(Cass. civ., Sez. I, 31 agosto 2026, n. 24861/2026)

1. Premessa: la questione e il suo rilievo sistemico

La sentenza in commento affronta un nodo interpretativo di fondamentale rilievo pratico per chiunque assista imprese o professionisti destinatari di procedimenti sanzionatori del Garante per la protezione dei dati personali: se il superamento del termine annuale previsto per la decisione sul reclamo (art. 143 Codice privacy; art. 8 Regolamento del Garante n. 2/2019) determini la decadenza dell'Autorità dal potere di irrogare la sanzione, e se - più in generale - esista un termine finale, decorrente dalla contestazione, entro cui il procedimento sanzionatorio debba concludersi a pena di illegittimità del provvedimento tardivo.

Il rilievo della pronuncia è accresciuto da un dato procedurale significativo, che la stessa Corte dà atto in narrativa: l'Avvocatura Generale dello Stato, difendendo il Garante, aveva chiesto al Primo Presidente l'assegnazione della causa alle Sezioni Unite ex art. 376, comma 2, c.p.c., proprio in relazione alla questione della natura perentoria o ordinatoria dei termini di conclusione del procedimento sanzionatorio del Garante. L'istanza è stata respinta e la causa restituita alla Prima Sezione, la quale ha comunque ritenuto di ricostruire in modo sistematico l'intero quadro - normativo e giurisprudenziale, anche di legittimità e amministrativo - prima di decidere.

2. I fatti e la vicenda processuale

2.1 Il fatto sanzionato

Una società editoriale (S.p.A.) ha pubblicato un articolo – ripreso da un libro edito da terzi – relativo alla vicenda penale di un soggetto condannato per abusi su minori. Nell'articolo erano identificati, con nome, cognome, attività sportiva e professionale, anche i due figli del condannato, in ragione della loro presenza al processo del padre. Il Garante, con ordinanza-ingiunzione deliberata il 2 marzo 2023 e notificata il 20 marzo 2023, ha sanzionato la società per 20.000 euro.

2.2  La cronologia del procedimento amministrativo

- 27 maggio 2021: reclamo dei due interessati al Garante;

- 28 giugno 2021: il Garante chiede alla società di precisare le proprie osservazioni;

- 14 luglio 2021: la società presenta le osservazioni richieste;

- 26 luglio 2021: replica dei reclamanti alle osservazioni della società - a questa data, secondo la ricostruzione condivisa dai giudici di merito e dalla Cassazione, si è conclusa l'istruttoria preliminare;

- 23 novembre 2021: comunicazione di avvio del procedimento sanzionatorio, con contestazione delle violazioni (artt. 2-quater comma 4 e 137 comma 3 Codice privacy; artt. 5 comma 2 e 6 delle regole deontologiche);

- 9 maggio 2022: proroga del termine di decisione sul reclamo, da nove a dodici mesi ex art. 143, comma 3, Codice privacy, coerente con la successiva qualificazione, operata dal Tribunale, del termine applicabile al reclamo come termine di dodici mesi anziché di nove;

- 2 marzo 2023: delibera dell'ordinanza-ingiunzione;

- 20 marzo 2023: notifica dell'ordinanza-ingiunzione alla società.

2.3 Il giudizio di merito

Il Tribunale di Roma, con sentenza n. 19609/2024 (dep. 26 novembre 2024), ha respinto l'opposizione della società, ritenendo:

1) infondata l'eccezione di decadenza del potere sanzionatorio per superamento del termine di 12 mesi ex art. 143 Codice privacy e art. 8 Reg. 2/2019, qualificato come termine di natura ordinatoria/acceleratoria e non perentoria;

2) tempestivo l'avvio del procedimento sanzionatorio il 23 novembre 2021, poiché il termine di 120 giorni per la contestazione decorre dal completamento dell'istruttoria (26 luglio 2021) e non dalla mera acquisizione della notizia (27 maggio 2021);

3) nel merito, illecito il trattamento dei dati identificativi dei figli, in quanto non essenziali rispetto all'interesse pubblico riferito alla vicenda del padre: trattandosi di rievocazione di fatti risalenti (circa dieci anni) e non di cronaca attuale, l'identificazione dei figli costituiva un elemento eccedente; il decorso del tempo faceva inoltre emergere il diritto all'oblio degli interessati, senza che gravasse su di loro un onere di preventiva revoca del consenso o richiesta di cancellazione.

2.4 Il ricorso per cassazione

La società ha proposto ricorso affidato a tre motivi.

