Sanzioni privacy: i 120 giorni per contestare gli illeciti

Nel commento «Sanzioni privacy, la Cassazione chiarisce la regola dei 120 giorni», pubblicato su AgendaDigitale l’8 settembre 2026 e ripubblicato sul sito del Garante privacy, Luigi Montuori, segretario generale dell’Autorità, analizza le sentenze della Cassazione nn. 24861 e 24862 del 2026. Secondo la sua lettura, il termine di 120 giorni riguarda la notifica della contestazione dell’illecito da parte del Garante italiano, anziché l’adozione della sanzione finale. I testi integrali delle sentenze non sono stati verificati direttamente: la ricostruzione dei loro contenuti resta attribuita al commento.

Secondo Montuori, il termine previsto dalla tabella B del regolamento del Garante n. 2/2019 decorre dall’accertamento definitivo dell’illecito. La semplice ricezione di una notizia non basta: l’Autorità deve poter valutare tutti gli elementi costitutivi della violazione. Nel resoconto della sentenza n. 24862, assume rilievo anche la necessità di acquisire la risposta della società interessata prima di formulare l’addebito. Il termine è descritto come perentorio e il suo mancato rispetto comporta l’estinzione dell’obbligazione pecuniaria.

Il commento distingue inoltre il procedimento di reclamo da quello sanzionatorio, disciplinati rispettivamente dagli articoli 143 e 166 del Codice privacy. Il termine annuale per decidere il reclamo non determina quindi, nella lettura riferita, la decadenza dal potere sanzionatorio avviato autonomamente. Per il provvedimento finale viene richiamata la prescrizione quinquennale prevista dall’articolo 28 della legge n. 689/1981, decorrente dalla commissione del fatto, senza un ulteriore termine autonomo di decadenza. L’analisi precisa però che l’acquisizione e la valutazione degli elementi restano soggette al controllo giudiziale sulla ragionevolezza dei tempi, senza legittimare ritardi ingiustificati.