Il Garante Privacy può sanzionare oltre l’anno

La Corte di Cassazione (sentenza n. 22791/2026, Prima Sezione Civile) ha stabilito che il termine di un anno per decidere su un reclamo al Garante Privacy (art. 143 del d.lgs. n. 196/2003) non limita il potere sanzionatorio dell’Autorità, che resta soggetto solo alla prescrizione quinquennale (art. 28, L. n. 689/1981). Il caso riguarda una casa editrice sanzionata per aver diffuso dati personali non essenziali (titoli di studio e professioni) dei figli di un soggetto condannato in un libro-inchiesta. La sentenza chiarisce anche i limiti del diritto di cronaca in materia di privacy.

Garante Privacy non decade dopo un anno

Con la sentenza n. 22791/2026, pubblicata lo scorso 6 luglio, la Prima Sezione Civile della Corte di Cassazione ha posto fine a una lunga disputa tra una casa editrice e il Garante per la Protezione dei Dati Personali, ribadendo principi fondamentali in materia di sanzioni amministrative per violazione della privacy e limiti del diritto di cronaca.

Il caso origina da un reclamo presentato al Garante il 27 maggio 2021 da due soggetti (figli di un ex allenatore di football americano condannato per gravi reati) i quali lamentavano la diffusione illecita dei propri dati personali all’interno di un libro edito in formato cartaceo e e-book.

Il Garante, dopo un’istruttoria, aveva irrogato alla casa editrice una sanzione di 2.000 euro per violazione degli artt. 5, 6 del GDPR e 137 del Codice Privacy, in quanto il libro riportava non solo i nomi dei figli, bensì anche i titoli di studio conseguiti e le professioni svolte, rendendoli pienamente identificabili.

Decadenza del potere sanzionatorio dopo un anno?

La casa editrice aveva opposto la decadenza del Garante, sostenendo che il provvedimento sanzionatorio (notificato il 20 marzo 2023) fosse stato adottato fuori termine: tra il reclamo (maggio 2021) e la sanzione erano trascorsi 21 mesi, superando il termine di un anno previsto dall’art. 143, comma 3, del d.lgs. n. 196/2003 per la decisione sui reclami.

Il Tribunale aveva respinto l’opposizione, affermando che il termine annuale tutela solo il diritto del reclamante a una celere definizione del procedimento, mentre il potere sanzionatorio del Garante è regolato esclusivamente dal termine quinquennale di prescrizione (art. 28, L. n. 689/1981).

La Cassazione, con la sentenza in commento, ha confermato questa interpretazione, rigettando il ricorso della casa editrice.

Principi di diritto affermati dalla Cassazione

1. Termine annuale per i reclami ≠ decadenza del potere sanzionatorio: la Corte ha chiarito che il termine di un anno (prorogabile a 12 mesi in casi complessi) per decidere su un reclamo non incide sul potere sanzionatorio del Garante, che resta soggetto solo alla prescrizione quinquennale decorrente dal fatto o dall’ultimo atto interruttivo.
   

   “Il termine di un anno è finalizzato esclusivamente alla definizione del reclamo, quale garanzia del diritto del reclamante a ottenere una sollecita conclusione del procedimento da lui promosso. Tale termine non vale, invece, a segnare una scadenza finale per l’esercizio del potere sanzionatorio autonomamente avviato dall’Autorità.”

2. Autonomia tra procedimento di reclamo e procedimento sanzionatorio: la Cassazione ha sottolineato che il reclamo è un atto preistruttorio che può sfociare in un procedimento sanzionatorio distinto, disciplinato dall’art. 166 del Codice Privacy e dalla L. 689/1981. I due procedimenti hanno finalità differenti: il reclamo mira a tutelare l’interesse del singolo (es. cancellazione dati, divieto di diffusione), mentre il procedimento sanzionatorio tutela l’interesse pubblico (repressione delle violazioni e deterrenza).
3. Termine perentorio per la contestazione, non per l’irrogazione della sanzione: il Garante deve contestare le violazioni entro 120 giorni (360 per soggetti esteri) dall’accertamento (non dalla semplice acquisizione della notizia), ma non vige un termine perentorio per emettere la sanzione. La Corte ha richiamato la sentenza n. 18583/2025, che aveva già stabilito che il termine di 120 giorni (previsto dall’allegato B del Regolamento Garante n. 2/2019) decorre dall’accertamento effettivo della violazione, inteso quale “capacità del Garante di valutare ragionevolmente tutti gli elementi costitutivi dell’illecito”.
4. Limiti del diritto di cronaca, l’essenzialità dell’informazione: la Corte ha confermato la legittimità della sanzione anche nel merito, rilevando che la diffusione dei titoli di studio e delle professioni delle figlie del condannato superava il limite dell’essenzialità dell’informazione.
   

   “L’indicazione, oltre che dei nomi, anche dei titoli di studio e delle professioni svolte ha reso possibile la precisa individuazione delle persone, eccedendo il limite dell’essenzialità dell’informazione circa i fatti di interesse pubblico.” Il giudice di merito aveva correttamente applicato i principi del GDPR (art. 5) e del Codice Privacy (art. 137), secondo cui i dati trattati devono essere adeguati, pertinenti e limitati allo scopo (principio di minimizzazione).

Perché questa sentenza è importante per imprese e professionisti

• Per le aziende: la sentenza conferma che il Garante Privacy può sanzionare anche oltre l’anno dal reclamo, purché la contestazione sia tempestiva (entro 120 giorni dall’accertamento). Le imprese devono quindi gestire con attenzione i dati personali in pubblicazioni (libri, articoli, report) per evitare sanzioni.
• Per i giornalisti e editori: il caso ribadisce che non tutti i dati personali possono essere diffusi anche in contesti di interesse pubblico. Occorre valutare la pertinenza e l’essenzialità delle informazioni, soprattutto quando si tratta di soggetti non notori (come le figlie del condannato nel caso di specie).
• Per gli avvocati: la sentenza offre chiari riferimenti giurisprudenziali per difendere i clienti in controversie con il Garante, in particolare sulla distinzione tra termine per i reclami e termine per le sanzioni.

La privacy non è un optional, neanche per la stampa

La sentenza n. 22791/2026 della Cassazione chiude il dibattito sulla decadenza del potere sanzionatorio del Garante Privacy dopo un anno dal reclamo.

In definitiva:

• Il Garante può sanzionare anche oltre i 12 mesi, purché la contestazione sia tempestiva.
• Il diritto di cronaca non è assoluto: i dati personali diffusi devono essere essenziali all’informazione.
• Le imprese devono fare attenzione a come trattano i dati in pubblicazioni, anche quando si tratta di fatti di interesse pubblico.