3. Il primo motivo di ricorso

Violazione degli artt. 143, comma 3, e 166, comma 3, d.lgs. 196/2003 e dell'art. 8, comma 11, del Regolamento 2/2019, nonché falsa ed erronea applicazione della l. 689/1981, ex art. 360, comma 1, n. 3, c.p.c.

Secondo la ricorrente, il procedimento nato dal reclamo avrebbe dovuto concludersi entro il termine massimo di un anno previsto dagli artt. 143 e 166 del Codice privacy e dall'art. 8 del Regolamento n. 2/2019. Poiché il provvedimento sanzionatorio è stato adottato ben oltre tale termine, il Garante avrebbe perso il potere di decidere. Il Tribunale avrebbe errato nel qualificare tale termine come ordinatorio, richiamando impropriamente la disciplina generale delle sanzioni amministrative (l. 689/1981): il sistema del Codice privacy costituirebbe invece una disciplina speciale, che prevale sulla legge generale e contiene una scansione temporale vincolante.

Il Tribunale avrebbe quindi applicato, senza avvedersene, principi elaborati per materie del tutto eterogenee - la ricorrente cita espressamente le sanzioni Consob - trascurando le peculiarità del procedimento davanti al Garante.

4. Il secondo motivo di ricorso

Violazione degli artt. 3, 6, 9 e 10 del Regolamento, degli artt. 140-bis, 143 comma 3 e 166 comma 6 d.lgs. 196/2003, nonché dell'art. 10, comma 4, d.lgs. 150/2011 ex art. 360, comma 1, n. 3, c.p.c.; e, comunque, nullità della sentenza per omessa pronuncia sulla conforme eccezione difensiva svolta nel giudizio a quo.

La società deduce che l'intero impianto normativo del Codice privacy e del Regolamento n. 2/2019 dimostrerebbe la natura perentoria del termine annuale, richiamando in particolare:

- le disposizioni sulla sospensione dei termini e sulla necessità di rispettare precise scansioni procedimentali;

- il principio di alternatività tra reclamo al Garante e ricorso all'autorità giudiziaria: l'art. 10, comma 4, d.lgs. 150/2011 consente all'interessato di rivolgersi al tribunale una volta trascorso il termine previsto per la decisione del reclamo. Secondo la ricorrente, ciò presupporrebbe che il potere del Garante di decidere venga meno oltre quella scadenza, altrimenti, se il Garante potesse decidere "praticamente senza limiti" (salvo la prescrizione quinquennale), l'interpretazione svuoterebbe di significato il limite temporale fissato dal legislatore, in contrasto con i principi di certezza del diritto, di ragionevole durata dei procedimenti sanzionatori e di tutela del soggetto sottoposto al procedimento.

Nella memoria, la ricorrente ha ulteriormente specificato e sviluppato le argomentazioni poste a fondamento della censura., evidenziando come il provvedimento sanzionatorio fosse intervenuto "un anno e quattro mesi dopo la contestazione", richiamando il precedente della medesima Sezione, Cass. n. 18583/2025, che distingueva tra la fase investigativa o preistruttoria, anteriore alla contestazione, e la fase sanzionatoria in senso stretto, successiva alla contestazione, sostenendo che la censura non investisse la durata dell'attività istruttoria, bensì i tempi di svolgimento della fase successiva alla comunicazione della contestazione.

5. La posizione del Garante

Il Garante ha resistito al ricorso, sostenendo, in linea con quanto affermato nella sentenza di primo grado, la natura meramente ordinatoria dei termini oggetto di contestazione e, conseguentemente, la loro inidoneità a incidere sulla permanenza del potere sanzionatorio; a sostegno di tale assunto, l'Autorità ha richiamato i principi desumibili dalla disciplina generale delle sanzioni amministrative di cui alla legge n. 689/1981, la quale non contempla, una volta ritualmente effettuata la contestazione, alcun termine decadenziale per l'adozione dell'ordinanza-ingiunzione, prevedendo unicamente il termine quinquennale di prescrizione di cui all'art. 28 della medesima legge.

6. La ricostruzione del quadro normativo e giurisprudenziale operata dalla Corte

Prima di pervenire alla decisione, la Prima Sezione svolge un'ampia e articolata ricognizione sistematica del quadro normativo e giurisprudenziale di riferimento, che appare opportuno esaminare nei suoi singoli passaggi, poiché è proprio da tale percorso ricostruttivo che prende forma la soluzione adottata.

