Sanzioni privacy, la Cassazione mette un limite al Garante: i termini per decidere sono perentori

Il dibattito sui poteri del Garante per la protezione dei dati personali si riaccende dopo una recente decisione della Corte di cassazione che affronta un tema cruciale: i tempi entro cui l’Autorità può concludere un procedimento sanzionatorio.

Il quadro normativo europeo, definito dal GDPR, attribuisce alle autorità nazionali ampi poteri di controllo, consentendo loro di svolgere indagini, contestare violazioni, rivolgere ammonimenti e, nei casi più gravi, applicare sanzioni amministrative anche molto rilevanti. Tuttavia, la normativa europea non disciplina nel dettaglio le modalità procedurali, lasciando ai singoli ordinamenti nazionali il compito di stabilire le regole operative.

In Italia la materia è regolata dal Codice privacy e dal regolamento interno adottato dallo stesso Garante nel 2019. Tra le disposizioni previste, l’Autorità ha fissato in 120 giorni il termine per adottare il provvedimento conclusivo nella fase sanzionatoria.

Nella prassi, però, non sono mancati casi in cui i procedimenti si sono protratti per periodi molto più lunghi, lasciando imprese e organizzazioni in una situazione di incertezza prolungata. Proprio su questo aspetto si è pronunciata la Cassazione con una sentenza del dicembre 2025.

La vicenda nasce da un procedimento sanzionatorio avviato nei confronti della RAI. L’avvio formale dell’azione risaliva all’estate del 2021, mentre la decisione finale era arrivata soltanto nel luglio del 2023, quasi due anni dopo.

Il Tribunale di Roma, investito della questione in primo grado, aveva già ritenuto che i tempi previsti per la conclusione del procedimento dovessero essere considerati vincolanti. Secondo il giudice capitolino, la natura punitiva delle sanzioni amministrative richiede che l’azione dell’autorità sia esercitata entro termini certi, così da evitare che l’accertamento dell’illecito e la relativa punizione risultino troppo distanti nel tempo.

L’Autorità garante aveva contestato questa interpretazione, sostenendo che la normativa non qualificasse espressamente il termine come perentorio e che quindi non potesse comportare la perdita del potere sanzionatorio.

La Cassazione ha però confermato l’impostazione del Tribunale, offrendo un chiarimento destinato ad avere effetti rilevanti. Secondo i giudici di legittimità, il procedimento davanti al Garante si articola in due momenti distinti: una prima fase investigativa, volta ad accertare i fatti, e una successiva fase sanzionatoria che prende avvio quando vengono formalmente contestate le presunte violazioni.

È proprio da quel momento che decorre il termine entro cui l’Autorità deve esercitare il proprio potere punitivo. Trascorso inutilmente questo periodo, il potere di infliggere la sanzione si considera consumato.

La Corte motiva questa conclusione richiamando principi fondamentali dell’ordinamento, come la certezza del diritto e il pieno esercizio del diritto di difesa. Un sistema sanzionatorio efficace, osserva la sentenza, richiede infatti che tra l’accertamento dell’illecito e l’eventuale punizione vi sia una ragionevole vicinanza temporale.

L’assenza di un limite temporale vincolante, al contrario, finirebbe per attribuire alla pubblica amministrazione un vantaggio eccessivo rispetto ai soggetti sottoposti al procedimento.

Gli effetti della decisione non si sono fatti attendere. All’inizio del 2026 il Tribunale di Roma, richiamando l’indirizzo espresso dalla Cassazione, ha annullato un altro provvedimento sanzionatorio dell’Autorità sempre nei confronti della RAI. Pur fondandosi principalmente su valutazioni di merito, la decisione ha sottolineato anche la questione della tardività dell’azione amministrativa.

Secondo il giudice, proprio la particolare natura dei poteri esercitati dal Garante rende ancora più necessario garantire tempi certi e prevedibili nella gestione dei procedimenti.

---

LEGGI ANCHE