Il tema del rapporto fra la Corte di Cassazione e le Autorità indipendenti, in particolare il Garante per la Protezione dei Dati Personali, investe spesso il panorama dottrinale e giurisprudenziale, trovando quasi mai una risposta univoca e definitiva. Non capita spesso, infatti, che tre sentenze della Suprema Corte, pronunciate a distanza di pochi mesi l’una dall’altra, costringano l’interprete a interrogarsi non solo sul merito delle singole decisioni, bensì sul senso complessivo del rapporto fra giurisdizione ordinaria e Autorità amministrative indipendenti. È quanto sta accadendo con il filone giurisprudenziale che, fra il 2025 e il 2026, ha coinvolto i termini del procedimento sanzionatorio del Garante Privacy.
Le sentenze in esame portano a chiedersi fino a dove possa spingersi il sindacato della Cassazione sulle scelte procedimentali di un’Autorità indipendente, senza sconfinare nel controllo sostitutivo della sua discrezionalità tecnica.
C’è da dire che le perplessità di ordine sistemico andranno certamente rapportate alla portata pratica di quanto sostenuto dalla Suprema Corte, ma il dibattito porta a chiedersi quale spazio residui, oggi, alla discrezionalità tecnica delle Autorità amministrative al cospetto di un sindacato di legittimità.
La Cassazione come controllo delle Autorità indipendenti
Le Autorità amministrative indipendenti nascono, storicamente, per sottrarre determinate funzioni di garanzia al circuito dell’indirizzo politico-governativo; indipendenza, tuttavia, non significa immunità dal controllo giurisdizionale: i loro atti restano soggetti al sindacato del giudice, ordinario o amministrativo a seconda della materia. Il punto cruciale, però, risiede nella modalità di esercizio di questo controllo.
Nella vicenda che ci occupa, la Cassazione non si è limitata a un controllo di legittimità formale, ma è entrata nel merito dell’interpretazione che il Garante dà ai propri regolamenti interni – un dato che merita di essere sottolineato. Sembra dunque che, dalla “supremazia sociale”, si sia giunti ad un sindacato pieno, attraverso un percorso di pronunce che stigmatizzano la posizione dell’Autorità priva di un termine finale perentorio, definendola “un anacronistico retaggio della supremazia sociale della pubblica amministrazione”. Questo è un passaggio che segna, nel linguaggio della Corte, il tramonto di un modello in cui la competenza tecnica dell’Autorità giustificava una discrezionalità pressoché insindacabile.
I limiti e i rischi
E allora qual è il rischio se non quello di un sindacato sostitutivo? La stessa Cassazione, più o meno implicitamente, si preoccupa di tracciare un limite a se stessa, ribadendo che il giudice non può sostituirsi all’organo di controllo nella valutazione dell’opportunità dei poteri d’indagine, ma ciò costituisce il crinale più delicato dell’intera vicenda, in quanto porta a chiedersi fin dove un sindacato sui termini si sostanzi in controllo di legittimità, e dove invece costituisca un’indebita ingerenza nella discrezionalità tecnica di un’Autorità ontologicamente indipendente.
E quindi, chi controlla il controllore? Qui nasce il paradosso dell’auto-regolamentazione sindacata dall’esterno. I termini oggetto del contenzioso – che verranno analizzati nel prosieguo, ma che si anticipano essere 120 giorni per la contestazione della violazione e 12 mesi per la definizione del reclamo – non trovano una propria fonte legislativa in senso stretto, ma discendono da regolamenti che il Garante Privacy si è dato da sé, in forza della delega contenuta nell’art. 166, comma 9, del d.lgs. 196/2003 (Codice Privacy). La Suprema Corte, in questo modo, finisce per ancorare la decadenza di un potere pubblico a una fonte che l’Autorità aveva concepito come strumento di autoregolamentazione interna, non come limite sostanziale imposto dal legislatore.
Su questo terreno, dunque, si gioca una partita che riguarda l’intero sistema delle Autorità indipendenti – e non solo del Garante Privacy – che ci chiede di ripercorrere le tappe del contenzioso.
