La recente pronuncia della Cassazione, sezione prima civile, con la sentenza n. 22791/2026, rappresenta un importante punto di chiarimento riguardo alla distinzione tra procedimento di reclamo e procedimento sanzionatorio avviato dall’Autorità Garante per la protezione dei dati personali. La decisione si inserisce nel quadro normativo che disciplina le modalità e i termini entro cui l’Autorità può esercitare le proprie funzioni sanzionatorie, precisando alcuni aspetti fondamentali circa i limiti temporali e la decorrenza delle prescrizioni.

 

 

La recente pronuncia della Cassazione, sezione prima civile, con la sentenza n. 22791/2026, rappresenta un importante punto di chiarimento riguardo alla distinzione tra procedimento di reclamo e procedimento sanzionatorio avviato dall’Autorità Garante per la protezione dei dati personali. La decisione si inserisce nel quadro normativo che disciplina le modalità e i termini entro cui l’Autorità può esercitare le proprie funzioni sanzionatorie, precisando alcuni aspetti fondamentali circa i limiti temporali e la decorrenza delle prescrizioni.

In primo luogo, la Corte ha evidenziato che il termine di un anno previsto dall’art. 143, comma 3, del Codice della privacy (D.lgs. 196/2003, ora aggiornato dal Regolamento UE 679/2016 – GDPR) ha la funzione esclusiva di garantire al soggetto reclamante una conclusione rapida del procedimento di reclamo volto all’impugnazione di una sanzione o di un atto amministrativo. Tale termine, quindi, si configura come un termine “procedurale” volto ad assicurare la celerità del procedimento di reclamo, senza tuttavia determinare la decadenza del potere dell’Autorità di agire autonomamente per l’irrogazione di sanzioni.

La Corte ha precisato che, diversamente dal procedimento di reclamo, quello sanzionatorio, che si perfeziona con l’adozione di un atto formale di irrogazione della sanzione, è disciplinato da una normativa autonoma e distinta, alla quale non si applica il termine annuale di decadenza, ma il termine di prescrizione quinquennale di cui all’art. 2947 c.c., e successive norme di settore. Ciò significa che, anche se il procedimento di reclamo si conclude dopo un anno, il potere dell’Autorità di irrogare sanzioni rimane comunque pienamente esercitabile fino al decorso di cinque anni dalla commissione della violazione, a condizione che siano rispettate le garanzie di tempestiva contestazione e comunicazione delle violazioni.

Inoltre, la sentenza sottolinea che la decorrenza del termine di prescrizione quinquennale non è influenzata dal decorso del termine di un anno previsto per il procedimento di reclamo, poiché quest’ultimo ha natura procedurale e non sostanziale. Pertanto, il rispetto delle garanzie procedurali, come la tempestiva contestazione delle violazioni, rimane essenziale affinché l’Autorità possa esercitare il proprio potere sanzionatorio entro i limiti temporali di legge.

In conclusione, questa pronuncia chiarisce che i ritardi nella conclusione di un procedimento di reclamo non determinano la decadenza del potere sanzionatorio dell’Autorità, che può agire comunque entro il termine di prescrizione quinquennale, purché siano rispettate le garanzie procedurali fondamentali. Tale orientamento rafforza la posizione dell’Autorità Garante e fornisce indicazioni pratiche per i soggetti coinvolti, evidenziando l’importanza di distinguere tra i termini procedurali e quelli sostanziali nell’ambito della tutela dei dati personali.

**Nota:** Questa analisi ha carattere di orientamento generale e non sostituisce una consulenza legale specifica, che dovrebbe essere fornita tenendo conto delle peculiarità del caso concreto.