Il tempo del potere sanzionatorio del Garante privacy. Dai due orologi al controllo di ragionevolezza sull’intervallo contestazione-sanzione

Note critiche a Cass. civ., Sez. I, nn. 22791, 24861 e 24862 del 2026

Abstract

Le tre pronunce della Prima Sezione civile della Corte di cassazione depositate tra luglio e agosto 2026 (nn. 22791, 24861 e 24862) hanno riacceso il dibattito sui termini del procedimento sanzionatorio del Garante per la protezione dei dati personali. Il presente contributo ripercorre i principali indirizzi emersi nei primi commenti dottrinali e istituzionali (da quello orientato a ravvisare un problematico deficit di garanzie, alla lettura che esclude qualunque overruling valorizzando il vincolo del devolutum, sino alla tesi di matrice istituzionale che circoscrive il termine di centoventi giorni alla fase di contestazione) per trarne uno spunto di riflessione ulteriore: non l’introduzione pretoria di un nuovo termine decadenziale, che la Corte ha coerentemente rimesso alla discrezionalità legislativa, bensì l’attivazione di un sindacato giurisdizionale di ragionevolezza sull’intervallo tra contestazione e ordinanza-ingiunzione. Tale controllo, ancorato a categorie già operanti nell’ordinamento (l’eccesso di potere per intempestività ingiustificata, i criteri di quantificazione ex art. 83 GDPR e i canoni europei di cui agli artt. 41 e 47 CDFUE e 6 CEDU), viene delineato secondo un rimedio a doppio binario (incidenza sul quantum della sanzione, di regola; annullamento del provvedimento, in presenza di un concreto pregiudizio per la difesa), idoneo a dare tempestiva attuazione all’esigenza di certezza segnalata dalla Corte costituzionale con la sentenza n. 151/2021.

1. Tre pronunce, un unico Collegio, un interrogativo aperto

Tra l’inizio di luglio e la fine di agosto 2026, la Prima Sezione civile della Corte di Cassazione è tornata a pronunciarsi in rapida successione su una questione nodale: entro quali coordinate temporali debba esplicarsi la potestà sanzionatoria del Garante per la protezione dei dati personali prima che l’inerzia procedimentale ne precluda l’esercizio.

La sentenza n. 22791/2026 ha preso le mosse dall’impugnazione promossa da una casa editrice sanzionata per aver reso identificabili, in un volume d’inchiesta, i figli minori di un soggetto condannato; le sentenze gemelle nn. 24861 e 24862/2026, depositate lo stesso giorno dal medesimo Collegio giudicante, originavano, invece, da una controversia concernente l’affidamento di un servizio di sosta a pagamento sprovvisto della formale designazione del responsabile del trattamento.

La circostanza che le decisioni promanino dal medesimo Collegio, riunitosi nella stessa udienza pubblica, assume un rilievo non secondario; lungi dal rappresentare un mero dato di cronaca giudiziaria, costituisce la chiave ermeneutica per ricomporre l’apparente distonia tra le motivazioni e interpretare il trittico come un disegno concettualmente unitario, ancorché programmaticamente aperto a successivi sviluppi.

2. Il quadro dei precedenti e la mappa dei tre orologi

Per comprendere la portata delle pronunce del 2026 è d’uopo muovere dai precedenti immediati. Con la sentenza n. 18583/2025, la Suprema Corte aveva per la prima volta enucleato, nella scansione dell’iter svoltosi dinanzi all’Autorità di controllo, una netta distinzione tra fase preistruttoria (o investigativa) e fase sanzionatoria in senso stretto, formalmente incardinata dalla notifica delle violazioni ex art. 166, comma 5, del Codice privacy. A quest’ultima fase era stato riferito il termine di 120 giorni previsto dal punto 2 dell’Allegato B al Regolamento interno del Garante n. 2/2019, attribuendovi espressa natura perentoria. Successivamente, Cass. n. 984/2026 aveva dato continuità applicativa a tale principio, annullando un provvedimento sanzionatorio emanato oltre il decorso dei centoventi giorni dalla contestazione e qualificando tale termine quale limite invalicabile della sequenza punitiva.

