Cassazione n. 24998/2026

ato e difeso ex lege dall'AvvocaturaGenerale dello Stato- RICORRENTE [OSCURATO:PERSONA]contro[OSCURATO:PERSONA] [OSCURATO:PERSONA] L'[OSCURATO:PERSONA] – INAIL, in persona del legale rappresentantepro tempore, rappresentato e difeso dall’Avv. [OSCURATO:PERSONA] edall’Avv. [OSCURATO:PERSONA] E RICORRENTE [OSCURATO:PERSONA]umero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/2026avverso la sentenza del Tribunale di Roma n. 3311/2024 depositata l’8gennaio 2025 a definizione del proc. n. 54208/2022 R.G.Udita la relazione svolta nella camera di consiglio dell’8 gennaio 2026 dalconsigliere [OSCURATO:PERSONA]; esaminati gli atti.[OSCURATO:PERSONA] PROCESSO1. [OSCURATO:PERSONA] per la protezione dei dati personali (di seguito, anche,Garante) impugna la sentenza del Tribunale di Roma n. 3311/2024 che hadefinito il giudizio promosso dall’[OSCURATO:PERSONA] nazionale per l’assicurazione controgli infortuni sul lavoro (di seguito, INAIL) avverso il provvedimentosanzionatorio n. 147 del 28 aprile 2022.In parziale accoglimento del ricorso presentato dall’INAIL, il Tribunale,per le ragioni illustrate nella motivazione depositata l’8 gennaio 2025, haannullato il provvedimento limitatamente alla sanzione applicata a un primoepisodio di violazione dei dati personali (c.d. data breach, segnalato daINAIL il 16 maggio 2019), avendo ravvisato il mancato rispetto, ad operadel Garante, del termine di centoventi giorni per la contestazione dellaviolazione dopo la chiusura dell’istruttoria preliminare. Ritenuta fondata lacontestazione di altro episodio (segnalato da INAIL il 20 aprile 2020), ilTribunale ha rideterminato in euro 20.000,00, invece di euro 50.000,00, lasanzione pecuniaria inflitta a INAIL, ferma la pubblicazione sul sito delGarante, il tutto a spese compensate in ragione della reciprocasoccombenza.2. Resiste INAIL con controricorso contenente altresì ricorso incidentale.3. La vicenda trae origine da tre notifiche fatte da INAIL di tre distinteviolazioni dei dati personali, risalenti al periodo 2019 - 2020, relative a unservizio on line (“Sportello virtuale lavoratori”) offerto dal predetto Istitutoagli utenti lavoratori. In sostanza, gli iscritti allo sportello che consultavanoNumero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/2026la propria posizione personale potevano visualizzare anche i dati di altrisoggetti.3.1. Le violazioni erano state notificate al Garante da INAIL ai sensidell’art. 33 del Regolamento (UE) 2016/679 (di seguito, anche, Reg. UE),rispettivamente il 16 maggio 2019, il 29 novembre 2019 e il 24 aprile 2020.Il Tribunale di Roma, richiamati i tre episodi notificati al Garante, haricostruito lo scambio di informazioni tra INAIL e l’autorità amministrativasino alla contestazione delle violazioni, ai sensi dell’art. 166, comma 5,d.lgs. 30 giugno 2003 n. 196 e successive modificazioni (di seguito, cod.privacy) e dell’art. 58, par. 1, lett. d), Regolamento (UE) 2016/679, fattadal Garante con atto 3 dicembre 2020 notificato via PEC a INAIL e daquest’ultimo protocollato il 4 dicembre 2020.Così si legge nella sentenza impugnata:«1. [...] In breve, l’INAIL aveva notificato al GARANTE un primo episodioin data 16/05/2019 (integrata il 03/07/2019), nel quale un utente,accedendo allo “Sportello virtuale lavoratori” (un sistema informatico checonsente agli iscritti di consultare la loro posizione, lo stato delle loropratiche ed altre informazioni personali d’interesse), aveva visualizzatopratiche relative ad altri due soggetti. Il 29/11/2019, l’INAIL avevanotificato al GARANTE una seconda violazione, consistita nellavisualizzazione, sul medesimo portale, da parte di altro utente, di pratichenon di sua competenza, relative a soggetti non identificati né identificabili.Infine, in data 24/04/2020, un terzo utente aveva avuto accesso a datipersonali, anche sensibili, di altre persone, ed aveva potuto scaricarli informato.pdf e scattare gli screenshots delle schermate, inviando taledocumentazione all’[OSCURATO:PERSONA]; anche questo data breach era statodebitamente segnalato al Garante. 