Con sentenza n. 24861 del 31 agosto 2026 (udienza pubblica del 24 giugno 2026, Pres. Tricomi, Rel. Russo), la Prima Sezione civile della Corte di cassazione si è pronunciata sui limiti temporali del potere sanzionatorio del Garante per la protezione dei dati personali quando il procedimento nasce da un reclamo. Si è pronunciata anche sul principio di essenzialità dell'informazione nella rievocazione giornalistica di fatti risalenti, con riferimento alla diffusione dei dati personali non del protagonista della vicenda, ma dei suoi familiari, rimasti estranei ai fatti.
I fatti
I fatti riguardavano un articolo pubblicato dalla Società Editoriale Il Fatto S.p.A., ripreso da un libro, sulla vicenda penale di un uomo condannato per abusi su minori in ambito sportivo. Nell'articolo comparivano anche i due figli, indicati con nome, cognome, attività sportiva e professionale, citati solo perché presenti al processo del padre. I figli hanno presentato reclamo al Garante. Dopo le osservazioni della società e la replica dei reclamanti, il Garante ha avviato il procedimento sanzionatorio il 23 novembre 2021. Con ordinanza ingiunzione del 2 marzo 2023, notificata il 20 marzo 2023, ha irrogato una sanzione di 20.000 euro per violazione degli artt. 2-quater, comma 4, e 137, comma 3, del d.lgs. n. 196/2003 e degli artt. 5, comma 2, e 6 delle regole deontologiche. Con sentenza n. 19609/2024, depositata il 26 novembre 2024, il Tribunale di Roma ha respinto l'opposizione dell'editore, qualificando come ordinatorio il termine annuale del reclamo e ritenendo illecita la diffusione dei dati dei figli perché non essenziali.
I motivi di ricorso
La società ha proposto ricorso per cassazione con tre motivi. Con i primi due sosteneva che il Garante fosse decaduto dal potere sanzionatorio per aver superato il termine annuale di decisione del reclamo previsto dagli artt. 143 e 166 del Codice e dall'art. 8 del regolamento n. 2/2019. Con il terzo sosteneva che i dati dei figli fossero già noti e utili al racconto e che il Tribunale avesse violato l'art. 112 c.p.c. decidendo d'ufficio sul diritto all'oblio.
Le conclusioni sul potere sanzionatorio
Il termine di un anno per decidere su un reclamo è posto nell’interesse di chi lo presenta, garantendogli una risposta in tempi ragionevoli, ma non fissa una scadenza entro cui il Garante debba emettere un provvedimento sanzionatorio. Il procedimento sanzionatorio, pur nascendo dal reclamo, è un procedimento diverso, con regole proprie tratte dalla legge n. 689 del 1981, che prevede come limite temporale la prescrizione di cinque anni dal fatto. Il superamento dell'anno, quindi, non fa perdere al Garante il potere di sanzionare. Conta invece il rispetto di un altro termine, quello per contestare la violazione, cioè per comunicare formalmente all'interessato l'addebito, ovvero 120 giorni dal momento in cui il Garante ha raccolto elementi sufficienti per valutare l'illecito (e non da quando ne ha avuto la prima notizia). Nel caso di specie, lo scambio di osservazioni e repliche, indispensabile per accertare i fatti, si era chiuso il 26 luglio 2021. La contestazione del 23 novembre 2021, arrivata entro i 120 giorni, è stata quindi ritenuta tempestiva. La Corte ha riconosciuto la mancanza di un termine finale per l'adozione della sanzione, ma ha escluso di poterlo introdurre per via interpretativa, perché la scelta spetta al legislatore (punti 16 e 17).
Le conclusioni sul merito
Il terzo motivo è stato giudicato infondato. La Corte ha affermato che la valutazione sull'essenzialità dei dati diffusi spetta al giudice di merito, richiamando Cass., Sez. III, n. 20337/2024, e ha ritenuto adeguata la motivazione del Tribunale. Quest'ultimo aveva distinto la posizione del padre, la cui vicenda conserva interesse pubblico come esempio del lato oscuro del mondo sportivo, da quella dei figli, privi di notorietà e di ruoli pubblici. Aveva inoltre osservato che la rievocazione di fatti risalenti non gode della stessa tutela riconosciuta alla cronaca attuale. La Corte ha escluso anche la violazione dell'art. 112 c.p.c., perché il richiamo a Cass., Sez. Un., n. 19681/2019 serviva solo a ricordare che il bilanciamento tra protezione dei dati e interesse all'informazione compete al giudice di merito. Ha infine ribadito che l'art. 137 del Codice, l'art. 6 delle regole deontologiche e l'art. 5 del Regolamento (UE) 2016/679 pongono come limite l'essenzialità dell'informazione e la minimizzazione dei dati (punto 19). Il ricorso è stato quindi rigettato, con spese compensate per la novità della questione sui termini.
