Cassazione Civile, Ordinanza n. 24998/2026 del 04/09/2026

Esito

La controversia

La controversia trae origine da tre violazioni di dati personali verificatesi, tra il 2019 e il 2020, nell'ambito di un servizio online dell'ente pubblico. Alcuni utenti, accedendo alla propria posizione personale, potevano visualizzare pratiche e dati relativi ad altri soggetti. Le violazioni furono notificate all'autorità garante ai sensi dell'art. 33 del Regolamento (UE) 2016/679. L'autorità notificò all'ente la contestazione delle presunte violazioni nel dicembre 2020 e, con provvedimento del 28 aprile 2022, applicò una sanzione amministrativa pecuniaria di euro 50.000, disponendo anche la pubblicazione del provvedimento e l'annotazione nel registro interno. L'ente impugnò il provvedimento davanti al Tribunale di Roma, deducendo, tra l'altro, la tardività della contestazione, l'insussistenza o non piena imputabilità delle violazioni e l'eccessività della sanzione. Il Tribunale annullò la sanzione relativa al primo episodio, ritenendo tardiva la contestazione rispetto al termine di 120 giorni previsto dalla tabella B del Regolamento del Garante n. 2/2019, e ridusse a euro 20.000 la sanzione relativa al terzo episodio. L'autorità garante propose ricorso principale con due motivi: il primo relativo alla natura perentoria del termine di 120 giorni; il secondo relativo alla decorrenza del termine e alla possibilità di proseguire l'istruttoria preliminare, anche mediante richieste di chiarimenti e trattazione congiunta di più episodi, prima della contestazione. L'ente resistette e propose ricorso incidentale con quattro motivi: tardività del provvedimento sanzionatorio relativo al terzo episodio; violazione dell'art. 83 GDPR; omesso esame di circostanze relative alla responsabilità di terzi, alla non piena imputabilità e alle richieste istruttorie; omessa considerazione della diversa misura di sanzioni applicate in casi analoghi.

La decisione

La Corte ha rigettato il primo motivo del ricorso principale, confermando che il termine di 120 giorni per la notificazione della contestazione delle presunte violazioni ha natura perentoria. Tuttavia, ha accolto il secondo motivo, chiarendo che tale termine riguarda l'avvio del procedimento sanzionatorio in senso stretto e decorre dall'accertamento della violazione, inteso non come mera conoscenza o constatazione materiale dei fatti, ma come ponderata valutazione dell'esistenza dei presupposti per l'irrogazione della sanzione, anche in termini di probabilità. Il termine non coincide quindi necessariamente con la ricezione della prima segnalazione o notifica del data breach e non impedisce all'autorità di svolgere, anteriormente alla contestazione, un'istruttoria preliminare articolata, richiedere ulteriori chiarimenti e trattare congiuntamente episodi correlati. Il Tribunale aveva erroneamente ritenuto tardiva la contestazione del primo episodio senza valutare la richiesta di chiarimenti del 24 agosto 2020, la successiva risposta dell'ente e la complessità dell'accertamento. La sentenza è stata pertanto cassata con rinvio al Tribunale di Roma, in diversa composizione, per un nuovo esame e per la liquidazione delle spese. Quanto al ricorso incidentale, i primi tre motivi sono stati dichiarati inammissibili: il primo perché introduceva una questione nuova e confondeva il termine per la contestazione con quello per la definizione del procedimento; il secondo perché censurava direttamente il provvedimento amministrativo senza confrontarsi con la motivazione della sentenza; il terzo perché sollecitava una rivalutazione dei fatti e delle prove senza individuare specificamente un fatto storico decisivo omesso. Il quarto motivo incidentale è stato dichiarato assorbito.

Norme richiamate

• art. 166, commi 4, 5, 6 e 7, d.lgs. 30 giugno 2003, n. 196

  «procedimento per l’adozione delle misure correttive e sanzionatorie»; «presunte violazioni»

  Il comma 4 riguarda l'istruttoria preliminare; il comma 5 disciplina la contestazione delle presunte violazioni e l'avvio del procedimento sanzionatorio in senso stretto; il comma 6 garantisce le facoltà difensive del destinatario; il comma 7 richiama solo determinate disposizioni della legge n. 689/1981, tra le quali non rientra l'art. 14.

• art. 33 Regolamento (UE) 2016/679

  «In caso di violazione dei dati personali, il titolare del trattamento notifica la violazione all'autorità di controllo competente [...] senza ingiustificato ritardo e, ove possibile, entro 72 ore»

  Disciplina l'obbligo del titolare del trattamento di notificare all'autorità di controllo le violazioni dei dati personali.

• art. 58, par. 1, lett. d), Regolamento (UE) 2016/679

  «notificare al titolare del trattamento o al responsabile del trattamento le presunte violazioni del presente regolamento»

  Attribuisce all'autorità di controllo il potere di notificare le presunte violazioni.

• art. 83 Regolamento (UE) 2016/679

  Costituisce la base normativa delle sanzioni amministrative pecuniarie per le violazioni della disciplina in materia di protezione dei dati personali e rileva anche per la valutazione della sanzione.

