Con le sentenze della Prima Sezione civile della Corte di cassazione nn. 24861 e 24862 del 31 agosto 2026 la Suprema Corte torna sui termini che scandiscono l’attività del Garante per la protezione dei dati personali (il “Garante”).
Le due decisioni nascono dalla stessa pubblica udienza del 24 giugno 2026 da cui era già uscita Cass. 22791/2026, e vanno lette insieme a quest’ultima. Il dibattito estivo aveva visto in quella pronuncia un possibile ridimensionamento dell’orientamento sulla perentorietà del termine di 120 giorni inaugurato da Cass. 18583/2025 (caso Enel) e proseguito da Cass. 984/2026 (caso Rai). Le nuove sentenze consentono di verificare quella lettura, e restituiscono un quadro più articolato di quello che la contrapposizione fra due soli filoni lascerebbe immaginare.
I termini rilevanti del procedimento sanzionatorio
Distinguiamo tre fondamentali tipi di termini caratterizzanti le more del procedimento dinanzi al Garante.
- Il primo termine è quello dell’art. 143, comma 3, del d.lgs. 196/2003 (il “Codice Privacy”), che impone al Garante di decidere il reclamo entro nove mesi, prorogabili a dodici in presenza di motivate esigenze istruttorie.
- Il secondo è il termine di 120 giorni fissato dall’Allegato B al Regolamento del Garante n. 2/2019, riferito alla fase sanzionatoria.
- Il terzo, che tende a restare in ombra, è la prescrizione quinquennale di cui alla legge 689/1981 (la “Legge 689/1981”), individuata da Cass. 22791/2026 come vero limite esterno del potere sanzionatorio.
La distinzione non è solo descrittiva. I primi due sono termini procedimentali, il terzo è prescrizionale, e opera su un piano diverso. Ridurre la vicenda a due sole questioni contrapposte rischia di appiattire proprio il punto su cui le nuove pronunce intervengono, che non è la qualificazione del termine di 120 giorni ma la individuazione dei suoi estremi.
Cass. 24861/2026 e il punto di arrivo del termine
La prima pronuncia definisce il ricorso di una società editoriale avverso una sanzione di 20.000 euro relativa alla rievocazione di una vicenda di cronaca. Sul piano dei termini, la ricorrente sosteneva che il termine annuale per la decisione del reclamo valesse anche come sbarramento del potere sanzionatorio. La Corte respinge l’impostazione, qualificando il reclamo come atto preistruttorio con cui giunge al Garante la notizia da cui può scaturire una sanzione o una misura correttiva, e il procedimento sanzionatorio come procedimento amministrativo ulteriore e distinto, non come sub-procedimento della trattazione del reclamo. Le due sequenze tutelano interessi diversi, l’una l’interesse del reclamante a una definizione sollecita, l’altra interessi pubblici, e restano separate anche quando condividono la medesima origine.
Vi è però un secondo passaggio. La sentenza colloca il termine di 120 giorni nel solco dell’art. 14 della Legge 689/1981, che impone la contestazione dell’illecito entro novanta giorni dall’accertamento, o trecentosessanta per i residenti all’estero. Il termine ha dunque come punto di arrivo la contestazione degli addebiti ai sensi dell’art. 166, comma 5, del Codice Privacy, e non l’adozione del provvedimento finale. Una volta notificati tempestivamente gli addebiti, il procedimento prosegue nel contraddittorio e la formulazione del provvedimento conclusivo non incontra un ulteriore sbarramento decadenziale.
Cass. 24862/2026 e il punto di partenza
La seconda pronuncia riguarda una società sanzionata per 5.000 euro per avere operato, fra settembre 2019 e aprile 2020, come responsabile del trattamento per conto del Comune di Formia nella gestione del servizio di sosta a pagamento, in assenza di un idoneo atto di nomina. Il Tribunale di Roma aveva accolto l’opposizione facendo decorrere i 120 giorni dal 3 febbraio 2020, data in cui il Comune aveva trasmesso al Garante le prime informazioni. La Cassazione ha accolto il ricorso dell’Autorità e cassato con rinvio.
