Cassazione 2025: quando la sanzione del Garante è nulla

La Corte di Cassazione, Sezione I Civile, con sentenza n. 18583 depositata l’8 luglio 2025, ha stabilito un principio che può valere molto denaro: il termine di 120 giorni entro cui il Garante per la Protezione dei Dati Personali deve notificare formalmente la contestazione di una violazione è perentorio. Superarlo può rendere nulla l’intera sanzione.

In sintesi

La Cassazione, Sez. I Civile, n. 18583/2025, distingue due fasi nel procedimento del Garante: investigativa e sanzionatoria.
I termini della fase investigativa sono ordinatori: superarli non invalida automaticamente il procedimento.
Il termine di 120 giorni per la notificazione della violazione, atto con cui si apre formalmente la fase sanzionatoria, è perentorio: se violato, la sanzione è impugnabile.
Capire a quale fase appartiene un atto ricevuto dal Garante non è intuitivo: serve un’analisi giuridica puntuale.
Chi ha già ricevuto un provvedimento sanzionatorio ha interesse concreto a verificare se i termini procedurali siano stati rispettati.

Cosa ha detto esattamente la Cassazione

Il caso riguardava la validità di una sanzione irrogata dal Garante. Il nodo era se certi termini procedurali, superati nel caso concreto, fossero perentori oppure ordinatori. Non è una distinzione astratta.

Un termine perentorio è un termine che, se violato, produce la nullità dell’atto. Pensa a una scadenza fiscale: chi la supera paga le conseguenze. Un termine ordinatorio, invece, è più simile a un obiettivo indicativo: il suo superamento non invalida automaticamente ciò che segue, ma può produrre altri effetti. La Cassazione ha stabilito che le due categorie si applicano in modo diverso alle due fasi del procedimento del Garante.

La fase investigativa comprende tutto ciò che il Garante fa prima di contestare ufficialmente qualcosa: ispezioni, richieste di documenti, audizioni, accertamenti. È la fase in cui raccoglie elementi per decidere se c’è una violazione. Secondo la Corte, i termini che la governano sono ordinatori. Un’ispezione condotta con qualche settimana di ritardo rispetto al calendario previsto non fa cadere il procedimento.

La fase sanzionatoria inizia con un atto preciso: la notificazione formale della violazione contestata. Da quel momento, il Garante ha 120 giorni per completare la notificazione. Questo termine è perentorio. Se lo supera, la sanzione che ne deriva è viziata e può essere impugnata con fondamento.

La sentenza consolida un orientamento che non era pacifico in giurisprudenza e fornisce un parametro operativo chiaro per valutare la legittimità dei provvedimenti in corso o già conclusi.

Perché capire a quale fase appartiene un atto non è semplice

Immagina di gestire una clinica privata. Arriva una lettera del Garante che ti chiede di produrre documentazione sulla gestione dei dati dei pazienti. È un atto investigativo? O è già la notificazione formale di una violazione contestata?

La risposta non dipende dall’etichetta che il Garante mette sulla busta. Dipende dal contenuto sostanziale dell’atto e dagli effetti giuridici che produce su di te. Un atto che ti informa che sei indagato è diverso da un atto che ti contesta formalmente una violazione specifica. Ma la differenza, nella pratica, non è sempre immediata da cogliere.

Lo stesso vale per un hotel che riceva una comunicazione riguardante il trattamento dei dati degli ospiti, o per un e-commerce multato per le modalità di raccolta dei consensi. La qualificazione dell’atto è il primo passaggio, ed è tecnicamente il più delicato. Farlo da soli, senza competenza specifica, espone al rischio di perdere termini utili o di fondare un’opposizione su basi sbagliate.

Cosa cambia se hai già ricevuto una sanzione

Se la tua impresa ha ricevuto un provvedimento sanzionatorio del Garante, o è attualmente coinvolta in un procedimento, la sentenza n. 18583/2025 apre uno spazio di verifica concreto. Non è una scappatoia. È l’esercizio di un diritto di difesa che l’ordinamento riconosce espressamente.

Il percorso da seguire è questo.

Primo passo: raccogli tutti gli atti ricevuti dal Garante, in ordine cronologico, con le date di notificazione. Non scartare nulla, nemmeno le comunicazioni che sembrano informali o preparatorie.

Secondo passo: individua quale atto costituisce la notificazione formale della violazione contestata. Da quel momento decorrono i 120 giorni perentori. Se tra quell’atto e la notificazione della sanzione definitiva è trascorso più tempo, il provvedimento potrebbe essere impugnabile per vizio procedurale, indipendentemente dal merito della contestazione.