6.1 La disciplina generale della l. 689/1981

Il procedimento amministrativo sanzionatorio di carattere generale si articola, di regola, in due distinte fasi: una prima fase, di natura istruttoria, demandata agli organi preposti all'attività di vigilanza e accertamento; una seconda fase, di carattere decisorio, destinata a concludersi con l'adozione dell'ordinanza-ingiunzione ovvero del provvedimento di archiviazione.

Il momento di raccordo tra le due fasi è rappresentato dalla contestazione dell'illecito, disciplinata dall'art. 14 della legge n. 689/1981: qualora non sia effettuata immediatamente, la contestazione deve essere notificata entro il termine di novanta giorni, per i soggetti residenti nel territorio dello Stato, ovvero di trecentosessanta giorni, per quelli residenti all'estero, decorrenti dall'accertamento, a pena di estinzione dell'obbligazione di pagamento della somma dovuta a titolo di sanzione pecuniaria.

Con riguardo alla successiva fase decisoria, la legge n. 689/1981 non contempla, invece, un termine decadenziale analogo a quello previsto per la contestazione dell'illecito; l'art. 18 disciplina essenzialmente le garanzie partecipative e il contraddittorio procedimentale, riconoscendo all'interessato il termine di trenta giorni per la presentazione di scritti difensivi e documenti, nonché per la richiesta di audizione e, secondo il consolidato orientamento giurisprudenziale richiamato dalla Corte, tale lacuna non può essere colmata mediante l'applicazione del termine generale di conclusione del procedimento previsto dall'art. 2 della legge n. 241/1990.

In particolare, Cass., Sez. Lav., n. 21706/2018 ha ritenuto applicabile il solo termine quinquennale di prescrizione di cui all'art. 28 della legge n. 689/1981, ancorché tale disposizione sia testualmente riferita al diritto alla riscossione delle somme dovute a titolo di sanzione amministrativa pecuniaria.

6.2 Corte costituzionale n. 151/2021

La Corte costituzionale ha osservato come la sola previsione del termine quinquennale di prescrizione, peraltro di significativa ampiezza e suscettibile di interruzione, non appaia di per sé idonea ad assicurare un adeguato livello di certezza giuridica nella posizione dell'incolpato né la piena effettività del diritto di difesa, esigenze che postulano una ragionevole prossimità temporale tra l'accertamento dell'illecito e l'irrogazione della sanzione.

Nondimeno, la Consulta ha dichiarato inammissibile la questione di legittimità costituzionale sollevata, sul presupposto del “doveroso rispetto della prioritaria valutazione del legislatore” nella individuazione degli strumenti più idonei a colmare la lacuna evidenziata; la Corte ha, dunque, segnalato la criticità del sistema senza procedere a un intervento additivo, rimettendo al legislatore la scelta delle soluzioni normative ritenute più appropriate.

6.3 Il contrasto nella giurisprudenza amministrativa sulle Autorità indipendenti

La Corte ricostruisce due indirizzi contrapposti:

- primo indirizzo (natura ordinatoria): Cons. Stato, Sez. VI, 9 novembre 2020, n. 6891 (in materia di sanzioni ARERA per energia, reti e ambiente), in assenza di espressa previsione legislativa, i termini vanno considerati ordinatori; il ritardo non è, di per sé, un vizio dell'atto, salvo che la perentorietà sia espressamente prevista dalle norme di settore o queste sanzionino con la decadenza il mancato rispetto del termine;

- secondo indirizzo (natura perentoria): Cons. Stato, Sez. VI, 25 maggio 2020, n. 3307 (AGCM), i termini di conclusione dei procedimenti sanzionatori afflittivi hanno natura perentoria, sia perché incidono sulla sfera giuridica dei destinatari con pendenza pregiudizievole, sia perché, quando è la stessa Autorità indipendente a essersi data un proprio regolamento sui termini, la perentorietà discende da una scelta di autolimitazione del potere pubblico; di analogo orientamento, Cons. Stato, Sez. VI, 19 gennaio 2021, n. 584 (ARERA), secondo cui il termine ha natura "sostanziale" e il suo superamento comporta la decadenza dall'esercizio del potere.