I casi Enel Energia e Siri-RAI davanti al Garante Privacy
Il provvedimento sanzionatorio avviato dal Garante Privacy nei confronti di Enel Energia S.p.a., per una pluralità di segnalazioni relative al cosiddetto “telemarketing selvaggio” che avevano condotto a quattro richieste cumulative di chiarimenti (CUM), è culminato in un annullamento da parte del Tribunale di Roma, il quale riteneva tardiva l’intera attività, comprese le singole sottofasi istruttorie.
L’epilogo del procedimento, con la pronuncia n. 18583/2025 con cui la Suprema Corte che ha cassato la sentenza, ha visto la fissazione, da parte dei Giudici, di una distinzione strutturale destinata a orientare tutto il filone giurisprudenziale successivo. In estrema sintesi, infatti, gli Ermellini hanno chiarito che la complessa attività procedimentale dell’Autorità si articola in due fasi logicamente e cronologicamente distinte: una fase investigativa o preistruttoria, disciplinata dall’art. 166, comma 4, del Codice Privacy, priva di un termine perentorio, e una fase sanzionatoria in senso stretto, che si avvia con la notifica delle presunte violazioni ai sensi del successivo comma 5 della stessa norma.
La pronuncia
Secondo la Corte, il termine di 120 giorni previsto dall’Allegato B del Regolamento del Garante n. 2/2019 – decorrente dall’accertamento della violazione – è un termine perentorio ma riferito esclusivamente alla fase sanzionatoria in senso stretto, non all’intera fase investigativa che la precede. E questo iter logico-giuridico è supportato, secondo la Cassazione, dalla richiamata sentenza della Corte Costituzionale n. 151/2021, per cui la predefinizione di un limite temporale il cui inutile decorso produca la consumazione del potere sanzionatorio è coessenziale a un sistema sanzionatorio coerente con i parametri costituzionali di sicurezza giuridica e diritto di difesa.
Già in questa prima pronuncia, però, i Giudici di legittimità si autolimitano: richiamando la propria giurisprudenza sulle sanzioni Consob, infatti, ribadiscono che spetta al giudice di merito valutare la congruità del tempo impiegato dal Garante per l’accertamento, senza potersi sostituire alle sue scelte istruttorie.
Il reclamo Siri
Nulla questio. Perlomeno fino alla successiva sentenza n. 759/2025, che origina dal reclamo presentato da Armando Siri nel novembre 2020, avente ad oggetto due servizi giornalistici andati in onda sulle trasmissioni televisive “Presa Diretta” e “Report”. Il Garante, con provvedimento del 2023, aveva accolto il reclamo, vietando l’ulteriore diffusione di alcune e-mail proiettate durante i servizi.
In seguito all’avvenuta impugnazione del provvedimento da parte di RAI innanzi al Tribunale di Roma, e in seguito all’annullamento del provvedimento da parte di quest’ultimo, viene emessa una sentenza che riconosce carattere perentorio al termine dei dodici mesi che il Garante si è autoassegnato per la conclusione del procedimento, con la valorizzazione della giurisprudenza CEDU sui c.d. Engel criteria, che qualificano il potere sanzionatorio delle Autorità indipendenti come sostanzialmente “penale” e, dunque, soggetto a stretta legalità.
Naturalmente la controversia sfocia dinanzi alla Corte di Cassazione, mediante ricorso principale di Armando Siri e ricorso incidentale presentato dal Garante. Ebbene, i Giudici di legittimità confermano l’esito ma correggono la motivazione, alla luce dell’articolo 384, comma 4, c.p.c.: il termine perentorio rilevante non è quello dei dodici mesi attribuito dal Garante a se stesso, bensì i 120 giorni previsti dal sopracitato Allegato B, decorrenti dalla conclusione della fase preistruttoria. Applicando questo diverso termine, la Corte è comunque giunta alla conclusione che il potere sanzionatorio si fosse consumato, poiché il provvedimento era stato adottato oltre un anno e mezzo dopo la sua naturale scadenza, ma ciò che interessa è l’interpretazione dei termini come sopra descritti.
