Termini di contestazione delle sanzioni GDPR: la Cassazione sul dies a quo

1. Il fatto

   La vicenda trae origine da una sanzione irrogata dal Garante per la protezione dei dati personali a una società a seguito di una notifica di violazione dei dati (data breach) effettuata spontaneamente dal titolare del trattamento. Secondo quanto riportato da testate quali Diritto Bancario e Agenda Digitale, l'Autorità aveva proceduto alla contestazione formale dell'illecito oltre i 120 giorni dalla ricezione della comunicazione iniziale. Nel giudizio di merito, il Tribunale aveva accolto l'eccezione della società, dichiarando la nullità dell'ordinanza-ingiunzione per tardività della notifica, sul presupposto che il termine dovesse scattare immediatamente dopo la segnalazione della violazione. Il giudizio è poi giunto dinanzi alla Corte di Cassazione a seguito del ricorso proposto dall'Autorità. La Suprema Corte, con una recente pronuncia, ha ribaltato la decisione di merito, chiarendo che la mera ricezione di una notizia di illecito o di un'autosegnalazione non coincide necessariamente con il momento dell'accertamento definitivo dell'infrazione, il quale richiede invece una valutazione complessa degli elementi soggettivi e oggettivi del caso.

2. 

   Le norme in gioco

   Il quadro normativo si fonda sull'integrazione tra la disciplina generale delle sanzioni amministrative e il GDPR.

   1. L'articolo 14 della legge 689/1981 stabilisce che la contestazione debba essere notificata entro termini precisi dall'accertamento, un concetto che la giurisprudenza declina in base alla complessità dell'indagine.
   2. L'articolo 166 del Codice Privacy (D.Lgs. 196/2003) e il relativo Regolamento interno del Garante fissano in 120 giorni il termine perentorio per la notifica della contestazione a seguito dell'accertamento.
   3. L'articolo 83 del GDPR impone che le sanzioni pecuniarie siano effettive e dissuasive, ma la loro applicazione deve rispettare i principi di legalità e certezza del diritto previsti dall'ordinamento nazionale. La funzione di tali norme è garantire che l'amministrazione non possa mantenere un soggetto sotto indagine per un tempo indefinito, pur consentendo all'Autorità di svolgere le verifiche tecniche necessarie prima di formalizzare l'addebito.

3. Cosa dice la giurisprudenza

   La giurisprudenza di legittimità ha consolidato un orientamento rigoroso sulla distinzione tra la fase di acquisizione della notizia e l'accertamento vero e proprio. I giudici hanno chiarito che il dies a quo per il termine di 120 giorni non può essere fatto coincidere meccanicamente con la data in cui il Garante riceve la segnalazione di un data breach. Al contrario, l'accertamento si considera compiuto soltanto quando l'Autorità ha acquisito la piena consapevolezza della sussistenza dell'illecito, della sua gravità e della responsabilità del titolare. Questo processo può includere richieste di integrazione documentale e verifiche tecniche che non sono soggette a termini di decadenza, a patto che l'attività istruttoria si svolga in tempi ragionevoli. Il principio cardine è che il termine di decadenza svolge una funzione di garanzia per il cittadino, ma non può essere utilizzato per paralizzare l'azione dell'Autorità prima che questa disponga degli elementi minimi per formulare una contestazione fondata.

5. Analisi redatta e verificata con edit.legal

   Per verificare le norme citate nell'articolo abbiamo usato edit.legal. Metti alla prova la nostra AI giuridica su fonti ufficiali e applicala alle tue pratiche.

   Prova l'AI di edit.legal

8. Cosa insegna ai professionisti

   1. Non considerare il silenzio del Garante dopo una notifica di data breach come un'archiviazione implicita, bensì monitorare costantemente lo stato del procedimento.
   2. Documentare con precisione ogni interazione con l'Autorità, poiché la data dell'ultimo chiarimento fornito potrebbe diventare il momento decisivo per il calcolo della decadenza.
   3. Valutare l'eccezione di tardività non soltanto sul tempo totale trascorso, ma sulla congruità del tempo impiegato per l'istruttoria rispetto alla complessità tecnica del caso.

Riferimenti: Articolo 14 Legge 689/1981Articolo 166 D.Lgs. 196/2003Regolamento UE 2016/679 (GDPR)

Supervisione editoriale: Avv. Federico Papa·ICAMAggiornato a 12 settembre 2026Contenuto redatto con il supporto dell'AI e sottoposto a verifica redazionale sulle fonti. Nonostante i controlli, possono residuare imprecisioni: segnalazioni e richieste di rettifica sono benvenute. Segnala una rettifica