Garante Privacy: Cassazione conferma potere sanzionatorio anche oltre termine reclamo

Contesto

La Suprema corte, sentenza n. 22791/2026, ha stabilito che il termine di un anno per la decisione del reclamo, previsto dall’articolo 143 del Codice della privacy, tutela esclusivamente il diritto del reclamante a una risoluzione rapida. Diversamente, il procedimento sanzionatorio è autonomo e soggetto alla prescrizione quinquennale della legge n. 689/1981, a condizione che la contestazione dell’illecito sia tempestiva.
La vicenda trae origine da una sanzione di 2.000 euro irrogata dal Garante Privacy a una casa editrice. La sanzione era dovuta alla pubblicazione in un libro di dati personali (nomi, titoli di studio e professioni) dei figli di un condannato, ritenuti eccedenti rispetto ai limiti di essenzialità dell’informazione. Dopo il rigetto dell'opposizione da parte del Tribunale di Milano, l'editrice ha presentato ricorso in Cassazione, argomentando la decadenza del potere sanzionatorio del Garante per aver concluso il procedimento oltre un anno dalla presentazione del reclamo.
La Corte ha specificato che il termine di 120 giorni riguarda la contestazione dell'illecito, non l'irrogazione della sanzione, e decorre dal definitivo accertamento della violazione, da valutare secondo criteri di ragionevolezza. Il termine annuale per il reclamo funge da parametro per la verifica della tempestività di tale accertamento. Di conseguenza, il mancato rispetto del termine annuale per la decisione del reclamo non determina la decadenza del potere sanzionatorio del Garante, purché la contestazione delle violazioni sia stata notificata tempestivamente.

Perché conta

Questa sentenza della Cassazione è di fondamentale importanza per DPO e responsabili IT poiché chiarisce in modo definitivo la natura e la durata del potere sanzionatorio del Garante Privacy. Le organizzazioni non possono fare affidamento sui tempi di gestione dei reclami per considerare esaurito il rischio di sanzione, in quanto il potere sanzionatorio è autonomo e persiste per cinque anni dalla violazione, purché contestata tempestivamente. Ciò rafforza l'importanza di una compliance continua e robusta con il Codice della privacy e il GDPR.
Per le organizzazioni, ciò significa che la responsabilità per la protezione dei dati è a lungo termine. Anche in caso di reclami con tempi di definizione prolungati, l'organizzazione rimane soggetta all'azione sanzionatoria del Garante per un periodo significativo. Questo impatta direttamente sulla gestione della governance della privacy (utile per ISO 27001) e sulla necessità di mantenere elevati standard di sicurezza delle informazioni per prevenire violazioni che potrebbero essere sanzionate anche a distanza di anni, se tempestivamente contestate.

Cosa fare

• Garantire una costante conformità ai principi di trattamento dei dati personali, in particolare quello di minimizzazione ed essenzialità, in ogni contesto di diffusione o pubblicazione.
• Implementare procedure robuste per monitorare e rispondere tempestivamente a eventuali contestazioni di illeciti privacy da parte del Garante, poiché la tempestività della contestazione è cruciale per l'esercizio del potere sanzionatorio.
• Formare il personale, inclusi DPO e responsabili IT, sulle implicazioni di questa sentenza, sottolineando che il superamento del termine annuale per i reclami non estingue il potere sanzionatorio del Garante.

Cosa evitare

• Trattare o pubblicare dati personali che siano eccedenti rispetto alla finalità dichiarata o al principio di essenzialità dell'informazione.
• Considerare il superamento del termine annuale per la decisione di un reclamo come una garanzia di immunità da sanzioni, in quanto il potere sanzionatorio del Garante è autonomo e soggetto a un termine di prescrizione quinquennale.
• Sottovalutare l'importanza di una tempestiva contestazione dell'illecito da parte del Garante come condizione per l'irrogazione della sanzione.

Implicazioni pratiche

Le organizzazioni devono comprendere che il potere sanzionatorio del Garante Privacy è indipendente dalla rapidità con cui vengono gestiti i reclami degli interessati. La sentenza stabilisce che il Garante può esercitare il suo potere sanzionatorio per un periodo di cinque anni dalla violazione, purché la contestazione dell'illecito avvenga tempestivamente, rendendo inefficace qualsiasi strategia basata sull'attesa o sui ritardi nella gestione dei reclami per evitare sanzioni.

Errori da evitare

• Assumere che il tempo trascorso dalla presentazione di un reclamo possa automaticamente annullare il rischio di sanzioni da parte del Garante.
• Ignorare o ritardare l'implementazione delle misure di sicurezza e privacy basandosi su tempistiche percepite di decadenza del potere sanzionatorio.

Domande di self-assessment

• Le nostre procedure di trattamento dei dati garantiscono il pieno rispetto del principio di minimizzazione e essenzialità dell'informazione in tutti i contesti operativi?
• Siamo in grado di dimostrare la conformità ai termini di legge per la contestazione di illeciti, qualora il Garante avviasse un procedimento sanzionatorio?
• Il nostro personale chiave è consapevole che il potere sanzionatorio del Garante persiste per 5 anni, indipendentemente dalla durata di un reclamo?
• Abbiamo implementato controlli efficaci per prevenire la pubblicazione o la diffusione di dati personali non strettamente necessari o pertinenti?

Riferimenti

Normativa nazionale: Cassazione, sentenza n. 22791/2026 · Legge n. 689/1981 · Articolo 143 del Codice della privacy · Corte di giustizia Ue, sentenza C-588/24 del 15 gennaio 2026