6.4 La sentenza della Corte di Giustizia UE, 15 gennaio 2026, causa C-588/24

Investita dal Consiglio di Stato in merito alla questione relativa alla compatibilità con il diritto dell'Unione europea della disciplina nazionale in materia antitrust - nella parte in cui non attribuisce espressamente carattere perentorio al termine di conclusione della fase istruttoria fissato dall'AGCM - la Corte di giustizia dell'Unione europea, Sez. X, ha affermato che l'art. 101 TFUE, letto alla luce del principio di buona amministrazione, dell'art. 47 della Carta dei diritti fondamentali dell'Unione europea e del principio di effettività, non osta a una normativa nazionale che non sancisca espressamente la perentorietà di tale termine. Ne consegue che l'Autorità può disporne il differimento mediante provvedimento motivato, suscettibile di sindacato giurisdizionale, purché la complessiva durata della fase istruttoria non ecceda il limite della ragionevolezza.

6.5  I precedenti sulle sanzioni per intermediazione finanziaria e bancarie

- Cass., Sez. II, 17 aprile 2024, n. 10348: in materia di sanzioni amministrative nel settore dell'intermediazione finanziaria, la Corte ha ribadito che, in ragione della specialità della disciplina dettata dalla legge n. 689/1981, trova applicazione il termine quinquennale di prescrizione previsto dall'art. 28 della medesima legge, e non i termini generali di conclusione del procedimento contemplati dalla legge n. 241/1990. La pronuncia ha, inoltre, precisato che il termine previsto per la contestazione dell'illecito decorre dal momento dell'accertamento, da individuarsi non nella mera acquisizione della notizia del fatto potenzialmente illecito, bensì nel momento in cui l'Amministrazione abbia completato le verifiche necessarie all'acquisizione e alla valutazione di tutti gli elementi costitutivi dell'infrazione; l'individuazione di tale momento costituisce un apprezzamento riservato al giudice di merito e, ove sorretto da motivazione adeguata e immune da vizi logico-giuridici, non è sindacabile in sede di legittimità.

- Cass., Sez. II, 8 maggio 2026, n. 13317: in materia di sanzioni irrogate dalla Banca d'Italia, la Corte ha ribadito che, una volta rispettati i termini previsti per la formale contestazione dell'illecito, la disciplina generale di cui alla legge n. 689/1981 non contempla ulteriori termini decadenziali per l'esercizio del potere sanzionatorio, restando operante il solo termine quinquennale di prescrizione previsto dall'art. 28 della medesima legge; la pronuncia ha altresì escluso la natura perentoria del termine regolamentare di 240 giorni previsto per la conclusione del procedimento, rilevando che una fonte regolamentare interna non può introdurre, in assenza di una specifica previsione legislativa, una causa di decadenza idonea a incidere sull'esercizio del potere sanzionatorio attribuito dalla legge.

6.6  I precedenti specifici sul procedimento del Garante privacy

- Cass., Sez. I, n. 18583/2025: la Corte ha affermato che l'attività procedimentale del Garante si articola in due fasi autonome e funzionalmente distinte: una fase investigativa o preistruttoria e una successiva fase sanzionatoria in senso stretto.

In tale prospettiva, il termine di 120 giorni previsto dal punto 2 dell'Allegato B al Regolamento n. 2/2019, qualificato come perentorio, attiene esclusivamente alla fase sanzionatoria propriamente detta e decorre dal momento in cui si conclude l'attività preistruttoria, coincidente con l'effettivo accertamento delle violazioni e con la conseguente notificazione della contestazione all'interessato. Diversamente, per la fase investigativa o preistruttoria, considerata in sé, non è previsto alcun autonomo termine di natura perentoria.

- Cass., Sez. I, n. 984/2026: nel decidere una fattispecie analoga, relativa all'irrogazione tardiva di una sanzione nei confronti di Rai Radiotelevisione Italiana, la Corte ha richiamato il principio sopra esposto, affermando - con una formulazione che, come si vedrà nella sezione 9 del presente commento, richiede un'attenta lettura - che il termine di centoventi giorni per l'irrogazione della sanzione ha natura perentoria ed è “coessenziale” a un sistema sanzionatorio conforme ai parametri costituzionali della certezza giuridica e dell'effettività del diritto di difesa, richiamando sul punto Corte cost. n. 151/2021.

Nel caso esaminato, la sentenza di merito è stata comunque confermata, sia pure previa correzione della motivazione ai sensi dell'art. 384, comma 4, c.p.c., poiché il giudice territoriale aveva individuato quale termine rilevante quello di dodici mesi dalla presentazione del reclamo, che l'Autorità si era autonomamente assegnata, anziché il termine generale di centoventi giorni ma tale erronea individuazione del parametro temporale è stata tuttavia ritenuta priva di incidenza sull'esito concreto della controversia.

