Un Comune affida a un privato la gestione della sosta a pagamento, ma non formalizza subito l’atto di nomina a responsabile esterno del trattamento dei dati personali. Dopo oltre un anno, il Garante privacy notifica una contestazione al fornitore, il quale prova a difendersi sostenendo che il tempo trascorso abbia ormai fatto decadere il potere sanzionatorio dell’Autorità.
È il caso affrontato dalla Corte di Cassazione con due sentenze gemelle, la n. 24861 e la n. 24862 del 2026, entrambe depositate il 31 agosto scorso. Le due pronunce delineano con precisione i termini del potere sanzionatorio del Garante privacy.
Due pronunce, un solo problema temporale
Le vicende decise dalla Suprema Corte nascono da presupposti diversi, ma attengono alla stessa questione: quanto tempo ha il Garante per esercitare il proprio potere sanzionatorio, prima che questo si consumi per decorso del termine.
Nella sentenza n. 24861 una società editoriale contestava la sanzione di 20.000 euro irrogata dal Garante per aver diffuso, in un articolo dedicato alla condanna penale di un uomo per reati commessi ai danni di minori, anche i dati identificativi dei figli di quest’ultimo, coinvolti soltanto in quanto presenti al processo del padre.
Nella sentenza n. 24862 la questione riguardava invece K-CITY Srl, sanzionata per 5.000 euro dopo aver gestito, per conto del Comune di Formia, il servizio di sosta a pagamento senza un valido atto di nomina a responsabile esterno del trattamento.
Il reclamo non blinda chi ha violato la privacy
Nella pronuncia n. 24861 la società ricorrente sosteneva che il termine annuale previsto dall’art. 143, comma 3, del Codice privacy e dall’art. 8 del Regolamento del Garante n. 2/2019 per decidere sul reclamo dovesse valere anche ai fini della sanzione. La Cassazione ha smontato la tesi affermando che il reclamo “è un atto preistruttorio con il quale giunge al Garante la notizia da cui può scaturire l’applicazione di una sanzione o di una misura correttiva”. Il procedimento sanzionatorio, aggiunge la Corte, “si configura come un procedimento amministrativo ulteriore e distinto e non come un sub-procedimento” della trattazione del reclamo. Il reclamo tutela l’interesse diretto di chi lo presenta, la sanzione tutela interessi pubblici. Pertanto, le due procedure restano separate anche quando condividono lo stesso punto di partenza.
Le norme di riferimento sul termine annuale
La Cassazione stabilisce che “la previsione del termine di un anno è finalizzata esclusivamente alla definizione del reclamo, quale garanzia del diritto del reclamante a ottenere una sollecita conclusione del procedimento da lui promosso”. Superare quel termine può aprire la strada a un ricorso diretto al giudice ordinario da parte del reclamante, ma non salva l’autore della violazione dalla sanzione, soggetta solo alla prescrizione quinquennale dell’art. 28 della legge 689/1981, richiamata dall’art. 166 del Codice privacy.
Il definitivo accertamento e i 120 giorni
Diverso è il discorso sul termine di 120 giorni previsto dal punto 2 dell’allegato B al Regolamento n. 2/2019, quello entro cui il Garante deve notificare la contestazione. Le due sentenze si integrano su questo punto, richiamando l’orientamento già tracciato dalle pronunce n. 18583/2025 e n. 984/2026, secondo cui l’attività dell’Autorità si articola in due fasi distinte, una investigativa o preistruttoria e l’altra sanzionatoria in senso stretto e i 120 giorni riguardano solo quest’ultima.
Il termine non decorre da quando il Garante riceve una prima segnalazione o elementi grezzi sui fatti, ma dal momento dell’accertamento definitivo. Nella sentenza n. 24862 la Corte afferma chiaramente che il “definitivo accertamento, dal quale far decorrere il termine di cui all’allegato B del citato Regolamento, non consiste nella semplice acquisizione della notizia, ma richiede la capacità del Garante di valutare tutti gli elementi costitutivi dell’illecito sulla base degli elementi raccolti”. Sapere che qualcosa è accaduto non basta, serve la possibilità reale di ricostruirne portata e responsabilità, anche attraverso il contraddittorio con il soggetto coinvolto.
Il caso K-CITY, la differenza tra sapere e accertare
Applicando questo principio alla vicenda K-CITY, la Cassazione ha accolto il ricorso del Garante e cassato la sentenza del Tribunale di Roma, che aveva fatto decorrere i 120 giorni dalla nota del Comune di Formia del 3 febbraio 2020. Quella nota, però, conteneva informazioni raccolte in un procedimento distinto, riferito al Comune stesso, non ancora sufficienti a definire la posizione della società. Solo la risposta di K-CITY, arrivata il 13 luglio 2021 dopo una richiesta del Garante, ha permesso di ricostruire la condotta contestata. La contestazione, notificata il 30 luglio 2021, risulta quindi tempestiva, e la causa torna al Tribunale di Roma per un nuovo esame.
Lo stesso ragionamento, nel caso della società editoriale, ha portato la Corte a ritenere tempestivo l’avvio del procedimento sanzionatorio del 23 novembre 2021, arrivato oltre quattro mesi dopo il reclamo ma solo dopo la conclusione dello scambio di osservazioni tra le parti, terminato il 26 luglio precedente.
L’essenzialità del dato e il richiamo al diritto all’oblio
Il terzo motivo della sentenza n. 24861 riguarda il merito. La società editoriale contestava che il Tribunale avesse introdotto d’ufficio il tema del diritto all’oblio — mai invocato dagli interessati — e avesse erroneamente escluso l’essenzialità dei dati pubblicati sui figli del condannato.
La Cassazione ha confermato la decisione di merito. La valutazione sull’essenzialità dell’informazione nell’esercizio del diritto di cronaca o di rievocazione storica resta affidata al prudente apprezzamento del giudice, che aveva correttamente distinto la posizione del padre, ancora di interesse pubblico per la natura paradigmatica della vicenda, da quella dei figli, privi di notorietà e di ruoli pubblici.
Il richiamo al diritto all’oblio non ha ampliato l’oggetto del giudizio, ma è servito a inquadrare il bilanciamento tra tutela dei dati personali e interesse pubblico all’informazione richiesto dall’art. 5 del GDPR.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
