La Corte di cassazione, con la sentenza n. 22791 del 6 luglio 2026, ha chiarito un aspetto di particolare rilievo in materia di procedimenti dinanzi al Garante per la protezione dei dati personali: il termine massimo di dodici mesi previsto dall’art. 143, comma 3, del d.lgs. n. 196/2003 riguarda esclusivamente la conclusione del procedimento instaurato mediante reclamo e non determina la decadenza del potere sanzionatorio dell’Autorità.
Il termine annuale tutela il reclamante
L’art. 143, comma 3, del Codice della privacy stabilisce che il Garante deve decidere sul reclamo entro nove mesi dalla sua presentazione, termine prorogabile fino a dodici mesi in presenza di motivate esigenze istruttorie.
Secondo la Suprema Corte, tale previsione ha una funzione esclusivamente acceleratoria: garantisce all’interessato una risposta in tempi ragionevoli, ma non introduce un limite temporale all’esercizio del distinto potere sanzionatorio dell’Autorità. Il superamento del termine, pertanto, non comporta l’illegittimità della successiva ordinanza-ingiunzione né determina la decadenza del potere di irrogare la sanzione.
Reclamo e procedimento sanzionatorio sono autonomi
La decisione della Cassazione si fonda sulla netta distinzione tra due procedimenti:
- il procedimento sul reclamo, finalizzato alla tutela dell’interessato che lamenta una violazione della disciplina sulla protezione dei dati personali;
- il procedimento sanzionatorio, volto ad accertare l’illecito amministrativo e ad applicare le eventuali sanzioni previste dal GDPR e dal Codice della privacy.
Pur potendo originare dal medesimo fatto, i due procedimenti perseguono finalità differenti e sono disciplinati da regole autonome. Di conseguenza, il termine previsto per la definizione del reclamo non si estende automaticamente alla fase sanzionatoria.
Nessuna decadenza, ma resta la prescrizione
La Corte precisa che il potere sanzionatorio del Garante non è privo di limiti temporali.
Esso rimane infatti soggetto alla prescrizione quinquennale prevista dall’art. 28 della legge n. 689/1981, oltre al rispetto dell’obbligo di tempestiva contestazione dell’illecito, secondo i principi elaborati dalla giurisprudenza in materia di sanzioni amministrative.
Il decorso dei dodici mesi previsti per il reclamo, quindi, non incide sulla validità della sanzione, purché il procedimento sanzionatorio sia stato avviato e condotto nel rispetto delle garanzie procedimentali previste dall’ordinamento.
Implicazioni pratiche
La pronuncia supera l’orientamento sostenuto in alcune decisioni di merito che avevano ritenuto applicabile il termine annuale anche al procedimento sanzionatorio, con conseguente annullamento delle ordinanze adottate oltre tale limite.
Per imprese, professionisti e pubbliche amministrazioni la decisione comporta una maggiore certezza interpretativa: il decorso del termine di dodici mesi dalla presentazione del reclamo non costituisce più un motivo autonomo di invalidità della sanzione irrogata dal Garante.
Resta tuttavia ferma la possibilità di contestare eventuali ritardi nella contestazione dell’illecito o la violazione delle garanzie procedimentali previste dalla legge, profili che continuano a rappresentare limiti effettivi all’esercizio del potere sanzionatorio dell’Autorità