7. Gli argomenti pro e contro la perentorietà del termine annuale per il reclamo

Prima di pervenire alla soluzione della controversia, la Corte prende analiticamente in esame gli argomenti prospettabili a sostegno delle opposte ricostruzioni, dando conto della complessità interpretativa della questione e della non univocità delle possibili soluzioni.

A sostegno della natura perentoria del termine possono essere richiamati, in primo luogo, l'argomento storico e, in secondo luogo, il dato desumibile dall'art. 10, comma 4, del d.lgs. n. 150/2011.

Sotto il primo profilo, la previgente disciplina del ricorso al Garante prevedeva la formazione del silenzio-rigetto decorso il termine di sessanta giorni; sebbene il d.lgs. n. 101/2018 abbia successivamente abrogato tale disciplina, il reclamo introdotto nel nuovo assetto normativo conserverebbe, secondo tale impostazione, una certa continuità funzionale con il precedente rimedio, quantomeno nella misura in cui continua a porsi in rapporto alternativo rispetto alla tutela giurisdizionale.

Sotto il secondo profilo, assume rilievo l'art. 10, comma 4, del d.lgs. n. 150/2011, che configura la proposizione dell'azione dinanzi al tribunale come un vero e proprio onere processuale a carico dell'interessato, da esercitare, a pena di decadenza, entro trenta giorni dalla scadenza dell'anno entro il quale il reclamo avrebbe dovuto essere definito; ne deriverebbe che, qualora l'interessato non attivi tempestivamente la tutela giurisdizionale, egli perde la possibilità di ottenere ulteriore protezione in quella sede; da ciò la Corte trae l'argomento secondo cui non sarebbe coerente consentirgli, al tempo stesso, di continuare a fare affidamento sull'adozione tardiva di un provvedimento da parte dell'Autorità.

A sostegno della natura ordinatoria del termine, la Corte richiama invece argomenti di segno opposto; in particolare, si osserva che una decadenza del Garante dal potere di provvedere tardivamente potrebbe determinare una compressione delle garanzie riconosciute all'interessato dall'art. 58, par. 4, del Regolamento (UE) 2016/679.

Nella medesima direzione viene richiamato il considerando n. 129 del GDPR, secondo cui ogni misura vincolante adottata dall'autorità di controllo deve essere formulata per iscritto, essere chiara e inequivoca, recare l'indicazione delle ragioni su cui si fonda e fare espresso riferimento al diritto a un ricorso effettivo; tali prescrizioni, secondo questa diversa lettura, presupporrebbero la permanenza del potere dell'Autorità di adottare il provvedimento anche oltre il termine previsto per la conclusione del procedimento.

8. La soluzione della Corte: perché la questione sulla natura del termine annuale resta (consapevolmente) aperta

Il passaggio metodologicamente più significativo della pronuncia risiede nella scelta della Cassazione di non prendere posizione sulla natura perentoria o ordinatoria del termine annuale previsto per la definizione del reclamo; la Corte afferma espressamente, infatti, che non è “necessario prendere posizione su tale questione”, ritenendola non decisiva ai fini della soluzione della controversia.

La ragione di tale conclusione è di carattere sistematico e costituisce il nucleo della ratio decidendi. Alla luce della disciplina contenuta nelle fonti primarie e nelle disposizioni regolamentari adottate dal Garante, il procedimento diretto all'adozione, da parte del Collegio, di provvedimenti correttivi e sanzionatori deve essere configurato come procedimento amministrativo autonomo e distinto rispetto a quello avente ad oggetto la trattazione del reclamo dell'interessato, e non già come un suo subprocedimento o come una fase interna del medesimo iter procedimentale.

In tale prospettiva, il reclamo assume, rispetto all'eventuale esercizio del potere sanzionatorio, la funzione di atto preistruttorio, attraverso il quale viene portata a conoscenza dell'Autorità una situazione suscettibile di determinare, all'esito delle necessarie verifiche, l'avvio di un distinto procedimento correttivo o sanzionatorio. Il reclamo costituisce, dunque, una possibile notitia dell'illecito, ma non determina una sovrapposizione tra il procedimento instaurato nell'interesse del reclamante e quello successivamente diretto all'esercizio dei poteri pubblicistici attribuiti al Garante.

La distinzione trova ulteriore fondamento nella diversa funzione assolta dai due procedimenti. La trattazione del reclamo è funzionale alla tutela della posizione soggettiva dell'interessato e all'esigenza che questi ottenga una risposta tempestiva dall'Autorità; l'esercizio del potere sanzionatorio, invece, persegue finalità di carattere generale, connesse alla vigilanza sull'osservanza della disciplina in materia di protezione dei dati personali, alla repressione delle relative violazioni e alla funzione deterrente propria della sanzione amministrativa.

