La Corte di Cassazione (Sezione 1|Civile|Sentenza|| n. 984) e' tornata a ribadire la natura perentoria dei termini per l'esercizione dei poteri sanzionatori del Garante Privacy.
Si legge infatti nella sentenza che"
"5.1 Questa Corte, di recente, ha avuto occasione di affermare (con la sentenza n. 18583/2025, che si va a ripercorrere nei suoi tratti salienti), in relazione all'attività procedimentale del Garante volta all'accertamento di violazioni e all'irrogazione delle corrispondenti sanzioni, la distinzione, sul piano logico e cronologico, tra una fase sanzionatoria in senso stretto, come previsto dall'art. 166, comma 5, D.Lgs. 196/2003, e una precedente fase investigativa o preistruttoria, a cui, invece, è dedicato il comma 4 del medesimo art. 166.
Solo una volta esaurita la fase investigativa (o preistruttoria) disciplinata dall'art. 166, comma 4, D.Lgs. 196/2003, l'Ufficio del Garante, a mente del successivo capoverso, "quando ritiene che gli elementi acquisiti nel corso delle attività di cui al comma 4 configurino una o più violazioni indicate nel presente titolo e nell'articolo 83, paragrafi 4, 5 e 6, del Regolamento, avvia il procedimento per l'adozione dei provvedimenti e delle sanzioni di cui al comma 3 notificando al titolare o al responsabile del trattamento le presunte violazioni".
L'elemento di raccordo tra la fase investigativa (o preistruttoria) di cui all'art. 166, comma 4, D.Lgs. 196/2003 e quella sanzionatoria in senso stretto (la quale prende l'avvio con la notifica delle presunte violazioni, prevede una fase istruttoria vera e propria e culmina nell'adozione del provvedimento sanzionatorio, nel senso stabilito dall' art. 166, commi 5, 6, 7) è così costituito dal Regolamento del Garante n. 2/2019, che al punto 2 dell'allegato "B" ("Termini relativi a procedimenti individuati nel codice in materia di protezione dei dati personali") prevede, per l'esercizio dei poteri sanzionatori (art. 166, comma 5, D.Lgs. 196/2003), un termine di centoventi giorni decorrente "dall'accertamento della violazione per la notificazione della stessa ai residenti nel territorio della Repubblica o 360 giorni per la notificazione ai residenti all'estero".
Questo termine di centoventi giorni per l'irrogazione della sanzione decorre dal definitivo accertamento dell'illecito ed impone l'esercizio del potere sanzionatorio, mediante l'invio della comunicazione di cui al combinato disposto degli artt. 12, commi 1 e 2, del regolamento del Garante n. 1/2019, e 166, comma 5, D.Lgs. 196/2003, entro quattro mesi dalla conoscenza (accertamento) della violazione, pena l'esaurimento della potestà sanzionatoria.
Il termine in discorso non può che essere fatto decorrere, giusta l'art. 12, comma 1, del Regolamento n. 1/2019 dello stesso Garante, dall'avvio del corrispondente procedimento sanzionatorio, vale a dire da quando viene comunicato al titolare e, se del caso, al responsabile del trattamento, il procedimento per l'adozione dei provvedimenti di cui agli artt. 58, paragrafo 2, e 83 del RGPD.
Comunicazione da individuarsi in quella di cui all'art. 166, comma 5, D.Lgs. 196/2003, stante lo specifico richiamo a quest'ultima disposizione che si rinviene nel comma 2 del predetto 12.
5.2 A questo specifico termine deve essere riconosciuta natura perentoria.
Infatti, secondo la giurisprudenza costituzionale (cfr. Corte Cost. 151/2021) la predefinizione legislativa di un limite temporale per l'emissione di una sanzione espressiva della potestà punitiva della pubblica amministrazione, il cui inutile decorso produca la consumazione del potere stesso, "risulta coessenziale ad un sistema sanzionatorio coerente con i parametri costituzionali di sicurezza giuridica e diritto di difesa".
La mancanza di un termine finale perentorio, al contrario, colloca l'autorità titolare della potestà punitiva "in una posizione ingiustificatamente privilegiata che, nell'attuale contesto ordinamentale, si configura come un anacronistico retaggio della supremazia speciale della pubblica amministrazione".
La previsione di un preciso limite temporale per l'irrogazione della sanzione tutela la certezza giuridica (in termini di prevedibilità delle conseguenze derivanti dalla reazione autoritativa alla violazione di un precetto pubblico, con finalità di prevenzione speciale e generale) e l'effettività del diritto di difesa dei consociati (la quale richiede una contiguità temporale tra l'accertamento dell'illecito e l'applicazione della sanzione).
Nell'ipotesi normativa in esame - in cui il termine per la conclusione del procedimento sanzionatorio è espressamente fissato in via regolamentare, sia pure senza sanzionarne la violazione in termini decadenziali - le medesime esigenze costituzionali di certezza giuridica della posizione del trasgressore e di effettività del suo diritto di difesa impongono di interpretare, sia la fonte primaria di attribuzione del potere regolamentare (art. 166, comma 9, D.Lgs. 196/2003), sia le disposizioni secondarie di determinazione del termine di durata del procedimento individuato per l'esercizio del potere sanzionatorio ex art. 166, comma 5, del medesimo decreto legislativo (artt. 3 e 4 del regolamento n. 2/2019 del Garante, di cui alla deliberazione del medesimo Garante del 4 aprile 2019, e punto 2 della Tabella B allegata al medesimo Regolamento), nel senso di vincolare perentoriamente l'autorità che l'ha previsto alla sua osservanza.
Sulla base delle argomentazioni in precedenza riassunte questa Corte, nella sentenza in precedenza citata, ha affermato il principio secondo cui, in tema di trattamento dei dati personali, la complessiva attività procedimentale dell'Autorità Garante per la protezione di questi ultimi, finalizzata all'accertamento di violazioni e all'irrogazione delle corrispondenti sanzioni, consta di due fasi – una sanzionatoria in senso stretto e una, precedente, investigativa o preistruttoria – logicamente e cronologicamente distinte; il termine, da considerarsi perentorio, di centoventi giorni previsto al punto 2 dell'allegato "B" del Regolamento del Garante n. 2/2019 si riferisce esclusivamente alla fase sanzionatoria in senso stretto e decorre dalla conclusione della fase preistruttoria che culmina con l'effettivo accertamento delle violazioni ascritte al trasgressore e la notifica della contestazione."
Archivio news