di Fulvio Sarzana di S.Ippolito, Avvocato

La Cassazione ha appena chiuso una vicenda che merita attenzione oltre l’esito del singolo ricorso.

La sentenza n. 22791/2026 della Prima Sezione civile, resa disponinbile il 6 luglio,  conferma la sanzione di 2.000 euro inflitta dal Garante privacy a una casa editrice per la diffusione, in un libro, dei dati identificativi dei figli di un allenatore di football americano condannato per gravi reati.

Il volume ne indicava nome, titolo di studio e professione, elementi che hanno reso i due riconoscibili oltre il necessario.

Il punto interessante non è il merito della violazione.

È il primo motivo di ricorso, quello sul tempo.

I fatti in sintesi

Il reclamo arriva al Garante il 27 maggio 2021. L’avvio del procedimento sanzionatorio è comunicato il 23 novembre 2021. L’ordinanza-ingiunzione, però, viene notificata solo il 20 marzo 2023: un anno e dieci mesi dopo il reclamo.

La casa editrice ha eccepito la decadenza del potere sanzionatorio, richiamando il termine di un anno previsto dall’art. 143, comma 3, del Codice privacy per la decisione sul reclamo. La Cassazione respinge l’eccezione.

Cosa dice la Corte

Il reclamo e il procedimento sanzionatorio sono due procedimenti distinti, non due fasi dello stesso procedimento. Il termine di un anno tutela il diritto del reclamante a una risposta sollecita. Non segna la scadenza del potere del Garante di sanzionare.

L’unico limite temporale che regge l’intero impianto resta quello dell’art. 28 della legge n. 689/1981: la prescrizione quinquennale dal fatto. Cinque anni, sospendibile e interrompibile, per l’esercizio di un potere che incide in modo diretto sulla sfera giuridica del sanzionato.

Il precedente scomodo: Corte Cost. 151/2021

La sentenza fa i conti con un nodo che la Consulta aveva già sollevato nel 2021, come correttamente rilevato da Luca Bolognini.

Con la sentenza n. 151, la Corte costituzionale aveva dichiarato inammissibile la questione di legittimità sull’assenza di un termine finale nella legge n. 689/1981, ma  aveva scritto nero su bianco che la sola prescrizione quinquennale non basta a garantire certezza giuridica e diritto di difesa a chi subisce un procedimento sanzionatorio, e aveva chiesto al legislatore di intervenire.

Cinque anni dopo, quell’invito resta in gran parte lettera morta.

La Cassazione riconosce il problema, ma si ferma: dice che non può sostituirsi al legislatore costruendo in via interpretativa un termine di decadenza.

Il vuoto dell’art. 12 del regolamento n. 1/2019

Qui va aggiunto un tassello che la sentenza non affronta fino in fondo.

Il regolamento del Garante n. 1/2019 disciplina, all’art. 12, l’avvio del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori. La norma stabilisce cosa deve contenere la comunicazione di avvio e fissa il termine di trenta giorni per le difese del contravventore. Non fissa, però, alcun termine finale per la chiusura del procedimento sanzionatorio, cioè per l’adozione dell’ordinanza-ingiunzione.

Il termine di 120 giorni richiamato in sentenza (punto 2 dell’allegato B del regolamento n. 2/2019) riguarda un momento diverso: la contestazione delle violazioni, non l’irrogazione della sanzione. Come Cass. n. 18583/2025 aveva già chiarito, quel termine copre la fase preistruttoria, non la fase sanzionatoria in senso stretto.

Dal reclamo alla sanzione, l’unico paletto temporale reale è la prescrizione quinquennale.

Esattamente ciò che la Consulta, nel 2021, aveva giudicato  del tutto insufficiente.

L’assenza di un termine di conclusione nell’art. 12 del regolamento n. 1/2019 non è solo una lacuna tecnica.

È il tipo di vuoto normativo che la Consulta aveva segnalato come critico per la tenuta costituzionale del sistema sanzionatorio, sotto il profilo del diritto di difesa (art. 24 Cost.) e del buon andamento amministrativo (art. 97 Cost.).

Il Garante avrebbe dovuto colmarlo in via regolamentare, come hanno fatto altre Autorità indipendenti: basti pensare al termine di dodici mesi che la stessa Autorità si era autoimposta nel caso deciso da Cass. n. 984/2026.

Non lo ha invece  fatto per la generalità dei procedimenti sanzionatori.

La conseguenza pratica è che ogni provvedimento del Garante, salvo la prescrizione quinquennale, resta esposto a un margine di incertezza che la giurisprudenza costituzionale considera in linea di principio incompatibile con un sistema sanzionatorio coerente e costituzionalmente orientato.

La Cassazione lo riconosce, ma rinvia la soluzione al legislatore.

Nel frattempo il vuoto regolamentare resta, e con esso il rischio che la legittimità dei provvedimenti sanzionatori del Garante continui a fondarsi su un equilibrio che la stessa Consulta ha definito inadeguato.