Per completezza ricostruttiva, va ricordato come la riflessione sul valore conformativo di quel termine avesse già registrato talune perplessità in dottrina sin dal sorgere del contenzioso sfociato nella richiamata sentenza n. 18583/2025: si era infatti rilevato il rischio che equiparare il momento dell’atto di contestazione a un passaggio eccessivamente compresso della procedura potesse andare a detrimento dei tempi fisiologici occorrenti a un pieno dispiegamento del contraddittorio difensivo.

L’assetto procedimentale anteriore alla seconda metà del 2026 appariva, dunque, scandito da tre distinti parametri temporali:

il termine annuale (prorogabile sino a dodici mesi in ipotesi di accertamenti complessi) fissato dall’art. 143, comma 3, del Codice privacy per la definizione del reclamo;
il termine di centoventi giorni di cui all’Allegato B del Regolamento n. 2/2019, correlato alla fase sanzionatoria in senso stretto;
la prescrizione quinquennale generale di cui all’art. 28 della legge n. 689/1981, richiamata dall’art. 166, comma 7, del Codice, operante quale barriera esterna a tutela della sfera soggettiva dell’incolpato.

È su tale struttura a tre livelli che si innestano le pronunce del 2026, determinando una ridefinizione o, secondo l’ottica preferibile, una diversa messa a fuoco, del secondo termine procedimentale.

3. I contenuti tecnici delle tre pronunce di legittimità

Cass. civ., Sez. I, n. 22791/2026. Il cuore motivazionale attiene all’interferenza tra la tempistica del reclamo (ex art. 143 Codice) e l’esercizio del potere sanzionatorio. I giudici di legittimità hanno escluso che l’eventuale inosservanza del termine per la conclusione della fase originata dal reclamo provochi la decadenza dall’azione punitiva: trattasi di sequenze procedimentali ontologicamente autonome, l’una deputata a soddisfare l’interesse del reclamante a un celere riscontro, l’altra incidente sui diritti del presunto autore della violazione e soggetta all’ordinario regime prescrizionale quinquennale. La decisione, pur soffermandosi incidentalmente sul termine di centoventi giorni, ha lasciato impregiudicata la natura (perentoria ovvero ordinatoria) del termine per la definizione del reclamo, sancendo che la relativa sorte non riverbera effetti caducatori sulla distinta sede sanzionatoria.
Cass. civ., Sez. I, n. 24861/2026. I motivi d’impugnazione originariamente formulati dalla parte ricorrente investivano la violazione del termine di cui all’art. 143 e non già il mancato rispetto della scansione di cui all’Allegato B. Soltanto in una memoria illustrativa tardiva era stata eccepita l’eccessiva dilatazione temporale (pari a circa sedici mesi) intercorsa tra la contestazione dell’addebito e l’emissione dell’ordinanza-ingiunzione. Ne discende che le considerazioni svolte dalla Corte, volte a ricondurre i centoventi giorni alla sola notificazione dell’atto di accertamento e non all’adozione del provvedimento conclusivo, si collocano al di fuori dell’oggetto proprio del giudizio d’impugnazione, assumendo la valenza tipica di obiter dictum.
Cass. civ., Sez. I, n. 24862/2026. In tale giudizio la questione dell’inderogabilità del termine di centoventi giorni e del relativo dies a quo costituiva l’oggetto diretto del ricorso proposto dalla stessa Autorità. La Corte ha accolto l’impugnazione non smentendo la natura perentoria del termine (espressamente ribadita richiamando i precedenti del 2025 e dell’inizio 2026), bensì censurando la sentenza di merito per aver anticipato il decorso del termine alla mera acquisizione della notitia criminis amministrativa anziché al compimento della fase di compiuto accertamento degli elementi costitutivi della violazione.