La Corte conferma l’articolazione dell’attività del Garante in una fase investigativa o preistruttoria e in una fase sanzionatoria in senso stretto, e ribadisce la natura perentoria del termine di 120 giorni, che però decorre dal definitivo accertamento dell’illecito. Il passaggio centrale è che la mera constatazione dei fatti non equivale al loro accertamento quando residui un’attività istruttoria e valutativa necessaria: occorre che l’Autorità sia in grado di apprezzare tutti gli elementi costitutivi dell’illecito sulla base di quanto raccolto, il che può richiedere di instaurare il contraddittorio con il soggetto interessato e di attenderne la risposta. Nel caso concreto la richiesta di chiarimenti alla società era stata riscontrata il 13 luglio 2021 e la contestazione era stata notificata il successivo 30 luglio.
Continuità sulla perentorietà, correzione sul calcolo
È corretto affermare che Cass. 24862/2026 conferma l’orientamento di Cass. 18583/2025 e Cass. 984/2026 quanto alla natura perentoria del termine. Sarebbe però impreciso presentare le pronunce come due filoni paralleli che non si incontrano mai. Cass. 984/2026, pur muovendo dai medesimi principi, nell’applicazione concreta aveva calcolato i 120 giorni dalla contestazione all’adozione del provvedimento finale. Quella operazione appare difficilmente conciliabile con Cass. 22791/2026 e con Cass. 24861/2026, che collocano il dies ad quem nella contestazione.
Il quadro che emerge sembrerebbe quindi di continuità quanto alla qualificazione del termine e di correzione quanto al suo oggetto e al suo calcolo. Chi legge Cass. 22791/2026 come un superamento dell’orientamento sulla perentorietà legge probabilmente troppo. Chi, al contrario, intravede un semplice chiarimento lessicale privo di conseguenze legge probabilmente troppo poco, perché il modo in cui il termine si misura cambia in modo netto. Non sorprende che lo stesso Segretario generale del Garante abbia letto le tre decisioni come tre lati di una stessa figura.
Il rischio di un dies a quo elastico
L’ancoraggio al definitivo accertamento è coerente con la disciplina generale dell’illecito amministrativo, ma sposta il baricentro. Se il termine decorre da un momento che dipende dallo sviluppo dell’istruttoria, l’Autorità conserva un margine non trascurabile nel determinare quando il cronometro inizi a scorrere. Nel caso deciso da Cass. 24862/2026, fra la trasmissione delle informazioni comunali e la richiesta di chiarimenti alla società è trascorso oltre un anno. La Corte non ha avallato quel tempo, ha indicato al giudice del rinvio il criterio da applicare. Appare quindi ragionevole attendersi che il controllo giurisdizionale si concentri sulla necessità e sull’utilità effettiva degli atti istruttori intervenuti, per evitare che la perentorietà resti affermata sul piano dei principi e svuotata su quello applicativo.
In questa prospettiva è utile il confronto con la sentenza della Corte di giustizia del 15 gennaio 2026, causa C-588/24, Imballaggi Piemontesi, resa in materia antitrust. La Corte ha ritenuto compatibile con il diritto dell’Unione una disciplina che non qualifica espressamente come perentorio il termine di chiusura della fase istruttoria e ne consente il differimento con atti motivati e sindacabili, a condizione che non venga superato il termine ragionevole entro cui quella fase deve concludersi. Trasposto al procedimento del Garante, il criterio suggerisce che la durata della preistruttoria non sia materia sottratta al sindacato del giudice anche dove manchi un termine decadenziale espresso.
Che cosa cambia in concreto
Per chi assiste titolari e responsabili del trattamento di dati personali, il baricentro della difesa sui termini si sposta. L’eccezione costruita sul tempo trascorso fra la contestazione e il provvedimento finale ha oggi margini ridotti. Diventa invece decisivo ricostruire il fascicolo procedimentale per stabilire quando l’istruttoria potesse dirsi oggettivamente completa, quali atti siano stati compiuti nell’intervallo e se fossero effettivamente necessari a integrare gli elementi costitutivi dell’illecito. Restano sullo sfondo il limite esterno della prescrizione quinquennale e l’argomento, non decadenziale ma non per questo irrilevante, del termine ragionevole e del buon andamento dell’amministrazione.
Sul versante opposto, il mancato rispetto del termine di nove o dodici mesi per la definizione del reclamo non produce effetti estintivi sul potere sanzionatorio, il che non significa che sia privo di conseguenze sul piano della tutela del reclamante, che resta affidata agli ordinari rimedi. Allo stato, e salvo futuri diversi orientamenti, appare difficile sostenere che Cass. 22791/2026 abbia eroso la perentorietà dei 120 giorni. Quel che le tre sentenze hanno fatto è piuttosto restituire al termine il suo oggetto proprio, la contestazione, e al suo dies a quo un contenuto sostanziale.
