REPUBBLICA ITALIANA
IN NOME DEL POPOLO ITALIANO
LA CORTE SUPREMA DI CASSAZIONE
PRIMA SEZIONE CIVILE
Composta da: Oggetto:
Liceità del trattamento
LAURA TRICOMI Presidente di dati personali
GIULIA IOFRIDA Consigliere Ud.16/12/2025 PU
ALBERTO PAZZI Consigliere Rel.
ANNAMARIA CASADONTE Consigliere
MAURA CAPRIOLI Consigliere
ha pronunciato la seguente
SENTENZA
sul ricorso iscritto al n. 759/2025 R.G. proposto da:
SIRI ARMANDO, rappresentato e difeso dall'Avvocato Fabio Pier Giorgio
Criscuolo giusta procura speciali in atti
- ricorrente –
contro
RAI - RADIOTELEVISIONE ITALIANA s.p.a., rappresentata e difesa dagli
Avvocati Claudio Mangiafico e Marco Petitto
- controricorrente –
nonché contro
GARANTE per PROTEZIONE dei DATI PERSONALI, rappresentato e difeso
ope legis dall’Avvocatura Generale dello Stato
- controricorrente e ricorrente incidentale -
avverso la sentenza del Tribunale di Roma n. 14569/2024 depositata il
22/10/2024;
udita la relazione svolta nella pubblica udienza del 16 dicembre 2025 dal
Consigliere Alberto Pazzi;
udito il Pubblico Ministero, in persona del Sostituto Procuratore Generale
Gianna Maria Zanella, che ha concluso chiedendo il rigetto del ricorso
principale e di quello incidentale con ogni conseguenziale pronuncia;
udito l’Avvocato Criscuolo, che si è riportato ai propri scritti difensivi;
udito l’Avvocato dello Stato Marina Russo, che ha insistito per l’accoglimento
del ricorso incidentale;
uditi gli Avvocati Petitto e Mangiafico, che si sono associati alle conclusioni
del P.G., riportandosi ai propri atti difensivi.
FATTI DI CAUSA
1. RAI – Radiotelevisione Italiana s.p.a. (di seguito, per brevità, RAI)
conveniva in giudizio avanti al Tribunale di Roma il Garante per la Protezione
dei Dati Personali (nel prosieguo, per brevità, Garante o GPDP) e Armando
Siri affinché fosse accertata la liceità del trattamento dei dati personali da
lei posto in essere in occasione della realizzazione e diffusione di un servizio
all’interno della trasmissione “Presa Diretta” in data 28 settembre 2020 e di
un ulteriore servizio all’interno della trasmissione “Report” in data 26
ottobre 2020, ai sensi e per gli effetti degli artt. 15 Cost., 137, comma 3, e
139 del Codice Privacy, 5 e 6 delle Regole deontologiche e 5, par. 1, lett.
a), del Regolamento, e fosse annullato il provvedimento del Garante n. 297
del 6 luglio 2023, con il conseguente venir meno del divieto dell’ulteriore
diffusione delle e-mail proiettate nei due servizi.
2. Il tribunale riconosceva il carattere perentorio del termine (di dodici
mesi dalla presentazione del reclamo) indicato dalla stessa autorità per la
conclusione del procedimento sanzionatorio.
Riteneva, in particolare, che il potere sanzionatorio attribuito dal legislatore
alle autorità amministrative indipendenti (quali il Garante) presentasse i
cosiddetti “Engel criteria”, i quali, in base alla giurisprudenza CEDU,
consentivano di qualificarlo come sostanzialmente penale, con carattere
dunque tassativo e di stretta legalità.
2
Reputava, di conseguenza, che la natura afflittiva della potestà
sanzionatoria imponesse la tempestività dell’intero procedimento, il quale
si caratterizzava per una stretta correlazione tra il rispetto del termine per
l’adozione del provvedimento finale e l’effettività del diritto di difesa
dell’incolpato, come riconosciuto e garantito dall’art. 24 Cost.
Giudicava, pertanto, che la tempistica del procedimento sanzionatorio
assumesse, per la sua particolarità, carattere perentorio, onde garantire
che l’accertamento della violazione non fosse troppo distante dalla sua
punizione ed assicurare che l’irrogazione della sanzione conseguisse il suo
obiettivo di effettività e avesse capacità dissuasiva.