L’analisi strettamente processuale rivela pertanto un quadro lineare ossia che l’unica decisione investita in via principale della perentorietà del termine (la n. 24862) ne ha riaffermato la vigenza per la fase sanzionatoria, laddove l’enunciazione di segno apparentemente opposto (la n. 24861) è maturata incidentalmente a margine di una questione estranea ai motivi del ricorso.

4. La pluralità degli orientamenti maturati nel dibattito

Il deposito del trittico giurisprudenziale ha generato un vivo fermento tra gli interpreti, articolatosi lungo molteplici chiavi di lettura

Un primo orientamento ha evidenziato con preoccupazione il silenzio serbato dall’art. 12 del Regolamento del Garante n. 1/2019 che omette di individuare un termine finale per la conclusione del procedimento successivo all’avvio della contestazione. Se il termine di centoventi giorni viene riferito alla sola fase di accertamento/contestazione, l’intervallo compreso tra quest’ultima e l’ordinanza finale resterebbe privo di termini perentori, presidiato unicamente dalla prescrizione quinquennale. Tale esito viene considerato da questa impostazione difficilmente conciliabile con i principi di affidamento e tutela difensiva richiamati dalla Corte costituzionale nella nota sentenza n. 151/2021.

Un diverso filone dottrinale ha valorizzato il rigoroso perimetro del devolutum processuale, sostenendo che le decisioni del 2026 non integrino alcun mutamento di orientamento rispetto a quanto statuito nel 2025. In tale ottica, il termine di centoventi giorni conserva integrale natura perentoria a presidio dell’intera sequenza sanzionatoria. A conforto di tale lettura si è richiamata, altresì, la circostanza che la mancata rimessione della quaestio alle Sezioni Unite, pur sollecitata dalla difesa erariale, sia indice dell’assenza di un contrasto sincronico all’interno della medesima Sezione.

Secondo la lettura maturata in sede istituzionale, le pronunce del 2026 avrebbero stabilizzato il principio secondo cui il termine regolamentare governa unicamente la tempestività della contestazione, mentre la fase culminante nell’irrogazione della sanzione trova il suo limite di diritto positivo unicamente nella prescrizione quinquennale. Tale assetto non costituirebbe una deroga ingiustificata, ma si allineerebbe alla fisionomia tipica del potere sanzionatorio attribuito alle altre Autorità amministrative indipendenti.

Un’ulteriore corrente analitica si è concentrata sulla rigorosa autonomia tra procedimento di reclamo e procedimento punitivo, evidenziando come la mancata perentorietà del termine dell’art. 143 a fini di decadenza sanzionatoria non escluda l’attivabilità di rimedi alternativi contro l’inerzia amministrativa, tutelando sia l’istante sia il soggetto incolpato.

Da un’angolazione volta a prevenire il contenzioso, è stata infine auspicata l’adozione di un intervento di interpretazione autentica o di integrazione regolamentare da parte della stessa Autorità, idoneo a rimodulare i tempi procedimentali conciliando la salvaguardia del contraddittorio con la fissazione di una soglia temporale certa.

5. Oltre il dilemma del termine astratto

La ricchezza delle argomentazioni emerse nel dibattito muove da un presupposto condiviso: il tentativo di risolvere la problematica ancorando l’intera tenuta del sistema all’individuazione di un termine fisso sia esso regolamentare, giurisprudenziale o di riforma legislativa.

Tuttavia, la stessa giurisprudenza di legittimità ha inteso ribadire un principio di self-restraint: la creazione per via pretoria di un termine di decadenza generale e astratto, a fronte di una scelta legislativa che conosce la sola prescrizione quinquennale, eccederebbe i confini della funzione giurisdizionale, implicando ponderazioni di politica del diritto riservate al Parlamento.

