità. Il procedimento che trae origine dal reclamo e quello finalizzato all’irrogazione di una sanzione amministrativa sono distinti per funzione e disciplina. Resta necessario che la contestazione della violazione sia tempestiva, secondo le regole specifiche e l’interpretazione della giurisprudenza, mentre il potere sanzionatorio è soggetto alla prescrizione quinquennale di cui all’art. 28 della legge n. 689/1981. La sentenza, dunque, non autorizza ritardi illimitati e non rende irrilevante il tempo trascorso: esclude una particolare causa di decadenza, lasciando operanti gli altri limiti.

Una vicenda editoriale che diventa una questione di diritto amministrativo sanzionatorio

La controversia nasce dalla pubblicazione di un libro-inchiesta dedicato a una vicenda giudiziaria di interesse pubblico. Nell’opera venivano riportate informazioni sui figli della persona condannata, compresi i titoli di studio conseguiti e le professioni svolte. I soggetti interessati lamentavano che quei dati personali fossero superflui rispetto alla narrazione dei fatti e consentissero una loro identificazione particolarmente precisa. Il reclamo fu presentato il 27 maggio 2021. All’esito dell’istruttoria il Garante irrogò alla casa editrice una sanzione amministrativa pecuniaria di 2.000 euro. Il provvedimento fu notificato nel marzo 2023, quando era trascorso oltre un anno dalla presentazione del reclamo. La casa editrice contestò sia la tempestività dell’esercizio del potere sanzionatorio sia la valutazione relativa all’essenzialità dei dati diffusi.

Il percorso processuale: dall’opposizione alla Cassazione

La società editrice impugnò il provvedimento del Garante davanti al giudice ordinario. L’opposizione fu respinta e la controversia giunse davanti alla Corte di cassazione. La difesa della società sosteneva, in particolare, che il termine annuale previsto per decidere il reclamo dovesse operare anche quale limite temporale al potere di irrogare una sanzione. Una diversa interpretazione, secondo la ricorrente, avrebbe consentito all’Autorità di mantenere per un periodo eccessivamente lungo una posizione di incertezza nei confronti del soggetto sottoposto al procedimento. La Corte ha rigettato il ricorso, confermando la distinzione tra procedimento sul reclamo e procedimento sanzionatorio. Ha inoltre ritenuto non censurabile, nei limiti del giudizio di legittimità, la valutazione del giudice di merito sulla non essenzialità delle informazioni personali diffuse.

Il reclamo al Garante: natura e finalità

Il reclamo è uno degli strumenti mediante i quali l’interessato può rivolgersi all’Autorità di controllo per lamentare un trattamento dei dati personali ritenuto contrario alla disciplina vigente. Il GDPR riconosce tale facoltà nell’art. 77, mentre il Codice privacy italiano contiene disposizioni sulla presentazione e definizione del reclamo. L’obiettivo immediato è ottenere un intervento dell’Autorità a tutela dei diritti dell’interessato: il Garante può svolgere accertamenti e adottare, ricorrendone i presupposti, misure correttive. La tutela del reclamante non coincide però necessariamente con l’irrogazione di una sanzione pecuniaria. Il reclamo può condurre a misure diverse e l’Autorità può esercitare poteri di controllo e sanzione anche in contesti non riducibili alla domanda del singolo reclamante. Questa differenza funzionale è il primo pilastro della sentenza.

Il termine annuale previsto dall’art. 143, comma 3, del Codice privacy

L’art. 143, comma 3, del d.lgs. n. 196/2003 disciplina la definizione del procedimento sul reclamo, prevedendo il termine di un anno nei termini e con le possibili sospensioni stabiliti dalla normativa applicabile. La Cassazione ne identifica la funzione: garantire al reclamante che la propria istanza riceva una risposta entro un arco temporale ragionevole. Non si tratta, invece, di una disposizione che regola in modo esaustivo il procedimento sanzionatorio avviato nei confronti del titolare del trattamento. La formulazione normativa e la collocazione sistematica impediscono di trasformare automaticamente quel termine in una causa di decadenza dal potere punitivo. Per la Corte, attribuirgli tale effetto significherebbe estendere una previsione destinata alla tutela del reclamante a un procedimento diverso, senza una base legislativa espressa.