Rammentava e condivideva un consolidato orientamento della
giurisprudenza amministrativa che, in materia di sanzioni amministrative,
aveva definito perentorio il termine fissato per l’adozione del provvedimento
finale, a prescindere da un’espressa qualificazione in tal senso da parte della
legge o del regolamento che lo prevede.
Rilevava che il Garante, con il proprio Regolamento n. 2/2019, si era
attribuito il termine di dodici mesi per la decisione del reclamo in presenza
di motivate necessità istruttorie (art. 8), proprio allo scopo di assicurare il
rispetto delle esigenze di certezza giuridica della posizione dell’incolpato e
dell’effettività del diritto di difesa.
Annullava, pertanto, il provvedimento del Garante, poiché era stato
adottato tardivamente, quando i termini indicati dalla medesima autorità
nel provvedimento di proroga adottato in data 19 ottobre 2021 erano
oramai perenti.
3. Armando Siri ha proposto ricorso per la cassazione di questa
sentenza, pubblicata in data 22 ottobre 2024, prospettando due motivi di
doglianza, ai quali hanno resistito con controricorso RAI e il Garante;
quest’ultimo ha proposto, a sua volta, ricorso incidentale, affidato a un unico
motivo.
3
Il Procuratore Generale ha depositato conclusioni scritte, ex art. 378 cod.
proc. civ., sollecitando il rigetto del ricorso.
Parte ricorrente e la controricorrente RAI hanno depositato memoria ai sensi
dell’art. 378 cod. proc. civ..
RAGIONI DELLA DECISIONE
4.1 Il primo motivo del ricorso principale denuncia, ai sensi dell’art.
360, comma 1, n. 3, cod. proc. civ., la violazione e/o falsa applicazione
dell’art. 143 Codice Privacy e dell’art. 8 Regolamento GPDP n. 2/2019,
perché il Tribunale di Roma, pur in assenza di una espressa norma di legge
in proposito, ha erroneamente considerato di carattere perentorio e non di
natura ordinatoria i termini relativi al procedimento amministrativo che si
svolge innanzi al Garante.
4.2 Il motivo di ricorso incidentale presentato dal Garante prospetta, ex art.
360, comma 1, n. 3, cod. proc. civ., la violazione degli artt. 143, comma 3,
d. lgs 196/2003 e 8 Regolamento GPDP approvato con delibera del 4 aprile
2019, in quanto il tribunale ha errato nel ritenere che il termine di
conclusione procedimentale abbia carattere perentorio, in assenza di
un’espressa previsione normativa in questo senso.
5. I motivi, da esaminarsi congiuntamente in ragione della loro
sovrapponibilità, non meritano accoglimento.
5.1 Questa Corte, di recente, ha avuto occasione di affermare (con la
sentenza n. 18583/2025, che si va a ripercorrere nei suoi tratti salienti), in
relazione all’attività procedimentale del Garante volta all’accertamento di
violazioni e all’irrogazione delle corrispondenti sanzioni, la distinzione, sul
piano logico e cronologico, tra una fase sanzionatoria in senso stretto, come
previsto dall’art. 166, comma 5, d. lgs. 196/2003, e una precedente fase
investigativa o preistruttoria, a cui, invece, è dedicato il comma 4 del
medesimo art. 166.
Solo una volta esaurita la fase investigativa (o preistruttoria) disciplinata
dall’art. 166, comma 4, d. lgs. 196/2003, l'Ufficio del Garante, a mente del
4
successivo capoverso, “quando ritiene che gli elementi acquisiti nel corso
delle attività di cui al comma 4 configurino una o più violazioni indicate nel
presente titolo e nell'articolo 83, paragrafi 4, 5 e 6, del Regolamento, avvia
il procedimento per l'adozione dei provvedimenti e delle sanzioni di cui al
comma 3 notificando al titolare o al responsabile del trattamento le presunte
violazioni”.
L’elemento di raccordo tra la fase investigativa (o preistruttoria) di cui
all’art. 166, comma 4, d. lgs. 196/2003 e quella sanzionatoria in senso
stretto (la quale prende l’avvio con la notifica delle presunte violazioni,
prevede una fase istruttoria vera e propria e culmina nell’adozione del
provvedimento sanzionatorio, nel senso stabilito dall’ art. 166, commi 5, 6,
7) è così costituito dal Regolamento del Garante n. 2/2019, che al punto 2
dell’allegato “B” (“Termini relativi a procedimenti individuati nel codice in
materia di protezione dei dati personali”) prevede, per l’esercizio dei poteri
sanzionatori (art. 166, comma 5, d. lgs. 196/2003), un termine di
centoventi giorni decorrente “dall’accertamento della violazione per la
notificazione della stessa ai residenti nel territorio della Repubblica o 360
giorni per la notificazione ai residenti all’estero”.
