I tempi del Garante Privacy per esercitare il potere sanzionatorio e il paradosso della sentenza di Cassazione n. 22791/2026
La controversia nasce da un episodio in apparenza minore, quasi di scuola. Una casa editrice viene sanzionata dal Garante con la somma, dichiaratamente simbolica, di euro 2.000 per aver pubblicato — in un volume disponibile sia in cartaceo sia in e-book — i dati identificativi dei due figli di un allenatore di football americano condannato per gravi reati: non solo i nomi, ma anche i titoli di studio conseguiti e le professioni esercitate, elementi che, secondo il Garante e poi il Tribunale di Milano, hanno reso i due «precisamente individuabili» oltre il limite dell'essenzialità dell'informazione.
(Nella foto: l'Avv. Michele Iaselli, Coordinatore del Comitato Scientifico di Federprivacy)
Sul piano cronologico — dato pacifico e centrale — il procedimento prende le mosse da un reclamo del 27 maggio 2021; la comunicazione di avvio del procedimento sanzionatorio è notificata il 23 novembre 2021; l'ordinanza-ingiunzione conclusiva è notificata soltanto il 20 marzo 2023, a un anno e dieci mesi dal reclamo. Il Tribunale di Milano (sent. n. 9710/2023) respinge l'opposizione; la casa editrice ricorre per cassazione con due motivi. La Prima Sezione civile rigetta il ricorso, compensa le spese in ragione della «complessità e novità» delle questioni e — coerentemente con l'oggetto — dispone l'oscuramento dei dati identificativi degli interessati.
Il merito privacy, per una volta, non è il punto. Il punto è il tempo.
Il primo motivo: il termine annuale dell'art. 143 e la sorte del potere sanzionatorio - La ricorrente costruiva il proprio primo motivo su un'architettura lineare: l'art. 143, comma 3, del Codice (d.lgs. n. 196/2003) impone al Garante di statuire sul reclamo entro nove mesi (dodici, in caso di particolari esigenze istruttorie); superato quel termine, il potere si consumerebbe, con conseguente decadenza. La sanzione notificata dopo un anno e dieci mesi sarebbe dunque tardiva.
La Corte respinge l'impostazione con un passaggio che merita di essere isolato, perché costituisce la vera ratio decidendi: il termine annuale è previsto «esclusivamente» a garanzia del reclamante — del suo diritto a una sollecita definizione del procedimento da lui promosso — e non segna «una scadenza finale per l'esercizio del potere sanzionatorio autonomamente avviato dall'Autorità». Il procedimento sanzionatorio, pur originato dal reclamo, ne è concettualmente autonomo: si apre «a valle» di quello di reclamo e risponde a una funzione diversa, di tutela di interessi pubblici e non della sfera individuale del reclamante. Da qui la conclusione: il termine di un anno «non entra a far parte della fattispecie costitutiva del potere sanzionatorio», e il suo mancato rispetto non ne determina l'estinzione.
Fin qui, la costruzione è ineccepibile e, anzi, felicemente argomentata. Il Collegio compie una scelta di prudenza istituzionale ulteriore: pur riconoscendo che si «può discutere» se il termine annuale abbia natura perentoria o meramente sollecitatoria — e allineando pro e contro con onestà (l'argomento storico del previgente silenzio-rigetto e l'art. 10, comma 4, d.lgs. n. 150/2011 a favore della perentorietà; l'art. 58, par. 4, GDPR e il considerando n. 129 a favore della natura ordinatoria) — decide di non decidere: qualunque sia la natura di quel termine, esso non si riflette comunque sul tempo per l'esercizio del potere sanzionatorio. È un self-restraint elegante, ma che, come si dirà, sposta il problema senza risolverlo.
Il cuore critico: dove finisce il termine di 120 giorni - È nel modo in cui la Corte tratta il secondo termine — quello di 120 giorni previsto al punto 2 dell'allegato «B» del regolamento del Garante n. 2/2019 — che la sentenza rivela il suo profilo più discutibile.
La Prima Sezione afferma che quel termine «costituisce il termine — decorrente dalla data dell'accertamento — entro il quale il Garante deve contestare le violazioni ex art. 166, comma 5, del codice, e non già il termine entro il quale deve essere irrogata la sanzione». Si tratterebbe, cioè, di un termine endoprocedimentale, non di un termine finale: un termine per notificare la contestazione, non per emettere il provvedimento.
