Tempi del procedimento e sanzioni del Garante Privacy: cosa cambia per le imprese
Quando un’azienda riceve una richiesta di informazioni o una notifica di avvio di un procedimento da parte del Garante per la protezione dei dati personali, la reazione immediata del management si concentra su due fronti: la difesa nel merito e il fattore tempo. Esiste un termine oltre il quale l’Autorità perde il potere di sanzionare l’impresa? La Corte Suprema di Cassazione, con la sentenza n. 22791 del 6 luglio 2026, ha chiarito questo delicato equilibrio.
Questa pronuncia è rilevante per il mondo corporate perché chiarisce i limiti della strategia difensiva basata esclusivamente sulla tardività del provvedimento e richiama l’attenzione sui rischi connessi alla sovraesposizione di dati di terzi.
Il caso concreto e il confine tra informazione e illecito
La vicenda nasce dal reclamo di due privati contro una casa editrice. In un libro di interesse pubblico l’autrice aveva inserito, oltre ai fatti e alle generalità, dettagli sui figli di uno dei protagonisti: nomi, titoli di studio e attività professionali. Il Garante ha ritenuto che quei dettagli eccedessero l’essenzialità dell’informazione e ha irrogato una sanzione pecuniaria.
La casa editrice ha impugnato sostenendo che il ritardo dell’Autorità (oltre un anno e dieci mesi dal reclamo) annullasse il provvedimento; la Cassazione ha invece escluso che il superamento del termine di definizione del reclamo comporti automaticamente la decadenza del potere sanzionatorio.
Tempi del procedimento e cosa cambia per le imprese
-
Il termine di 9/12 mesi previsto dall’art. 143 del Codice della Privacy tutela il reclamante: serve a garantire una risposta sollecita o la possibilità di rivolgersi al giudice in caso di inerzia dell’Autorità. Non costituisce, di per sé, uno scudo automatico per l’azienda.
-
Autonomia dell’azione sanzionatoria: il procedimento finalizzato all’irrogazione della sanzione è distinto dalla fase di reclamo e la Cassazione richiama la disciplina delle sanzioni amministrative (legge n. 689/1981) per i profili di specialità.
-
Limite di prescrizione: la Corte richiama il termine quinquennale di prescrizione previsto dall’art. 28 della legge n. 689/1981 come il principale limite temporale all’esercizio della pretesa sanzionatoria; la decorrenza e gli eventuali atti interruttivi vanno valutati caso per caso.
-
Termini di contestazione: la notifica della contestazione deve rispettare i termini previsti dalla disciplina sulle sanzioni amministrative (art. 14 L. 689/1981: 90 giorni per i residenti in Italia; 360 giorni per i residenti all’estero) e i termini endoprocedimentali specifici dell’Autorità (come i 120 giorni dall’accertamento previsti dal Regolamento del Garante n. 2/2019). Se la contestazione è stata effettuata nei termini, l’Autorità conserva la possibilità di adottare l’ordinanza entro il periodo di prescrizione; viceversa, vizi nella contestazione possono incidere sulla posizione dell’Autorità.
Il principio di minimizzazione e i rischi pratici
La sentenza ribadisce il principio di pertinenza e necessità dei dati trattati e diffusi: ogni dato personale deve essere strettamente necessario allo scopo informativo. Nel caso esaminato, i titoli di studio e le professioni dei figli non aggiungevano valore informativo rilevante e hanno reso quei soggetti identificabili, superando il limite dell’essenzialità.
Per le imprese questo significa che anche contenuti di marketing, case study o post aziendali apparentemente innocui possono violare il GDPR se contengono dettagli non necessari che permettono l’identificazione di persone non pubbliche.
Raccomandazioni pratiche rapide
-
Verifica e documenta le date chiave: reclamo, contestazione, avvio procedimento, notificazione.
-
Applica la minimizzazione: anonimizza o ometti dati non essenziali prima di pubblicare case study, interviste o storie aziendali.
-
Non affidarti solo al ritardo procedurale: valuta sempre la correttezza formale della contestazione e la prescrizione quinquennale; il superamento del termine di definizione del reclamo non annulla automaticamente la possibilità di sanzionare.
-
Consulta il legale per valutare atti interruttivi o altri elementi che possano incidere sulla decorrenza della prescrizione.
Se la tua azienda ha ricevuto una contestazione o desideri mappare i rischi legati alla diffusione dei dati nei tuoi canali di comunicazione, puoi richiedere un audit preventivo contattando direttamente lo Studio Legale Jonas. Il nostro team offre consulenza specializzata in protezione dei dati personali e servizi DPO a Roma e su tutto il territorio nazionale.
