Due sentenze della Corte di Cassazione chiariscono i termini del procedimento sanzionatorio del Garante per la protezione dei dati personali. Le pronunce n. 24861/2026 e n. 24862/2026, depositate e pubblicate il 31 agosto 2026, affrontano due questioni diverse ma collegate: il termine annuale per decidere sui reclami e quello di 120 giorni previsto per contestare le violazioni.
La Prima Sezione Civile ha distinto le varie fasi del procedimento, separando la gestione del reclamo, l’attività istruttoria e l’eventuale irrogazione della sanzione. Secondo la Corte, il termine di un anno previsto dall’articolo 143, comma 3, del decreto legislativo 196/2003 e dall’articolo 8 del Regolamento del Garante n. 2/2019 riguarda esclusivamente la definizione del reclamo come strumento di tutela diretta dell’interessato.
Il termine annuale non fa decadere l’Autorità
Il superamento di quel termine, quindi, non estingue il potere sanzionatorio. Il procedimento amministrativo diretto a tutelare l’interesse pubblico è autonomo rispetto al reclamo, anche se può essere avviato a seguito di quest’ultimo. Il potere del Garante resta soggetto alla prescrizione quinquennale prevista dall’articolo 28 della legge 689/1981, richiamata dall’articolo 166 del Codice della privacy.
Il principio è stato applicato nel caso di una società editoriale che aveva pubblicato un articolo, tratto da un libro, sulla vicenda penale di una persona condannata per reati commessi ai danni di minori. Il testo riportava anche nome, cognome e informazioni sulle attività sportive e professionali dei figli dell’interessato, presenti al processo. Dopo il reclamo, il Garante aveva imposto una sanzione di 20.000 euro, ritenendo il trattamento dei dati non essenziale rispetto all’interesse pubblico della vicenda.
Il Tribunale di Roma aveva respinto l’opposizione della società, considerando rilevante anche il decorso del tempo ai fini del diritto all’oblio. La Cassazione ha rigettato il ricorso e ha confermato che la pubblicazione dei dati identificativi dei figli, privi di notorietà e ruoli pubblici, non era giustificata, a differenza delle informazioni relative al genitore coinvolto nel processo.
Da quando decorrono i 120 giorni
La seconda pronuncia riguarda il termine per la contestazione delle violazioni, qualificato come perentorio. La controversia nasceva da una sanzione di 5.000 euro inflitta a una società che aveva operato come responsabile esterno del trattamento nell’ambito di un servizio di sosta a pagamento, senza un valido atto di nomina.
La Cassazione ha chiarito che il termine di 120 giorni non decorre dalla semplice acquisizione di una notizia o di dati ancora grezzi. Il cosiddetto definitivo accertamento si realizza quando l’Autorità dispone degli elementi necessari per valutare la violazione, sia sotto il profilo oggettivo sia sotto quello soggettivo, anche attraverso il confronto con il soggetto interessato.
Nel caso esaminato, la nota trasmessa dall’ente committente nel febbraio 2020 non era sufficiente a definire la posizione della società. La piena conoscenza della condotta contestata è stata acquisita soltanto dopo la risposta della società, fornita nel luglio 2021 su richiesta del Garante. Per questo la Corte ha cassato la decisione del Tribunale, che aveva fatto decorrere il termine dalla mera constatazione dei fatti, confermando l’orientamento già espresso nelle sentenze n. 18583/2025 e n. 984/2026.
