La Prima Sezione civile della Cassazione, con sentenza n. 22791 del 6 luglio 2026, ha rigettato il ricorso di una casa editrice che invocava la decadenza del potere sanzionatorio del Garante per la protezione dei dati personali, eccepita sul presupposto che la sanzione fosse pervenuta ben oltre il termine annuale previsto dall’art. 143, comma 3, del d.lgs. n. 196/2003 per la definizione del reclamo.
La controversia nasceva da un volume edito dalla società ricorrente dedicato alla vicenda giudiziaria di un allenatore di football americano condannato per gravi reati. Nel testo compaiono, oltre ai nomi dei due figli del condannato, anche i loro titoli di studio e le professioni da loro esercitate. Due persone, dunque, non coinvolte nei fatti, la cui presenza era circoscritta alla partecipazione all’udienza di lettura della sentenza di condanna del padre.
Prima di addentrarci nella ricostruzione della vicenda, è utile richiamare il quadro normativo.
Innanzitutto, l’art. 77, par. 1, del GDPR attribuisce a ogni interessato il diritto di proporre reclamo a un’autorità di controllo quando ritenga che un trattamento che lo riguardi sia illecito.
L’art. 143, comma 3, del d.lgs. n. 196/2003 stabilisce che il Garante definisca il reclamo entro nove mesi dalla presentazione (termine eccezionalmente prorogabile a dodici in presenza di particolari esigenze istruttorie). Entro tre mesi dal ricevimento il Garante deve comunque informare il reclamante sullo stato del procedimento.
L’art. 166 del d.lgs. n. 196/2003 disciplina il procedimento per l’adozione di provvedimenti correttivi e sanzionatori, stabilendo che, quando gli elementi acquisiti configurino una o più violazioni, l’Ufficio del Garante avvia il procedimento sanzionatorio notificando al titolare del trattamento «le presunte violazioni», e richiamando le disposizioni della l. n. 689/1981, con particolare riguardo all’ordinanza di archiviazione e all’ordinanza-ingiunzione, nonché al termine prescrizionale quinquennale decorrente dalla commissione del fatto.
Infine, il regolamento del Garante della Protezione dei Dati Personali n. 2/2019, adottato con delibera 4 aprile 2019, individua i termini dei procedimenti amministrativi. La Tabella A riepiloga i termini per i procedimenti direttamente previsti dalla legge, confermando per i reclami il termine di 9/12 mesi. La Tabella B, al punto 2, prevede un termine di 120 giorni — elevato a 360 per le notifiche a soggetti residenti all’estero — che la giurisprudenza aveva variamente ricostruito nella sua funzione e collocazione procedimentale (v. infra). Il regolamento GPDP n. 1/2019 disciplina all’art. 12 l’avvio del procedimento per l’adozione di provvedimenti correttivi e sanzionatori.
Così ricostruito il quadro normativo, vale la pena di soffermarsi su una pronuncia della Corte costituzionale, che con sentenza n. 151/2021, aveva stigmatizzato l’assenza, nel sistema delineato dalla l. n. 689/1981, di un termine decadenziale per la notificazione dell’ordinanza-ingiunzione. La Consulta aveva affermato che «la predefinizione legislativa di un limite temporale per la emissione della ordinanza-ingiunzione il cui inutile decorso produca la consumazione del potere stesso risulta coessenziale ad un sistema sanzionatorio coerente con i parametri costituzionali» di legalità (art. 23 Cost.), diritto di difesa (art. 24 Cost.) e buon andamento della pubblica amministrazione (art. 97 Cost.), rilevando altresì che il solo termine quinquennale di prescrizione ex art. 28 l. n. 689/1981 è «inidoneo a garantire, di per sé solo, la certezza giuridica della posizione dell’incolpato». La pronuncia si è tuttavia fermata a una declaratoria di inammissibilità, rimettendo al legislatore la scelta degli strumenti idonei a colmare la lacuna.
Possiamo ora entrare nel merito della vicenda.