Questo termine di centoventi giorni per l’irrogazione della sanzione decorre
dal definitivo accertamento dell’illecito ed impone l’esercizio del potere
sanzionatorio, mediante l’invio della comunicazione di cui al combinato
disposto degli artt. 12, commi 1 e 2, del regolamento del Garante n. 1/2019,
e 166, comma 5, d. lgs. 196/2003, entro quattro mesi dalla conoscenza
(accertamento) della violazione, pena l’esaurimento della potestà
sanzionatoria.
Il termine in discorso non può che essere fatto decorrere, giusta l’art. 12,
comma 1, del Regolamento n. 1/2019 dello stesso Garante, dall’avvio del
corrispondente procedimento sanzionatorio, vale a dire da quando viene
comunicato al titolare e, se del caso, al responsabile del trattamento, il
5
procedimento per l’adozione dei provvedimenti di cui agli artt. 58, paragrafo
2, e 83 del RGPD.
Comunicazione da individuarsi in quella di cui all’art. 166, comma 5, d. lgs.
196/2003, stante lo specifico richiamo a quest’ultima disposizione che si
rinviene nel comma 2 del predetto 12.
5.2 A questo specifico termine deve essere riconosciuta natura perentoria.
Infatti, secondo la giurisprudenza costituzionale (cfr. Corte Cost. 151/2021)
la predefinizione legislativa di un limite temporale per l’emissione di una
sanzione espressiva della potestà punitiva della pubblica amministrazione,
il cui inutile decorso produca la consumazione del potere stesso, «risulta
coessenziale ad un sistema sanzionatorio coerente con i parametri
costituzionali di sicurezza giuridica e diritto di difesa».
La mancanza di un termine finale perentorio, al contrario, colloca l’autorità
titolare della potestà punitiva «in una posizione ingiustificatamente
privilegiata che, nell’attuale contesto ordinamentale, si configura come un
anacronistico retaggio della supremazia speciale della pubblica
amministrazione».
La previsione di un preciso limite temporale per l’irrogazione della sanzione
tutela la certezza giuridica (in termini di prevedibilità delle conseguenze
derivanti dalla reazione autoritativa alla violazione di un precetto pubblico,
con finalità di prevenzione speciale e generale) e l’effettività del diritto di
difesa dei consociati (la quale richiede una contiguità temporale tra
l’accertamento dell’illecito e l’applicazione della sanzione).
Nell’ipotesi normativa in esame ‒ in cui il termine per la conclusione del
procedimento sanzionatorio è espressamente fissato in via regolamentare,
sia pure senza sanzionarne la violazione in termini decadenziali ‒ le
medesime esigenze costituzionali di certezza giuridica della posizione del
trasgressore e di effettività del suo diritto di difesa impongono di
interpretare, sia la fonte primaria di attribuzione del potere regolamentare
(art. 166, comma 9, d. lgs. 196/2003), sia le disposizioni secondarie di
6
determinazione del termine di durata del procedimento individuato per
l’esercizio del potere sanzionatorio ex art. 166, comma 5, del medesimo
decreto legislativo (artt. 3 e 4 del regolamento n. 2/2019 del Garante, di
cui alla deliberazione del medesimo Garante del 4 aprile 2019, e punto 2
della Tabella B allegata al medesimo Regolamento), nel senso di vincolare
perentoriamente l’autorità che l’ha previsto alla sua osservanza.
Non è previsto, invece, un termine di natura perentoria per il
completamento dell’attività investigativa (o preistruttoria) prevista al
comma 4 dell’art. 166 d. lgs. 196/2003, almeno non all’interno dell’allegato
“B” del Regolamento del Garante n. 2/2019.
Quindi, per l’attività di indagine e per l’istruttoria in generale trova
applicazione l’art. 3, comma 5, del Regolamento del Garante 2/2019, il
quale, facendo espresso riferimento al termine di cui all’art. 2 l. 241/1990,
manifesta un chiaro carattere ordinatorio.
