Garante Privacy: il termine di 120 giorni è perentorio, e la Cassazione ha chiuso il dibattito

Quando il Garante per la protezione dei dati personali avvia un procedimento sanzionatorio, ha 120 giorni di tempo per notificare il provvedimento conclusivo dalla contestazione formale. Se li supera, perde il potere di sanzionare. Non si tratta di un’irregolarità procedurale sanabile: la Corte di Cassazione ha stabilito che quel termine è perentorio, e un atto emesso fuori tempo è impugnabile indipendentemente da quanto fosse fondata la violazione contestata. Per le aziende italiane che si trovano nel mezzo di un procedimento, o che ne hanno già ricevuto l’esito, questa distinzione può valere l’intera sanzione.

Il regolamento n. 2/2019 e le due soglie temporali

Il Garante non è un’autorità che agisce in modo discrezionale sui tempi. Il suo regolamento n. 2/2019, adottato per disciplinare i procedimenti sanzionatori interni, fissa due limiti precisi: 120 giorni dalla contestazione formale per i destinatari residenti in Italia, 360 giorni per i residenti all’estero. Sono soglie oltre le quali il potere sanzionatorio si esaurisce, per effetto di decadenza.

La logica è quella comune a molti istituti del diritto amministrativo: nessun soggetto privato può restare esposto a tempo indeterminato alla possibilità di ricevere una sanzione per fatti già contestati. La certezza del diritto impone che l’autorità agisca entro termini definiti, o rinunci al potere di farlo.

Il punto critico, spesso sottovalutato, è che i procedimenti del Garante si articolano in più fasi. Prima arriva la fase istruttoria, durante la quale l’autorità raccoglie documenti, chiede chiarimenti, convoca audizioni. Poi arriva la contestazione formale, cioè l’atto scritto e notificato ufficialmente con cui il Garante comunica le violazioni accertate e avvia il procedimento sanzionatorio in senso stretto. Il termine di 120 giorni scatta da quel momento, non dall’inizio dell’istruttoria. Le due date possono distare mesi, e confonderle è un errore difensivo frequente.

Un esempio: uno studio medico riceve a febbraio 2024 una richiesta di documenti dal Garante sulla gestione dei dati dei pazienti. La contestazione formale arriva a luglio 2024. Il termine di 120 giorni scade a novembre 2024. Se il provvedimento sanzionatorio viene notificato a gennaio 2025, è potenzialmente tardivo e impugnabile su questo profilo specifico, a prescindere da quanto fosse documentata la violazione nel merito.

Cosa ha stabilito la Cassazione: perentorio, non ordinatorio

La distinzione tra termine ordinatorio e termine perentorio è tecnica ma non astratta. Un termine ordinatorio può essere superato senza che l’atto perda validità: il ritardo è un’irregolarità, non un vizio che inficia il provvedimento. Un termine perentorio, invece, estingue il potere di agire: l’atto emesso dopo è nullo o annullabile.

Per anni la natura del termine fissato dal regolamento n. 2/2019 è rimasta oggetto di interpretazioni contrastanti. La Corte di Cassazione ha chiuso il dibattito nel senso della perentorietà. La pronuncia è segnalata da Studio Legale Stefanelli e da NT+ Diritto del Sole 24 Ore; al momento della pubblicazione di questo articolo il numero di sentenza non risulta disponibile nelle fonti secondarie citate, e la verifica sul database ufficiale della Cassazione è necessaria prima di utilizzare l’argomento in sede processuale. Questo è un limite reale dell’informazione circolante, e ignorarlo sarebbe un errore per chiunque stia costruendo una difesa concreta.

Il principio affermato, tuttavia, è coerente con l’orientamento consolidato in materia di decadenza dei poteri amministrativi. La Cassazione ha riconosciuto che lasciare il termine nella categoria degli ordinatori svuoterebbe di significato la garanzia procedurale: un’autorità che può sanzionare senza vincoli temporali effettivi non offre certezza del diritto, ma incertezza strutturale.

Come si usa l’eccezione di tardività in sede di opposizione

Il provvedimento sanzionatorio del Garante può essere impugnato davanti al Tribunale civile competente. In quella sede, il destinatario può eccepire la tardività come argomento autonomo: se il provvedimento è stato emesso oltre i 120 giorni dalla contestazione formale, il giudice può annullarlo per decadenza del potere sanzionatorio, senza entrare nel merito della violazione.

Questo significa che anche un’azienda che ha effettivamente violato le norme sulla protezione dei dati può ottenere l’annullamento del provvedimento se l’autorità ha agito fuori termine. Non perché la violazione non esista, ma perché il potere di sanzionarla in quel procedimento si è esaurito. È una garanzia procedurale che vale per tutti, e che il legislatore ha inteso come contrappeso alla posizione di forza dell’autorità.

C’è però un aspetto che l’entusiasmo difensivo tende a trascurare: l’eccezione di tardività è un argomento, non una formula magica. Va provata con documentazione precisa, richiede che le date siano ricostruite in modo inoppugnabile, e deve essere sollevata nei termini previsti per l’opposizione, che sono 30 giorni dalla notifica del provvedimento. Una finestra stretta, che si chiude prima che molti destinatari abbiano avuto il tempo di valutare la situazione con un legale.

Va aggiunto un elemento scomodo: il fatto che la pronuncia della Cassazione non sia ancora ampiamente citata con numero e data nelle fonti specializzate suggerisce che l’applicazione giurisprudenziale di questo principio sia ancora in una fase di consolidamento. Invocare la perentorietà del termine come argomento certo e definitivo, prima che la giurisprudenza di merito abbia prodotto un corpus stabile di decisioni conformi, è una scommessa difensiva, non una certezza.

Il pagamento spontaneo azzera la difesa

Un punto che l’articolazione procedurale tende a oscurare: il pagamento spontaneo della sanzione può essere interpretato come acquiescenza, cioè come accettazione implicita del provvedimento. Chi paga prima di verificare i termini procedurali rinuncia, di fatto, alla possibilità di eccepire la tardività. Le possibilità di recupero delle somme versate si riducono in modo significativo dopo il pagamento, e in molti casi diventano nulle.

La verifica della data di contestazione formale e del termine di notifica del provvedimento va fatta prima di decidere se pagare o opporsi, non dopo. È un controllo che richiede pochi minuti con la documentazione in mano e un legale specializzato, ma che può determinare l’esito dell’intera vicenda.

Una sola azione

Se hai ricevuto un provvedimento sanzionatorio dal Garante, o sei nel mezzo di un procedimento aperto, recupera la data esatta della contestazione formale e portala a un avvocato specializzato in diritto della protezione dei dati entro i 30 giorni dalla notifica del provvedimento conclusivo. Non per costruire una difesa su un vizio procedurale come unico argomento, ma per sapere se quel vizio esiste prima di decidere qualsiasi altra cosa.

Fonti:

• Studio Legale Stefanelli, Sanzione oppure no? La Cassazione chiarisce i termini del Garante Privacy, studiolegalestefanelli.it
• NT+ Diritto, Il Sole 24 Ore, Sanzioni privacy senza attese infinite: la Cassazione mette un limite ai tempi del Garante (accesso riservato)
• Regolamento n. 2/2019 del Garante per la protezione dei dati personali, garanteprivacy.it
• Regolamento UE 2016/679, testo consolidato, eur-lex.europa.eu