I figli dell’interessato avevano presentato reclamo al Garante ai sensi dell’art. 77 del Regolamento UE 2016/679 (GDPR), lamentando l’illecita diffusione dei propri dati personali. Il reclamo era stato depositato il 27 maggio 2021.
Il Garante aveva avviato il procedimento sanzionatorio e il 23 novembre 2021 aveva notificato alla casa editrice la comunicazione di inizio dello stesso, con la quale vengono contestate le presunte violazioni degli artt. 2-quater, comma 4, e 137, comma 3, del Codice della privacy, nonché degli artt. 5, comma 2, e 6 delle regole deontologiche relative al trattamento dei dati personali nell’esercizio dell’attività giornalistica (riguardanti i principi di essenzialità dell’informazione e tutela della dignità delle persone). Il 20 marzo 2023 veniva notificata l’ordinanza-ingiunzione con cui il Garante irrogava alla casa editrice una sanzione pecuniaria di euro 2.000. Dalla presentazione del reclamo alla notifica dell’ordinanza-ingiunzione erano trascorsi un anno e dieci mesi, ed è proprio (anche) su tale decorso temporale che si fondava l’opposizione alla sanzione.
La società editrice proponeva opposizione dinanzi al Tribunale di Milano ai sensi dell’art. 152 del Codice della privacy, articolata su due piani distinti.
Sul piano temporale, la ricorrente sosteneva che il decorso del termine annuale previsto dall’art. 143, comma 3, del d.lgs. n. 196/2003 per la definizione del reclamo avesse esaurito il potere sanzionatorio del Garante. Decorso tale termine (nove mesi ordinari, prorogabili a dodici in casi di particolare complessità) l’Autorità non avrebbe più potuto adottare il provvedimento afflittivo.
Sul piano sostanziale, contestava che la menzione dei titoli di studio e delle professioni dei figli del sanzionato avesse ecceduto il limite dell’essenzialità dell’informazione rispetto ai fatti di interesse, qualificandoli invece come elementi pertinenti al contesto narrativo e già accessibili al pubblico.
Il Tribunale di Milano rigettava l’opposizione, disattendendo entrambe le tesi. Quanto alla questione temporale, osservava che il termine annuale dell’art. 143, comma 3, è posto nell’esclusivo interesse del reclamante, a garanzia della sua aspettativa a una celere definizione del procedimento, e non anche nell’interesse dell’autore delle violazioni denunziate. L’esercizio del potere sanzionatorio rimane disciplinato dal combinato disposto degli artt. 166 del Codice Privacy e 28 della l. n. 689/1981, incontrando il solo limite quinquennale di prescrizione previsto da quest’ultima norma. Nel merito, il Tribunale rilevava che la menzione di titoli di studio e professioni aveva reso i figli “precisamente individuabili” al di là della semplice menzione delle generalità e della relazione di parentela, eccedendo così il canone dell’essenzialità.
Avverso la decisione del Tribunale, la casa editrice ricorreva per cassazione ai sensi dell’art. 10, comma 10, del d.lgs. n. 150/2011, con un ricorso articolato in due motivi.
Con il primo motivo, la ricorrente denunciava, tra gli altri, la violazione delle norme che fissano il termine di definizione del reclamo in nove mesi, prorogabili a dodici (art. 143, comma 3, del Codice Privacy) e disciplinano il procedimento sanzionatorio del Garante (art. 166 del medesimo Codice), delle disposizioni regolamentari sui termini dei procedimenti amministrativi dell’Autorità, ivi compreso il termine di 120 giorni per la contestazione delle violazioni (art. 8, comma 2, e artt. 3 e 6 del regolamento del Garante della Protezione dei Dati Personali n. 2/2019), sostenendo che il termine annuale di definizione del reclamo fosse anche il termine massimo per l’adozione della sanzione e che il suo inutile decorso aveva consumato il potere afflittivo.
Con il secondo motivo, la casa editrice impugnava sia la motivazione, ritenuta insufficiente, sulla eccedenza del limite dell’essenzialità, sia l’applicazione sostanziale delle norme che presidiano il trattamento dei dati a fini giornalistici.