2. In data 03/06/2019, il GARANTE hachiesto informazioni sul primo episodio; in data 06/05/2020 sugli altri due.Tali richieste hanno ricevuto tempestive risposte da parte dell’INAIL, senzache il Garante richiedesse ulteriori spiegazioni o dettagli, né contestasseNumero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/2026alcunché in relazione ad esse, sino al 24/08/2020 quando il GARANTE hachiesto all’[OSCURATO:PERSONA] aggiornamenti sugli esiti delle azioni annunciate ointraprese in conseguenza dei segnalati data breach. A tale richiesta, l’INAILha risposto in data imprecisata (ma verosimilmente il 19/09/2020) con lanota prodotta in atti da parte ricorrente come doc. 10 denominato“notaINAIL19092020.pdf”. 3. Il 04/12/2020, il GARANTE ha notificatoall’[OSCURATO:PERSONA] la violazione degli artt. 5, c. 1, lett. a), 6, c. 1, lett. e) 9, c. 1lett. g) del REGOLAMENTO (UE) 2016/679 (GDPR), nonché degli artt. 2 tere 2 sexies del D.LGS. n° 196/2003, invitandolo a presentare entro 30 giorniscritti difensivi o documenti ed avvertendolo della facoltà di chiedere diessere audito. L’INAIL si è avvalso delle predette facoltà difensive».3.2. Il provvedimento sanzionatorio, relativo solo al primo e al terzoepisodio, è stato adottato il 28 aprile 2022.[OSCURATO:PERSONA], ai sensi dell’art. 57, par. 1, lett. a), Reg. UE, ha dichiaratoillecita la condotta tenuta dall’INAIL, consistente nella violazione degli artt.5, par. 1, lett. a) e f), 6, par. 1, lett. e), 9, par. 2, lett. g), e 32 del Reg.UE, nonché degli artt. 2-ter e 2-sexies, cod. privacy; ha ordinato a INAIL,ai sensi degli artt. 58, par. 2, lett. i) e 83, Reg. UE e dell’art. 166, cod.privacy, di pagare la somma di euro 50.000,00 a titolo di sanzioneamministrativa pecuniaria; ha disposto la pubblicazione del provvedimentosanzionatorio sul sito web del Garante, ai sensi dell’art. 166, comma 7, cod.privacy (v. art. 16, Regolamento del Garante n. 1/2019) e l’annotazione delprovvedimento nel registro interno dell’[OSCURATO:PERSONA], previsto dall’art. 57, par.1, lett. u), Reg. UE, delle violazioni e delle misure adottate in conformitàall'art. 58, par. 2, Reg. UE (v. art. 17 del Regolamento del Garante n.1/2019).3.3. Il provvedimento 28 aprile 2022 n. 147 è stato impugnato da INAILdavanti al Tribunale di Roma che nella sentenza così riassume losvolgimento del processo:«4. In data 28/04/2022 il GARANTE ha adottatoil provvedimento sanzionatorio qui impugnato comminando all’[OSCURATO:PERSONA] laNumero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/2026sanzione pecuniaria amministrativa di € 50.000,00, oltre alla pubblicazionesul sito e l’annotazione nel registro interno, per le violazioni prima e terza,ritenendo irrilevante la seconda in quanto riguardante soggetti nonidentificati o identificabili. Nel ricorso introduttivo, l’INAIL ha sollevatoun’eccezione preliminare di tardività della notifica della violazione ed hacontestato nel merito la fondatezza delle contestazioni e la legittimità delprovvedimento sanzionatorio, nonché l’eccessiva misura della sanzione,anche sotto il profilo degli effetti secondari sulla credibilità di un entepubblico che svolge funzioni di rilevante importanza per un elevatissimonumero di persone. 5. La difesa erariale, per il GARANTE, ha confutato leeccezioni dell’[OSCURATO:PERSONA] ricorrente, con particolare riguardo all’eccezione ditardività della contestazione. 6. All’udienza del giorno [OSCURATO:DATA_NASCITA], la causaè stata decisa come da dispositivo a verbale. 