Il panorama normativo sulla protezione dei dati personali ha subito un importante aggiornamento a seguito delle recenti pronunce della Corte di Cassazione. Con le sentenze nn. 22791, 24861 e 24862 del 2026, la Suprema Corte ha consolidato e rafforzato i poteri del Garante per la protezione dei dati personali, definendo con estrema chiarezza i confini temporali tra le diverse fasi del procedimento sanzionatorio. Questa evoluzione giurisprudenziale rende significativamente più complesso per i soggetti sanzionati, incluse le scuole e le pubbliche amministrazioni, ottenere l'annullamento dei provvedimenti basandosi esclusivamente sul superamento dei termini per la decisione sui reclami.
La decisione della Cassazione chiarisce che il fatto che il Garante impieghi più del tempo previsto per concludere un reclamo non comporta la decadenza del suo potere punitivo. In termini pratici, l'Autorità può proseguire con l'irrogazione della sanzione anche se il procedimento non è stato concluso entro i tempi standard, purché non siano stati superati i limiti di prescrizione generale. Questo orientamento rappresenta un cambio di passo rilevante per la gestione dei contenziosi in ambito scolastico e amministrativo, dove la complessità delle istruttorie spesso richiede tempi lunghi che, in precedenza, potevano essere usati come scudo difensivo.
La distinzione fondamentale tra fase investigativa e fase sanzionatoria
Il nucleo della decisione della Cassazione risiede nella distinzione netta tra due momenti distinti dell'attività del Garante. La fase investigativa, o preistruttoria, è finalizzata all'accertamento delle violazioni e non è soggetta a termini perentori rigidi. È in questa fase che l'Autorità raccoglie prove, effettua verifiche e analizza i fatti; il tempo necessario per queste operazioni non limita il potere di agire del Garante.
La fase sanzionatoria, invece, inizia ufficialmente solo con la notifica della contestazione al soggetto coinvolto. È da questo momento che decorrono i termini specifici previsti dalla normativa vigente. La giurisprudenza ha chiarito che il termine di un anno previsto dall'art. 143, comma 3, del d.lgs. n. 196 del 2003 (Codice Privacy), non è un limite al potere punitivo dell'Autorità, ma una garanzia per il cittadino che ha presentato il reclamo per ottenere una risposta celere. Pertanto, il ritardo nella chiusura del reclamo non "libera" l'ente scolastico o l'azienda da una potenziale sanzione.
Limiti normativi e termini di prescrizione vigenti
Nonostante il rafforzamento dei poteri del Garante, la normativa prevede ancora dei limiti invalicabili che restano il punto di riferimento per la difesa legale. Il principale vincolo temporale rimane il termine di prescrizione quinquennale per l'irrogazione delle sanzioni, come stabilito dall'art. 28 della Legge n. 689 del 1981. Questo significa che, indipendentemente dalla durata dell'istruttoria, il Garante ha cinque anni dalla commissione della violazione per procedere alla sanzione.
Inoltre, il Regolamento Garante n. 2 del 2019 (Allegato B, punto 2) definisce il termine di 120 giorni per la notifica della contestazione, ma tale conteggio non parte dalla "semplice conoscenza" della violazione da parte del destinatario, bensì dal definitivo accertamento dei fatti da parte dell'Autorità. Questa precisazione tecnica è fondamentale per evitare che le scuole o le imprese possano invocare la decorrenza dei termini in modo prematuro durante le fasi iniziali dell'indagine.
| Elemento Normativo | Dettaglio e Funzione |
|---|---|
| Art. 143, comma 3, d.lgs. 196/2003 | Termine di 1 anno per la decisione sul reclamo (garanzia per il reclamante). |
| Art. 166, commi 3 e 7, d.lgs. 196/2003 | Disciplina il potere sanzionatorio dell'Autorità Garante. |
| Art. 28, Legge n. 689/1981 | Prescrizione quinquennale per l'irrogazione delle sanzioni. |
| Regolamento Garante n. 2/2019 | Termine di 120 giorni per la notifica della contestazione. |
Cosa cambia concretamente per le scuole e le pubbliche amministrazioni
Per i dirigenti scolastici, il personale ATA e le amministrazioni pubbliche, l'impatto operativo di queste sentenze è immediato: non è più possibile invocare il superamento del termine di un anno come motivo di decadenza del potere sanzionatorio del Garante. Se l'Autorità ha avviato un procedimento sanzionatorio autonomo, può procedere all'irrogazione della sanzione anche se il reclamo originale non è ancora stato concluso formalmente.
