La Corte di Cassazione, Prima Sezione Civile, con due pronunce gemelle depositate lo stesso giorno — le sentenze n. 24861/2026 e n. 24862/2026 (pubblicate il 31 agosto 2026) — ha fornito un quadro organico sui termini del procedimento sanzionatorio del Garante per la protezione dei dati personali. Le due decisioni, pur riguardando fattispecie diverse, affrontano in modo complementare i due nodi principali della materia:
- la prima chiarisce se e quando il potere sanzionatorio del Garante possa dirsi decaduto per il superamento del termine annuale fissato per la decisione sul reclamo che ha dato origine al procedimento;
- la seconda si concentra invece sul diverso termine di 120 giorni previsto per la contestazione delle violazioni, precisando da quale preciso momento tale termine debba farsi decorrere. Lette insieme, le due pronunce delineano con chiarezza i tempi entro cui l'Autorità può legittimamente esercitare il proprio potere afflittivo, distinguendo nettamente la fase di reclamo, la fase istruttoria preliminare e la fase sanzionatoria in senso stretto, ciascuna governata da regole e termini autonomi.
I dettagli del caso: esposti dati personali di un minore
Una società editoriale aveva pubblicato un articolo, tratto da un libro, relativo alla vicenda penale di una persona condannata per reati commessi ai danni di minori.
Nel testo venivano citati anche i figli dell'interessato, con indicazione di nome, cognome, attività sportiva e professionale, in ragione della loro presenza al processo del genitore. A seguito di reclamo presentato dagli interessati, il Garante aveva irrogato alla società una sanzione pecuniaria di 20.000 euro, ritenendo che la diffusione dei dati identificativi dei figli costituisse un trattamento illecito, non essenziale rispetto all'interesse pubblico della vicenda riguardante il padre.
Il Tribunale di Roma aveva respinto l'opposizione proposta dalla società, ritenendo che il decorso del tempo avesse fatto emergere anche un diritto all'oblio in capo agli interessati. La società ha quindi proposto ricorso per cassazione, affidandosi a tre motivi: i primi due incentrati sull'asserita decadenza del potere sanzionatorio del Garante per mancato rispetto dei termini procedimentali; il terzo relativo all'erronea applicazione del principio di essenzialità dell'informazione e all'introduzione, da parte del giudice di merito, del tema del diritto all'oblio.
La Cassazione ha rigettato integralmente il ricorso.
Sul primo profilo, la Corte ha chiarito che il termine di un anno previsto per la decisione sul reclamo dall'art. 143, comma 3, del d.lgs. 196/2003 e dall'art. 8 del Regolamento del Garante n. 2/2019 riguarda esclusivamente la definizione del reclamo come strumento di tutela diretta dell'interessato, e non segna una scadenza finale per l'esercizio del potere sanzionatorio. Quest'ultimo, infatti, dà luogo a un procedimento amministrativo autonomo e distinto, che si apre a valle del reclamo ma ne è funzionalmente separato, essendo diretto alla tutela di interessi pubblici e non alla sola soddisfazione dell'interesse del reclamante.
Ne consegue che il mancato rispetto del termine annuale non determina l'estinzione del potere sanzionatorio, il quale resta soggetto unicamente alla prescrizione quinquennale prevista dall'art. 28 della legge 689/1981, richiamata dall'art. 166 del Codice della privacy.
La Corte ha anche precisato che il termine di 120 (o 360) giorni relativo alla contestazione delle violazioni decorre dal completamento dell'istruttoria e non dalla mera acquisizione della notizia, trattandosi di un termine endoprocedimentale e non di una scadenza per l'irrogazione della sanzione. (Si veda su questo, sotto, anche la sentenza successiva,
Sul terzo motivo, i giudici hanno confermato che la valutazione sull'essenzialità dei dati diffusi nell'esercizio del diritto di cronaca o di rievocazione storica è rimessa al prudente apprezzamento del giudice di merito, il quale, nel caso di specie, aveva correttamente distinto la posizione del soggetto coinvolto nel processo penale, la cui vicenda conservava interesse pubblico, da quella dei figli, privi di notorietà e di ruoli pubblici, per i quali la pubblicazione dei dati identificativi non risultava giustificata a distanza di tempo dai fatti. Il richiamo al diritto all'oblio, secondo la Corte, non ha comportato un'indebita estensione del thema decidendum, ma è servito a inquadrare il bilanciamento, sempre necessario, tra diritto alla protezione dei dati personali e interesse pubblico all'informazione, alla luce dei principi generali dell'art. 5 del GDPR.
Il chiarimento sul dies a quo per l’irrogazione della sazione
Con una seconda pronuncia la Corte di Cassazione si sofferma non sulla natura del termine di 120 giorni previsto dal punto 2 dell'allegato B al Regolamento del Garante n. 2/2019 — pacificamente perentorio — ma sul momento da cui tale termine inizia a decorrere.
Il caso riguardava una sanzione di 5.000 euro irrogata a una società per avere svolto il ruolo di responsabile esterno del trattamento dati, nell'ambito della gestione di un servizio di sosta a pagamento, senza un valido atto di nomina.
Il Tribunale di Roma aveva accolto l'opposizione della società, facendo decorrere il termine di 120 giorni dalla data in cui l'ente committente aveva trasmesso al Garante una nota contenente gli elementi fattuali dell'addebito, e ritenendo quindi tardiva la successiva contestazione.
Quando decorre il termine di 120 giorni
La Cassazione ha accolto il ricorso del Garante, chiarendo che il "definitivo accertamento" dell'illecito — momento da cui decorre il termine — non coincide con la semplice acquisizione di una notizia o di elementi fattuali grezzi, ma richiede che l'Autorità abbia la concreta capacità di valutare tutti gli elementi costitutivi della violazione, oggettivi e soggettivi, anche attraverso l'interlocuzione con il soggetto potenzialmente responsabile.
Nel caso specifico, le informazioni fornite dall'ente committente nel febbraio 2020 non consentivano ancora di accertare l'effettiva posizione della società, essendo state raccolte nell'ambito di un procedimento distinto; solo la risposta della società stessa, fornita nel luglio 2021 a seguito di specifica richiesta del Garante, ha permesso di acquisire la piena conoscenza della condotta contestata.
La Corte ha quindi cassato la sentenza di merito, che aveva anticipato impropriamente il dies a quo al momento della mera constatazione dei fatti, confermando l'orientamento già espresso con le sentenze n. 18583/2025 e n. 984/2026, secondo cui la "constatazione" dei fatti non equivale al loro "accertamento" quando sia necessaria un'ulteriore attività istruttoria e valutativa.
