Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Una casa editrice riceve un'ordinanza-ingiunzione del Garante per la Protezione dei Dati Personali. La sanzione arriva oltre un anno dopo la presentazione del reclamo originario. Il legale della società eccepisce subito la decadenza del potere sanzionatorio: il Garante aveva impiegato più dei dodici mesi previsti dalla legge per chiudere il procedimento sul reclamo, quindi — questa la tesi — il potere di punire si sarebbe consumato. Il Tribunale competente rigetta l'opposizione; la casa editrice ricorre in Cassazione. Esito: ricorso respinto. La Suprema Corte non lascia margini.
Decadenza potere sanzionatorio Garante Privacy: cosa ha stabilito la Cassazione
La Prima Sezione civile della Cassazione, con sentenza n. 22791 del 6 luglio 2026 (Pres. Giusti), ha esaminato il ricorso avverso la decisione di rigetto dell'opposizione alla sanzione pecuniaria irrogata dal Garante nei confronti di una casa editrice, stabilendo che il termine di un anno previsto dall'art. 143, comma 3, del Codice della Privacy — riferito alla definizione del reclamo — non determina la scadenza del potere sanzionatorio dell'Autorità.
Il principio è formulato senza ambiguità: la previsione del termine di un anno è finalizzata alla definizione del reclamo, quale garanzia del diritto del reclamante a ottenere la rapida conclusione del procedimento promosso, e non vale a segnare una scadenza finale per l'esercizio del potere sanzionatorio autonomamente avviato dall'Autorità.
Detto altrimenti: i dodici mesi dell'art. 143 co. 3 proteggono chi ha presentato il reclamo — l'interessato che vuole una risposta in tempi ragionevoli — non certo l'impresa sanzionata. Tale previsione ha una funzione esclusivamente acceleratoria e non introduce un limite temporale all'esercizio del distinto potere sanzionatorio dell'Autorità. Il superamento del termine, pertanto, non comporta l'illegittimità della successiva ordinanza-ingiunzione né determina la decadenza del potere di irrogare la sanzione.
Tre orologi, tre funzioni diverse: la mappa dei termini privacy
Il punto più denso della sentenza riguarda la mappa temporale del procedimento. Capirla è indispensabile per costruire una difesa reale. I termini in gioco sono tre, e ciascuno governa una fase distinta.
Il primo orologio è il termine del reclamo: nove mesi — dodici in caso di particolari esigenze istruttorie — entro cui il Garante deve rispondere a chi lo ha attivato. È un termine che tutela il reclamante, non l'impresa.
Il secondo orologio sono i 120 giorni: il termine di 120 giorni non è il termine entro cui il Garante deve emettere la sanzione a partire dalla contestazione, ma è il termine entro cui il Garante deve notificare la contestazione stessa. Il dies a quo di questo termine è fissato al momento dell'accertamento definitivo e riguarda la contestazione dell'illecito, non la sanzione finale. Una volta realizzato l'accertamento definitivo, decorre il termine di 120 giorni per la notifica della contestazione, la cui inosservanza causa l'estinzione dell'obbligazione pecuniaria. Questo è il vero termine perentorio: se il Garante non contesta entro 120 giorni dall'accertamento definitivo della violazione, l'illecito si estingue.
Il terzo orologio è la prescrizione quinquennale: il procedimento sanzionatorio segue una disciplina autonoma e distinta rispetto a quella del reclamo e non è soggetto a un termine di decadenza annuale. Resta invece applicabile il termine di prescrizione quinquennale previsto dalla legge n. 689/1981, fermo restando che la contestazione delle eventuali violazioni deve essere notificata tempestivamente nel rispetto delle garanzie previste dalla normativa.
Il quadro che emerge è quindi: nove mesi, eccezionalmente dodici, per decidere il reclamo; 120 giorni dal definitivo accertamento per notificare le presunte violazioni; nessun ulteriore termine perentorio di 120 giorni per adottare l'ordinanza-ingiunzione; prescrizione quinquennale del potere sanzionatorio.
Se il Garante Privacy impiega più di un anno a decidere sul mio reclamo, la sanzione decade?
No. Il termine di un anno "non entra a far parte della fattispecie costitutiva del potere sanzionatorio" e il suo mancato rispetto non ne determina l'estinzione. Il procedimento di reclamo e il procedimento sanzionatorio sono due binari paralleli: il ritardo sul primo non incide sul secondo. Chi eccepisce la decadenza sulla base del solo superamento dei dodici mesi propone un argomento che la Cassazione ha esplicitamente scartato.
Entro quanto tempo il Garante può irrogare una sanzione GDPR?
Il procedimento sanzionatorio è autonomo e resta soggetto alla prescrizione quinquennale della legge n. 689/1981. Il termine annuale per definire il reclamo non comporta la decadenza del potere sanzionatorio, che resta esercitabile entro il termine di prescrizione quinquennale, purché la contestazione dell'illecito sia tempestiva. Tradotto in pratica: se la violazione è del 2022, il Garante può — in astratto — irrogare la sanzione fino al 2027, a condizione che la contestazione sia avvenuta nei 120 giorni dall'accertamento definitivo. Cinque anni sono un arco di tempo lungo che molte imprese sottovalutano.
Cosa significa termine di 120 giorni nelle sanzioni privacy?
