Il decorso di un anno dalla presentazione di un reclamo al Garante per la protezione dei dati personali non determina la perdita del potere dell’Autorità di accertare una violazione e applicare una sanzione amministrativa.

È uno dei principali chiarimenti forniti dalla Corte di Cassazione, Sezione civile, con la sentenza n. 24861 del del 31 agosto 2026, che interviene sulla diversa funzione dei termini applicabili alla trattazione dei reclami e al successivo esercizio del potere sanzionatorio del Garante.

La controversia trae origine da un provvedimento con il quale l’Autorità aveva applicato a una società editrice una sanzione pecuniaria di 20.000 euro per la pubblicazione, all’interno di un articolo giornalistico, di dati personali relativi ai figli di una persona condannata per abusi su minori. Il Garante aveva ritenuto il trattamento illecito, tra l’altro, in relazione al principio di essenzialità dell’informazione e al diritto all’oblio.

Il reclamo era stato presentato il 27 maggio 2021. A seguito dell’attività istruttoria, il Garante aveva avviato il procedimento sanzionatorio il 23 novembre dello stesso anno, mentre il provvedimento sanzionatorio era stato adottato il 2 marzo 2023 e notificato il successivo 20 marzo.

La società aveva contestato la legittimità della sanzione sostenendo che il Garante fosse decaduto dal relativo potere per il superamento del termine annuale previsto per la definizione del reclamo.

La Cassazione ha respinto tale impostazione, chiarendo che il termine di un anno previsto per la conclusione del procedimento originato dal reclamo ha natura ordinatoria. Esso è diretto ad assicurare all’interessato che si è rivolto all’Autorità una trattazione tempestiva della propria istanza, ma non costituisce il termine finale entro il quale il Garante deve necessariamente esercitare il distinto potere di contestazione e repressione degli illeciti.

Secondo la Corte, infatti, il procedimento attivato dal reclamo e il procedimento amministrativo sanzionatorio non possono essere sovrapposti. Il secondo trova fondamento in una disciplina autonoma e può essere avviato dal Garante sulla base delle violazioni emerse nel corso degli accertamenti, anche quando questi abbiano avuto origine da una segnalazione o da un reclamo.

Il superamento del termine annuale non comporta quindi, di per sé, l’estinzione del potere sanzionatorio.

Per individuare i limiti temporali entro i quali tale potere può essere esercitato assume invece rilievo anche la disciplina generale delle sanzioni amministrative contenuta nella legge 24 novembre 1981, n. 689. In particolare, l’articolo 28 prevede un termine di prescrizione di cinque anni decorrente dalla commissione della violazione.

Diversa è la funzione del termine di 120 giorni previsto per la contestazione delle violazioni. Tale termine – elevato a 360 giorni nei confronti dei soggetti residenti all’estero – non riguarda l’adozione del provvedimento finale con cui viene irrogata la sanzione, ma la notificazione della contestazione all’interessato.

La Cassazione ribadisce inoltre che i 120 giorni non decorrono dal momento in cui il Garante riceve per la prima volta notizia di una possibile violazione. Il dies a quo coincide, invece, con il momento in cui l’attività istruttoria ha consentito all’Autorità di raggiungere un accertamento sufficientemente completo dell’illecito.

La mera acquisizione di una segnalazione, di un reclamo o di altri elementi iniziali non equivale pertanto all’accertamento definitivo della violazione. La durata della fase investigativa deve comunque essere valutata secondo criteri di ragionevolezza e congruità in relazione alle caratteristiche e alla complessità del caso concreto.

La pronuncia si inserisce nel solco già tracciato dalla Cassazione con la sentenza n. 18583 dell’8 luglio 2025, secondo cui l’attività del Garante finalizzata all’applicazione delle sanzioni deve essere distinta in due momenti: una fase preliminare di carattere investigativo e istruttorio, destinata alla raccolta e alla valutazione degli elementi necessari per accertare l’eventuale violazione, e una successiva fase sanzionatoria in senso stretto.

È soltanto rispetto a quest’ultima che assume rilievo il termine perentorio di 120 giorni previsto dal regolamento del Garante n. 2/2019 per la notificazione della contestazione. La normativa non stabilisce invece un analogo termine perentorio per la conclusione dell’attività preistruttoria.

La decisione riveste particolare importanza per imprese e titolari del trattamento coinvolti in procedimenti davanti al Garante, perché impone di distinguere con precisione tre diversi piani temporali: il termine previsto per la definizione del reclamo, che ha natura ordinatoria; il termine entro il quale deve essere notificata la contestazione dopo il definitivo accertamento della violazione; e il termine generale di prescrizione del potere sanzionatorio.

Ne deriva che la sola durata complessiva del procedimento non è sufficiente per eccepire la decadenza dell’Autorità. Ai fini della verifica della tempestività della contestazione diventa invece determinante individuare il momento nel quale, alla luce dell’attività istruttoria effettivamente compiuta, la violazione poteva considerarsi definitivamente accertata.