Sanzione oppure no? La Cassazione chiarisce i termini del Garante Privacy

Una recente sentenza della Corte di Cassazione (Sezione I Civile, n. 18583 dell'8 luglio 2025) ha fornito importanti chiarimenti sui termini procedurali che il Garante per la Protezione dei Dati Personali deve rispettare nell'irrogare sanzioni. Si tratta di una pronuncia di grande rilevanza che chiarisce il confine tra l'attività investigativa e quella sanzionatoria.

Il caso in questione ha visto contrapporsi il Garante Privacy e Enel Energia S.p.A.

I fatti: la controversia tra Garante ed Enel

• La sanzione del Garante: Il Garante aveva contestato a Enel Energia S.p.A. ben quindici violazioni del Regolamento UE 2016/679 (GDPR) e del D.Lgs. n. 196/2003 (Codice Privacy), infliggendo una sanzione pecuniaria di oltre 26 milioni di euro, oltre a diverse prescrizioni. Le violazioni erano principalmente legate al cosiddetto "telemarketing selvaggio".
• Il ricorso di Enel e la decisione del Tribunale: Enel Energia aveva impugnato il provvedimento, sostenendo che il Garante avesse violato i termini procedurali previsti per lo svolgimento e la conclusione del procedimento sanzionatorio. Il Tribunale di Roma, accogliendo il ricorso di Enel, aveva annullato l'intero provvedimento sanzionatorio. In particolare, il Tribunale aveva ritenuto il termine di 120 giorni per la notifica della contestazione come perentorio (cioè, vincolante a pena di nullità) e decorrente da fasi molto anticipate dell'istruttoria, rendendo la contestazione del Garante tardiva.

La questione centrale: quando scatta l'orologio per il Garante?

La Cassazione è stata chiamata a stabilire se i termini entro cui il Garante deve agire siano perentori o ordinatori e, soprattutto, da quando debbano essere calcolati, specialmente in istruttorie complesse e unitarie.

Vediamo i punti chiave della sentenza della Cassazione

La Corte Suprema ha accolto il ricorso del Garante, annullando la sentenza del Tribunale di Roma e rinviando la causa per un nuovo esame. Lo ha fatto enunciando i seguenti principi fondamentali:

• Distinzione tra fasi: investigativa e sanzionatoria
  • Fase investigativa (o preistruttoria): Prevede l'acquisizione di elementi istruttori e indagini, spesso complesse, per accertare eventuali violazioni. Durante questa fase, il Garante può inviare richieste cumulative di informazioni.
  • Fase sanzionatoria in senso stretto: Inizia solo con la notifica formale delle presunte violazioni al titolare o responsabile del trattamento ai sensi dell'art. 166, comma 5, del D.Lgs. n. 196/03. È questo l'atto che avvia il contraddittorio e le garanzie difensive.
• La Cassazione chiarisce che l'attività del Garante si articola in due fasi distinte, sia logicamente che cronologicamente:
•  Natura dei termini: perentorietà solo per la fase sanzionatoria
• Termine perentorio: Il termine di 120 giorni (o 360 giorni per i residenti all'estero) previsto dal regolamento n. 2/2019 del Garante per la notificazione della violazione (dopo che questa è stata accertata) è da considerarsi perentorio. Ciò significa che la sua scadenza comporta l'esaurimento del potere sanzionatorio del Garante, a tutela della certezza del diritto e del diritto di difesa del sanzionato.
• Termine ordinatorio: Al contrario, i termini per il completamento della fase investigativa o preistruttoria sono ordinatori (o acceleratori). Il loro superamento, pur potendo comportare responsabilità per la Pubblica Amministrazione, non determina l'illegittimità degli atti compiuti o l'esaurimento del potere di indagine.
•  Il "dies a quo": l'accertamento effettivo della violazione
• L'errore del Tribunale: Il Tribunale aveva erroneamente fatto decorrere il termine di 120 giorni dalle singole sottofasi dell'indagine, come la ricezione delle risposte a richieste di informazioni.
• La chiarezza della Cassazione: La Corte stabilisce che il termine perentorio di 120 giorni decorre dalla conclusione della fase preistruttoria che culmina con l'effettivo accertamento delle violazioni e la notifica della contestazione. In tal senso, l'"accertamento" non è la mera "constatazione" dei fatti, ma la piena conoscenza dell'illiceità della condotta, comprensiva di tutti gli elementi giuridicamente rilevanti, che può richiedere un'istruttoria complessa e unitaria. Il Garante ha quindi la discrezionalità di valutare come condurre l'indagine.
• Limiti al sindacato del Giudice  Il giudice non può sostituirsi all'Autorità amministrativa nella valutazione sulla conduzione dell'istruttoria. In relazione al sindacato sulla tempistica degli atti di indagine, il suo compito è verificare la ragionevole durata del procedimento e l'assenza di ritardi ingiustificati, non sindacare le modalità di approfondimento istruttorio, che sono nella discrezionalità dell'Autorità (in linea con i principi del "giusto processo" dettati dall'art. 6 della CEDU).
• Rifiuto del "legittimo affidamento" nell'inerzia La Cassazione ha respinto l'argomentazione di un ipotetico "legittimo affidamento" da parte dell'azienda, che avrebbe potuto credere che la propria condotta fosse lecita a fronte di una prolungata inerzia del Garante. L'inerzia dell'Autorità non equivale a un tacito consenso o al riconoscimento della conformità di una pratica commerciale.

Le implicazioni

Come anticipato, ora spetterà al Tribunale di Roma riesaminare il caso Enel alla luce di questi nuovi principi stabiliti dalla Cassazione, valutando quando l'accertamento effettivo delle violazioni sia stato compiuto per far decorrere correttamente il termine perentorio di 120 giorni.

Questa sentenza è di grande interesse perché:

• riconosce la complessità delle indagini consentendo al Garante di svolgere approfondite istruttorie, aggregando reclami e richiedendo chiarimenti, senza che ogni singola azione faccia scattare un termine perentorio.
• bilancia garanzie e efficacia in quanto tutela:
• sia il diritto di difesa del titolare o responsabile del trattamento, imponendo un termine certo per la contestazione formale una volta accertata la violazione,
• sia l'efficacia dell'azione del Garante, evitando il "rischio sistemico di impunità" per violazioni complesse.
• consolida il ruolo delle Autorità indipendenti come il Garante, fornendo loro gli strumenti procedurali necessari per contrastare efficacemente le violazioni, garantendo al contempo che l'esercizio del potere sanzionatorio avvenga nel rispetto delle garanzie fondamentali.