Se tale approccio prudenziale appare formalmente ineccepibile, non pare tuttavia condivisibile trarne la conclusione che l’inerzia procedimentale dell’Autorità rimanga del tutto sottratta alla verifica giurisdizionale fino allo spirare del quinquennio prescrizionale. Accanto alla decadenza (che estingue automaticamente il potere per il mero decorso oggettivo del tempo), l’ordinamento offre infatti una tecnica complementare, cioè il controllo di ragionevolezza in concreto sulla durata dell’intervallo intercorso tra contestazione e ordinanza-ingiunzione.

6. Una proposta di sintesi

La sentenza n. 151/2021 della Corte costituzionale ha evidenziato l’inidoneità della sola prescrizione quinquennale a garantire la piena certezza dei rapporti giuridici, sollecitando il legislatore a interventi di sistema. Riconoscere che il giudice non possa supplire al legislatore inventando un termine decadenziale non equivale a negare la doverosità di un sindacato giudiziale caso per caso sulla ragionevolezza del tempo impiegato per pervenire alla sanzione.

Tale sindacato non postula la creazione di nuove norme, ma poggia su presidi consolidati:

il principio fondamentale di ragionevole durata del procedimento amministrativo sancito dall’art. 2, comma 1, della legge n. 241/1990;
la figura dell’eccesso di potere per intempestività ingiustificata, ove il ritardo sproporzionato si riveli sintomo di alterazione della corretta sequenza procedimentale;
il principio di proporzionalità ed effettività delle sanzioni stabilito dall’art. 83 del Regolamento (UE) 2016/679 (GDPR).

La legittimità di siffatto vaglio trova autorevole conferma nella giurisprudenza della Corte di Giustizia dell’Unione Europea. Con la pronuncia resa nella causa C-588/24 (Imballaggi Piemontesi), affrontando la disciplina procedurale di un’altra Autorità indipendente nazionale, i giudici di Lussemburgo hanno precisato che l’assenza di un termine decadenziale espresso non esclude il dovere di valutare la ragionevolezza della durata della procedura alla luce della complessità della fattispecie e del comportamento delle parti, precludendo all’amministrazione di prolungare stati di inattività lesivi dei diritti difensivi.

Il diritto alla buona amministrazione (espressione dell’art. 41 CDFUE) opera nei confronti delle Autorità nazionali quali principi generali del diritto dell’Unione qualora queste attuino precetti euro-unitari, come costantemente accade nell’applicazione delle sanzioni previste dall’art. 83 GDPR.

A ciò si affianca la prospettiva convenzionale: per la loro entità e per la finalità marcatamente afflittiva e deterrente, le sanzioni amministrative pecuniarie in materia di dati personali ben possono ricondursi alla nozione sostanziale di materia penale elaborata dalla Corte EDU tramite i criteri Engel (secondo l’itinerario interpretativo già sperimentato nella pronuncia Menarini Diagnostics c. Italia). Ne deriva la piena applicabilità delle garanzie del «termine ragionevole» di cui all’art. 6 CEDU, ove la violazione del canone temporale si traduce ordinariamente non nell’automatica invalidazione dell’accertamento, bensì nella decurtazione della sanzione o nella riparazione indennitaria.

Onde attribuire operatività al sindacato, si prospetta un meccanismo rimediale a doppio livello.

Su un primo livello si ponga la regola ordinaria (incidenza sulla quantificazione). Il protrarsi ingiustificato dei tempi dell’iter tra la contestazione dell’addebito e l’adozione del provvedimento finale, pur non inficiando la validità intrinseca dell’ordinanza, assume rilievo quale elemento di ponderazione ai sensi dell’art. 83, par. 2, lett. k), GDPR («ogni altro fattore aggravante o attenuante applicabile alle circostanze del caso») e dell’art. 11 della legge n. 689/1981, legittimando il giudice dell’opposizione a ridurre l’importo della sanzione pecuniaria per la lesione dell’affidamento e il pregiudizio derivante dalla pendenza prolungata.

