Sanzioni privacy, i 120 giorni decorrono dalla piena conoscenza dell’illecito

La Cassazione distingue l’istruttoria preliminare dall’avvio del procedimento sanzionatorio vero e proprio.

Il termine di 120 giorni per contestare una violazione privacy non inizia con la prima notizia del fatto, ma quando l’autorità di controllo dispone degli elementi necessari per una valutazione completa dell’illecito. La Cassazione, Prima sezione civile, lo afferma nell’ordinanza n. 24998/2026, distinguendo l’istruttoria preliminare dal successivo procedimento sanzionatorio.

La fase iniziale serve a chiarire circostanze tecniche, soggetti coinvolti, dati trattati e misure adottate. È soggetta a un termine ordinatorio e può richiedere integrazioni o contraddittorio. Il procedimento sanzionatorio in senso stretto deve invece essere avviato entro il termine perentorio che decorre dall’accertamento della violazione.

Nel caso esaminato, un ente previdenziale aveva segnalato tre episodi verificatisi in un servizio online: alcuni utenti avevano potuto visualizzare e, in un caso, scaricare dati personali riferiti ad altri iscritti. Il Garante aveva chiesto chiarimenti più volte, quindi aveva notificato gli addebiti, irrogato una sanzione e disposto la pubblicazione del provvedimento.

Il giudizio ha imposto di stabilire quando l’Autorità avesse raggiunto una conoscenza effettiva e ponderata. La semplice constatazione materiale non coincide con l’accertamento giuridico: occorre comprendere gli elementi costitutivi dell’infrazione, evitando che richieste istruttorie necessarie siano scambiate automaticamente per ritardo.

La Corte pone anche un limite: l’istruttoria non può diventare artificiosamente dilatoria. Le richieste ulteriori e la trattazione congiunta di episodi collegati sono legittime soltanto se funzionali a una comprensione unitaria. Il titolare può quindi contestare tempi morti, attività ripetitive o approfondimenti privi di reale collegamento con l’accertamento.

Per imprese ed enti la cronologia diventa decisiva: segnalazioni, log, risposte e relazioni tecniche devono mostrare quando il fatto è emerso e quando il quadro istruttorio è divenuto completo.