Il Garante privacy ha un anno di tempo per definire il reclamo, ma il termine ha natura ordinatoria e non perentoria perché serve a garantire alla parte una sollecita conclusione del procedimento che ha promosso. Non si tratta, invece, della scadenza finale entro cui l’autorità deve esercitare il potere sanzionatorio avviato in autonomia dal Garante, seppure in seguito al reclamo: è un procedimento, quest’ultimo, disciplinato da una normativa distinta, cui non risulta applicabile il termine di decadenza annuale. La contestazione, invece, deve avvenire entro 120 giorni dall’accertamento della violazione. E attenzione: si tratta di un termine non per emettere la sanzione ma soltanto per notificare le contestazioni, che decorre dal completamento dell’istruttoria. Così la Cassazione civile nella sentenza n. 24861 del 31/08/2026.
Trattamento illecito. Bocciato il ricorso proposto dalla società che edita un quotidiano, condannato a una sanzione pecuniaria di 20 mila euro per aver pubblicato in un articolo dati personali dei figli di una persona condannata per abusi su minori. Gli interessati presentano il reclamo il 27 maggio 2021: a seguito dell’istruttoria, il Garante avvia il procedimento sanzionatorio il successivo 23 novembre, ma irroga la sanzione soltanto con provvedimento del 2 marzo 2023, notificato il 20 del mese, ritenendo il trattamento illecito per violazione del principio di essenzialità dell’informazione e del diritto all’oblio. Non giova tuttavia alla società editrice dedurre la decadenza del potere sanzionatorio per l’inosservanza del termine annuale.
Fattispecie costitutiva. Sul procedimento con cui il Garante adotta le sanzioni pesa il richiamo alla 24/11/1981, n. 689: assume rilievo l’articolo 28, che prevede la prescrizione quinquennale che decorre dalla commissione del fatto. Il termine annuale, dunque, resta fuori dalla fattispecie costitutiva del potere sanzionatorio, che non è estinto dalla relativa inosservanza: l’importante che è le violazioni siano contestate entro 120 giorni (360 per i residenti all’estero) dall’accertamento definitivo, da apprezzare in base a criteri di ragionevolezza e congruità, mentre non basta la semplice acquisizione della notizia.
Fasi distinte. L’attività del Garante privacy finalizzata all’accertamento di violazioni e all’irrogazione delle sanzioni, chiarisce la sentenza n. 18583 del 08/07/2025, consta di due fasi distinte sul piano logico e cronologico: la prima di natura investigativa o preistruttoria e l’altra di natura sanzionatoria in senso stretto. Il termine, da considerarsi perentorio, di 120 giorni previsto al punto 2 dell’allegato “B” del regolamento del Garante 2/2019 si riferisce soltanto alla fase sanzionatoria in senso stretto e decorre dalla conclusione della fase preistruttoria, che culmina con l’effettivo accertamento delle violazioni ascritte al trasgressore e la notifica della contestazione: non esiste nella norma un termine di natura perentoria per il completamento dell’attività preistruttoria all’articolo 166 del decreto legislativo 30/06/2003, n. 196.