Sul secondo livello si collochi il rimedio residuale (annullamento del provvedimento). L’annullamento dell’atto sanzionatorio per eccesso di potere deve considerarsi misura eccezionale, limitata alle ipotesi in cui il destinatario alleghi e dimostri l’effettiva compromissione del proprio diritto di difesa riconducibile al decorso del tempo (secondo la logica sostanziale della «prova di resistenza» enucleata dall’art. 21-octies, comma 2, l. n. 241/1990).

La delineazione di un siffatto rimedio potrebbe sollevare due perplessità sistematiche, ritenute, però, superabili.

Sotto il profilo della giurisdizione, si potrebbe obiettare che l’eccesso di potere per ritardo striderebbe con la natura del giudizio di opposizione ex d.lgs. n. 150/2011, tradizionalmente configurato come giudizio sul rapporto sanzionatorio e non sull’atto. È tuttavia insegnamento costante delle Sezioni Unite della Cassazione (a partire da Cass., Sez. Un., n. 1786/2010, sino a Cass., Sez. Un., n. 2145/2021) che la cognizione del giudice ordinario include la piena verifica della legittimità della sequenza procedimentale, ivi compresa la lesione di garanzie che infici la debenza o la misura del credito sanzionatorio.

Sotto il profilo della tutela difensiva, si potrebbe temere che subordinare l’annullamento a una rigorosa prova del pregiudizio configuri una probatio diabolica. Nondimeno, il pregiudizio non si esaurisce nella sola perdita fisica di fonti di prova documentali o informatiche; nel dinamismo organizzativo aziendale e amministrativo, il decorso di anni tra contestazione e sanzione incide fisiologicamente su aspetti strutturali (l’avvicendamento dei Data Protection Officer, la migrazione di piattaforme gestionali, l’esodo di figure apicali o referenti tecnici). La prova richiesta all’opponente concerne, dunque, la dimostrazione puntuale dell’avvenuta alterazione delle condizioni organizzative necessarie a replicare agli addebiti originari.

Tale impostazione non contrasta con alcuno dei decisum delle sentenze del 2026. Essa non presuppone di optare a priori tra le opposte interpretazioni relative alla sede propria dei centoventi giorni: in qualunque assetto procedimentale, ove residui uno spazio privo di soglia decadenziale rigida, il controllo di ragionevolezza caso per caso costituisce il solo strumento di equilibrio idoneo a impedire che l’incolpato rimanga indefinitamente esposto alla pretesa punitiva.

Rimane, tuttavia, evidente un profilo di ordine organizzativo: l’esercizio di un siffatto controllo caso per caso presuppone la capacità dell’organo giudicante di penetrare le specificità tecniche e la complessità organizzativa tipiche delle violazioni privacy (comunicazioni elettroniche, intelligenza artificiale, sanità digitale). L’attribuzione di tali controversie a sezioni civili ordinarie prive di una formale specializzazione nella materia rischia di attenuare l’effettività del controllo. Ne deriva l’opportunità di affiancare alla teorizzazione di rimedi processuali un auspicabile adeguamento organizzativo, volto a favorire la concentrazione di simili contenziosi presso sezioni specializzate.

7. Conclusioni

La serie di decisioni pronunciate dalla Suprema Corte nel 2026 denota una precisa scelta di metodo, quindi; riaffermare l’indisponibilità di termini decadenziali pretorii, rimettendo alla discrezionalità del legislatore la conformazione di soglie temporali certe.

Prendere atto di tale limite non impone, tuttavia, di considerare l’intervallo temporale tra contestazione e provvedimento conclusivo come un’area insindacabile. La valorizzazione del controllo di ragionevolezza e proporzionalità sull’inerzia procedimentale, mediato dal rimedio a doppio binario della riduzione del carico sanzionatorio o, in casi qualificati, dell’annullamento per lesione difensiva, consente di offrire agli operatori uno strumento di tutela attuale ed equilibrato, capace di coniugare il rigore dell’azione dell’Autorità con i principi euro-unitari del giusto procedimento.

Avv. Enrica Priolo