La Corte di Cassazione, Prima Sezione Civile, ha definito il quadro dei termini che regolano il procedimento sanzionatorio del Garante per la protezione dei dati personali. Lo ha fatto con due pronunce, la n. 24861/2026 e la n. 24862/2026, depositate il 31 agosto 2026. Le decisioni affrontano due questioni distinte ma collegate: il termine annuale per decidere sul reclamo e quello di 120 giorni previsto per contestare le violazioni.
Secondo la Corte, le diverse fasi non possono essere sovrapposte. Il reclamo costituisce uno strumento di tutela diretta dell’interessato, mentre il procedimento sanzionatorio è autonomo e riguarda la protezione di interessi pubblici. Il superamento del termine previsto per definire il reclamo, quindi, non comporta automaticamente la perdita del potere sanzionatorio del Garante.
Il caso dei dati sui figli di una persona condannata
Una società editoriale aveva pubblicato un articolo, tratto da un libro, sulla vicenda penale di una persona condannata per reati commessi ai danni di minori. Nel testo erano stati indicati anche i nomi dei figli dell’interessato, insieme alle loro attività sportive e professionali, in relazione alla presenza al processo del genitore. Dopo il reclamo degli interessati, il Garante aveva applicato una sanzione di 20.000 euro, ritenendo il trattamento illecito e non essenziale rispetto all’interesse pubblico della vicenda.
Il Tribunale di Roma aveva respinto l’opposizione della società, richiamando anche il diritto all’oblio maturato con il trascorrere del tempo. La società ha quindi presentato ricorso in Cassazione. I giudici lo hanno rigettato integralmente, confermando che il termine annuale previsto dall’articolo 143 del Codice della privacy e dal Regolamento del Garante n. 2/2019 riguarda soltanto la definizione del reclamo.
Il potere di applicare la sanzione resta invece soggetto alla prescrizione quinquennale prevista dalla legge n. 689/1981 e richiamata dall’articolo 166 del Codice della privacy. La Corte ha inoltre ritenuto corretta la valutazione del giudice di merito sull’essenzialità dell’informazione: la vicenda del genitore conservava un interesse pubblico, mentre la diffusione dei dati identificativi dei figli, privi di notorietà e di ruoli pubblici, non risultava giustificata a distanza di tempo.
Il termine di 120 giorni decorre dall’accertamento
La seconda pronuncia riguardava una sanzione di 5.000 euro applicata a una società che aveva operato come responsabile esterno del trattamento nell’ambito di un servizio di sosta a pagamento, senza un valido atto di nomina. Il Tribunale di Roma aveva accolto l’opposizione, ritenendo che il termine di 120 giorni fosse iniziato quando l’ente committente aveva trasmesso al Garante una nota con gli elementi dell’addebito.
La Cassazione ha invece accolto il ricorso del Garante. Il termine, pur essendo perentorio, non decorre dalla semplice acquisizione di una notizia o di dati ancora da verificare. Il dies a quo coincide con il definitivo accertamento dell’illecito, che richiede la possibilità concreta di valutare tutti gli elementi della violazione, compresi quelli riferiti alla responsabilità del soggetto coinvolto.
Nel caso esaminato, le informazioni trasmesse dall’ente nel febbraio 2020 erano state raccolte in un procedimento diverso e non consentivano ancora di definire la posizione della società. Solo la risposta fornita dall’impresa nel luglio 2021, dopo una specifica richiesta del Garante, aveva permesso di acquisire una conoscenza completa della condotta contestata. La Corte ha così cassato la sentenza di merito, confermando che la mera constatazione dei fatti non equivale al loro accertamento quando sono necessarie ulteriori verifiche istruttorie e valutazioni.