• artt. 5, par. 1, lett. a) e f), 6, par. 1, lett. e), 9, par. 2, lett. g), e 32 Regolamento (UE) 2016/679

  Sono le disposizioni sostanziali che l'autorità garante ha ritenuto violate con riferimento ai principi applicabili al trattamento, alla base giuridica, al trattamento di categorie particolari di dati e alla sicurezza del trattamento.

• artt. 2-ter e 2-sexies d.lgs. 30 giugno 2003, n. 196

  Sono richiamati nel provvedimento sanzionatorio quali disposizioni del codice privacy ritenute violate.

• art. 14 legge 24 novembre 1981, n. 689

  «gli estremi della violazione debbono essere notificati agli interessati [...] entro il termine di novanta giorni [...] dall'accertamento»

  La Corte lo esamina nel confronto con la disciplina speciale privacy, ma precisa che non è richiamato dall'art. 166, comma 7, per il procedimento sanzionatorio davanti al Garante.

• art. 2 legge 7 agosto 1990, n. 241

  È richiamato in relazione al termine generale di conclusione dei procedimenti; secondo la ricostruzione recepita dalla Corte, il termine applicabile all'istruttoria preliminare ha natura ordinatoria.

• art. 2-bis legge 7 agosto 1990, n. 241

  Conferma, nel ragionamento della Corte, che la violazione del termine ordinatorio di conclusione del procedimento incide sulla legittimità del comportamento dell'amministrazione e può fondare responsabilità risarcitoria, ma non determina di per sé l'illegittimità dell'atto.

• Tabella B allegata al Regolamento del Garante n. 2/2019

  «120 giorni dall'accertamento della violazione per la notificazione»

  Il termine di 120 giorni per la comunicazione delle presunte violazioni è perentorio e riguarda l'avvio del procedimento sanzionatorio in senso stretto, non la conclusione dell'istruttoria preliminare.

• artt. 11, 12, 13, 14, 16, 18 e 20 Regolamento del Garante n. 1/2019

  Distinguono l'istruttoria preliminare, che può concludersi con l'archiviazione o con l'avvio del procedimento sanzionatorio, dal procedimento sanzionatorio in senso stretto.

• art. 10, comma 4, Regolamento del Garante n. 1/2019

  «l'istruttoria preliminare può essere svolta contestualmente in relazione a più reclami aventi il medesimo oggetto o che riguardano il medesimo titolare o responsabile del trattamento, oppure trattamenti di dati tra loro correlati»

  Consente la trattazione congiunta di episodi o segnalazioni correlati nell'ambito dell'istruttoria preliminare.

• art. 360, comma 1, nn. 3, 4 e 5, c.p.c.

  Sono le disposizioni processuali poste a fondamento dei motivi di ricorso principale e incidentale, in tema di violazione di legge, omessa pronuncia e omesso esame di fatto decisivo.

• art. 112 c.p.c.

  È richiamato nel motivo incidentale relativo alla pretesa mancata corrispondenza tra chiesto e pronunciato.

Massime di principio

• Nel procedimento sanzionatorio di competenza dell'autorità garante per la protezione dei dati personali devono essere distinti l'istruttoria preliminare, avente funzione investigativa, e il procedimento sanzionatorio in senso stretto, che prende avvio con la notificazione delle presunte violazioni e nel quale si esercita il contraddittorio difensivo.
• Il termine di 120 giorni previsto dalla tabella B del Regolamento del Garante n. 2/2019 per la notificazione delle presunte violazioni ha natura perentoria, in ragione delle esigenze di certezza giuridica e di effettività del diritto di difesa.
• Il termine perentorio decorre dall'«accertamento della violazione», da intendere come attività di valutazione, almeno probabilistica, dell'esistenza dei presupposti oggettivi e soggettivi per l'irrogazione della sanzione, e non dalla mera ricezione della segnalazione o dalla semplice constatazione materiale dei fatti.
• L'istruttoria preliminare anteriore alla contestazione non è soggetta a un termine perentorio di 120 giorni per la sua conclusione. Il termine generale applicabile alla sua definizione ha natura ordinatoria, sicché la sua violazione incide sul comportamento dell'amministrazione ma non determina automaticamente l'illegittimità del provvedimento sanzionatorio.
• L'autorità garante può svolgere ulteriori accertamenti, richiedere chiarimenti e trattare congiuntamente più episodi o segnalazioni correlati quando ciò sia funzionale a una valutazione complessiva delle violazioni; il giudice non può sostituirsi all'autorità nella valutazione dell'opportunità delle attività investigative, ma deve verificare l'eventuale ingiustificata e protratta inerzia.
• Nella verifica della tempestività della contestazione, il giudice deve considerare la complessità della materia, le peculiarità del caso, l'utilità potenziale delle ulteriori attività istruttorie e l'interesse a un accertamento unitario, senza valutare tali attività esclusivamente alla luce della loro inutilità risultante ex post.
• Il ricorso per cassazione è inammissibile quando censura direttamente il provvedimento amministrativo senza confrontarsi con la motivazione della sentenza impugnata o quando sollecita una nuova valutazione del materiale probatorio senza indicare uno specifico fatto storico decisivo omesso dal giudice di merito.

Come è indicizzato