Terzo passo: se il provvedimento è già stato notificato e non è ancora definitivo, verifica se siano ancora aperti i termini per l’opposizione. Il ricorso contro i provvedimenti del Garante si propone davanti al Tribunale ordinario entro 30 giorni dalla notificazione, ai sensi dell’art. 152 del Codice della Privacy, cioè il D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018.

Uno studio professionale destinatario di una sanzione per la gestione dei dati dei propri clienti, ad esempio, potrebbe avere tutto l’interesse a verificare queste date prima di valutare se pagare o impugnare. La differenza tra i due esiti dipende dai fatti specifici del procedimento, non da questa sentenza in astratto.

Il quadro normativo che regola questi termini

Il procedimento sanzionatorio del Garante si muove su più livelli normativi. Vale la pena conoscerli, almeno nei contorni essenziali.

Il riferimento principale per i profili sanzionatori è l’art. 83 del GDPR, sigla inglese per General Data Protection Regulation, ovvero il Regolamento Generale sulla Protezione dei Dati dell’Unione Europea, in vigore dal 25 maggio 2018. Per le violazioni più gravi, elencate all’art. 83 par. 5, le sanzioni possono arrivare fino a 20 milioni di euro o al 4% del fatturato mondiale annuo. Per quelle di minore gravità, art. 83 par. 4, il massimo scende a 10 milioni di euro o al 2% del fatturato.

Il procedimento interno del Garante è disciplinato dal suo Regolamento n. 1/2019, adottato con delibera n. 467 del 2019. I profili non coperti dalla normativa speciale ricadono sulla L. 689/1981, la legge italiana che regola in generale le sanzioni amministrative. È proprio l’art. 14 di questa legge a fondare il termine di 120 giorni richiamato dalla Cassazione.

Questi importi rendono chiaro perché la legittimità procedurale del provvedimento non sia un dettaglio tecnico secondario. Un vizio nei termini può incidere sulla validità dell’intera sanzione, anche quando la contestazione nel merito fosse fondata.

Domande correlate

Da quando decorrono i 120 giorni per la notificazione della violazione?

I 120 giorni decorrono, in linea generale, dal momento in cui il Garante ha acquisito elementi sufficienti per contestare formalmente la violazione. La determinazione precisa del dies a quo, cioè del giorno da cui si inizia a contare, dipende dai fatti del singolo procedimento e richiede un’analisi caso per caso.

Il superamento dei termini investigativi invalida il procedimento?

No. Secondo la Cassazione n. 18583/2025, i termini della fase investigativa sono ordinatori. Il loro superamento non produce automaticamente vizi invalidanti. Solo il termine di 120 giorni per la notificazione della violazione, che apre la fase sanzionatoria, ha natura perentoria.

Posso oppormi a una sanzione del Garante già notificata?

Sì. L’opposizione si propone davanti al Tribunale ordinario competente entro 30 giorni dalla notificazione del provvedimento, ai sensi dell’art. 152 del Codice della Privacy. Decorso quel termine, il provvedimento diventa definitivo.

Questa sentenza vale anche per le sanzioni già pagate?

In linea generale, un provvedimento già eseguito e non impugnato nei termini è definitivo. La sentenza rileva principalmente per i procedimenti in corso o per le sanzioni ancora impugnabili. Vizi di notificazione o situazioni particolari possono aprire scenari diversi: valutazione caso per caso con un legale.

Quali imprese sono più esposte ai procedimenti del Garante?

Quelle che trattano dati in volume elevato o dati sensibili: strutture sanitarie, studi professionali, operatori e-commerce, hotel, agenzie immobiliari. Non per dimensione, ma per la natura dei dati trattati e la frequenza dei contatti con gli interessati.

Fonti:

Studio Legale Stefanelli, Sanzione oppure no? La Cassazione chiarisce i termini del Garante Privacy, commento alla sentenza Cass. Sez. I Civ. n. 18583/2025 — https://www.studiolegalestefanelli.it/it/approfondimenti/sanzione-oppure-no-la-cassazione-chiarisce-i-termini-del-garante-privacy/ (accesso luglio 2025)
Regolamento UE 2016/679 (GDPR), artt. 83-84 — https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A32016R0679
D.Lgs. 196/2003 (Codice della Privacy), art. 152, testo coordinato con le modifiche del D.Lgs. 101/2018 — https://www.garanteprivacy.it/documents/10160/0/Codice+in+materia+di+protezione+dei+dati+personali
L. 689/1981, art. 14 — https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:1981-11-24;689
Garante per la Protezione dei Dati Personali, Regolamento n. 1/2019 sul procedimento sanzionatorio — https://www.garanteprivacy.it/regolamento-procedimento-sanzionatorio

Questo contenuto ha finalità informativa e non costituisce parere legale. Per valutare la situazione specifica della tua impresa, rivolgiti a un professionista abilitato.