Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Una casa editrice pubblica un libro in cui compaiono il nome, il titolo di studio e la professione dei figli di un allenatore condannato per gravi reati. Il Garante per la protezione dei dati personali riceve un reclamo il 27 maggio 2021. Avvia il procedimento sanzionatorio il 23 novembre 2021. Notifica l'ordinanza-ingiunzione il 20 marzo 2023: quasi due anni dopo il reclamo, quasi un anno e quattro mesi dopo la contestazione. La sanzione è simbolica — duemila euro — ma la questione che solleva è tutt'altro che simbolica: fino a quando il Garante può sanzionare?
La risposta della Cass., Prima Sez. civ., sent. n. 22791 del 6 luglio 2026 è netta: il termine annuale previsto dall'art. 143, comma 3, del d.lgs. n. 196/2003 riguarda esclusivamente la conclusione del procedimento di reclamo, e non limita il potere di irrogare sanzioni. Il termine di un anno si riferisce alla conclusione del procedimento relativo al reclamo presentato dall'interessato e non limita il potere del Garante di irrogare sanzioni: secondo i giudici, il procedimento sanzionatorio segue una disciplina autonoma e distinta, alla quale non è applicabile, a pena di decadenza, il citato termine annuale. Resta invece applicabile il termine di prescrizione quinquennale previsto dalla legge n. 689/1981, fermo restando che la contestazione delle eventuali violazioni deve essere notificata tempestivamente nel rispetto delle garanzie previste dalla normativa.
Il principio è giuridicamente coerente. Ma nasconde tre nodi che chiunque riceva una sanzione del Garante — anche a distanza di anni dall'accertamento — deve conoscere prima di decidere se e come opporsi.
Primo nodo: la prescrizione quinquennale non è una garanzia, è un limite estremo
Il punto di partenza è la Corte Costituzionale. Con la sent. n. 151 del 12 luglio 2021, la Consulta aveva già affrontato il problema: il termine di prescrizione del diritto alla riscossione delle somme dovute per le violazioni amministrative — di durata quinquennale e suscettibile di interruzione — è inidoneo per la sua ampiezza a garantire, di per sé solo, la certezza giuridica della posizione dell'incolpato e l'effettività del suo diritto di difesa, che richiedono contiguità temporale tra l'accertamento dell'illecito e l'applicazione della sanzione. La Corte aveva però dichiarato inammissibile la questione, rimettendo al legislatore il compito di colmare la lacuna.
Quel legislatore, cinque anni dopo, non è ancora intervenuto. Si tratta di tutelare l'interesse soggettivo alla tempestiva definizione della propria situazione giuridica di fronte alla potestà sanzionatoria della pubblica amministrazione, ma anche l'esercizio effettivo del diritto di difesa: a fronte di queste considerazioni, la sola previsione di un termine di prescrizione del diritto alla riscossione delle somme dovute per le violazioni amministrative si ripercuote negativamente sull'esigenza di contenere nel tempo il protrarsi della situazione d'incertezza connessa alla contestazione di un illecito amministrativo.
La Cass. n. 22791/2026 si muove dentro questo vuoto. Lo riconosce, lo richiama, ma non può colmarlo: il giudice applica la norma vigente, e la norma vigente è quella quinquennale. Il risultato pratico è che, dopo una contestazione tempestiva, l'Autorità dispone — di fatto — dell'intero quinquennio prescrizionale per irrogare la sanzione.
Il brocardo summum ius summa iniuria — il diritto portato all'estremo diventa torto — non è mai stato così calzante: il sistema è formalmente inattaccabile, e proprio per questo produce un esito che la stessa Corte Costituzionale ha giudicato insoddisfacente per il destinatario della sanzione.
Secondo nodo: il termine dei 120 giorni si è spostato — e questo cambia tutto per chi si difende
La Cass. n. 22791/2026 non nasce nel vuoto. Si inserisce in un filone giurisprudenziale avviato dalla Cass., Sez. I civ., sent. n. 18583 dell'8 luglio 2025, nota come il caso Enel Energia. In quella pronuncia, la Corte Suprema di Cassazione aveva chiarito che il procedimento amministrativo sanzionatorio del Garante si divide in due fasi distinte: una fase investigativa o preistruttoria, senza termini perentori, e una fase sanzionatoria vera e propria, a cui si applica un termine perentorio di 120 giorni per la notifica della violazione — termine che decorre dalla conclusione della fase preistruttoria, cioè dall'effettivo accertamento delle violazioni contestate, e non dalla semplice acquisizione di elementi o dalla mera conoscenza del fatto.
Nella sentenza n. 22791/2026, però, da un lato si prosegue idealmente il cammino garantista aperto da Enel e Report, richiamando la necessità costituzionale di un limite temporale al potere afflittivo; dall'altro, ricollocando il termine di 120 giorni sul versante della contestazione, si finisce per sottrarre al sanzionato proprio l'argine che quei precedenti sembravano avergli riconosciuto: dopo una contestazione tempestiva, l'Autorità dispone — di fatto — dell'intero quinquennio prescrizionale per irrogare la sanzione.
