Le sanzioni del Garante sono annullabili quando l’Autorità supera i termini di decadenza. Una recente pronuncia chiarisce in quali casi è possibile opporsi con successo.
Con la sentenza n. 205 del 4 marzo 2026, il Tribunale di Bolzano, accogliendo un ricorso da noi patrocinato, ha dichiarato il Garante per la protezione dei dati personali decaduto dal potere sanzionatorio per superamento dei termini decadenziali.
Ha conseguentemente annullato l’ordinanza-ingiunzione oggetto di opposizione, che era stata comminata nei confronti dell’Ente pubblico assistito in giudizio dal nostro studio legale.
Al di là del pieno successo professionale, la vicenda riveste un interesse generale perché segnala il consolidamento nella giurisprudenza di merito di un indirizzo avviato dalla nota pronuncia Cass., Sez. I, 8 luglio 2025, n. 18583.
Analizziamo più in dettaglio il nucleo centrale dell’indirizzo e le ragioni che lo sostengono.
Quando una sanzione del Garante è annullabile: cosa indica la Cassazione
La sentenza 18583/25 ha enunciato il seguente, decisivo, principio di diritto:
In tema di trattamento dei dati personali, la complessiva attività procedimentale dell’Autorità Garante per la protezione di questi ultimi, finalizzata all’accertamento di violazioni ed alla irrogazione delle corrispondenti sanzioni, consta di due fasi – una sanzionatoria in senso stretto ed una, precedente, investigativa o preistruttoria – logicamente e cronologicamente distinte.
Il termine, da considerarsi perentorio, di centoventi giorni previsto al punto 2 dell’allegato “B” del Regolamento del Garante n. 2/2019 si riferisce esclusivamente alla fase sanzionatoria in senso stretto e decorre dalla conclusione della fase preistruttoria che culmina con l’effettivo accertamento delle violazioni ascritte al trasgressore e la notifica della contestazione.
In termini concreti, dal giorno in cui viene notificato all’incolpato (spesso il titolare del trattamento, ma non esclusivamente) il provvedimento di contestazione di presunte violazioni, ai sensi dell’art. 166.5 Codice privacy, decorre un termine di 120 giorni, da ritenersi decadenziale, entro cui l’Authority è tenuta a notificare allo stesso il provvedimento sanzionatorio, ove non intervenga, beninteso, archiviazione a seguito del recepimento della memoria ex art. 166.6.
Sono infatti sia il citato art. 166.5 sia l’art. 12 del regolamento GPDP 1/2019 a rendere chiaro che il provvedimento di contestazione delle presunte violazioni segna l’avvio della fase sanzionatoria in senso stretto.
Orbene, qui sta il punto decisivo: tale fase, marcatamente afflittiva, deve avere una durata predeterminata, a breve distanza dalla contestazione, ravvisata dagli Ermellini in non più di 120 giorni.
In quale fonte normativa viene indicato il termine di 120 giorni? Lo troviamo nel regolamento interno del Garante n. 2/2019, Tabella B, punto 2, che definisce, per l’appunto, i termini di durata dei procedimenti dell’Autorità indipendente. Deve notarsi in proposito che nella Tabella manca infatti – ed è un passaggio fondamentale – altro termine valorizzabile come termine di durata della fase sanzionatoria, né quest’ultima può essere sprovvista di un arco temporale massimo entro cui va definita e notificata.
Come fare opposizione a un’ordinanza-ingiunzione del Garante – Consulta il nostro Vademecum
Termini entro cui il Garante può sanzionare: Cassazione 984/2026
La pronuncia 18583/25 ha poi trovato puntuale conferma nella più recente sentenza 17 gennaio 2026, n. 984 sempre della Prima sezione, che si trova talvolta erroneamente indicata anche con il numero 759/2025, che in realtà è solo il numero del Ruolo Generale.
Quest’ultima decisione ha altresì utilmente chiarito che “ferma la perentorietà del termine in discorso e la sua decorrenza (dal momento di accertamento delle violazioni ascritte al trasgressore e notifica della contestazione), non influisce sull’esito del presente giudizio il carattere (correttivo) della misura adottata, posto che la norma regolamentare che individua il termine finale della fase sanzionatoria non opera alcuna distinzione rispetto al differente possibile esito del procedimento”.
Corte costituzionale: quando si esaurisce il potere sanzionatorio
Non è possibile comprendere appieno l’indirizzo di Cassazione, senza avere presente i criteri Engel elaborati dalla Corte Europea dei Diritti dell’Uomo e soprattutto la fondamentale sentenza 151/2021 della Corte costituzionale.
Innanzitutto, la Consulta ha chiaramente riconosciuto nell’applicazione della legge 689/81 la sussistenza di due sole fasi, una istruttoria e una lato sensu contenziosa, ossia propriamente sanzionatoria, che trovano la loro cerniera nel provvedimento di contestazione delle presunte violazioni, nel caso del Garante quello ai sensi dell’art. 165.5 Codice privacy.
