Procedimenti sanzionatori del Garante Privacy: la Cassazione conferma la natura perentoria dei termini

Con la sentenza del 16 dicembre 2025, la Corte di Cassazione si è espressa per la prima volta su un tema di fondamentale importanza per i soggetti sottoposti alla procedura sanzionatoria del Garante per la Protezione dei Dati Personali, sancendo la natura perentoria del termine per l’esercizio dei poteri sanzionatori.

A cura di Avv. Alessia Lipari e Dott. Alessandro Stampa

---

Il caso in analisi
La vicenda trae origine dall'opposizione proposta da Rai avverso un provvedimento sanzionatorio con cui il Garante per la Protezione dei Dati Personali (GPDP) aveva accertato l’illiceità del trattamento dei dati personali posto in essere durante la realizzazione e diffusione di un servizio televisivo.
Rai eccepiva la tardività dell'azione amministrativa, sostenendo che i termini del procedimento avessero natura perentoria; tale posizione era contestata, invece, dal Garante.

La scansione temporale degli eventi processuali risulta determinante:
1. il 25 novembre 2020 è stato presentato reclamo all’Autorità da parte dell’Interessato;
2. il 21 aprile 2021 il Garante chiede informazioni ed eventuali osservazioni alla RAI;
3. il 10 agosto 2021 terminata l’istruttoria, si avvia la fase sanzionatoria;
4. il 9 settembre 2021 vengono presentate memorie difensive da RAI;
5. il 19 ottobre 2021 il GPDP comunica il differimento dei termini per l’esito;
6. il 6 luglio 2023 il GPDP notifica il provvedimento sanzionatorio.

La posizione della Cassazione
Gli Ermellini, nel valutare la legittimità dell’iter amministrativo, hanno evidenziato la necessità di operare una distinzione tra le due fasi che lo compongono:
1. una fase preistruttoria o investigativa;
2. una fase sanzionatoria.

Confermando l'orientamento già espresso nella sentenza n. 18583/2025, la Corte di Cassazione ha chiarito che questa distinzione rileva per la natura dei termini.
Infatti, mentre per la fase investigativa il termine è ordinatorio (cfr. “art. 3, comma 5, del Regolamento del Garante 2/2019, il quale, facendo espresso riferimento al termine di cui all’art. 2 l. 241/1990, manifesta un chiaro carattere ordinatorio.”), per la fase sanzionatoria il termine deve considerarsi perentorio.
A supporto di tale statuizione, la Cassazione richiama i principi costituzionali già evidenziati anche dalla giurisprudenza della Consulta (cfr. Corte Cost. 151/2021):
1. Certezza del diritto, in termini di prevedibilità delle conseguenze giuridiche;
2. Effettività del diritto di difesa ex art. 24 Cost., che richiede una vicinanza temporale tra l’accertamento dell’illecito e l’applicazione della sanzione.

In punto di diritto, la Cassazione stabilisce dunque che il termine perentorio che rileva per l’esercizio dei poteri sanzionatori dell’Autorità è quello di 120 giorni decorrente dall’accertamento della violazione (e quindi dalla conclusione della fase istruttoria) e la notifica della contestazione (360 giorni per la notificazione ai residenti all’estero).

Quali impatti operativi?
La pronuncia della Suprema Corte non si limita a un mero tecnicismo procedurale, ma presidia la sostanza del diritto di difesa (art. 24 Cost.).
La fissazione di un termine perentorio risponde, infatti, alla necessità di garantire un’immediata vicinanza temporale tra l'accertamento del fatto e l'esercizio del potere sanzionatorio.
Tale contiguità temporale è condizione imprescindibile per l'effettività del contraddittorio, specialmente all'interno di organizzazioni complesse: nelle realtà aziendali strutturate, il decorso di un lasso di tempo eccessivo rischia di pregiudicare irrimediabilmente la capacità difensiva dell'ente: il fisiologico turnover del personale, i riassetti organizzativi o i cambi di governance possono comportare la perdita della "memoria storica" necessaria a ricostruire l'accaduto.
Sanzionare a distanza di anni — quando i referenti interni o i responsabili dei processi potrebbero non essere più in organico — costringerebbe l'azienda a una difesa "al buio", basata su documenti e priva del supporto fattuale di chi gestì l'evento.
Il termine perentorio di 120 giorni evita tale deriva, imponendo all'Autorità di agire quando la prova è ancora genuina e la ricostruzione dei fatti pienamente accessibile.