7. Il ricorso è parzialmentefondato».3.4. Quanto al parziale annullamento del provvedimento impugnato, ilTribunale ha affermato essere «evidente» che «la contestazione formale diuna violazione debba necessariamente intervenire nelle primissime fasidell’indagine su una condotta illegittima che deve essere ancora meramenteipotetica, e non nella sua fase conclusiva». Secondo il Tribunale, nel caso dispecie, e con riferimento al primo episodio, è stato violato il termine per la«comunicazione delle presunte violazioni» fissato in «120 giornidall’accertamento della violazione» nella tabella B allegata al Regolamentointerno del Garante n. 2/2019.In ordine al terzo episodio, il Tribunale ha rideterminato la sanzione ineuro 20.000,00 sulla base dei seguenti rilievi «22. Sul merito dell’unicoepisodio che resta quindi oggetto di valutazione [...], non vi è che daosservare che l’origine del data breach è stata identificata dallo stessoISTITUTO ricorrente in «un errore di processo ha comportato la presenza inesercizio della versione errata dell'applicativo, determinando la successivaviolazione di cui alla comunicazione notificata il 25 aprile 2020», cioè, inNumero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/2026sostanza, in un errore umano consistito nell’aver rilasciato una versione nonaggiornata del software. Trattasi, come appare evidente, di un esempio chepotrebbe dirsi “di scuola” della violazione del principio diresponsabilizzazione, che determina la sanzionabilità del titolare deltrattamento. Gli elementi da tenere presenti nella quantificazione dellasanzione per quest’unico episodio sono, da un lato, l’indubbia gravità,peraltro espressamente riconosciuta come “alta” dall’INAIL, e, d’altro lato,oltre alla tempestiva segnalazione ed alla corretta informativa ai soggetticoinvolti, la pronta risoluzione del problema. Alla luce di tali parametri,ritiene il Tribunale che la sanzione debba essere quantificata in € 20.000,00,oltre alla pubblicazione sul sito del Garante».3.5. Le parti hanno depositato unicamente il ricorso, articolato in duemotivi, e il controricorso con ricorso incidentale, affidato a quattro motivi.MOTIVI DELLA DECISIONE1. Col primo motivo di ricorso, il Garante, in relazione all’art. 360,comma 1, n. 3, c.p.c., deduce «[v]iolazione e/o falsa applicazione di normedi diritto [...] con riferimento alla perentorietà del termine di 120 giorni perla notifica dell’atto di contestazione: Violazione e/o falsa applicazione daparte del Giudice di prime cure degli artt. 2 della legge n. 241/1990, 14legge n. 689/1981 e 166 del D.lgs. n. 196/2003, nonché della [OSCURATO:PERSONA] al Regolamento del Garante n. 2/2019».1.1. Sostiene il ricorrente, con richiamo altresì alla disciplina generalein tema di illecito amministrativo e a Corte cost., 12 luglio 2021, n. 151,che in assenza di un’espressa previsione di legge il termine di centoventigiorni dalla chiusura dell’istruttoria preliminare per la notificazione dellacontestazione della violazione dei dati personali non può essere qualificatocome avente natura perentoria.Numero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/2026Il ricorrente richiama altresì l’arrêt della Corte di giustizia dell’Unioneeuropea, seconda sezione, 30 gennaio 2025, causa C-510/23, Trenitalias.p.a. contro [OSCURATO:PERSONA] garante della concorrenza e del mercato (AGCM),secondo cui gli artt. 11 e 13 della direttiva 2005/29/CE del Parlamentoeuropeo e del Consiglio, dell’11 maggio 2005 relativa alle pratichecommerciali sleali delle imprese nei confronti dei consumatori nel mercatointerno, letti alla luce del «principio di effettività», devono essereinterpretati nel senso che essi «ostano a una normativa nazionale che,nell’ambito di un procedimento diretto all’accertamento di una praticacommerciale sleale condotto da un’autorità nazionale responsabiledell’esecuzione della normativa che tutela i consumatori, da un lato, imponea tale autorità di avviare la fase istruttoria in contraddittorio delprocedimento, mediante la comunicazione degli addebiti all’impresainteressata, entro un termine di 90 giorni a decorrere dal momento in cuiessa viene a conoscenza degli elementi essenziali dell’asserita violazione,potendo questi ultimi esaurirsi nella prima segnalazione dell’illecito, e,dall’altro, sanziona l’inosservanza di tale termine con l’annullamentointegrale del provvedimento finale di detta autorità in esito alla procedurad’infrazione, nonché con la decadenza dal potere di quest’ultima di avviareuna nuova procedura d’infrazione riguardante la stessa pratica».1.2. Va fin d’ora rilevato che la sentenza 30 gennaio 2025, C-510/23della Corte di Lussemburgo