Un anno per decidere, centoventi giorni per contestare, cinque anni per prescrivere, numeri sostanzialmente che sembrano dettagli da manuale di procedura, ma che in realtà decidono le sorti di un intero procedimento sanzionatorio, in un senso o nell’altro.
Chi si occupa quotidianamente di procedimenti davanti al Garante per la protezione dei dati personali conosce bene la tentazione, spesso presente nelle strategie difensive, di puntare sulla decadenza del potere sanzionatorio per il mancato rispetto del termine annuale previsto per la definizione dei reclami. Una recente pronuncia della Corte di Cassazione, la sentenza civile n. 24861 del 31 agosto 2026, offre l’occasione per fare chiarezza, con conseguenze pratiche rilevanti tanto per chi assiste il reclamante quanto per chi difende il soggetto sanzionato.
Il caso all’origine della pronuncia
Alla base della vicenda vi era la sanzione irrogata a una società editrice per aver pubblicato, in un articolo, dati personali riferiti ai figli di una persona condannata per abusi su minori, in violazione dei principi di essenzialità dell’informazione e del diritto all’oblio.
Il reclamo era stato presentato dagli interessati nel maggio 2021; a seguito dell’istruttoria, il Garante aveva avviato il procedimento sanzionatorio alcuni mesi dopo, irrogando la sanzione, pari a 20.000 euro, solo nel marzo 2023. La società ricorrente aveva eccepito la decadenza del potere sanzionatorio per l’inosservanza del termine annuale previsto per la definizione del reclamo. La Cassazione ha respinto il ricorso, e nel farlo ha tracciato una distinzione che merita di essere scomposta nei suoi elementi.
Tre termini, tre nature giuridiche diverse
Il primo termine è quello annuale entro cui il Garante deve definire il reclamo. La Cassazione ne conferma la natura ordinatoria, non perentoria. Si tratta di un termine posto a garanzia della sollecita conclusione del procedimento promosso dalla parte, ma il suo superamento non produce alcun effetto estintivo sul potere dell’Autorità di accertare la violazione e di sanzionarla. È una precisazione tutt’altro che scontata, perché smentisce un argomento difensivo ricorrente nella prassi contenziosa.
Il secondo termine riguarda la prescrizione del potere sanzionatorio in sé considerato. Su questo fronte, la Cassazione richiama l’articolo 28 della legge 24 novembre 1981, n. 689, che prevede una prescrizione quinquennale decorrente dalla commissione del fatto.
È bene sottolineare che questo termine è del tutto autonomo e distinto rispetto al termine annuale per la definizione del reclamo: il primo attiene alla fattispecie costitutiva del potere sanzionatorio, il secondo alla mera tempistica procedimentale legata all’istanza di parte.
Il terzo termine, probabilmente il più delicato sotto il profilo applicativo, è quello di centoventi giorni, elevato a trecentosessanta per i soggetti residenti all’estero, entro cui l’Autorità deve notificare la contestazione della violazione. Qui la Cassazione precisa un punto essenziale. Questo termine, a differenza di quello annuale, ha natura perentoria, ma decorre non dalla mera acquisizione della notizia della possibile violazione, bensì dall’accertamento definitivo della stessa, da apprezzare secondo criteri di ragionevolezza e congruità rispetto alla complessità dell’istruttoria.
Le due fasi del procedimento sanzionatorio
Per comprendere appieno la portata di questa terza distinzione, la pronuncia in commento richiama un precedente della stessa Corte, la sentenza n. 18583 dell’8 luglio 2025, che aveva già chiarito come l’attività del Garante finalizzata all’accertamento delle violazioni e all’irrogazione delle sanzioni si articoli in due fasi distinte sul piano logico e cronologico.
Una prima fase, di natura investigativa o preistruttoria, e una seconda, di natura sanzionatoria in senso stretto. Il termine di centoventi giorni previsto dal punto 2 dell’allegato B al regolamento del Garante n. 2/2019 si riferisce esclusivamente alla seconda fase e decorre dalla conclusione della prima, che culmina con l’effettivo accertamento delle violazioni e la notifica della contestazione. Per la fase preistruttoria, invece, non esiste, come chiarito anche in relazione all’articolo 166 del decreto legislativo 30 giugno 2003, n. 196, alcun termine di natura perentoria.
Le implicazioni pratiche per la difesa tecnica
Questa architettura a più livelli ha conseguenze dirette sulla strategia difensiva, sia per chi rappresenta l’interessato che ha presentato il reclamo, sia per chi assiste il soggetto destinatario di un provvedimento sanzionatorio.
Per il primo, la pronuncia conferma che un eventuale ritardo del Garante nella definizione del reclamo non pregiudica in alcun modo la possibilità di ottenere, in seguito, l’accertamento della violazione e l’irrogazione della sanzione: il reclamante non perde alcuna tutela sostanziale per effetto della lentezza procedimentale.
Per il secondo, la pronuncia sposta il baricentro della difesa. Contestare la decadenza per violazione del termine annuale è una strada che la Cassazione ha ormai chiuso in modo netto. La difesa efficace deve invece concentrarsi sulla ricostruzione puntuale della sequenza cronologica del procedimento, data di acquisizione della notizia, data di effettivo completamento dell’istruttoria e accertamento definitivo della violazione, data di notifica della contestazione, per verificare se il termine di centoventi giorni, quello sì perentorio, sia stato effettivamente rispettato a partire dal momento corretto, e se il tempo impiegato per la fase preistruttoria, pur non soggetto a termine perentorio, risulti comunque ragionevole e congruo rispetto alla complessità del caso concreto.
Questo tipo di ricostruzione, che richiede l’analisi puntuale degli atti del fascicolo istruttorio, verbali, richieste di informazioni, corrispondenza con il titolare del trattamento, relazioni tecniche, è un’attività in cui l’affiancamento di una competenza tecnico-giuridica specifica in materia di protezione dei dati può fare la differenza tra un’eccezione processuale mal posta e una difesa realmente fondata sulle scansioni temporali effettive del procedimento.
Conclusioni
La sentenza n. 24861/2026 consolida un orientamento che restituisce coerenza sistematica alla disciplina dei termini nel procedimento davanti al Garante, distinguendo nettamente la tempistica di cortesia procedimentale, il termine annuale, dalla fattispecie costitutiva del potere sanzionatorio, la prescrizione quinquennale, e dal termine perentorio di notifica della contestazione, quest’ultimo ancorato non alla notizia ma all’accertamento definitivo della violazione.
Conoscere questa architettura è indispensabile per chiunque si trovi, da una parte o dall’altra, a confrontarsi con un procedimento innanzi all’Autorità.