Qui va acceso un riflettore. La stessa Sezione, con la sentenza Enel Energia (Cass., Sez. I, 8 luglio 2025, n. 18583), aveva costruito la nota dicotomia tra fase investigativa/preistruttoria (senza termini perentori) e fase «sanzionatoria in senso stretto», riferendo proprio a quest'ultima il termine perentorio di 120 giorni, «decorrente dalla conclusione della fase preistruttoria che culmina con l'effettivo accertamento delle violazioni e la notifica della contestazione». E con la successiva Report/RAI (Cass., Sez. I, n. 984/2026), la medesima Sezione aveva confermato l'annullamento di una sanzione irrogata oltre i 120 giorni, discorrendo espressamente di «termine di centoventi giorni per l'irrogazione della sanzione».
La domanda, allora, è ineludibile: nel filone Enel–Report i 120 giorni misuravano l'intervallo che conduce al provvedimento finale (di qui la decadenza in caso di ritardo nell'irrogare la sanzione); nella sentenza in commento gli stessi 120 giorni vengono ricollocati a monte, a misurare l'intervallo tra accertamento e contestazione. L'ancoraggio del termine si sposta di segno. E lo spostamento non è neutro: se i 120 giorni si consumano prima della contestazione, allora tra la contestazione e l'ordinanza-ingiunzione non residua alcun termine di decadenza — resta soltanto la prescrizione quinquennale dell'art. 28 della legge n. 689/1981.
Applicata al caso Report, questa lettura avrebbe salvato la sanzione annullata: contestazione tempestiva e poi due anni di tempo per sanzionare, senza decadenza. È una tensione che la sentenza non tematizza, presentandosi anzi in linea di continuità con i propri precedenti. Ma la continuità, sul punto, è affermata più che dimostrata. Un commentatore attento non può esimersi dal segnalare che, de facto, la garanzia costruita in Enel e resa operativa in Report — un limite temporale certo per il momento afflittivo — qui si assottiglia fino a evaporare.
Il paradosso: invocare la Consulta per lasciare il vuoto che la Consulta aveva stigmatizzato - Il passaggio più raffinato — e insieme più paradossale — della motivazione è il ricorso alla sentenza n. 151/2021 della Corte costituzionale. La Prima Sezione ne fa un uso, per così dire, difensivo: poiché la Consulta ha rimesso al legislatore l'individuazione di un termine finale per l'esercizio del potere sanzionatorio, e poiché quel legislatore non è intervenuto, il giudice non potrebbe «per via di pronuncia nomofilattica» trapiantare il termine annuale in una fattispecie diversa da quella per cui è stato concepito, esercitando «in luogo del legislatore scelte politiche che implicano bilanciamento di interessi».
L'argomento è tecnicamente ortodosso: il rispetto dell'equilibrio tra i poteri e il divieto di sentenze «creative» sono presidi seri. Senonché, la Corte costituzionale, proprio in quella sentenza n. 151/2021, aveva affermato — con parole che la stessa Prima Sezione trascrive — che la sola previsione del termine quinquennale di prescrizione «non risulta adeguata», essendo per la sua ampiezza «inidoneo a garantire, di per sé solo, la certezza giuridica della posizione dell'incolpato e l'effettività del suo diritto di difesa, che richiedono contiguità temporale tra l'accertamento dell'illecito e l'applicazione della sanzione».
Ne discende un esito quasi ironico. La sentenza in commento invoca la n. 151/2021 per giustificare l'astensione del giudice; ma il risultato pratico di quell'astensione è precisamente la situazione che la n. 151/2021 aveva bollato come costituzionalmente critica: un sistema in cui, tra reclamo e sanzione, l'unico argine reale è la prescrizione quinquennale. La Corte, in altre parole, cita la diagnosi della Consulta per legittimare la rinuncia alla terapia. È lecito domandarsi se, di fronte a una lacuna che il legislatore continua a non colmare, la strada maestra non fosse semmai una nuova rimessione alla Consulta — tanto più che sia il Procuratore Generale sia l'Avvocatura dello Stato avevano chiesto l'assegnazione alle Sezioni Unite, istanza che il Primo Presidente ha respinto. La Prima Sezione ha così risolto in solitudine, e con esiti non pienamente sovrapponibili ai propri arresti recentissimi, una questione che essa stessa qualifica come «nuova» e «complessa».
