Garante può multare anche dopo un anno

Chiarezza sui termini

La I° Sezione Civile della Corte di Cassazione, con la sentenza n. 22791 pubblicata il 6 luglio 2026, affronta la tematica del mancato rispetto del termine previsto per la definizione di un reclamo davanti al Garante per la protezione dei dati personali.

Consiglio: il corso Maggioli “Dal GDPR alla Legge AI”, con Michele Iaselli, nasce per dare ai professionisti un modello operativo per integrare AI e dati in modo sostenibile e difendibile (SCOPRI IL PROGRAMMA E ISCRIVITI CLICCANDO QUI). Il webinar è in sconto del 30% per tutte l’estate!.

Il dubbio da sciogliere è stato il seguente: ciò comporta la perdita del potere di irrogare una sanzione amministrativa? La replica dei giudici di legittimità è stata negativa. Hanno infatti argomentato che il termine massimo di un anno previsto dalla normativa per decidere sul reclamo dell’interessato non determina la decadenza del potere sanzionatorio del Garante.

Quest’ultimo rimane soggetto a una disciplina autonoma e distinta, che trova il proprio riferimento nel Codice della privacy e nella disciplina generale delle sanzioni amministrative (legge n. 689/1981).

Sanzione a una casa editrice

La vicenda origina dalla pubblicazione di un libro nel quale erano stati riportati dati personali relativi ai figli di un soggetto coinvolto in una vicenda giudiziaria.

A seguito di un reclamo presentato nel maggio 2021, il Garante Privacy aveva principiato un procedimento verso la società editrice, contestando la diffusione illecita di dati personali.

Nel marzo 2023 l’Autorità aveva emesso un’ordinanza-ingiunzione irrogando la sanzione di 2.000 euro. La società editrice aveva impugnato il provvedimento sostenendo che il Garante fosse ormai decaduto dal proprio potere sanzionatorio, in quanto risultavano oramai trascorsi circa ventidue mesi tra la presentazione del reclamo e la notifica della sanzione. A seguito della sconfitta davanti al Tribunale, la questione è approdata in Cassazione.

Reclamo e sanzione, due procedimenti diversi

Focus della decisione è la distinzione operata dalla Corte tra il procedimento di reclamo e quello sanzionatorio.

I giudici rimarcano che il reclamo costituisce lo strumento tramite il quale un interessato segnala una possibile violazione della normativa sulla protezione dei dati personali e chiede l’intervento del Garante. Tale procedura deve essere definita, di regola, entro nove mesi dalla presentazione e, nei casi più complessi, entro dodici mesi.

Tuttavia, sempre secondo la Cassazione, la fase che conduce all’irrogazione di una sanzione amministrativa rappresenta un procedimento autonomo. Il reclamo può costituire il presupposto che attiva l’attività del Garante; tuttavia, la successiva decisione sull’eventuale sanzione segue regole proprie e risponde a finalità differenti.

Mentre il reclamo è diretto alla tutela dell’interesse individuale del soggetto che denuncia la violazione, la sanzione amministrativa assolve una funzione pubblicistica, indirizzata a garantire il rispetto della normativa e a prevenire future violazioni tramite un effetto deterrente.

Termine di un anno, non è scadenza del potere sanzionatorio

La Corte rileva che il termine annuale di cui all’articolo 143 del Codice della privacy è stato introdotto per garantire al reclamante una risposta tempestiva da parte dell’Autorità. Anche ove si volesse attribuire indole perentoria a tale termine, esso non potrebbe essere trasferito in modo automatico al procedimento sanzionatorio. Le due procedure, infatti, perseguono finalità differenti e risultano regolamentate da disposizioni normative autonome.

Per i giudici il legislatore non ha previsto che lo spirare del termine di un anno determini l’estinzione del potere sanzionatorio del Garante. Quest’ultimo continua, pertanto, a essere esercitabile entro il più esteso termine previsto dalla disciplina delle sanzioni amministrative.

La Cassazione richiama altresì il principio secondo cui i giudici non possono introdurre, tramite l’interpretazione, un termine decadenziale che il legislatore non ha previsto in modo espresso. Una scelta di tale portata richiederebbe infatti un intervento normativo e un bilanciamento degli interessi in gioco che spetta al Parlamento e non all’autorità giudiziaria.

Importanza della contestazione tempestiva

La sentenza chiarisce tuttavia che esiste un limite temporale rilevante: quello relativo alla contestazione dell’illecito. La normativa prevede, infatti, che il Garante debba notificare le presunte violazioni entro determinati termini decorrenti dall’accertamento dei fatti.

Questo rappresenta l’autentico momento di garanzia per il destinatario del procedimento, in quanto consente di conoscere in tempi ragionevoli le contestazioni mosse dall’Autorità e di esercitare il proprio diritto di difesa. Diverso risulta invece il termine per la conclusione dell’intero iter sanzionatorio, che non coincide col termine annuale previsto per il reclamo.

Privacy e diritto di cronaca, confermata la sanzione

La Corte, ulteriormente, ha affrontato il merito della vicenda editoriale. Pur riconoscendo l’interesse pubblico dei fatti narrati nel volume, i giudici hanno ritenuto corretta la valutazione del Tribunale secondo cui la pubblicazione di altri elementi identificativi dei figli del condannato, quali titoli di studio e professioni esercitate, eccedeva il limite dell’essenzialità dell’informazione.

Per il collegio di legittimità tali dettagli non erano necessari per comprendere la vicenda narrata e neppure erano giustificati dall’interesse pubblico, in quanto le persone coinvolte non rivestivano ruoli pubblici né godevano di particolare notorietà. La decisione ribadisce in tal modo un principio consolidato nel diritto della privacy: anche quando si esercitano libertà fondamentali quali il diritto di cronaca e la libertà di espressione, devono essere rispettati i criteri di pertinenza, proporzionalità ed essenzialità delle informazioni diffuse.

Precedente destinato a impattare sul futuro

La pronuncia in disamina assume notevole importanza in quanto affronta una tematica che aveva generato un intenso dibattito giurisprudenziale: la natura dei termini procedurali nei procedimenti sanzionatori delle autorità indipendenti.

La Cassazione conferma un indirizzo favorevole alla distinzione tra termini destinati a garantire la tempestività dell’azione amministrativa e termini realmente idonei a determinare la perdita del potere sanzionatorio. Il pronunciamento rappresenta, quindi, un punto di riferimento per future controversie in materia di protezione dei dati personali e contribuisce a definire con maggiore precisione il rapporto tra tutela della privacy, certezza del diritto e poteri delle autorità amministrative indipendenti.