è richiamata, unitamente alla decisione“gemella” della stessa seconda sezione, 30 gennaio 2025, causa C-511/23,[OSCURATO:PERSONA] s.p.a. contro [OSCURATO:PERSONA] della Concorrenza e delMercato (AGCM), anche da Cass., sez. I, 8 luglio 2025, n. 18583, Garantec. [OSCURATO:PERSONA] (paragrafo 2.7.) con argomenti che però non riguardano inmodo specifico la natura, ordinatoria o perentoria, del termine previsto daldiritto interno per la definizione del procedimento amministrativosanzionatorio o di una sua fase ma toccano temi riconducibili alle questionioggetto del secondo motivo di ricorso.Numero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/2026Il termine di novanta giorni dall’accertamento, inteso quale momento incui l’autorità amministrativa viene a conoscenza degli elementi essenzialidell’asserita violazione, menzionato dalle due sentenze del 30 gennaio2025, e di cui la Corte di giustizia si limita a prendere atto essendo compitodel giudice nazionale interpretare e applicare il diritto interno, è quellorisultante dal combinato disposto degli articoli 27 del d.lgs. 6 settembre2005, n. 206 o codice del consumo, relativo alle sanzioni inflitte dall’AGCMnell’esercizio delle sue attribuzioni anche quale autorità competente perl'applicazione del regolamento (UE) 2017/2394 del Parlamento europeo edel Consiglio, del 12 dicembre 2017, sulla cooperazione tra le autoritànazionali responsabili dell'esecuzione della normativa che tutela iconsumatori (art. 27, comma 13, d.lgs. cit.: «Per le sanzioni amministrativepecuniarie conseguenti alle violazioni del presente decreto si osservano, inquanto applicabili, le disposizioni contenute nel capo I, sezione I, e negliarticoli 26, 27, 28 e 29 della legge 24 novembre 1981, n. 689, e successivemodificazioni. Il pagamento delle sanzioni amministrative di cui al presentearticolo deve essere effettuato entro trenta giorni dalla notifica delprovvedimento dell'[OSCURATO:PERSONA]») e 14, comma 2, della l. 24 novembre 1981,n. 689, contenente la disciplina generale dell’illecito amministrativo («Laviolazione, quando è possibile, deve essere contestata immediatamentetanto al trasgressore quanto alla persona che sia obbligata in solido alpagamento della somma dovuta per la violazione stessa. / Se non èavvenuta la contestazione immediata per tutte o per alcune delle personeindicate nel comma precedente, gli estremi della violazione debbono esserenotificati agli interessati residenti nel territorio della Repubblica entro iltermine di novanta giorni e a quelli residenti all'estero entro il termine ditrecentosessanta giorni dall'accertamento. / Quando gli atti relativi allaviolazione sono trasmessi all'autorità competente con provvedimentodell'autorità giudiziaria, i termini di cui al comma precedente decorronodalla data della ricezione. [...]»).Numero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/2026Le predette decisioni della Corte di giustizia dell’Unione europea inmateria di pratiche commerciali sleali delle imprese nei confronti deiconsumatori nel mercato interno, infatti, si occupano piuttosto dellaquestione relativa alla possibile previsione, ad opera dei singoli Statimembri nell’esercizio della loro autonomia procedurale, non solo di normegenerali in materia di prescrizione applicabili alla procedura d’infrazione(ossia, quella volta all’accertamento delle infrazioni e all’imposizione disanzioni da parte delle autorità nazionali responsabili dell’esecuzione dellanormativa che tutela i consumatori) «nel suo complesso», ma anche ditermini ragionevoli destinati a disciplinare, purché conformi ai requisiti dicui ai punti da 38 a 41 della sentenza, lo svolgimento di «talune fasi» ditale procedura, come quella che, con terminologia neutra perché destinataa valere per tutti gli Stati membri, viene definita la «fase preliminare allacomunicazione degli addebiti all’impresa interessata» (nella versionefrancese, «la phase préalable à la communication des griefs») (punto 43della sentenza).Con specifico riferimento, invece, alle procedure d’infrazione agli articoli101 e 102 TFUE condotte