Sulla base delle argomentazioni in precedenza riassunte questa Corte, nella
sentenza in precedenza citata, ha affermato il principio secondo cui, in tema
di trattamento dei dati personali, la complessiva attività procedimentale
dell’Autorità Garante per la protezione di questi ultimi, finalizzata
all’accertamento di violazioni e all’irrogazione delle corrispondenti sanzioni,
consta di due fasi – una sanzionatoria in senso stretto e una, precedente,
investigativa o preistruttoria – logicamente e cronologicamente distinte; il
termine, da considerarsi perentorio, di centoventi giorni previsto al punto 2
dell’allegato “B” del Regolamento del Garante n. 2/2019 si riferisce
esclusivamente alla fase sanzionatoria in senso stretto e decorre dalla
conclusione della fase preistruttoria che culmina con l’effettivo
accertamento delle violazioni ascritte al trasgressore e la notifica della
contestazione.
5.3 La decisione impugnata è del tutto coerente con i principi appena
illustrati.
7
Il provvedimento impugnato registra, infatti, la cronologia delle fasi
amministrative, nei termini che emergevano dagli atti di causa e che non
risultavano contestati tra le parti, evidenziando che a seguito dell’atto di
reclamo proposto da Armando Siri in data 25 novembre 2020 il Garante,
con nota del 1° aprile 2021, aveva richiesto osservazioni alla RAI, che erano
state poi depositate il 21 aprile 2021.
L’Autorità Garante, esaminata la documentazione prodotta dalla RAI e le
complessive risultanze istruttorie, in data 10 agosto 2021 aveva comunicato
al titolare del trattamento l’avvio del procedimento sanzionatorio per
l’eventuale adozione dei provvedimenti di cui all’art. 58, par. 2, del
Regolamento, con l’indicazione delle presunte violazioni di legge,
individuate nelle fattispecie di cui agli artt. 5 del Regolamento, 137, comma
3, del Codice e 5 e 6 delle Regole deontologiche relative al trattamento di
dati personali nell’esercizio dell’attività giornalistica, pubblicate ai sensi
dell’articolo 20, comma 4, d. lgs. 101/2018.
Il Garante, ricevute (in data 9 settembre 2021) le memorie difensive con le
quali la RAI aveva ribadito la correttezza del trattamento dei dati personali
ed effettuata l’audizione del titolare del trattamento (in data 12 ottobre
2021), con nota del 19 ottobre 2021 aveva comunicato il differimento dei
termini di conclusione del procedimento relativo al reclamo proposto dal
Siri, ai sensi degli artt. 143, comma 3, del Codice, nonché dell’art. 8, comma
1, del Regolamento dell’autorità 2/2019, evidenziando che la decisione
finale sarebbe stata adottata entro il termine di dodici mesi dalla
presentazione del reclamo, “in ragione delle necessità connesse alle
valutazioni istruttorie”.
Ciò nonostante, il Garante ha dichiarato fondato il reclamo soltanto con il
provvedimento n. 297 del 6 luglio 2023, comunicato alla RAI il 19 luglio
2023.
Alla luce di un simile sviluppo dell’attività procedimentale dell’Autorità
Garante, la decisione impugnata in questa sede ha esattamente
8
riconosciuto, in coerenza con i principi sopra ricordati, la natura perentoria
del termine per l’adozione del provvedimento sanzionatorio e deve essere
corretta, ai sensi dell’art. 384, comma 4, cod. proc. civ., soltanto nella parte
in cui individua tale termine in quello che l’autorità nel caso di specie si era
autoassegnata per la conclusione del procedimento sanzionatorio, piuttosto
che – come detto – in quello di centoventi giorni previsto in linea generale
al punto 2 dell’allegato “B” del Regolamento del Garante n. 2/2019
decorrente dalla conclusione della fase preistruttoria, che culmina con
l’effettivo accertamento delle violazioni ascritte al trasgressore e la notifica
della contestazione (errore di nessuna rilevanza ai fini della decisione della
controversia, posto che il termine per l’adozione del provvedimento sarebbe
giunto a maturazione il 9 dicembre 2021 – una volta decorso il termine di
centoventi giorni dalla notifica della contestazione – piuttosto che il 20
novembre 2021 –, a seguito del decorso del periodo di dodici mesi dalla
presentazione del reclamo -, mentre la sanzione era stata adottata oltre un
anno e mezzo dopo).