Ha quindi chiarito che la fase sanzionatoria deve essere presidiata da termine decadenziale per la sua conclusione e che tale termine non può assolutamente essere individuato in quello quinquennale di prescrizione, sia perché si tratta – per l’appunto – di un termine non decadenziale, tanto è vero che può essere interrotto, sia perché quinquennale e dunque inadatto alla desiderata prossimità tra contestazione e successiva sanzione. Si potrebbe aggiungere che il dies a quo, ossia il momento da cui decorre, non è quello della notifica della contestazione ma, a monte, quello della commissione dell’illecito.
Le due recenti pronunce di Cassazione si inseriscono perfettamente entro il binario tracciato dalla Consulta e ne traggono le necessarie considerazioni lineari.
Perché è importante la sentenza 205/26 del Tribunale di Bolzano
Il Tribunale di Bolzano, sentenza citata in apertura, ha recepito puntualmente l’indirizzo accennato, tra i primissimi giudici di merito, si tratta cioè di una decisione destinata ad ampia applicazione in altre cause.
Aveva già richiamato l’indirizzo di Cassazione sui termini del Garante il Tribunale di Roma con sent. 22.1.2026, RTI c. GPDP. Tuttavia il in maniera meno coerente, collegando la decadenza non alla fase sanzionatoria ma al termine di 9/12 mesi per la decisione dei reclami. In tal senso, la pronuncia del foro alto-atesino costituisce, a notizia dello scrivente, la prima decisione completamente allineata con la posizione della Cassazione.
Il precedente, certamente destinato, per queste ragioni, a fare giurisprudenza, si segnala anche per una precisazione importante, direttamente connessa con l’accennata posizione della Corte costituzionale:
Si ritiene, in particolare, che l’interpretazione fornita dalla Suprema Corte sia indispensabile per garantire la certezza giuridica e l’effettività del diritto di difesa. Al contrario, il termine prescrizionale quinquennale previsto dall’art. 28 della legge n. 689/1981, invocato dal Garante, non pare idoneo a soddisfare dette esigenze costituzionali.
Conclusioni
C’è una ragione precisa che rende pregevole l’indirizzo in commento, ormai consolidato e, del resto, sorretto da due robusti formanti: quello della Corte EDU e quello della Consulta.
La ragione è che esiste un altro indirizzo, tradizionale, che riguarda la fase (pre)istruttoria o investigativa, ossia quella che culmina, se del caso, con la notifica della contestazione della presunta violazione, nel nostro caso del provvedimento ex art. 166.5 Cod. privacy.
Ne sorgono notevoli incomprensioni e molti equivoci. A ben vedere, tuttavia, non si tratta di indirizzi in contrasto tra loro, ma suscettibili di convivenza, poiché si collocano in fasi diverse: quello richiamato, da ultimo, dal Tribunale bolzanino riguarda la fase sanzionatoria in senso stretto, presidiata da termini decadenziali, l’altro riguarda la fase precedente.
Secondo tale ultima soluzione ermeneutica, che ha registrato una maturazione più lunga e complessa, anche la fase (pre)istruttoria non può essere prolungata usque ad infinitum, per esigenze di certezza giuridica dei tempi del procedimento e di tutela della parte oggetto di verifica. Una volta che l’Ente, in questo caso il Garante, abbia raccolto gli elementi in fatto e sia, con ragionevole celerità, pervenuto a valutarne il significato giuridico ci si attende che proceda, senza dilazioni, a una scelta binaria: o archiviare oppure sanzionare/correggere.
Il punto fragile di tale indirizzo, che lascia per questa stessa ragione spazio a ulteriori future precisazioni giurisprudenziali, sta nella difficoltà, per la parte oggetto di accertamento, di stabilire il momento esatto, il dies a quo, dal quale effettivamente l’Autorità dispone degli elementi giuridici sufficienti alla formulazione della contestazione.
FAQ
Quando una sanzione del Garante Privacy è annullabile?
Un’ordinanza-ingiunzione del Garante per la protezione dei dati personali può essere annullata preliminarmente quando l’Autorità supera i termini di decadenza previsti dal Regolamento 2/2019 GPDP. La sentenza n. 205/2026 del Tribunale di Bolzano ha ribadito che il rispetto dei termini è essenziale.
Entro quanto tempo il Garante può irrogare una sanzione?
Il Garante deve esercitare il proprio potere sanzionatorio entro 120 giorni dalla notificazione della contestazione di presunte violazioni ai sensi dell’art. 166.5 Codice privacy. Se tali termini vengono superati, la sanzione può essere contestata e annullata.
Posso oppormi a un’ordinanza-ingiunzione del Garante Privacy?
Sì, è possibile proporre opposizione davanti al tribunale competente. Un’opposizione correttamente impostata può portare all’annullamento della sanzione. Si tratta di una valutazione tecnica da rimettere all’esperienza di un avvocato. NB: è sempre sconsigliabile affidare la propria difesa alla sola eccezione di intervenuta decadenza, una buona strategia processuale si costruisce anche nel merito.
Le imprese devono sempre pagare le sanzioni del Garante?
Non necessariamente. In presenza di vizi procedurali o decadenza del potere sanzionatorio, le imprese possono contestare la sanzione e ottenerne l’annullamento. Possono altresì contestarla nel merito. Potrebbero esserci ragioni per ottenerne una riduzione. Non esistono automatismi, ogni caso va analizzato singolarmente.