dalla Commissione, e al fine di svolgere –mediante un parallelismo - considerazioni pertinenti anche nell’ambito di unprocedimento amministrativo condotto, a livello nazionale, da un’autoritànazionale responsabile di dare attuazione alla normativa a tutela deiconsumatori (punto 48), le predette decisioni ricordano che la «fase diindagine preliminare, che si estende fino alla comunicazione degli addebiti»(«la phase d’instruction préliminaire, qui s’étend jusqu’à la communicationdes griefs») è destinata non solo a consentire alla Commissione di«raccogliere tutti gli elementi pertinenti che confermino o meno l’esistenzadi un’infrazione alle norme sulla concorrenza», ma anche di «prendereposizione sulla direzione che deve assumere il procedimento nonchésull’ulteriore seguito da riservare allo stesso» (punto 45 della sentenza; v.anche i punti 46-48).Numero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/2026Quando parla, nei punti 49 e seguenti, di «avvio della fase istruttoria incontraddittorio del procedimento» diretto all’accertamento di una praticacommerciale sleale, la Corte di giustizia si riferisce al momento in cui, chiusala fase (di indagine) preliminare che precede la (eventuale) comunicazionedegli addebiti e che secondo la Corte vede l’autorità garante disporre di un«ampio margine discrezionale» anche nell’attribuire «un diverso grado dipriorità alle denunce ad esse indirizzate» (punto 49), l’autorità comunica gliaddebiti dando così inizio a quello che, secondo la terminologia in uso pressoi giuristi italiani, può essere chiamato procedimento sanzionatorio in sensostretto, come ha fatto, sia pur in altro ambito, Cass., sez. I, 8 luglio 2025,n. 18583, par. 2.5., a proposito del procedimento per l'adozione deiprovvedimenti correttivi e sanzionatori di competenza del Garante per laprotezione dei dati personali (nel par. 2.3. di Cass. n. 18583/2025 si coglieun cenno alla «fase istruttoria» all’interno del procedimento sanzionatorioin senso stretto, che prende l’avvio dalla notifica delle presunte violazioni,da non confondere con l’istruttoria preliminare anteriore alla contestazionedegli addebiti).Nell’esaminare la disciplina applicabile al caso ora in esame sarà definitoprocedimento sanzionatorio in senso stretto quello che prende avvio con lanotificazione o comunicazione degli addebiti, ossia delle «presunteviolazioni» di cui parla l’art. 166, comma 5, cod. privacy (v. anche la tabellaB allegata al Regolamento interno del Garante n. 2/2019, parte o punto 2,quinta ipotesi, «comunicazione delle presunte violazioni»).1.3. Il primo motivo è infondato per le ragioni di seguito esposte.1.3.1. Per quanto riguarda il quadro normativo di insieme, si fariferimento innanzitutto al d.lgs. 30 giugno 2003, n. 196, come modificatodal d.lgs. 10 agosto 2018, n. 101 (cod. privacy), e al Regolamento (UE)2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, recantiuna disciplina speciale rispetto a quella prevista per gli atti amministrativi ei procedimenti amministrativi sanzionatori in generale, di cui il ricorrente[OSCURATO:PERSONA] registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/2026lamenta comunque la violazione richiamando gli artt. 2, l. 7 agosto 1990,n. 241 e 14, l. 24 novembre 1981, n. 689.Particolare rilievo hanno, inoltre, i due regolamenti interni adottati dalGarante, approvati con delibere del 4 aprile 2019.Il regolamento del Garante n. 1/2019 (di seguito, Regolamento n.1/2019) riguarda le «procedure interne aventi rilevanza esterna, finalizzateallo svolgimento dei compiti e all’esercizio dei poteri demandati al garanteper la protezione dei dati personali, nonché all’adozione dei provvedimenticorrettivi e sanzionatori (art. 142, comma 5, art. 154, comma 1, lettera b),e comma 3, art. 156, comma 3, lettera a), e art. 166, comma 9, decretolegislativo 30 giugno 2003, n. 196, come modificato dal decreto legislativo10 agosto 2018, n. 101)».Il regolamento del Garante n. 2/2019 (di seguito, Regolamento n.2/2019) concerne «l'individuazione dei termini e delle unità organizzativeresponsabili dei procedimenti amministrativi presso il Garante per laprotezione dei dati personali».