Se il Garante privacy non risponde, che si fa? Ecco cosa dice la Cassazione

Non è la prima sentenza sui termini entro i quali il Garante privacy è tenuto a pronunciarsi ovvero quei 120 giorni previsti dal Regolamento interno 2/2019.

Questa volta, però, la Cassazione si pronuncia con una sentenza del 6 luglio 2026 che, più delle precedenti altre ricostruisce bene la questione delle lunghe e incerte attese per i provvedimenti privacy fornendo, attraverso un preciso ragionamento, delle regole utili alle aziende per orientarsi in questi casi.

Vediamo meglio.

La sentenza nella sua portata innovativa

Con la sentenza in parola, la n. 22791/2026, gli Ermellini hanno chiarito che il termine di un anno, previsto dall’art. 143 del Codice della privacy che disciplina la decisione di un reclamo, si riferisce soltanto alla tutela del diritto del reclamante ad (avere) una decisione rapida.

Di qui, l’iter sanzionatorio poiché autonomo rimane soggetto al termine prescrizionale. In altri termini, non è che dopo l’anno ci sia un silenzio–assenso da un lato, né un provvedimento sanzionatorio nullo.

I fatti

La vicenda nasce da una sanzione di 2.000 euro che il Garante privacy ha irrogato a una Casa editrice per aver pubblicato un libro il quale, nel raccontare una vicenda giudiziaria, citava anche dati personali (nomi, titoli di studio e professioni) dei figli del reo, ritenuti “eccedenti rispetto ai limiti della essenzialità dell’informazione”.

Veniva respinta l’opposizione dal Tribunale di Milano, così la Casa editrice ricorreva in Cassazione.

Tra i vari motivi di ricorso veniva sostenuta la decadenza dell’Autorità Garante “dal potere sanzionatorio per aver concluso il procedimento oltre un anno dalla presentazione del reclamo”.

Il principio di diritto

La Suprema Corte, nella sentenza in parola, afferma un principio particolarmente rilevante e cioè a dire: “il termine previsto per la definizione del reclamo davanti al Garante non determina la decadenza del potere sanzionatorio dell’Autorità”. Detto altrimenti, non è perentorio.

Per giungere a tale conclusione, la Cassazione distingue nettamente il procedimento di reclamo dal successivo nonché “autonomo” procedimento, finalizzato all’eventuale adozione di misure correttive e/o sanzionatorie.

Il superamento dei precedenti giurisprudenziali

Con la pronuncia in disamina, vengono di fatto superati i precedenti giurisprudenziali della stessa Corte che invece avevano profilato una sovrapposizione tra le due fasi procedimentali, tracciando “le linee fondamentali dell’interpretazione della normativa, primaria e regolamentare di settore, sui termini previsti nel procedimento dinanzi al Garante della privacy”, come si legge testualmente e in particolare:

• con la sentenza n. 18583 del 2025, la Cassazione ha affermato il principio di diritto secondo cui, “in tema di trattamento dei dati personali, la complessiva attività procedimentale dell’Autorità garante, finalizzata all’accertamento di violazioni ed alla irrogazione delle corrispondenti sanzioni, consta di due fasi logicamente e cronologicamente distinte: la prima di natura investigativa o preistruttoria e l’altra di natura sanzionatoria in senso stretto. Il termine, da considerarsi perentorio, di centoventi giorni previsto al punto 2 dell’allegato “B” del regolamento del Garante n. 2 del 2019 si riferisce esclusivamente alla fase sanzionatoria in senso stretto e decorre dalla conclusione della fase preistruttoria che culmina con l’effettivo accertamento delle violazioni ascritte al trasgressore e la notifica della contestazione”;
• con la successiva sentenza n. 984 del 2026, sempre la Cassazione ha affermato che il “termine di centoventi giorni per l’irrogazione della sanzione”, previsto al punto 2 dell’allegato “B” del regolamento del Garante n. 2/2019, decorrente dal definitivo accertamento dell’illecito mediante l’invio della comunicazione di cui al combinato disposto degli artt. 12, commi 1 e 2, del regolamento del Garante n. 1/2019, e 166, comma 5, del d.lgs. n. 196 del 2003, entro quattro mesi dalla conoscenza (accertamento) della violazione, ha natura perentoria.

Non è più questione di natura dei termini, ma di potere sanzionatorio

Per la Suprema Corte, con la pronuncia in disamina diventa irrilevante stabilire se “il termine annuale per decidere il reclamo sia perentorio od ordinatorio, perché in ogni caso esso non incide sul potere sanzionatorio del Garante”.

Ed elegantemente afferma (al punto 16) che “non sia necessario prendere posizione su tale questione perché, in ogni caso, anche l’eventuale natura perentoria che dovesse riconoscersi al termine di un anno per la decisione sul reclamo non sarebbe suscettibile di riflettersi sul tempo per l’esercizio del potere sanzionatorio e la sua definizione”.

Quindi, interpreta un potere sanzionatorio parte di una fase separata e autonoma cioè svincolata da qualunque termine decadenziale o meno.

Il procedimento sanzionatorio quindi e a seguito di un reclamo, è soggetto a una disciplina del tutto distinta (data dalle legge n. 689/1981).

Sono piani differenti, chiarendo che “il termine di 120 giorni riguarda la contestazione dell’illecito, e non l’irrogazione della sanzione”.

Cosa significa per le organizzazioni

È una sentenza che ribalta la prospettiva e punta a un principio di separazione dei poteri nel senso che se il legislatore non prevede una determinata decadenza, il giudice non può sostituirvisi, introducendo per via interpretativa limiti che incidono sull’esercizio del potere sanzionatorio.

Le organizzazioni, d’ora in avanti, sapranno come regolarsi dinanzi a un reclamo/segnalazione non è questione di tempi, ma di poteri.

Insomma, una sentenza destinata certamente a incidere sul futuro contenzioso privacy e che merita un’attenta lettura.