Per anni i procedimenti sanzionatori del Garante per la protezione dei dati personali hanno scontato una caratteristica ricorrente: la dilatazione dei tempi tra il reclamo iniziale e il provvedimento finale. Procedimenti aperti per due, tre anni, talvolta di più, con i soggetti coinvolti sospesi in una condizione di incertezza prolungata e con un'idea diffusa secondo cui i termini interni dell'Autorità avessero natura meramente indicativa. Su questo equilibrio si è inserita una pronuncia della Corte di Cassazione destinata a riscrivere le regole del gioco.
Con la sentenza n. 759/2025 del 16 dicembre 2025, la Suprema Corte ha affermato che i termini perentori delle sanzioni del Garante Privacy non sono una mera categoria dottrinale, ma una realtà operativa. I 120 giorni previsti dal Regolamento interno n. 2/2019 per l'emissione del provvedimento sanzionatorio sono perentori e, una volta decorsi, fanno venir meno il potere stesso dell'Autorità di irrogare la sanzione. Pochi mesi dopo, il Tribunale di Roma ha applicato il principio annullando una sanzione da 150.000 euro inflitta alla RAI nel caso Sangiuliano.
⏱️ La distinzione tra fase investigativa e fase sanzionatoria
Il punto cardine della pronuncia della Cassazione consiste nella separazione netta tra due fasi del procedimento, logicamente e cronologicamente distinte. La distinzione non è un mero esercizio teorico: incide direttamente sul momento in cui scatta l'orologio dei 120 giorni e, dunque, sulla validità del provvedimento finale. I termini perentori delle sanzioni del Garante Privacy si applicano solo alla seconda fase, quella che si apre con la notifica formale della contestazione al titolare o responsabile del trattamento.
Le due fasi presentano caratteristiche distinte:
- la fase investigativa o preistruttoria, in cui l'Autorità raccoglie elementi, svolge approfondimenti e aggrega eventualmente più reclami: in questa sede i termini hanno natura ordinatoria e il loro superamento non determina l'illegittimità degli atti compiuti
- la fase sanzionatoria in senso stretto, che si apre con la notifica formale delle presunte violazioni ai sensi dell'art. 166, comma 5, del Codice Privacy: da questo momento decorrono i 120 giorni perentori previsti dal punto 2 dell'allegato B del Regolamento Garante n. 2/2019
- il dies a quo coincide con l'effettivo accertamento delle violazioni, inteso come piena conoscenza dell'illiceità della condotta e di tutti gli elementi giuridicamente rilevanti, non con le singole sottofasi dell'indagine
📺 Il caso all'origine della pronuncia
La vicenda nasce da un reclamo del 25 novembre 2020 relativo alla diffusione di alcune e-mail nei programmi Report e Presa Diretta. Il Garante ha avviato la fase investigativa nell'aprile 2021, ha concluso l'istruttoria nell'agosto dello stesso anno e ha poi differito i termini nell'ottobre. Il provvedimento sanzionatorio nei confronti della RAI è stato emesso solo il 6 luglio 2023, a circa due anni e mezzo dal reclamo iniziale.
Impugnato dalla RAI davanti al Tribunale di Roma, il provvedimento è stato annullato in primo grado per violazione dei termini perentori. La Cassazione, investita della questione, ha confermato l'impostazione e ha enunciato un principio destinato a fare scuola: «la mancanza di un termine finale perentorio colloca l'autorità titolare della potestà punitiva in una posizione ingiustificatamente privilegiata che, nell'attuale contesto ordinamentale, si configura come un anacronistico retaggio della supremazia speciale della pubblica amministrazione». Il riferimento alla giurisprudenza costituzionale (Corte Cost. 151/2021) e all'art. 6 CEDU rafforza l'idea che la ragionevole durata del procedimento sia un parametro costituzionale e convenzionale di legittimità.