Da tale autonomia funzionale e procedimentale discende una conseguenza decisiva: anche qualora si riconoscesse natura perentoria al termine annuale previsto per la definizione del reclamo, il suo eventuale superamento non determinerebbe, di per sé, la decadenza del Garante dal distinto potere sanzionatorio. Quel termine attiene, infatti, alla tempestività della risposta dovuta al reclamante e alla tutela che quest'ultimo può eventualmente azionare, nei termini previsti dall'art. 10, comma 4, del d.lgs. n. 150/2011, dinanzi all'autorità giudiziaria; esso non costituisce, invece, un limite temporale all'esercizio del diverso e autonomo potere dell'Autorità di accertare e sanzionare le violazioni riscontrate.

È proprio questa ricostruzione a consentire alla Corte di prescindere dalla soluzione dell'alternativa tra natura perentoria e natura ordinatoria del termine annuale, lasciando consapevolmente impregiudicata la questione esaminata nella precedente sezione; la decisione si fonda, pertanto, non sulla qualificazione di quel termine, bensì sulla autonomia strutturale e funzionale del procedimento sanzionatorio rispetto al procedimento originato dal reclamo. Si tratta di una scelta argomentativa improntata a un evidente self-restraint giudiziale, le cui implicazioni, anche sotto il profilo dei rapporti tra funzione giurisdizionale e discrezionalità legislativa, meritano un ulteriore approfondimento.

9. Il termine di 120 giorni: cosa disciplina davvero (un punto da chiarire con attenzione)

Su questo profilo la sentenza assume, invece, una posizione particolarmente netta, correggendo espressamente l'interpretazione prospettata dalla ricorrente nella memoria.

La Corte chiarisce infatti che il termine di centoventi giorni non individua il momento entro il quale deve essere adottato il provvedimento sanzionatorio a decorrere dalla contestazione delle violazioni, bensì il limite temporale entro cui queste ultime devono essere contestate, con decorrenza dal loro definitivo accertamento.

In questa prospettiva, la Corte qualifica espressamente il termine come endoprocedimentale, e non come termine finale per la conclusione del procedimento sanzionatorio.

Il principio viene ulteriormente ribadito nel paragrafo 15 della pronuncia, nel quale si precisa che il termine di centoventi giorni previsto dal punto 2 dell'Allegato B al Regolamento n. 2/2019, decorrente dalla data dell'accertamento, individua il limite temporale entro il quale il Garante deve procedere alla contestazione delle violazioni ai sensi dell'art. 166, comma 5, del Codice privacy, e non già il termine entro il quale deve essere irrogata la sanzione.

Particolare rilievo assume, poi, l'individuazione del dies a quo.

Esso non coincide con il momento della mera acquisizione della notizia relativa alla possibile commissione dell'illecito, ma con quello in cui l'Autorità abbia effettivamente completato l'attività necessaria alla verifica e alla valutazione di tutti gli elementi costitutivi della violazione. Tale attività deve, naturalmente, svolgersi entro limiti di ragionevolezza e senza indebite dilazioni, non potendo l'individuazione del momento dell'accertamento essere rimessa a una dilatazione indefinita della fase preistruttoria.

Nel caso concreto, la Corte ha ritenuto che l'accertamento potesse considerarsi definitivamente concluso il 26 luglio 2021, data in cui erano pervenute le repliche dei reclamanti alle osservazioni formulate dalla società; poiché la comunicazione di avvio del procedimento sanzionatorio risultava adottata il 23 novembre 2021, il termine di centoventi giorni era stato ritenuto rispettato.

Il chiarimento assume particolare importanza sistematica, poiché consente di distinguere con precisione il termine previsto per la contestazione delle violazioni dal diverso problema relativo alla durata complessiva della successiva fase sanzionatoria e al momento entro il quale deve essere adottato il provvedimento finale.

10. Il limite dell'interpretazione giudiziale: l'impossibilità di introdurre un termine decadenziale in assenza di una previsione legislativa

Un passaggio di particolare rilievo sistematico, destinato a trascendere la specifica vicenda oggetto di giudizio, è rappresentato dalla delimitazione che la Corte opera rispetto all'estensione dei propri poteri interpretativi.