Termini del Garante Privacy: le criticità nel dibattito
Il filone giurisprudenziale così definito, dunque, ha portato all’attenzione alcuni nodi problematici che sono stati oggetto di dibattito. Innanzitutto, in merito alla tenuta logica dell’impianto argomentativo, si è evidenziato che, assimilando la notifica della contestazione a un momento sostanzialmente definitorio dell’accertamento, la Cassazione rischierebbe di comprimere eccessivamente i tempi necessari allo svolgimento, a monte, di un’istruttoria complessa e, a valle, del contraddittorio con l’incolpato.
Un’ulteriore perplessità è di ordine sistemico, poiché l’applicazione generalizzata di questo principio potrebbe determinare l’annullamento di numerosi provvedimenti già adottati, e rendere particolarmente difficoltosa la gestione di istruttorie che, per loro natura, richiedono tempi nettamente dilatati.
E così, fra le varie ipotesi, sono stati prospettati alcuni rimedi, già esposti in un articolo della stessa autrice: un provvedimento interno del Garante, interpretativo del Regolamento n. 2/2019, che chiarisca ex ante la natura del termine di 120 giorni come termine di avvio della fase sanzionatoria, oppure una determina di interpretazione autentica, da inserire in un futuro provvedimento sanzionatorio di portata rilevante, che funga da riferimento per i procedimenti successivi.
Il nocciolo della questione, certamente, è costituito dalla proporzione fra il tempo fisiologicamente necessario a un’istruttoria complessa e la rigidità di un termine endoprocedimentale pensato, con ogni evidenza, anche per i casi più semplici.
La sentenza 22791/2026 e la replica del Garante Privacy
In tempi recentissimi, quando ancora le interpretazioni che si avvicendavano non avevano trovato un terreno ermeneutico comune, la Cassazione, senza alcun preavviso, è intervenuta con la sentenza n. 22791/2026, chiarendo e in parte affinando, il principio già espresso nel 2025.
La Corte, in particolare, ha qualificato il termine annuale per la decisione sul reclamo come funzionale esclusivamente alla tutela del reclamante, non considerandolo incisivo sulla fattispecie costitutiva del distinto potere sanzionatorio, autonomamente avviato dall’Autorità. Il passaggio motivazionale è netto: il termine di 120 giorni non è da intendersi come termine per emettere la sanzione decorrente dalla contestazione delle violazioni, bensì come termine per notificare le contestazioni. Puro termine endoprocedimentale, a ben vedere.
Non meno significativo, però, è il monito che la Corte rivolge a se stessa, e cioè che un intervento ermeneutico che trapianti il termine annuale del reclamo nell’ambito di una fattispecie procedimentale diversa da quella per cui è stato concepito costituirebbe un’indebita elaborazione di una norma nuova, preclusa al giudice – interprete in ragione del rispetto del pluralismo e dell’equilibrio tra i poteri.
Perché il dibattito non si spegne
La sentenza, in ogni caso, non ha placato il dibattito e non ha sciolto tutti i nodi, infatti, a pochi giorni dalla sua pubblicazione, il Garante ha pubblicato un interessante contributo a firma di Luigi Montuori, che merita di essere riportato. In buona sostanza, non si rinviene una “rottura” rispetto ai precedenti giurisprudenziale, ma il provvedimento più recente non farebbe che “ricomporre un’imprecisione linguistica che si era insinuata nel dibattito, più che nella giurisprudenza”.
Secondo questa lettura, già nella sentenza Enel il termine di 120 giorni era stato collocato a valle della fase preistruttoria, come termine endoprocedimentale per la contestazione; e nel caso RAI, l’annullamento non si fondava sul superamento dei 120 giorni della fase sanzionatoria finale, bensì sul diverso e più ampio termine dei dodici mesi che l’Autorità si era autoassegnata. In linea di principio, comunque, un errore di inquadramento privo di rilievo ai fini della decisione.
Inoltre, sul self-restraint rispetto alla Consulta, viene offerta una lettura capovolta rispetto a quella più “allarmistica”, ritenendo che se la Cassazione avesse trapiantato in via interpretativa il termine annuale del reclamo nel procedimento sanzionatorio, avrebbe compiuto essa stessa quell’operazione additiva che la Corte Costituzionale ha ritenuto preclusa al potere giudiziario, riservandola al legislatore. Si tratterebbe quindi non già di un self-restraint, bensì della fedele applicazione del principio di separazione dei poteri.