🏛️ L'applicazione del principio: il caso Sangiuliano
Il principio enunciato dalla Cassazione non è rimasto sulla carta. Con sentenza del 22 gennaio 2026 (R.G. n. 54031/2025), il Tribunale di Roma – Sezione diritti della persona e immigrazione civile ha annullato il provvedimento n. 621/2025 del Garante, con cui era stata comminata alla RAI una sanzione da 150.000 euro per il servizio di Report dell'8 dicembre 2024 sul caso Sangiuliano, contenente lo stralcio di una conversazione privata tra l'ex Ministro della Cultura e la moglie.
Il Tribunale ha annullato il provvedimento per due ordini di motivi. Sul merito, ha riconosciuto il legittimo esercizio del diritto di cronaca, qualificando l'attività come giornalismo di inchiesta nel rispetto dei requisiti di verità e continenza del linguaggio. Sul rito, ha applicato il principio della Cassazione, individuando in nove mesi dal reclamo il termine massimo di chiusura del procedimento e dichiarando tardivo, e quindi nullo, il provvedimento sanzionatorio.
📌 La questione aperta dei 12 mesi
Resta una zona grigia che la Cassazione non ha affrontato direttamente. L'allegato A del Regolamento Garante n. 2/2019 prevede che l'intera attività procedimentale non superi i 12 mesi dal reclamo o dalla segnalazione. Sulla natura di questo termine non vi è ancora una pronuncia di legittimità.
Le due ipotesi interpretative producono effetti molto diversi. Se il termine fosse ritenuto ordinatorio, il suo superamento sarebbe privo di conseguenze sulla validità del provvedimento finale. Se invece, sulla scia del ragionamento svolto dalla Cassazione, fosse qualificato come perentorio, il decorso del tempo determinerebbe la decadenza dell'intero impianto sanzionatorio, indipendentemente dal rispetto dei 120 giorni della fase decisoria. Il Tribunale di Roma, nel caso Sangiuliano, si è orientato per una lettura rigorosa con il riferimento ai nove mesi, ma la questione attende un consolidamento ulteriore.
⚖️ Cosa cambia per chi ha procedimenti pendenti
L'effetto pratico della pronuncia incide su una platea ampia di soggetti che, nel corso degli ultimi anni, si sono trovati a gestire procedimenti aperti per tempi prolungati. Chi ha ricevuto una contestazione formale e attende il provvedimento finale oltre il termine dei 120 giorni può ora eccepire la decadenza del potere sanzionatorio in sede di impugnazione. Allo stesso modo, chi ha già ricevuto un provvedimento può valutare la fondatezza di un ricorso al Tribunale ordinario sotto il profilo procedimentale, accanto alle ragioni di merito.
La Cassazione ha però respinto l'idea di un legittimo affidamento nell'inerzia: l'azienda non può ritenere lecita la propria condotta solo perché il Garante non si è pronunciato per anni. L'inerzia non equivale a consenso tacito, ma può fondare l'eccezione di decadenza una volta superati i termini. La distinzione è importante e va gestita con attenzione tecnica.
🔍 L'impatto sulla governance privacy
La pronuncia ha effetti che vanno oltre il singolo procedimento. Da un lato, impone al Garante una revisione delle proprie tempistiche interne e una maggiore selettività nell'avvio delle istruttorie. Dall'altro, sposta sul piano della certezza del diritto il rapporto tra Autorità e soggetti vigilati, riequilibrando una dinamica che la dottrina aveva da tempo segnalato come problematica.
La gestione dei rapporti con l'Autorità nel corso di un procedimento sanzionatorio richiede un monitoraggio costante delle scadenze interne, della completezza delle memorie difensive e della cronologia degli atti notificati. Il presidio della governance privacy in chiave continuativa, insieme al controllo delle scadenze procedimentali e all'analisi della documentazione ricevuta, è il presupposto per valutare con tempestività le eccezioni procedurali ammissibili e per impostare correttamente una strategia di difesa che combini il piano del rito e quello del merito. Chi ha ricevuto un provvedimento ritenuto tardivo può attivare gli strumenti di tutela in sede giurisdizionale, ferma restando la necessità di una valutazione tecnica caso per caso del momento esatto in cui i termini hanno iniziato a decorrere.
#cassazione #garanteprivacy #sanzioniprivacy #procedimentosanzionatorio