C'è, va detto, un tentativo di temperamento: la Corte suggerisce che il rispetto del termine di dodici mesi, salve le sospensioni, «costituisca un parametro utile ai fini della valutazione della ragionevolezza del momento in cui la (presunta) violazione può ritenersi accertata». Il termine annuale, espulso dalla porta come causa di decadenza, rientra dalla finestra come indice di ragionevolezza dell'accertamento. È una valvola di sicurezza apprezzabile, ma dai contorni evanescenti: affida alla discrezionalità del giudice di merito, caso per caso, ciò che una regola avrebbe reso prevedibile ex ante. E la prevedibilità, in materia sanzionatoria, non è un dettaglio: è un contenuto del diritto di difesa.
Il secondo motivo: essenzialità, oblio e il perimetro del sindacato di legittimità - Sul secondo motivo la Corte è più tranchant, e più tradizionale. La valutazione secondo cui l'indicazione dei titoli di studio e delle professioni dei figli del condannato ha ecceduto il limite dell'essenzialità dell'informazione è un apprezzamento di merito, «logico e motivato», sottratto al sindacato di legittimità. Il richiamo alle Sezioni Unite sul diritto all'oblio (Cass., SS.UU., 22 luglio 2019, n. 19681) e a Cass., Sez. III, n. 20337/2024 serve a ribadire la regola-cardine: spetta al giudice di merito bilanciare, nella singola fattispecie, protezione dei dati e interesse pubblico all'informazione, valutando l'interesse concreto e attuale alla menzione degli elementi identificativi dei protagonisti di vicende del passato.
Anche qui, tuttavia, resta spazio per una provocazione. Il libro racconta una vicenda giudiziaria di indubbio interesse pubblico; la presenza dei figli alla lettura della sentenza di condanna del padre è, per ammissione della stessa Corte, «circostanza sicuramente riferibile» al contesto narrato. La linea che separa il contesto lecito (i figli presenti in aula) dal dettaglio eccedente (la loro laurea, il loro lavoro) è sottilissima, e la sua individuazione — rimessa integralmente al merito e insindacabile in legittimità se motivata — rischia di consegnare la sorte di scelte editoriali costituzionalmente protette (art. 21 Cost.) a una valutazione difficilmente prevedibile. Che l'esito sanzionatorio si traduca in soli 2.000 euro non deve trarre in inganno: il valore precettivo della pronuncia, e il suo chilling effect sull'attività editoriale e giornalistica, prescindono dall'entità della sanzione.
Rilievi conclusivi - La sentenza n. 22791/2026 è, sotto il profilo argomentativo, un lavoro di alto artigianato: distingue con nettezza il procedimento di reclamo da quello sanzionatorio, governa con misura la dialettica tra prescrizione e decadenza, e maneggia con proprietà il precedente costituzionale. Eppure lascia il lettore con un disagio difficile da dissimulare.
Sul piano sistematico, essa consegna agli operatori un messaggio ambivalente. Da un lato, prosegue idealmente il cammino garantista aperto da Enel e Report, richiamando la necessità costituzionale di un limite temporale al potere afflittivo. Dall'altro, ricollocando il termine di 120 giorni sul versante della contestazione, finisce per sottrarre al sanzionato proprio l'argine che quei precedenti sembravano avergli riconosciuto: dopo una contestazione tempestiva, l'Autorità dispone — di fatto — dell'intero quinquennio prescrizionale per irrogare la sanzione.
Se la lettura qui proposta coglie nel segno, il rischio è duplice. Verso i titolari del trattamento, l'incertezza prolungata che la Consulta aveva giudicato incompatibile con il diritto di difesa. Verso il contenzioso pendente, un potenziale disallineamento tra questa pronuncia e gli arresti Enel e Report, che i giudici di merito dovranno provare a comporre. Sarebbe stata, forse, l'occasione ideale per l'intervento delle Sezioni Unite: la richiesta c'era, ed è stata respinta.
Resta, sullo sfondo, la vera questione irrisolta, che nessuna acrobazia interpretativa può surrogare: l'assenza, nel Codice e nel regolamento n. 1/2019, di un termine finale certo per la conclusione del procedimento sanzionatorio del Garante. È un vuoto che spetta all'Autorità colmare in via regolamentare — come altre authorities hanno fatto — o al legislatore riempire in sede primaria. Finché ciò non accadrà, ogni pronuncia sul punto sarà destinata a costruire, con crescente fatica, ciò che una norma avrebbe reso semplice: la certezza del tempo.