In concreto: chi pensava di poter eccepire la tardività del provvedimento sanzionatorio basandosi sul decorso dei 120 giorni dalla contestazione deve ora fare i conti con una lettura più restrittiva. Il termine perentorio presidia la fase di contestazione, non quella finale di emissione dell'ordinanza-ingiunzione. Ne risulta un'architettura in cui la fase sanzionatoria in senso stretto — quella compresa tra la contestazione delle violazioni e la notifica dell'ordinanza-ingiunzione — non è presidiata da alcun termine decadenziale espresso: l'unico limite temporale riconosciuto è la prescrizione quinquennale prevista dal Codice Privacy e dalla legge n. 689/1981.
Terzo nodo: il merito del caso e il canone dell'essenzialità dell'informazione. La vicenda della casa editrice non riguardava solo i tempi: nel merito, il Tribunale aveva rilevato che la menzione di titoli di studio e professioni aveva reso i figli "precisamente individuabili" al di là della semplice menzione delle generalità e della relazione di parentela, eccedendo così il canone dell'essenzialità. Questo aspetto — spesso trascurato nel dibattito sui termini — è centrale per chiunque si occupi di pubblicazione di dati personali in opere editoriali: non basta anonimizzare il soggetto principale della notizia se i familiari restano riconoscibili attraverso dettagli collaterali.
Il Garante privacy ha un termine per irrogare le sanzioni?
Sì, ma non è un termine di decadenza: è un termine di prescrizione. La Corte di cassazione, con la sentenza n. 22791 del 6 luglio 2026, ha chiarito che il termine massimo di dodici mesi previsto dall'art. 143, comma 3, del d.lgs. n. 196/2003 riguarda esclusivamente la conclusione del procedimento instaurato mediante reclamo e non determina la decadenza del potere sanzionatorio dell'Autorità. Il Garante, dopo aver rispettato il termine perentorio di 120 giorni per la contestazione della violazione, dispone del quinquennio prescrizionale per emettere e notificare l'ordinanza-ingiunzione. Non esiste, ad oggi, un termine entro cui quella ordinanza debba necessariamente arrivare.
Entro quanto tempo si prescrive una sanzione del Garante per violazione GDPR?
Il termine di prescrizione applicabile è quello quinquennale previsto dalla legge n. 689/1981. Questo termine decorre dall'accertamento della violazione, è suscettibile di interruzione — e dunque può essere rinnovato da atti del procedimento — e non è equivalente a un termine decadenziale. Significa che, in astratto, una sanzione per una violazione del GDPR avvenuta nel 2021 potrebbe arrivare fino al 2026. La Corte Costituzionale ha già segnalato che questo arco temporale è eccessivo rispetto alle esigenze di certezza del diritto e di effettività della difesa, ma ha rimesso la soluzione al legislatore.
Come si fa opposizione a una sanzione del Garante Privacy?
L'opposizione all'ordinanza-ingiunzione del Garante si propone davanti al Tribunale ordinario competente per territorio, ai sensi dell'art. 10 del d.lgs. n. 150/2011. Il termine è di trenta giorni dalla notifica del provvedimento (sessanta giorni se il destinatario risiede all'estero). In sede di opposizione è possibile eccepire sia vizi formali — tra cui la violazione del termine perentorio di 120 giorni per la contestazione, il cui rispetto rimane un presidio fondamentale dopo la Cass. n. 18583/2025 — sia vizi di merito relativi alla sussistenza della violazione e alla proporzionalità della sanzione. Dopo la Cass. n. 22791/2026, però, l'eccezione di tardività fondata sul superamento del termine annuale di cui all'art. 143, comma 3, del Codice Privacy non è più percorribile come autonomo motivo di opposizione.
Ciò che rimane in gioco, e che vale la pena esplorare nella specifica vicenda concreta, è la verifica della tempestività della contestazione iniziale e la correttezza dell'individuazione del momento di "effettivo accertamento" delle violazioni — passaggio che, secondo la Cass. n. 18583/2025, fa scattare il termine dei 120 giorni e che nella pratica resta uno dei terreni più fecondi per chi intende difendersi.
Ferdinando Carnelutti, nell'affrontare il tema del tempo nel processo, scriveva che la giustizia non è soltanto giusta nei contenuti, ma deve esserlo anche nei ritmi: un giudizio troppo lento non è giustizia differita, è un'ingiustizia consumata nel silenzio. La Cass. n. 22791/2026 è, tecnicamente, una pronuncia ben costruita: distingue con chiarezza la distinzione tra procedimento di reclamo e procedimento sanzionatorio, colloca correttamente il termine di 120 giorni nella fase di contestazione, e rispetta senza forzature il perimetro tracciato dalla Corte costituzionale nel 2021. Eppure, l'impressione che lascia è quella di un sistema che funziona perfettamente secondo le sue regole interne, e proprio per questo non riesce a rispondere alla domanda più elementare che chiunque si aspetterebbe di poter fare: dopo quanto tempo posso dirmi al sicuro da una sanzione del Garante? A quella domanda, oggi, non esiste ancora una risposta soddisfacente.
Redazione - Staff Studio Legale MP