Il procedimento sanzionatorio è autonomo

Il procedimento volto all’applicazione di una sanzione amministrativa per violazioni della normativa sui dati personali è regolato da una disciplina specifica, che comprende il GDPR, il Codice privacy e, per i profili richiamati, la legge n. 689/1981. La finalità non è semplicemente rispondere al reclamante, ma accertare una violazione e valutare l’eventuale applicazione di una misura afflittiva nell’interesse pubblico. Sono differenti i soggetti coinvolti, gli atti rilevanti e le garanzie procedimentali. La Cassazione valorizza questa autonomia per escludere che il termine annuale del reclamo possa essere trasportato senza mediazioni sul piano della sanzione. L’esistenza di un collegamento fattuale tra reclamo e istruttoria sanzionatoria non determina identità giuridica dei due procedimenti. La distinzione impone al difensore di individuare esattamente quale termine sia stato violato e quale conseguenza la legge vi ricolleghi.

Termine perentorio, termine ordinatorio e prescrizione: tre concetti da non confondere

Il termine perentorio è accompagnato dalla perdita del potere o della facoltà quando la legge prevede tale conseguenza. Il termine ordinatorio disciplina la durata di un’attività, ma il suo superamento non comporta automaticamente l’invalidità degli atti successivi. La prescrizione, invece, incide sull’esercizio di un diritto o di una pretesa decorso il periodo previsto, secondo le regole sulla decorrenza e sull’interruzione. Nel contenzioso privacy è essenziale non utilizzare questi concetti come sinonimi. L’art. 143, comma 3, ha una finalità di sollecita definizione del reclamo; la contestazione dell’illecito segue regole specifiche di tempestività; la pretesa sanzionatoria è soggetta alla prescrizione quinquennale. La sentenza n. 22791/2026 riguarda proprio il rifiuto di ricavare una decadenza sanzionatoria dal semplice decorso del termine destinato al reclamo.

La prescrizione quinquennale dell’art. 28 della legge n. 689/1981

L’art. 28 della legge n. 689/1981 prevede, per il diritto a riscuotere le somme dovute per le violazioni amministrative, il termine di prescrizione di cinque anni, con le regole pertinenti agli atti interruttivi. La Cassazione richiama questa disciplina nel quadro del potere sanzionatorio del Garante. Il riferimento al quinquennio non significa che ogni sanzione emessa entro cinque anni sia automaticamente legittima. Occorre sempre verificare la tempestività della contestazione, il corretto accertamento della violazione, le garanzie partecipative, la motivazione, la proporzionalità e le ulteriori condizioni di legge. La prescrizione è un limite distinto da quelli che regolano la fase istruttoria. Il difensore deve ricostruire cronologicamente gli atti e verificare l’eventuale presenza di fatti interruttivi o di specifiche disposizioni applicabili alla fattispecie.

I 120 giorni per la contestazione della violazione

Un secondo termine fondamentale è quello di 120 giorni previsto, secondo la disciplina applicabile, dall’allegato B del regolamento del Garante n. 2/2019 per la contestazione della violazione, con un termine più ampio per determinate situazioni transfrontaliere o soggetti esteri. La Cassazione distingue questo limite dal termine annuale per decidere il reclamo. Il termine di contestazione decorre dall’accertamento effettivo dell’illecito, inteso non come mera notizia di un possibile comportamento irregolare, ma come acquisizione degli elementi necessari per una valutazione ragionevole dei fatti e della loro rilevanza giuridica. La corretta individuazione del dies a quo è spesso la questione più delicata. Non basta confrontare la data del reclamo con quella della sanzione: occorre stabilire quando l’Autorità avesse completato gli accertamenti necessari alla contestazione.

