1. Il termine per decidere il reclamo: nove o dodici mesi

L’art. 143, comma 3, del Codice Privacy stabilisce che il Garante decide il reclamo entro nove mesi dalla sua presentazione.

Entro tre mesi deve comunque informare l’interessato sullo stato del procedimento.

In presenza di motivate esigenze istruttorie, comunicate all’interessato, il reclamo può essere deciso entro dodici mesi.

Il termine rimane inoltre sospeso durante l’eventuale procedimento di cooperazione previsto dall’art. 60 GDPR.

Cass. 22791/2026 e Cass. 24861/2026 chiariscono che questo termine è posto a tutela del reclamante e del suo interesse a ottenere una decisione tempestiva.

Il suo superamento non determina, però, l’automatica estinzione del distinto potere sanzionatorio del Garante.

Cass. 22791/2026 non ritiene neppure necessario risolvere definitivamente la questione della natura perentoria o sollecitatoria del termine: anche ammettendone la perentorietà, i relativi effetti resterebbero circoscritti al procedimento di reclamo e non si estenderebbero automaticamente al procedimento sanzionatorio.

2. Il termine di 120 giorni per contestare le violazioni

Diversa è la funzione del termine previsto dall’Allegato B al Regolamento del Garante n. 2/2019.

Il termine è pari a:

• 120 giorni per la notificazione ai residenti nel territorio italiano;
• 360 giorni per la notificazione ai residenti all’estero.

Si tratta del termine entro il quale il Garante Privacy deve notificare al Titolare o al Responsabile del trattamento le presunte violazioni ai sensi dell’art. 166, comma 5, del Codice Privacy.

Questo termine è considerato perentorio.

Non riguarda, però, l’adozione dell’ordinanza-ingiunzione. Riguarda esclusivamente la tempestività della contestazione degli addebiti.

Cass. 22791/2026 lo definisce, infatti, un termine endoprocedimentale e non un termine finale.

3. Quando decorrono i 120 giorni?

Cass. 24862/2026 si concentra sul “dies a quo” del termine.

La mera conoscenza materiale dei fatti non coincide necessariamente con il loro definitivo accertamento.

Il termine inizia a decorrere quando il Garante Privacy dispone degli elementi necessari per valutare compiutamente:

• la condotta contestata;
• gli elementi oggettivi della violazione;
• gli elementi soggettivi;
• l’individuazione del titolare o del responsabile;
• la rilevanza giuridica delle informazioni raccolte.

L’Autorità può quindi svolgere gli approfondimenti ragionevolmente necessari prima di contestare formalmente la violazione.

Questo non significa, però, che il Garante Privacy possa determinare liberamente il momento dell’accertamento o prolungare indefinitamente la fase investigativa.

Il giudice può sindacare la ragionevolezza dell’istruttoria, la sua effettiva necessità e l’assenza di indebite dilazioni.

Nella sentenza n. 24862/2026 la Cassazione ha accolto il ricorso del Garante Privacy, cassando con rinvio la decisione del Tribunale che aveva fatto decorrere il termine dalla prima acquisizione delle informazioni.

La Corte non ha quindi definitivamente dichiarato valida la sanzione, ma ha indicato il criterio che il giudice del rinvio dovrà applicare per individuare il momento dell’effettivo accertamento.

4. Il provvedimento sanzionatorio finale

Secondo Cass. 22791/2026, ribadita sul punto da Cass. 24861/2026, il termine di 120 giorni non decorre dalla contestazione e non rappresenta il termine entro il quale deve essere adottata la sanzione.

Una volta tempestivamente notificati gli addebiti, il procedimento prosegue nel contraddittorio con il destinatario, che dispone di trenta giorni per presentare memorie, documenti e chiedere di essere sentito.

Per il provvedimento finale non è previsto un ulteriore termine perentorio di 120 giorni.

Secondo l’attuale orientamento della Cassazione, il potere sanzionatorio rimane soggetto alla prescrizione quinquennale prevista dall’art. 28 della legge n. 689/1981, decorrente, in linea generale, dalla commissione della violazione e suscettibile di interruzione.

Il quinquennio non è quindi un termine per impugnare il provvedimento e non riguarda il successivo ricorso in Cassazione.

5. I distinti termini dell’impugnazione

Dopo la comunicazione del provvedimento finale del Garante Privacy si apre un’eventuale fase giudiziaria, disciplinata da termini completamente diversi.

Il ricorso al Tribunale deve essere proposto:

• entro trenta giorni dalla comunicazione del provvedimento;
• entro sessanta giorni se il ricorrente risiede all’estero.

La sentenza del Tribunale non è appellabile. Contro di essa è ammesso direttamente il ricorso in Cassazione secondo le regole ordinarie del processo civile.

Questi termini processuali non devono essere confusi con la prescrizione quinquennale del potere sanzionatorio.

6. Come si collocano i precedenti?

Cass. 18583/2025 ha affermato la distinzione tra una fase investigativa o preistruttoria e una fase sanzionatoria in senso stretto, riconoscendo la natura perentoria del termine di 120 giorni.

Cass. 984/2026 ha richiamato tale principio, ma nella concreta applicazione ha calcolato i 120 giorni dalla contestazione all’adozione del provvedimento finale, confermando l’annullamento del provvedimento tardivo.

Questo passaggio presenta una tensione interna e risulta difficilmente conciliabile con la successiva Cass. 22791/2026.

Quest’ultima ha infatti chiarito espressamente che i 120 giorni servono per notificare gli addebiti e non per adottare il provvedimento finale.

Cass. 24861 e 24862/2026 sembrano consolidare proprio questa ricostruzione.

La continuità con Cass. 18583 e Cass. 984 riguarda, quindi, la natura perentoria del termine di 120 giorni. Non vi è invece piena continuità per quanto riguarda la sua funzione e il momento finale al quale dovrebbe applicarsi.

Conclusioni

Il principio oggi ricavabile dalla giurisprudenza può essere così sintetizzato:

• nove mesi, eccezionalmente dodici, per decidere il reclamo;
• 120 o 360 giorni dal definitivo accertamento per notificare le presunte violazioni;
• nessun ulteriore termine di 120 giorni per adottare l’ordinanza-ingiunzione;
• prescrizione quinquennale del potere sanzionatorio;
• trenta o sessanta giorni per impugnare il provvedimento davanti al Tribunale.

Cass. 22791/2026 ha mantenuto quindi ferma la natura perentoria del termine di 120 giorni e. inoltre, ne ha delimitato l’oggetto e la decorrenza: è il termine per contestare le violazioni, non quello per emanare la sanzione.

Nella pratica, ogni valutazione sulla tempestività dell’azione del Garante Privacy richiederà di ricostruire almeno sei date:

1. commissione o cessazione della violazione;
2. presentazione del reclamo;
3. momento del definitivo accertamento;
4. notificazione della contestazione;
5. adozione e comunicazione del provvedimento finale;
6. eventuale impugnazione giudiziaria.