Per anni, nella difesa contro i provvedimenti del Garante privacy, è esistita una leva procedurale che molti consulenti e legali hanno usato: il termine di 120 giorni. L'idea, diffusa e in parte avallata da alcune pronunce, era che se l'Autorità impiegava troppo tempo la sanzione cadesse per decadenza, a prescindere dal merito.

Tre sentenze della Corte di Cassazione hanno appena ridimensionato drasticamente quella leva. Si tratta di Cass. civ., Sez. I, n. 22791/2026 e delle successive nn. 24861 e 24862 del 31 agosto 2026. Il Garante stesso le ha commentate sul proprio sito, osservando che chiariscono tempi e margini di intervento dell'Autorità e che avranno l'effetto di ridurre «notevolmente i margini di ricorso» ai suoi provvedimenti.

Non introducono regole nuove. Precisano la portata di quelle esistenti, e il risultato pratico è che gran parte delle difese costruite sui tempi non regge più.

Tre orologi diversi, non tre versioni dello stesso

Il punto da cui partire è che nei procedimenti davanti al Garante non esiste un termine solo. Ne esistono almeno tre, di natura diversa, e la confusione fra loro è all'origine dell'equivoco.

Primo: il termine per decidere il reclamo. L'art. 143, comma 3, del Codice privacy stabilisce che il Garante decide il reclamo entro nove mesi dalla presentazione, prorogabili fino a dodici in presenza di motivate esigenze istruttorie comunicate all'interessato; entro tre mesi deve comunque informarlo sullo stato del procedimento, e il termine resta sospeso durante l'eventuale cooperazione prevista dall'art. 60 GDPR.

La Cassazione ha chiarito che questo termine è posto a tutela del reclamante, cioè del suo interesse a ottenere una decisione in tempi ragionevoli. Il procedimento di reclamo e l'eventuale successivo procedimento correttivo e sanzionatorio sono distinti e autonomi: il superamento del primo termine non determina l'estinzione del potere sanzionatorio. La Corte non ha nemmeno ritenuto necessario risolvere in via definitiva se quel termine sia perentorio o sollecitatorio, perché anche ammettendone la perentorietà gli effetti resterebbero circoscritti al procedimento di reclamo.

Secondo: i 120 giorni per contestare. È il termine previsto dall'Allegato B al Regolamento del Garante n. 2/2019 — 120 giorni per i residenti in Italia, 360 per i residenti all'estero — entro cui l'Autorità deve notificare al titolare o al responsabile le presunte violazioni ai sensi dell'art. 166, comma 5, del Codice.

Questo termine è perentorio. Ma riguarda esclusivamente la tempestività della contestazione degli addebiti: la Cassazione lo definisce un termine endoprocedimentale, non finale. Non è, e non è mai stato, il termine entro cui adottare l'ordinanza-ingiunzione.

Terzo: la prescrizione. Una volta notificata tempestivamente la contestazione, non è previsto alcun ulteriore termine di decadenza per l'adozione del provvedimento finale. Resta la prescrizione quinquennale dell'art. 28 della legge n. 689/1981, decorrente in linea generale dalla commissione della violazione e suscettibile di interruzione.

Da quando decorrono davvero i 120 giorni

La sentenza n. 24862/2026 affronta il punto più delicato, cioè il dies a quo.

La Corte afferma che la mera conoscenza materiale dei fatti non coincide con il loro definitivo accertamento. Il termine inizia a decorrere quando il Garante dispone degli elementi necessari a valutare compiutamente la condotta, gli elementi oggettivi e soggettivi della violazione, l'individuazione del titolare o del responsabile e la rilevanza giuridica delle informazioni raccolte. Prima di quel momento l'Autorità può legittimamente raccogliere documenti, approfondire i fatti e instaurare il contraddittorio.

Nel caso deciso, la Cassazione ha accolto il ricorso del Garante, cassando con rinvio la decisione del Tribunale che aveva fatto decorrere il termine dalla prima acquisizione delle informazioni. Non ha quindi dichiarato valida la sanzione: ha indicato il criterio che il giudice del rinvio dovrà applicare.

Resta un contrappeso, e non è trascurabile: la fase investigativa non è sottoposta a un termine perentorio predeterminato, ma deve essere condotta senza ritardi ingiustificati, secondo criteri di ragionevolezza e congruità rispetto alla complessità del caso, e resta sindacabile in sede giudiziale. Il Garante non può quindi scegliere liberamente quando ritenere accertata una violazione. Ma per farlo valere occorre dimostrare la dilazione indebita, non limitarsi a contare i giorni sul calendario.

Cosa cambia per le aziende italiane

Il cambiamento è meno tecnico di quanto sembri e ha tre conseguenze pratiche concrete.