La Corte ha rigettato entrambi i motivi.
Sul primo, prende le mosse da un rilievo di ordine sistematico: procedimento di reclamo e procedimento sanzionatorio non condividono la medesima natura né la medesima disciplina. Il secondo non costituisce un segmento interno del primo, bensì un iter autonomo, che può originarsi indifferentemente da un reclamo o da un’iniziativa officiosa dell’Autorità. In altri termini: il reclamo soddisfa un interesse individuale a ottenere tutela, mentre il procedimento sanzionatorio persegue una finalità pubblicistica a presidio dell’ordinamento. La sanzione pecuniaria, in questa prospettiva, si colloca all’esito di un percorso procedimentale che, pur potendo trarre impulso dal reclamo, se ne distacca per presupposti, funzione e disciplina. Corollario di tale ricostruzione è che il termine per la definizione del reclamo opera sul solo piano del rapporto tra Garante e reclamante, a una garanzia di sollecita definizione della procedura attivata dall’interessato. La Corte esclude, pertanto, che lo spirare di quel termine possa incidere sulla legittimità del provvedimento afflittivo, precisando che esso non incide sulla validità della sanzione. L’unica condizione temporale richiesta è che la contestazione delle violazioni sia intervenuta nei termini previsti dalla disciplina di settore.
La Corte affronta poi il tema del termine di 120 giorni di cui alla Tabella B.2 del regolamento GPDP n. 2/2019. Sul punto, la pronuncia precisa che tale termine — decorrente dall’accertamento della violazione — «costituisce il termine entro il quale il Garante deve contestare le violazioni ex art. 166, comma 5, del codice, e non già il termine entro il quale deve essere irrogata la sanzione»: un termine endoprocedimentale, non un termine finale per emettere il provvedimento conclusivo. Ne consegue che, rispettato il termine per la contestazione, il provvedimento conclusivo soggiace al solo termine quinquennale di prescrizione ex art. 28 l. n. 689/1981. Nella sua statuizione, la Corte cita anche la sentenza n. 151/2021 della Consulta, osservando che la pronuncia si era però limitata a un mero rilievo di inammissibilità del richiamato termine prescrizionale quinquennale, avendo rimesso alla valutazione del legislatore l’individuazione di termini adeguati a tutela della certezza e del diritto di difesa degli interessati.
Sul secondo motivo, la Corte ha ribadito che la valutazione dell’essenzialità dei dati diffusi nell’esercizio del diritto di cronaca o di rievocazione storica è riservata al giudice del merito e, nella specie, il Tribunale ha ritenuto con «logico e motivato apprezzamento» che l’indicazione di laurea e professione dei figli del soggetto sanzionato, persone prive di notorietà e non rivestenti ruoli pubblici, non fosse essenziale rispetto alla narrazione degli accadimenti, richiamando i principi sanciti da Cass., Sez. Un., n. 19681/2019 in materia di bilanciamento tra rievocazione storica e diritto all’oblio.
Peraltro, la questione del termine finale per l’esercizio del potere sanzionatorio del Garante rimane, allo stato, priva di una risposta organica. La Cassazione ha solamente chiarito che il termine di un anno previsto per la definizione del reclamo non è il termine per irrogare la sanzione, stante la natura autonoma del procedimento sanzionatorio rispetto a quello di reclamo. Ha altresì ribadito l’esistenza di un termine di 120 giorni decorrente dall’accertamento, collocandolo tuttavia nella fase di contestazione delle violazioni piuttosto che nella fase di irrogazione della sanzione.
Ne risulta un’architettura in cui la fase sanzionatoria in senso stretto — quella compresa tra la contestazione delle violazioni e la notifica dell’ordinanza-ingiunzione — non è presidiata da alcun termine decadenziale espresso: l’unico limite temporale riconosciuto è la prescrizione quinquennale dell’art. 28 l. n. 689/1981.