Garante Privacy: Cassazione conferma potere sanzionatorio anche oltre termine reclamo

Contesto

La Suprema corte, sentenza n. 22791/2026, ha stabilito che il termine di un anno per la decisione del reclamo, previsto dall’articolo 143 del Codice della privacy, tutela esclusivamente il diritto del reclamante a una risoluzione rapida. Diversamente, il procedimento sanzionatorio è autonomo e soggetto alla prescrizione quinquennale della legge n. 689/1981, a condizione che la contestazione dell’illecito sia tempestiva.
La vicenda trae origine da una sanzione di 2.000 euro irrogata dal Garante Privacy a una casa editrice. La sanzione era dovuta alla pubblicazione in un libro di dati personali (nomi, titoli di studio e professioni) dei figli di un condannato, ritenuti eccedenti rispetto ai limiti di essenzialità dell’informazione. Dopo il rigetto dell'opposizione da parte del Tribunale di Milano, l'editrice ha presentato ricorso in Cassazione, argomentando la decadenza del potere sanzionatorio del Garante per aver concluso il procedimento oltre un anno dalla presentazione del reclamo.
La Corte ha specificato che il termine di 120 giorni riguarda la contestazione dell'illecito, non l'irrogazione della sanzione, e decorre dal definitivo accertamento della violazione, da valutare secondo criteri di ragionevolezza. Il termine annuale per il reclamo funge da parametro per la verifica della tempestività di tale accertamento. Di conseguenza, il mancato rispetto del termine annuale per la decisione del reclamo non determina la decadenza del potere sanzionatorio del Garante, purché la contestazione delle violazioni sia stata notificata tempestivamente.

Perché conta

Un errore comune tra le organizzazioni e' pensare che, passato l'anno dal reclamo, il rischio di sanzione sia archiviato. La Cassazione chiarisce il contrario: il potere del Garante e' autonomo e puo' arrivare fino a cinque anni dalla violazione, purche' contestata in tempo. Tradotto per chi gestisce un'impresa, la conformita' privacy non e' una pratica da chiudere ma uno stato da mantenere nel tempo.

Cosa fare

• Garantire una costante conformità ai principi di trattamento dei dati personali, in particolare quello di minimizzazione ed essenzialità, in ogni contesto di diffusione o pubblicazione.
• Implementare procedure robuste per monitorare e rispondere tempestivamente a eventuali contestazioni di illeciti privacy da parte del Garante, poiché la tempestività della contestazione è cruciale per l'esercizio del potere sanzionatorio.
• Formare il personale, inclusi DPO e responsabili IT, sulle implicazioni di questa sentenza, sottolineando che il superamento del termine annuale per i reclami non estingue il potere sanzionatorio del Garante.

Cosa evitare

• Trattare o pubblicare dati personali che siano eccedenti rispetto alla finalità dichiarata o al principio di essenzialità dell'informazione.
• Considerare il superamento del termine annuale per la decisione di un reclamo come una garanzia di immunità da sanzioni, in quanto il potere sanzionatorio del Garante è autonomo e soggetto a un termine di prescrizione quinquennale.
• Sottovalutare l'importanza di una tempestiva contestazione dell'illecito da parte del Garante come condizione per l'irrogazione della sanzione.

Implicazioni pratiche

Le organizzazioni devono comprendere che il potere sanzionatorio del Garante Privacy è indipendente dalla rapidità con cui vengono gestiti i reclami degli interessati. La sentenza stabilisce che il Garante può esercitare il suo potere sanzionatorio per un periodo di cinque anni dalla violazione, purché la contestazione dell'illecito avvenga tempestivamente, rendendo inefficace qualsiasi strategia basata sull'attesa o sui ritardi nella gestione dei reclami per evitare sanzioni.

Errori da evitare

• Assumere che il tempo trascorso dalla presentazione di un reclamo possa automaticamente annullare il rischio di sanzioni da parte del Garante.
• Ignorare o ritardare l'implementazione delle misure di sicurezza e privacy basandosi su tempistiche percepite di decadenza del potere sanzionatorio.

Domande di self-assessment

• Le nostre procedure di trattamento dei dati garantiscono il pieno rispetto del principio di minimizzazione e essenzialità dell'informazione in tutti i contesti operativi?
• Siamo in grado di dimostrare la conformità ai termini di legge per la contestazione di illeciti, qualora il Garante avviasse un procedimento sanzionatorio?
• Il nostro personale chiave è consapevole che il potere sanzionatorio del Garante persiste per 5 anni, indipendentemente dalla durata di un reclamo?
• Abbiamo implementato controlli efficaci per prevenire la pubblicazione o la diffusione di dati personali non strettamente necessari o pertinenti?

Riferimenti

Normativa nazionale: Cassazione, sentenza n. 22791/2026 · Legge n. 689/1981 · Articolo 143 del Codice della privacy · Corte di giustizia Ue, sentenza C-588/24 del 15 gennaio 2026