La difesa si sposta dal procedimento al merito. Fino a ieri, di fronte a una contestazione, una parte del lavoro difensivo consisteva nel ricostruire le date sperando in un vizio. Quella strada si è ristretta a un caso specifico e difficile da provare. Ne discende che l'unico asset difensivo realmente affidabile torna a essere la documentazione: registro dei trattamenti, valutazioni d'impatto, evidenze di consenso e di revoca, log di sistema, procedure formalizzate, verbali, tracce della formazione erogata. Non nel senso burocratico di «avere le carte», ma nel senso di poter ricostruire, anni dopo, cosa l'organizzazione faceva e perché riteneva fosse conforme.

L'orizzonte temporale del rischio si allunga. Molte organizzazioni operano su un'assunzione implicita mai messa per iscritto: passati alcuni mesi dal reclamo senza notizie, il caso è chiuso. Il riferimento corretto è invece il quinquennio. Questo ha effetti che escono dal perimetro del DPO e toccano il controllo di gestione: la conservazione delle evidenze difensive va allineata a quell'orizzonte e non ai tempi di cancellazione dei dati; la valutazione di eventuali accantonamenti per rischi sanzionatori va rivista; nelle operazioni di acquisizione, la domanda giusta non è solo quali sanzioni ha ricevuto la società target, ma quali reclami e quali istruttorie sono ancora aperti.

La finestra di trenta giorni diventa decisiva. Notificata la contestazione, il destinatario dispone di trenta giorni per presentare memorie e documenti e chiedere di essere sentito. Se l'esito non dipende più dall'orologio, dipende da cosa si riesce a mettere dentro quelle memorie. E trenta giorni non bastano a ricostruire da zero la storia di un trattamento: il materiale va preparato prima, quando ancora nessuno ha contestato nulla.

Vale la pena leggere questa evoluzione insieme ai provvedimenti che il Garante sta adottando nel merito, come la sanzione da 5,5 milioni a BBVA Italia pubblicata negli stessi giorni: da un lato l'Autorità entra nel dettaglio di come i sistemi aziendali applicano le scelte degli interessati, dall'altro la Cassazione le riconosce lo spazio temporale per farlo.

Le sei date da saper ricostruire

Per qualunque valutazione sulla tempestività dell'azione del Garante, oggi servono sei riferimenti temporali distinti:

  1. commissione o cessazione della violazione;
  2. presentazione dell'eventuale reclamo;
  3. momento del definitivo accertamento della violazione;
  4. notificazione della contestazione;
  5. adozione e comunicazione del provvedimento finale;
  6. eventuale impugnazione giudiziaria.

Sul fronte processuale, infine, il ricorso al Tribunale va proposto entro trenta giorni dalla comunicazione del provvedimento (sessanta per chi risiede all'estero); la sentenza non è appellabile e contro di essa è ammesso il solo ricorso in Cassazione. Sono termini che non vanno confusi con la prescrizione quinquennale del potere sanzionatorio.

Cosa fare subito

  • Allineare la conservazione delle evidenze difensive all'orizzonte quinquennale, distinguendola dai tempi di cancellazione dei dati personali: procedure, informative nelle versioni storiche, log di consenso e revoca, verbali e valutazioni vanno mantenuti anche quando i dati non servono più.
  • Censire reclami, segnalazioni e richieste di informazioni ricevute dal Garante negli ultimi cinque anni e considerarli pendenti finché non esiste un provvedimento di archiviazione. L'assenza di notizie non è un esito.
  • Preparare in anticipo un fascicolo di difesa per i trattamenti a rischio più alto (marketing, videosorveglianza, controlli sui lavoratori, dati sanitari, profilazione), così che le memorie dei trenta giorni siano un assemblaggio e non una ricostruzione.
  • Trattare con la massima cura le risposte alle richieste istruttorie del Garante: fissano il momento dell'accertamento e finiscono agli atti. Una risposta imprecisa oggi è una contraddizione da spiegare fra due anni.
  • Rivedere la valutazione del rischio sanzionatorio e gli eventuali accantonamenti con l'orizzonte corretto, coinvolgendo amministrazione e controllo di gestione e non solo la funzione privacy.
  • Nelle due diligence, chiedere l'elenco delle istruttorie aperte, non solo delle sanzioni già irrogate: un reclamo di tre anni fa è ancora un rischio vivo.
  • Non impostare la strategia difensiva sul vizio procedurale. La ragionevolezza dell'istruttoria resta sindacabile, ma va provata con elementi concreti di ritardo ingiustificato; nella generalità dei casi la partita si gioca sul merito e sulla documentazione.

Il bilancio è chiaro: il termine dei 120 giorni non è sparito e non ha perso la sua natura perentoria, ma è tornato a essere ciò che la norma prevedeva, cioè il tempo per contestare, non il tempo per sanzionare. Per chi gestisce la conformità, l'effetto pratico è che non esiste più una scorciatoia procedurale su cui contare.