Cassazione e Garante Privacy: le conseguenze pratiche
Le perplessità della dottrina non escludono le considerazioni del Garante. In effetti, il dato tecnico di fondo è condiviso: il termine dei 120 giorni riguarda la contestazione, non l’adozione della sanzione finale. Ciò che desta dubbi sono le conseguenze pratiche di questa collocazione: non è contestabile infatti l’esistenza di una “rottura” fra le sentenze – che, in effetti, non c’è – ma la tenuta pratica di un sistema in cui una fase preistruttoria priva di termine perentorio è seguita da un termine endoprocedimentale rigido. E quindi il problema risiede nella proporzione interna al procedimento: perché qui ci si deve chiedere come si possa conciliare l’assenza di un termine per la fase investigativa con la pretesa che, una volta maturato l’accertamento, la contestazione debba seguire entro il termine perentorio di 120 giorni.
Sicuramente, è condivisibile il richiamo al principio di separazione dei poteri, poiché laddove il legislatore non ha previsto una determinata decadenza, non può un giudice sostituirsi ad esso introducendo per via interpretativa dei limiti che incidano sull’esercizio del potere sanzionatorio.
E dunque, in qualche modo, si ritiene che la Suprema Corte abbia fatto chiarezza interpretativa, superando di fatto le precedenti letture giurisprudenziali che prospettavano una più stretta sovrapposizione tra fasi procedimentali. Le perplessità che erano state sollevate, infatti, restano piuttosto un richiamo alla vigilanza, soprattutto per le istruttorie più complesse. Che sia o meno un self-restraint, certamente l’interprete non può, in via pretoria, “inventare” un termine di decadenza che il sistema normativo non prevede, non fosse altro che per ragioni di opportunità.
Dall’altro lato, la voce del Garante, che saremo lieti di ascoltare in maniera più approfondita durante il Digeat Festival, smonta l’ipotesi di un’emergenza regolamentare ad hoc, inserendo la vicenda nel più ampio contesto del diritto sanzionatorio amministrativo.
Garante Privacy e Autorità indipendenti: prospettive de iure condendo
A margine della vicenda, secondo chi scrive, resta uno spazio per un intervento chiarificatore che riduca il margine di incertezza applicativa – a beneficio tanto del Garante quanto dei soggetti vigilati. Come già auspicato, un provvedimento interpretativo interno resta una soluzione praticabile e a costo istituzionale contenuto, che si sostanzierebbe in un atto ordinario di autorganizzazione, non di un’emergenza.
Vale comunque la pena riprendere, in chiave generale, il principio di leale collaborazione tra la Corte Costituzionale e il legislatore, principio che, mutatis mutandis, potrebbe orientare anche il rapporto tra la Corte di Cassazione e le Autorità indipendenti, in una logica di dialogo istituzionale piuttosto che di reciproca diffidenza.
I casi raccontati, restituiscono con chiarezza i termini di una questione che travalica le singole vicende: la ricerca di un nuovo equilibrio fra il sindacato giurisdizionale sulle Autorità indipendenti e la discrezionalità tecnica che giustifica, storicamente, la loro stessa esistenza.
Le perplessità sviluppatesi restano un richiamo per le istruttorie di maggiore complessità, ma la giurisprudenza del 2026 mostra una Cassazione capace di autocorrezione interpretativa “in corsa”, che riduce il rischio di un irrigidimento eccessivo dei tempi procedimentali, senza annullarlo del tutto.
Resta come auspicio finale la necessità di un dialogo istituzionale più strutturato, che stabilizzi definitivamente l’interpretazione dei termini procedimentali non solo per il Garante Privacy, ma per l’intero sistema delle Autorità amministrative indipendenti.
Nota dell’autrice
Il Digeat Festival, che si terrà a Lecce dal 5 all’8 novembre 2026, sarà l’occasione giusta per approfondire questo dibattito, tuttora vivo e non definito, in quanto costituirà una preziosa occasione di confronto anche con esponenti del Garante Privacy.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