Giova aggiungere, da ultimo ed in considerazione delle argomentazioni
sviluppate nella discussione finale, che, ferma la perentorietà del termine in
discorso e la sua decorrenza (dal momento di accertamento delle violazioni
ascritte al trasgressore e notifica della contestazione), non influisce
sull’esito del presente giudizio il carattere (correttivo) della misura adottata,
posto che la norma regolamentare che individua il termine finale della fase
sanzionatoria non opera alcuna distinzione rispetto al differente possibile
esito del procedimento.
6. Il secondo motivo di ricorso lamenta, ai sensi dell’art. 360, comma
1, n. 3, cod. proc. civ., la violazione e falsa applicazione degli artt. 91 e 92
cod. proc. civ., perché il Tribunale di Roma ha erroneamente condannato
Armando Siri al pagamento delle spese legali, sebbene l’accoglimento del
ricorso proposto dalla RAI fosse stato fondato esclusivamente su una
responsabilità del Garante: dovendosi considerare soccombente la parte
9
che con il suo comportamento aveva dato causa alla lite giudiziaria,
rendendo necessario l’accertamento giudiziale, nessuna responsabilità
poteva essere imputata al Siri rispetto a quanto concerneva la causazione
della controversia.
Ad ogni modo il Tribunale di Roma avrebbe dovuto compensare le spese di
lite, in presenza di “gravi ed eccezionali ragioni” idonee a giustificare
l’adozione di un simile provvedimento.
7. Il motivo risulta in parte infondato, in parte inammissibile.
7.1 Non vi è dubbio che la soccombenza sia stata determinata dalla tardività
con cui il Garante aveva adottato la sanzione, di certo non imputabile in
alcun modo al Siri.
È altrettanto indubbio, tuttavia, che quest’ultimo, nell’ambito del giudizio di
merito, abbia condiviso le tesi del Garante, sostenendo che la tardività del
provvedimento dell’autorità fosse, in realtà, inesistente.
Ora, il regime delle spese processuali del giudizio davanti alla Suprema
Corte è ispirato al principio della soccombenza, collegato a quello della
causalità, assumendo rilievo la concreta attività difensiva espletata da
ciascuna delle parti (Cass., Sez. U., 23143/2018).
La disciplina delle spese di lite, dunque, segue la condivisione degli interessi
e delle difese in giudizio, come ha correttamente ritenuto il giudice di
merito, anche laddove l’atto la cui adozione abbia provocato la necessità del
processo non sia riconducibile alla singola parte.
7.2 La valutazione dell'opportunità di disporre la compensazione delle spese
processuali tra le parti, sia nell'ipotesi di soccombenza reciproca che in
quella di concorso degli altri motivi previsti dall’art. 92, comma 2, cod. proc.
civ., rientra invece nel potere discrezionale del giudice di merito (cfr. Cass.
24502/2017, Cass. 8241/2017).
Ne consegue che la mancata compensazione delle spese da parte del giudice
di merito non può essere censurata in questa sede di legittimità.
10
8. Per tutto quanto sopra esposto, tanto il ricorso principale quanto il
ricorso incidentale devono essere respinti.
Ricorrono le condizioni per l’integrale compensazione delle spese del
giudizio di legittimità, ai sensi dell’art. 92, comma 2, cod. proc. civ., tenuto
conto della novità della questione trattata e del fatto che la stessa è stata
risolta soltanto con una sentenza pronunciata in epoca successiva alla
presentazione del ricorso.
P.Q.M.
La Corte rigetta il ricorso principale e il ricorso incidentale e compensa
integralmente le spese processuali fra tutte le parti.
Ai sensi dell’art. 13, comma 1-quater, del d.P.R. 30 maggio 2002, n.
115, nel testo introdotto dall’art. 1, comma 17, della legge 24 dicembre
2012, n. 228, si dà atto della sussistenza dei presupposti processuali per il
versamento, da parte del ricorrente principale e del ricorrente incidentale,
dell’ulteriore importo a titolo di contributo unificato, pari a quello per il
ricorso, a norma del comma 1-bis dello stesso art. 13, ove dovuto.
Così deciso in Roma in data 16 dicembre 2025.
Il Consigliere estensore La Presidente
11