L’accertamento effettivo e il dies a quo

Il momento iniziale del termine per contestare la violazione non coincide automaticamente con la ricezione del reclamo, con una prima segnalazione o con la conoscenza di un fatto isolato. L’Autorità può dover acquisire documenti, chiedere chiarimenti, verificare i ruoli dei soggetti coinvolti e ricostruire il trattamento contestato. Tuttavia, l’accertamento non può essere differito arbitrariamente: il momento rilevante deve essere ricostruito alla luce delle attività concretamente necessarie e della loro ragionevole durata. Una contestazione tardiva può dunque essere censurata anche quando il termine annuale del reclamo non produca la decadenza invocata dalla società editrice. Per questa ragione, in giudizio è importante richiedere e analizzare il fascicolo istruttorio, le comunicazioni e le date di acquisizione degli elementi decisivi.

Il rapporto con Cassazione n. 18583/2025

La sentenza n. 22791/2026 si confronta con precedenti in materia di tempestività della contestazione delle violazioni privacy, tra cui Cassazione n. 18583/2025. Il punto comune è la necessità di collegare il termine alla fase in cui l’Autorità dispone di elementi sufficienti per contestare l’illecito. Non è corretto presentare tale orientamento come un’autorizzazione a prolungare senza limiti l’istruttoria. La tempestività rimane una garanzia per il soggetto sottoposto al procedimento, perché una contestazione troppo distante dai fatti può rendere più difficile reperire prove e organizzare la difesa. La sentenza del 2026, tuttavia, colloca il termine dei 120 giorni nella fase che precede la contestazione, distinguendolo dalla successiva decisione finale di irrogazione della sanzione.

Il precedente Enel e il problema dei tempi del Garante

Nel dibattito giurisprudenziale precedente, le decisioni relative a procedimenti sanzionatori del Garante, spesso richiamate attraverso il cosiddetto filone Enel, avevano dato particolare rilievo alla certezza dei tempi dell’azione amministrativa. Il problema generale è se il soggetto sottoposto a un procedimento afflittivo debba poter individuare un limite temporale certo oltre il quale l’Autorità non possa più decidere. La sentenza n. 22791/2026 affronta la questione distinguendo le diverse fasi e negando che il termine annuale del reclamo possa fungere da scadenza finale della sanzione. Questa ricostruzione è stata oggetto di discussione in dottrina, proprio perché la tutela della tempestività deve essere conciliata con la mancanza di un termine legislativo generale di conclusione del procedimento sanzionatorio.

Il caso Report e le possibili tensioni interpretative

Un altro precedente discusso in relazione ai tempi del Garante riguarda le sanzioni connesse alla diffusione di informazioni in ambito giornalistico, spesso richiamate nel dibattito come caso Report. Parte della dottrina ha osservato che la sentenza n. 22791/2026 potrebbe essere letta in tensione con alcune ricostruzioni precedenti, soprattutto riguardo al ruolo del termine di 120 giorni. Il problema non deve essere semplificato come se la Cassazione avesse cancellato ogni garanzia temporale: la Corte mantiene ferma la necessità della contestazione tempestiva. È però corretto segnalare che la qualificazione del termine e il suo collocamento nella sequenza procedimentale possono produrre risultati diversi. L’avvocato che intenda eccepire la tardività deve quindi confrontare la fattispecie concreta con la precisa ratio dei precedenti invocati.

La Corte costituzionale n. 151/2021

La sentenza richiama la Corte costituzionale n. 151/2021, che ha sottolineato l’importanza della certezza temporale nei procedimenti amministrativi di natura afflittiva. La Consulta ha evidenziato che la sola prescrizione quinquennale non è, di per sé, sempre adeguata a garantire la certezza della posizione dell’incolpato e l’effettività del diritto di difesa. La vicinanza temporale tra accertamento e applicazione della sanzione ha infatti un valore garantista. La Cassazione n. 22791/2026 riconosce la rilevanza del problema, ma osserva che non spetta al giudice introdurre, attraverso un’interpretazione creativa, un termine di decadenza ricavato da una norma destinata a una finalità diversa. La scelta di un limite generale richiede un intervento normativo e un bilanciamento degli interessi affidato al legislatore.