La Cassazione chiarisce che il termine di 120 giorni riguarda la contestazione dell'illecito, non l'irrogazione della sanzione, e decorre dal definitivo accertamento della violazione, da valutare secondo criteri di ragionevolezza. Le ultime pronunce della Cassazione chiariscono un punto decisivo per l'attività del Garante privacy: il termine di 120 giorni non segna la fine del potere sanzionatorio, ma disciplina il momento in cui l'illecito deve essere contestato.
Questo posizionamento cronologico non è neutro. Se i 120 giorni si consumano prima della contestazione, allora tra la contestazione e l'ordinanza-ingiunzione non residua alcun termine di decadenza — resta soltanto la prescrizione quinquennale dell'art. 28 della legge n. 689/1981. Ricollocando il termine di 120 giorni sul versante della contestazione, la sentenza finisce per sottrarre al sanzionato proprio l'argine che precedenti pronunce sembravano avergli riconosciuto: dopo una contestazione tempestiva, l'Autorità dispone — di fatto — dell'intero quinquennio prescrizionale per irrogare la sanzione.
L'argomento difensivo bruciato: il costo reale dell'errore strategico
Questa è la parte che i commenti tecnici più accademici tendono a trattare en passant, e che invece merita attenzione concreta.
Negli ultimi tre anni, in una quota rilevante di opposizioni ad ordinanza-ingiunzione del Garante — soprattutto quelle in cui la sanzione era arrivata a distanza di diciotto o ventiquattro mesi dalla violazione originaria — i difensori avevano inserito quasi di routine l'eccezione di decadenza per superamento del termine annuale. Era un argomento plausibile, ancorato al testo dell'art. 143 co. 3, e in alcuni casi aveva trovato accoglimento nei giudizi di merito. La sentenza n. 22791/2026 lo chiude definitivamente, e chi ha costruito la propria strategia difensiva esclusivamente su di esso si trova ora a fare i conti con l'intero importo della sanzione, gli interessi e le spese di giudizio.
Il brocardo summum ius summa iniuria — il diritto portato all'estremo diventa ingiustizia — ha qui una lettura peculiare: per anni l'argomento della decadenza ha funzionato come scorciatoia che permetteva di neutralizzare sanzioni anche importanti senza entrare nel merito della violazione. La Cassazione ha scelto di non premiare questo approccio e ha imposto alle parti di confrontarsi con la sostanza: la violazione c'è stata o no? La contestazione è avvenuta entro 120 giorni dall'accertamento definitivo o no? Queste sono le domande che contano.
Vi è peraltro una tensione che la sentenza registra senza tematizzarla in modo esplicito. Nel filone precedente di giurisprudenza (c.d. Enel-Report) i 120 giorni misuravano l'intervallo che conduce al provvedimento finale — di qui la decadenza in caso di ritardo nell'irrogare la sanzione; nella sentenza in commento gli stessi 120 giorni vengono ricollocati a monte, a misurare l'intervallo tra accertamento e contestazione. È una tensione che la sentenza non tematizza, presentandosi in linea di continuità con i propri precedenti. La dottrina più attenta ha già segnalato questo profilo critico. Sul piano pratico, però, l'orientamento espresso è chiaro e i giudici di merito difficilmente se ne discosteranno.
Qui la Cassazione ha scelto la certezza della pretesa punitiva sull'affidamento del sanzionato nella decadenza formale. È una scelta legittima, ma richiede all'impresa di cambiare approccio.
Nota dall'esperienza dello studio
Nelle pratiche che seguiamo in materia di opposizioni a sanzioni amministrative privacy, l'errore più frequente è costruire la difesa come lista di eccezioni processuali in cascata — decadenza, nullità della notifica, vizi procedimentali — senza investire fin dall'inizio sull'istruttoria di merito: ricostruzione della catena degli eventi, verifica della tempestività della contestazione e documentazione dell'eventuale assenza di colpa o della sua minima entità. Dopo questa sentenza, chi non affronta il merito rischia di presentarsi al giudice senza argomenti.
Domande frequenti
Ho ricevuto una sanzione dal Garante tre anni dopo la violazione: posso contestarla?
Sì, ma l'argomento della decadenza per il solo decorso del tempo non è più praticabile. Occorre verificare se la contestazione dell'illecito è avvenuta entro 120 giorni dall'accertamento definitivo della violazione — questa è la verifica che può portare all'estinzione — e, in parallelo, costruire una difesa nel merito sulla violazione contestata.
Cosa succede se il Garante ha impiegato due anni a decidere sul mio reclamo?
Il ritardo nella definizione del reclamo non ha conseguenze sul procedimento sanzionatorio. I due procedimenti sono autonomi. L'unica tutela del reclamante che subisce il ritardo è di natura acceleratoria, non estintiva del potere di punire. Il Garante può quindi irrogare la sanzione anche dopo la scadenza dei dodici mesi previsti per la chiusura del reclamo, purché la contestazione dell'illecito sia avvenuta nei termini.
Come faccio a sapere se la contestazione è stata tempestiva?
Il punto di partenza è la data dell'accertamento definitivo della violazione — non quella della violazione stessa, né quella dell'apertura del procedimento. Dall'accertamento definitivo decorrono 120 giorni entro cui il Garante deve notificare la contestazione. Ricostruire questa data richiede spesso di esaminare i verbali del procedimento istruttorio e la corrispondenza con l'Autorità. È un'analisi tecnica che va condotta con attenzione, perché da essa dipende l'unico argomento difensivo davvero efficace sul piano temporale.
Redazione - Staff Studio Legale MP
