Il Garante per la protezione dei dati personali può avviare un procedimento sanzionatorio autonomo anche quando sia già decorso un anno dalla presentazione del reclamo. La Cassazione, con sentenza n. 22791 del 6 luglio 2026, ha chiarito che il procedimento di reclamo e quello sanzionatorio seguono binari distinti, ciascuno con le proprie regole procedurali e i propri termini. Chi assiste un cliente destinatario di una sanzione del Garante deve quindi verificare non solo la tempestività del reclamo, ma anche la corretta sequenza e autonomia dei due procedimenti.
Punti chiave
- Punto 1 — Il procedimento sanzionatorio del Garante è autonomo rispetto al procedimento di reclamo e non ne condivide i termini.
- Punto 2 — La Cassazione n. 22791/2026 esclude che il decorso di un anno dal reclamo precluda l’irrogazione della sanzione.
- Punto 3 — Chi difende un’azienda sanzionata deve impugnare anche l’iter procedimentale, non solo il merito della violazione.
Se stai assistendo un cliente che ha ricevuto una sanzione dal Garante Privacy a distanza di oltre un anno dalla presentazione del reclamo originario, non puoi più sostenere che il termine annuale preclude il potere sanzionatorio. La Cassazione ha chiuso quella porta: i due procedimenti sono separati, e il Garante mantiene il potere di multare indipendentemente da quanto tempo sia trascorso in fase di reclamo.
La Corte di Cassazione, con sentenza n. 22791 del 6 luglio 2026, ha stabilito che il procedimento di reclamo e il procedimento sanzionatorio del Garante per la protezione dei dati personali operano su piani distinti. La decisione, commentata da Giuricivile.it, è destinata a ridisegnare le difese in sede di opposizione alle sanzioni amministrative in materia di privacy.
Il contesto normativo
Il quadro di riferimento è il Regolamento (UE) 2016/679 (GDPR), in particolare gli artt. 77 e 83, che disciplinano rispettivamente il diritto di proporre reclamo all’autorità di controllo e i criteri per l’irrogazione delle sanzioni amministrative pecuniarie. Sul piano interno, il d.lgs. 196/2003 (Codice Privacy), come novellato dal d.lgs. 101/2018, regola il procedimento davanti al Garante. L’art. 166 del Codice Privacy disciplina il procedimento sanzionatorio, mentre l’art. 77 GDPR fissa in un anno il termine entro cui il Garante deve pronunciarsi sul reclamo. La Cassazione con la sentenza n. 22791/2026 ha confermato che quest’ultimo termine riguarda esclusivamente la fase di reclamo e non si estende al potere sanzionatorio, che resta autonomamente esperibile.
Cosa cambia per lo studio
- Revisione delle difese in opposizione: nei ricorsi avverso le sanzioni del Garante, l’argomento basato sul decorso dell’anno dalla presentazione del reclamo non regge più come motivo autonomo di illegittimità. Va abbandonato o riformulato.
- Distinzione procedurale da documentare: occorre analizzare separatamente la fase del reclamo e quella sanzionatoria, verificando i termini e le garanzie procedurali di ciascuna (contraddittorio, notifiche, atti istruttori ex art. 166 d.lgs. 196/2003).
- Aggiornamento delle consulenze preventive: chi assiste aziende in materia di compliance privacy deve aggiornare le valutazioni del rischio sanzionatorio: l’esposizione non si esaurisce con la chiusura del reclamo o con il silenzio del Garante oltre i dodici mesi.
- Monitoraggio dei fascicoli aperti: se hai clienti con reclami pendenti da oltre un anno senza esito, non considerarli chiusi. Il Garante può avviare il procedimento sanzionatorio in un momento successivo.
- Documentazione delle condotte correttive: poiché il potere sanzionatorio resta vivo più a lungo, conviene raccogliere e conservare evidenza delle misure adottate dal cliente per rimediare alla violazione, da produrre in fase di difesa.
Attenzione a
Non confondere silenzio con archiviazione. Il mancato riscontro del Garante entro un anno sul reclamo non equivale a una pronuncia di non luogo a procedere. Molti clienti interpretano erroneamente il silenzio come un’implicita chiusura del fascicolo: comunicare subito questa distinzione evita sorprese costose.
Attenzione ai termini di prescrizione della sanzione. Il fatto che non esista un termine annuale che lega reclamo e sanzione non significa che il potere sanzionatorio sia imprescrittibile. Vanno verificati i termini ordinari di prescrizione dell’illecito amministrativo ex art. 28 l. 689/1981 (cinque anni dalla violazione), che restano il limite esterno del potere punitivo del Garante.
Domande frequenti
Il Garante Privacy può sanzionare dopo che è passato un anno dal reclamo?
Sì. La Cassazione, con sentenza n. 22791 del 6 luglio 2026, ha chiarito che il termine annuale previsto dall’art. 77 GDPR riguarda la fase di reclamo, non il procedimento sanzionatorio. Il Garante può quindi irrogare sanzioni anche dopo il decorso di quell’anno, purché non sia maturata la prescrizione quinquennale ex art. 28 l. 689/1981.
Come si impugna una sanzione del Garante Privacy emessa oltre un anno dal reclamo?
L’opposizione va presentata al Tribunale civile competente nei termini di legge. Dopo la sentenza n. 22791/2026, il motivo basato sul decorso dell’anno non è più autonomamente sufficiente. La difesa deve concentrarsi sul rispetto delle garanzie procedurali del procedimento sanzionatorio ex art. 166 d.lgs. 196/2003 e sulla proporzionalità della sanzione ai criteri dell’art. 83 GDPR.
Qual è il termine di prescrizione per le sanzioni del Garante Privacy?
Le sanzioni amministrative del Garante si prescrivono in cinque anni dalla commissione della violazione, ai sensi dell’art. 28 della legge 689/1981. Questo termine rappresenta il limite esterno del potere sanzionatorio, indipendente dai tempi del procedimento di reclamo.
Fonte di riferimento: Giuricivile