La separazione dei poteri nella motivazione

La Corte si confronta con una difficoltà sistematica: l’esigenza di garantire tempi ragionevoli dell’azione sanzionatoria è concreta, ma non tutte le soluzioni possono essere costruite per via interpretativa. Attribuire al termine annuale del reclamo una funzione decadenziale non prevista espressamente significherebbe modificare la struttura del potere sanzionatorio. La Cassazione ritiene che il giudice non possa sostituirsi al legislatore nel definire una nuova scadenza generale. L’argomento non equivale a negare l’importanza della tempestività; riguarda piuttosto la fonte del limite e la necessità di rispettare la distribuzione delle competenze normative. È una distinzione che può avere rilievo anche in altri settori del diritto amministrativo sanzionatorio.

Il termine annuale come parametro di ragionevolezza

Pur escludendo la decadenza automatica, la Cassazione lascia spazio a una valutazione della ragionevolezza dei tempi dell’accertamento. Il termine di dodici mesi previsto per la decisione sul reclamo, considerate le sospensioni ammesse, può costituire un parametro utile per verificare se l’Autorità abbia svolto le proprie attività con la necessaria diligenza. Non si tratta però di un limite rigido che, al suo scadere, annulli ogni successivo provvedimento sanzionatorio. Il difensore può valorizzare la durata complessiva del procedimento, ma deve collegarla a specifiche violazioni delle garanzie o alla tardività della contestazione secondo le regole applicabili. Una mera sottrazione di date non è sufficiente.

Come si ricostruisce la cronologia del procedimento

In una controversia contro una sanzione privacy, la cronologia dovrebbe essere ricostruita a partire dal fatto contestato, dalla prima segnalazione, dal reclamo e dalle richieste istruttorie. Vanno poi individuati gli atti con i quali il Garante ha acquisito elementi decisivi, la comunicazione della contestazione, le difese presentate dal destinatario, le eventuali audizioni e la data del provvedimento finale. Ogni intervallo temporale può avere una diversa rilevanza giuridica. Il reclamo è importante per verificare il rispetto delle garanzie del reclamante; l’accertamento è decisivo per la contestazione; il provvedimento sanzionatorio rileva per gli ulteriori limiti e per la prescrizione. Solo una ricostruzione documentata consente di formulare eccezioni attendibili.

Perché la sanzione di 2.000 euro non è un caso minore

L’importo della sanzione irrogata alla casa editrice era relativamente contenuto rispetto ai massimali astrattamente previsti dal GDPR. La rilevanza della sentenza, tuttavia, non dipende dall’entità economica della sanzione. Il principio sul termine annuale può incidere su procedimenti molto più complessi e su importi elevati, interessando aziende, enti pubblici, piattaforme digitali, professionisti e operatori dell’informazione. La stessa vicenda editoriale solleva inoltre un secondo tema generale: il bilanciamento tra libertà di informazione e diritto alla protezione dei dati personali di soggetti estranei alla notizia principale. La sentenza è quindi significativa sia per il diritto amministrativo sanzionatorio sia per la disciplina sostanziale della privacy.

La seconda questione: il diritto di cronaca e la protezione dei dati

Il ricorso della casa editrice non riguardava soltanto i termini procedimentali. Veniva contestata anche la valutazione secondo cui la pubblicazione dei titoli di studio e delle professioni dei figli del soggetto coinvolto nella vicenda giudiziaria eccedesse i limiti dell’informazione essenziale. La Cassazione ha confermato l’impostazione del giudice di merito, rilevando che l’accertamento era motivato in modo logico e non presentava vizi scrutinabili in sede di legittimità. Il diritto di cronaca può giustificare il trattamento di dati personali quando esiste un interesse pubblico concreto, ma non comporta la possibilità di diffondere qualsiasi informazione su persone collegate indirettamente al protagonista della notizia.