[OSCURATO:PERSONA] n. 2/2019 sono allegate due tabelle:Tabella A - Ricognizione dei termini per i procedimenti direttamenteprevisti per legge;Tabella B - Termini non direttamente previsti dalla legge.Con delibera 10 aprile 2025 sono state apportate modifiche alRegolamento n. 2/2019. La delibera 10 aprile 2025 ha approvato, quale suaparte integrante e sostanziale, l’allegato A che sostituisce le tabelle A e Ballegate al regolamento del Garante n. 2/2019, aggiornando l’individuazionedelle unità organizzative competenti relativamente all’attività istruttoria dipropria competenza in ragione della prevista durata dei procedimenti,indicate nelle tabelle A e B ora sostituite. Le tabelle A e B, così sostituite,sono entrate in vigore il giorno successivo alla pubblicazione della deliberasulla [OSCURATO:PERSONA] (avvenuta il 30 aprile 2025) e dunque il 1° maggio2025.Numero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/2026Il nuovo allegato A, che ha sostituito le tabelle A e B, non si applica aifatti per cui è causa e di esso non si terrà conto.Di seguito si farà riferimento al Regolamento n. 2/2019 e alle tabelle Ae B come allegate a quel regolamento.1.3.2. Il procedimento per l’adozione dei provvedimenti correttivi esanzionatori di competenza del Garante per la protezione dei dati personali(art. 166, commi 4 e 5, cod. privacy) è preceduto da una «istruttoriapreliminare».Il primo motivo di ricorso si concentra su quest’ultima, poiché ilTribunale di Roma ha, in sostanza, ritenuto che l’istruttoria preliminarerelativa al primo episodio di data breach, segnalato da INAIL il 16 maggio2019, sia stata tardivamente conclusa con la contestazione dell’addebitoeffettuata il 3-4 dicembre 2020, quando ormai era scaduto il termine dicentoventi giorni dall’accertamento previsto dalla tabella B allegata al Reg.n. 2/2019, e ne ha fatto derivare l’annullamento, sia pur parziale, delprovvedimento sanzionatorio.Col motivo di ricorso ora in esame il Garante censura la sentenzaimpugnata contestando la qualificazione del termine di centoventi giorni«dall’accertamento della violazione» quale perentorio.Vanno allora esaminate le disposizioni applicabili nel caso di specie perpoi passare all’analisi del precedente di legittimità rilevante per la decisione(Cass., sez. I, 8 luglio 2025, n. 18583, Garante c. [OSCURATO:PERSONA]), richiamatoaltresì da INAIL nel proprio controricorso, e svolgere considerazioni utilianche alla trattazione degli altri motivi di ricorso, del Garante e delcontroricorrente INAIL.1.3.3. [OSCURATO:PERSONA] n. 1/2019, in conformità a quanto previsto dald.lgs. 30 giugno 2003, n. 196, disciplina le due distinte fasi, o i dueprocedimenti, della «istruttoria preliminare» (artt. 11-12, art. 20, comma1, da porre in relazione con gli artt. 142, comma 5, che parla di«procedimento relativo all’esame dei reclami», 143, comma 1, e 166,Numero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/2026comma 4, cod. privacy; cfr. Cass., sez. I, 8 luglio 2025, n. 18583, par. 2.7.,pag. 30) e del procedimento sanzionatorio in senso proprio o in sensostretto (artt. 12-14, 15, comma 4, 16, 17, 18, comma 4, 20, comma 2,Regolamento n. 1/2019, da porre in relazione con gli artt. 143, 166, comma5, cod. privacy), che, come già detto, l’art. 166, cod. privacy denominaquale «procedimento per l’adozione delle misure correttive e sanzionatorie»(l’art. 12, Regolamento n. 1/2019 è posto sotto la rubrica «Avvio delprocedimento per l’adozione dei provvedimenti correttivi e sanzionatori»).Alla «attività istruttoria» in senso ampio è dedicato l’art. 7, Regolamenton. 2/2019, di portata generale e residuale («1. Salvo quanto previsto daspecifiche norme di legge o di regolamento, se l'istante è invitatodall'[OSCURATO:PERSONA] a fornire informazioni, integrazioni o precisazioni o a esibiredocumenti, i termini previsti nelle tabelle A e B per provvedere sullarichiesta, istanza o diverso atto di iniziativa comunque denominato sonosospesi e decorrono nuovamente dalla data di scadenza del termine fissatoper l'adempimento richiesto»).Nell’esercizio del potere regolamentare attribuitogli dall’art. 166,comma 9, cod. privacy, il Garante è tenuto a rispettare, tra gli altri, ilprincipio «della distinzione tra funzioni istruttorie e funzioni decisorierispetto all'irrogazione della sanzione».