La Cassazione Civile, Sez. I, con ordinanza del 4 settembre 2026, n. 24998 (Pres. Acierno, Rel. Costanzo) si è pronunciata relativamente al dies a quo del termine entro cui il Garante privacy deve avviare il procedimento sanzionatorio in caso di richiesta di chiarimenti al segnalante la violazione.
In particolare nel caso di specie il Garante privacy deduceva l’erroneità nel ritenere che il dies a quo del termine di centoventi giorni per l’avvio del procedimento sanzionatorio coincida con la data di ricezione della notificazione di una violazione di dati personali, di cui all’art. 33 del GDPR e che, una volta avuto riscontro a una singola richiesta di chiarimenti, il Garante non possa reiterare un approfondimento.
La Corte al riguardo ha evidenziato che, mentre per l’avvio del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori sia previsto un termine perentorio, questi non vi è per il completamento dell’attività investigativa o preistruttoria – ossia la chiusura dell’attività istruttoria anteriore alle contestazione degli addebiti: la c.d. istruttoria preliminare.
La Corte, in richiamo della sua pronuncia n. 32020/2015 concernente le sanzioni amministrative applicate da Consob, ha affermato che la decorrenza del termine per la tempestiva contestazione degli illeciti debba essere individuata in relazione al momento in cui l’autorità acquisisce “una conoscenza effettiva e completa degli elementi costitutivi della condotta sanzionabile”.
La sentenza impugnata nel caso di specie riteneva tardiva, rispetto al termine di centoventi giorni, la notificazione o comunicazione della contestazione riguardante il primo episodio di data breach. La Corte territoriale non riteneva potersi interrompere il computo alla luce della richiesta di chiarimenti avanzata dal Garante poiché essa stessa era già tardiva rispetto al termine in cui sarebbe dovuta intervenire una contestazione formale.
La Cassazione però ha ribadito come secondo giurisprudenza costante il dies a quo non debba essere individuato nel momento in cui l’Autorità viene a conoscenza del fatto ipoteticamente sanzionabile, ma in quello in cui acquista piena conoscenza della condotta illecita, ossia riscontri l’esistenza e la consistenza dell’infrazione e prenda cognizione dei suoi effetti.