L’essenzialità dell’informazione nel giornalismo

Il criterio dell’essenzialità richiede di verificare se un determinato dato personale sia effettivamente necessario per comprendere una notizia di interesse pubblico. Un’informazione può essere vera e, nondimeno, non essere essenziale alla narrazione. Nel caso del libro-inchiesta, la presenza dei figli nel contesto giudiziario poteva avere un collegamento con la vicenda raccontata; l’indicazione dei loro titoli di studio e delle professioni svolte aggiungeva però elementi identificativi non necessari alla comprensione dei fatti principali. Il giudizio non riguarda un divieto generalizzato di nominare parenti di persone note, ma la necessità di un bilanciamento puntuale tra informazione e riservatezza. Il fatto che una persona sia imparentata con il protagonista di un procedimento non la rende automaticamente personaggio pubblico.

Il principio di minimizzazione dei dati

L’art. 5, paragrafo 1, lettera c), del GDPR richiede che i dati personali siano adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità del trattamento. Il principio di minimizzazione opera anche quando il trattamento è collegato a finalità informative, con le specificità previste per l’attività giornalistica. La valutazione deve concentrarsi sul rapporto tra dato pubblicato e finalità concreta della comunicazione. Se la notizia riguarda una vicenda penale di interesse pubblico, non ogni dettaglio biografico dei familiari del protagonista è per ciò solo pertinente. Nel caso esaminato, il giudice ha ritenuto eccedenti i riferimenti a titoli di studio e professioni. La Cassazione ha considerato tale valutazione adeguatamente motivata.

La libertà di manifestazione del pensiero

L’art. 21 della Costituzione tutela la libertà di manifestazione del pensiero e, con essa, il diritto di informare e di essere informati. La protezione dei dati personali trova a sua volta fondamento nel quadro costituzionale ed europeo, tra cui gli artt. 7 e 8 della Carta dei diritti fondamentali dell’Unione europea. La disciplina non attribuisce una prevalenza automatica e assoluta a uno dei due interessi. Il bilanciamento dipende dal contributo della notizia al dibattito pubblico, dal ruolo della persona interessata, dalla natura dei dati e dalla necessità della loro divulgazione. La sentenza n. 22791/2026 mostra che il valore pubblico di un’inchiesta non rende automaticamente lecita la pubblicazione di ogni dato relativo a soggetti terzi.

L’art. 137 del Codice privacy

L’art. 137 del d.lgs. n. 196/2003 disciplina, nel quadro delle disposizioni applicabili ai trattamenti per finalità giornalistiche, il rapporto tra protezione dei dati e libertà di informazione. Le regole speciali riconoscono il ruolo costituzionale dell’attività giornalistica, ma mantengono rilevanti i principi di correttezza, essenzialità e proporzionalità del trattamento. La casa editrice aveva invocato l’interesse pubblico della vicenda narrata; i giudici hanno ritenuto che le informazioni aggiuntive sui figli non fossero necessarie. La pronuncia non impedisce la pubblicazione di libri-inchiesta o di ricostruzioni giudiziarie. Impone piuttosto un controllo editoriale sui dettagli personali che non contribuiscono in modo sostanziale alla comprensione della notizia.

I familiari di una persona coinvolta in una vicenda giudiziaria

Il rapporto familiare con una persona sottoposta a un procedimento penale non comporta la perdita della riservatezza. I familiari possono essere menzionati quando la loro presenza o condotta è pertinente alla vicenda, ma la pubblicazione di ulteriori elementi identificativi richiede una giustificazione autonoma. Titoli di studio, professioni, luoghi di lavoro e altri dati biografici possono facilitare l’identificazione e incidere sulla vita privata di soggetti estranei ai fatti. La necessità di tali informazioni va valutata rispetto al messaggio informativo concretamente perseguito. Il principio è particolarmente importante per le pubblicazioni digitali, nelle quali la combinazione di più dati può rendere agevole l’individuazione delle persone attraverso motori di ricerca e archivi online.