La vicenda alla base della pronuncia è sorta da un reclamo, presentato al Garante in data 25 novembre 2020, con il quale veniva lamentata la pubblicazione e divulgazione di proprie comunicazioni mail all’interno di un servizio trasmesso in un programma televisivo. Il Garante, in data 10 agosto 2021, comunicava al titolare del trattamento l’avvio del procedimento e, successivamente, differiva i termini per la conclusione del procedimento, comunicando che la decisione sarebbe stata assunta entro il termine di dodici mesi dalla presentazione del reclamo. Tuttavia, contrariamente a quanto affermato, l’adozione del provvedimento è avvenuta solo in data 6 luglio 2023.
Il provvedimento del Garante è stato impugnato di fronte al Tribunale di Roma, che lo ha annullato in quanto adottato tardivamente. Il Tribunale, in particolare, ha qualificato il potere sanzionatorio attribuito al Garante “come sostanzialmente penale, con carattere tassativo e di stretta legalità”. Di conseguenza, ha ritenuto inevitabile la presenza di un termine perentorio di conclusione del procedimento, tale da garantire il diritto di difesa e la vicinanza temporale tra la violazione e la successiva sanzione, che è stato individuato nel termine di dodici mesi che il Garante si era auto-imposto. Avendo superato il termine comunicato alle parti per l’adozione del provvedimento, quest’ultimo è stato annullato dal Tribunale.
Il soggetto che aveva proposto originariamente reclamo al Garante ha impugnato la sentenza del Tribunale, presentando ricorso in cassazione per violazione e falsa applicazione dell’art 143 del codice della privacy e dell’art. 8 del regolamento GPDP n 2/2019, poiché il Tribunale di Roma avrebbe erroneamente considerato di carattere perentorio i termini relativi al procedimento amministrativo che si svolge innanzi al Garante. Il Garante, a sua volta, ha presentato ricorso incidentale sollevando la medesima violazione.
La Corte di Cassazione ha innanzitutto affermato che l’attività procedimentale del Garante può essere distinta in due fasi, una investigativa e una sanzionatoria in senso stretto. Questa seconda fase, in cui si svolge l’istruttoria vera e propria, prende avvio con la notifica delle presunte violazioni al titolare del trattamento e si conclude con l’adozione del provvedimento sanzionatorio. Il Regolamento del Garante n. 2/2019, al punto 2 dell’allegato B prevede un termine di centoventi giorni, a partire dall’accertamento della violazione, per l’adozione del provvedimento e dunque per la notifica della violazione “ai residenti nel territorio della Repubblica”. La Corte imputa questo termine alla fase sanzionatoria in senso stretto e lo qualifica come termine perentorio.
La Corte di Cassazione dunque conferma la qualificazione, effettuata già dal Tribunale di Roma, dei termini caratterizzanti il procedimento di fronte al Garante come aventi natura perentoria, ma corregge la relativa pronuncia nella parte in cui individua come perentorio il termine che l’Autorità si era autoassegnata per la conclusione del procedimento e non quello di centoventi giorni previsto dal Regolamento del Garante n. 2/2019.
La Corte ha pertanto rigettato sia il ricorso principale sia il ricorso incidentale, affermando che se non fosse previsto un termine finale perentorio si consentirebbe al Garante, titolare di una potestà punitiva, “una posizione ingiustificatamente privilegiata”. Al contrario, “un preciso limite temporale per l’irrogazione della sanzione tutela la certezza giuridica e l’effettività del diritto di difesa dei consociati”.