Pur riconoscendo che, nell'ambito dei procedimenti amministrativi sanzionatori, l'esigenza di certezza giuridica della posizione del destinatario postulerebbe l'individuazione di un termine finale per l'adozione del provvedimento, richiamando nuovamente Corte cost. n. 151/2021 quanto all'inadeguatezza della sola prescrizione quinquennale a soddisfare pienamente tale esigenza, la Cassazione esclude che possa spettare al giudice estendere al procedimento sanzionatorio il termine annuale previsto per la definizione del reclamo.

Una simile operazione ermeneutica, secondo la Corte, si risolverebbe infatti nell'introduzione, “per via di pronuncia nomofilattica”, di un termine decadenziale privo di espresso fondamento legislativo, con la conseguenza di attribuire al giudice scelte che implicano un bilanciamento tra interessi contrapposti riservato alla discrezionalità del legislatore; tale esito risulterebbe incompatibile sia con il principio di separazione dei poteri, sia con il rispetto del percorso di interlocuzione istituzionale già avviato dalla Corte costituzionale con la sentenza n. 151/2021.

Ne consegue che, nell'attuale assetto normativo, una volta tempestivamente effettuata la contestazione, l'esercizio del potere sanzionatorio non incontra ulteriori termini decadenziali per l'adozione dell'ordinanza-ingiunzione, restando soggetto al solo termine quinquennale di prescrizione previsto dall'art. 28 della legge n. 689/1981, espressamente richiamato dall'art. 166, comma 7, del Codice privacy.

11. Il terzo motivo di ricorso e la sua reiezione

Violazione degli artt. 5, par. 1, lett. a) e c), GDPR, 137 comma 3 Codice privacy, 5 comma 2 e 6 delle regole deontologiche; violazione dell'art. 112 c.p.c. per aver il giudice a quo deciso sul tema del diritto all'oblio, mai attivato dagli interessati.

La ricorrente deduce l'erronea applicazione del principio di essenzialità dell'informazione, sostenendo che i dati oggetto di trattamento - relativi ai nominativi degli interessati, alla loro attività sportiva e alla presenza al processo - fossero già di pubblico dominio, in quanto riferibili a fatti svoltisi pubblicamente e già riportati da fonti giornalistiche mai contestate; secondo tale prospettazione, la loro riproposizione si inserirebbe in un'elaborazione di natura giornalistica e critica rispettosa dei requisiti di liceità, pertinenza e minimizzazione del trattamento.

La ricorrente censura, inoltre, il richiamo all'art. 5 delle regole deontologiche, assumendo che tale disposizione presupporrebbe l'esercizio di un successivo diritto di opposizione, che nel caso di specie non sarebbe stato attivato anteriormente alla proposizione del reclamo. Lamenta, infine, che il Tribunale abbia attribuito rilievo al decorso del tempo e al diritto all'oblio, profili che non sarebbero stati specificamente dedotti dai controinteressati, i quali avevano contestato esclusivamente la non essenzialità e la non veridicità dei dati, con conseguente indebita estensione del thema decidendum.

La Corte rigetta il motivo, ritenendolo infondato, sulla base di una pluralità di ragioni.

In primo luogo, la valutazione circa l'essenzialità dei dati diffusi nell'esercizio del diritto di cronaca o nell'ambito di una rievocazione storica integra un apprezzamento di merito, rimesso al giudice di merito e sindacabile in sede di legittimità soltanto nei limiti propri del controllo sulla motivazione e sulla corretta applicazione dei criteri giuridici di riferimento, secondo quanto già affermato da Cass., Sez. III, n. 20337/2024.

In secondo luogo, il Tribunale ha correttamente rilevato che i due figli non rivestivano la qualità di personaggi noti né ricoprivano ruoli pubblici tali da giustificare, a distanza di tempo, la persistente diffusione dei relativi dati personali; la Corte evidenzia, inoltre, che la pubblicazione contestata non si inseriva nell'esercizio del diritto di cronaca in senso stretto, trattandosi della rievocazione di una vicenda risalente e non della diffusione di una notizia connotata da attualità.

In terzo luogo, il richiamo operato dal Tribunale ai principi affermati dalle Sezioni Unite in tema di rapporto tra rievocazione storica e diritto all'oblio (Cass., Sez. Un., n. 19681/2019) non determina alcuna violazione del principio di corrispondenza tra chiesto e pronunciato e rappresenta, piuttosto, l'applicazione del più generale criterio di bilanciamento tra diritto alla protezione dei dati personali e interesse pubblico all'informazione.