In sintesi, le principali conseguenze pratiche sono:
- Le scuole non possono più far annullare le sanzioni solo perché il Garante ha impiegato troppo tempo per rispondere a un reclamo specifico.
- La difesa non può basarsi sulla "semplice conoscenza" della violazione per far decorrere i termini della contestazione; il conteggio parte solo dal definitivo accertamento dei fatti.
- L'attività istruttoria deve comunque essere condotta senza ritardi ingiustificati, ma la sua durata non è più un limite perentorio alla validità della sanzione finale.
- La difesa può ancora impugnare i provvedimenti in sede giudiziaria per eccesso di potere o irragionevolezza dei tempi impiegati, ma solo se tali tempi risultano sproporzionati rispetto alla complessità del caso specifico.
È importante sottolineare che, sebbene le sentenze non introducano nuove regole, esse chiariscono la portata della disciplina vigente, rendendo il sistema più rigoroso per chi gestisce dati sensibili. Per le istituzioni scolastiche, ciò rafforza la necessità di una gestione impeccabile della privacy sin dalle prime fasi di raccolta e trattamento dei dati, poiché la "lunghezza" del procedimento non costituisce più una scusante legale per le violazioni accertate.
In merito alla durata dell'istruttoria, pur non essendoci un termine fisso, essa rimane soggetta al sindacato del giudice sulla ragionevolezza dei tempi impiegati dall'Autorità in base alla complessità del caso specifico. Pertanto, la strategia difensiva deve spostarsi dall'eccezione di decadenza per termini alla valutazione della proporzionalità e della correttezza delle procedure adottate dal Garante.
Per approfondire i dettagli tecnici delle sentenze, è possibile consultare il testo del provvedimento della Corte di Cassazione.
Sintesi operativa per i soggetti scolastici
Le scuole devono prestare particolare attenzione alla correttezza procedurale. Poiché il termine di prescrizione rimane di 5 anni dalla commissione della violazione, la prevenzione rimane lo strumento più efficace. In caso di contestazione, la difesa dovrà concentrarsi sulla negazione del fatto o sulla proporzionalità della sanzione, piuttosto che sulla tempistica della risposta del Garante.
FAQs
Privacy e sanzioni scolastiche: la Cassazione rafforza i poteri del Garante e limita le difese per decorrenza dei termini
Le organizzazioni non possono più far annullare le sanzioni del Garante basandosi sul superamento del termine di un anno previsto per la conclusione dei reclami. Questo significa che, se l'Autorità avvia un procedimento sanzionatorio autonomo, può procedere all'irrogazione della sanzione anche se il reclamo originale non è ancora stato formalmente chiuso.
La Cassazione distingue nettamente tra la fase investigativa (preistruttoria), finalizzata all'accertamento delle violazioni e non soggetta a termini perentori, e la fase sanzionatoria in senso stretto. Quest'ultima inizia esclusivamente con la notifica della contestazione da parte dell'Autorità.
No, il termine di 120 giorni non indica il tempo massimo entro cui il Garante deve emettere la sanzione finale. Esso definisce invece il periodo entro cui l'Autorità deve notificare la contestazione dopo il definitivo accertamento dell'illecito.
Il termine di prescrizione per l'irrogazione delle sanzioni rimane fissato a 5 anni dalla commissione della violazione. Sebbene non vi siano nuovi termini fissi per l'istruttoria, la durata del procedimento resta comunque sindacabile dal giudice in caso di eccesso di potere o irragionevolezza.