Tale bilanciamento è stato effettuato distinguendo la posizione del padre, rispetto al quale la vicenda conservava una persistente rilevanza pubblica, quale “esempio paradigmatico del lato oscuro” del mondo dello sport, da quella dei figli, per i quali, decorso un significativo arco temporale, non risultava più ravvisabile un analogo interesse pubblico alla diffusione dei dati personali.

Infine, la Corte esclude qualsiasi vizio motivazionale rilevante ai sensi dell'art. 360, n. 5, c.p.c., ritenendo che la motivazione del giudice di merito superi il c.d. “minimo costituzionale” e non presenti caratteri di apparenza, irriducibile contraddittorietà o manifesta illogicità; parimenti infondate sono ritenute le denunciate violazioni di legge, poiché l'art. 137 del Codice privacy e l'art. 6 delle regole deontologiche individuano nel principio di essenzialità dell'informazione uno dei limiti fondamentali all'esercizio dell'attività giornalistica, mentre l'art. 5 del Regolamento impone, in ogni caso, il rispetto dei principi di adeguatezza, pertinenza e minimizzazione del trattamento.

12. Il dispositivo

La Corte rigetta il ricorso, dichiarando interamente compensate le spese del giudizio, valorizzando espressamente “la complessità e la novità delle questioni sollevate con riferimento al primo motivo” e tale statuizione assume, ad avviso dello scrivente, un particolare rilievo, poiché lascia emergere, sia pure indirettamente, come le questioni affrontate non potessero ritenersi, al momento della decisione, definitivamente consolidate sul piano interpretativo e giurisprudenziale.

La Corte dà, inoltre, atto della sussistenza dei presupposti processuali per l'applicazione del c.d. raddoppio del contributo unificato, ai sensi dell'art. 13, comma 1-quater, del d.P.R. n. 115/2002, ove dovuto e dispone, infine, l'omissione delle generalità e degli altri dati identificativi in caso di diffusione del provvedimento, ai sensi dell'art. 52 del d.lgs. n. 196/2003, coerentemente con l'indicazione «Oscuramento disposto» riportata nell'originale della pronuncia.

13. Il principio di diritto e le ricadute pratiche

In sintesi, dalla motivazione della pronuncia possono ricavarsi tre distinti principi operativi.

A) Termine per la definizione del reclamo.

Il termine previsto per la decisione sul reclamo, pari a nove o dodici mesi ai sensi dell'art. 143 del Codice privacy, è posto a tutela dell'interesse del reclamante a ottenere una tempestiva definizione del procedimento. La relativa inosservanza può essere fatta valere mediante il ricorso al giudice ordinario ai sensi dell'art. 10, comma 4, del d.lgs. n. 150/2011, ma non incide sulla validità né sulla tempestività dell'eventuale autonomo procedimento sanzionatorio, ancorché quest'ultimo tragga origine dal medesimo reclamo.

B) Termine per la contestazione delle violazioni.

Il termine di centoventi o trecentosessanta giorni previsto dal punto 2 dell'Allegato B al Regolamento n. 2/2019 ha natura perentoria, ma riguarda esclusivamente la notificazione della contestazione. Il relativo dies a quo coincide con il momento in cui l'Autorità abbia definitivamente completato, secondo criteri di ragionevolezza e senza ingiustificate dilazioni, l'accertamento degli elementi costitutivi dell'illecito, e non con la mera acquisizione della notizia della possibile violazione.

C) Termine per l'adozione del provvedimento sanzionatorio.

Una volta tempestivamente notificata la contestazione, l'adozione dell'ordinanza-ingiunzione non è soggetta ad alcun ulteriore termine decadenziale, trovando applicazione il solo termine quinquennale di prescrizione previsto dall'art. 28 della legge n. 689/1981, richiamato dall'art. 166, comma 7, del Codice privacy. In assenza di una specifica previsione legislativa, non è consentito al giudice introdurre in via interpretativa un ulteriore limite decadenziale all'esercizio del potere sanzionatorio.

Sul piano processuale e difensivo, ne consegue che l'eccezione di tardività del provvedimento sanzionatorio del Garante presenta, alla luce di tale ricostruzione, margini applicativi circoscritti, potendo assumere rilievo soprattutto ove sia contestata la tempestività della notificazione della contestazione ovvero l'esatta individuazione del relativo dies a quo, ma non anche relativamente sul solo superamento dei termini riferiti alla trattazione del reclamo dal quale il procedimento sanzionatorio abbia eventualmente avuto origine.

5 settembre 2026

Avv. Maurizio Reale