È opportuno mantenere chiara la distinzione tra le due fasi o forsemeglio tra le due funzioni o tra i due procedimenti (i regolamenti interniriservano il termine “fase” al solo segmento presso il Garante, o presso altrisoggetti pubblici, di un procedimento di competenza di altra autorità, oviceversa del Garante: a tal proposito, parlano di «fasi procedimentali» gliartt. 3, comma 1, 5, 11, 12, Regolamento n. 2/2019; v. anche, nelle duetabelle, la prima colonna «procedimento e normativa»).Da un lato, vi è «il procedimento relativo all’esame dei reclami» (artt.142, comma 5, 154, comma 1, lett. b), 156, comma 3, lett. a), cod. privacy;artt. 8-11, Regolamento n. 1/2019; art. 8, Regolamento n. 2/2019; v.Numero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/2026altresì l’art. 57, Regolamento (UE) 2016/679: «1. Fatti salvi gli altri compitiindicati nel presente regolamento, sul proprio territorio ogni autorità dicontrollo: […] f) tratta i reclami proposti da un interessato, o da unorganismo, un'organizzazione o un'associazione ai sensi dell'articolo 80, esvolge le indagini opportune sull'oggetto del reclamo e informa il reclamantedello stato e dell'esito delle indagini entro un termine ragionevole, inparticolare ove siano necessarie ulteriori indagini o un coordinamento conun'altra autorità di controllo; […] 2. Ogni autorità di controllo agevola laproposizione di reclami di cui al paragrafo 1, lettera f), tramite misure qualiun modulo per la proposizione dei reclami compilabile ancheelettronicamente, senza escludere altri mezzi di comunicazione»), cosìcome il procedimento relativo all’«esame delle segnalazioni» o avviatod’ufficio (art. 144, cod. privacy; artt. 19-20, Regolamento n. 1/2019; art.4, comma 1, Regolamento n. 2/2019; Tabella B, parte o punto 2, prima eseconda ipotesi), avente funzione istruttoria.Nel caso di specie, l’istruttoria preliminare condotta dal Garante traeorigine dalle tre distinte notifiche di violazioni dei dati personali fatte daINAIL quale titolare del trattamento il 16 maggio 2019, il 29 novembre 2019e il 24 aprile 2020 (art. 33, comma 1, Reg. (UE) 2016/679 (di seguito,anche, Reg. UE): «Notifica di una violazione dei dati personali all'autorità dicontrollo 1. In caso di violazione dei dati personali, il titolare deltrattamento notifica la violazione all'autorità di controllo competente anorma dell'articolo 55 senza ingiustificato ritardo e, ove possibile, entro 72ore dal momento in cui ne è venuto a conoscenza, a meno che siaimprobabile che la violazione dei dati personali presenti un rischio per i dirittie le libertà delle persone fisiche. Qualora la notifica all'autorità di controllonon sia effettuata entro 72 ore, è corredata dei motivi del ritardo. [...]») esi è conclusa con un’unica contestazione degli addebiti, notificata dalGarante a INAIL il 3-4 dicembre 2020.Numero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/2026Da un altro lato, vi è il procedimento «eventuale» (a propositodell’istruttoria preliminare conseguente a segnalazione e dell’eventualeprocedimento amministrativo «nel corso» del quale «si osservano ledisposizioni per i reclami di cui agli articoli da 9 a 18, anche per quantoriguarda l’informativa al Collegio ai sensi dell’art. 36, e al segnalante puòessere fornito un riscontro», v. l’art. 20, comma 1, Regolamento n. 1/2019;v. anche l’art. 9, comma 1, Regolamento n. 1/2019: «L’esame del reclamo,nel corso dell’istruttoria preliminare e del successivo procedimentoamministrativo eventualmente avviato […]») volto alla (possibile) adozionedei provvedimenti correttivi e sanzionatori, avente invece funzione decisoria(artt. 143, 166, comma 5, cod. privacy; artt. 12-14, 15, comma 4, 16, 17,18, comma 4, 20, comma 2, Regolamento n. 1/2019; artt. 4, comma 1, 8,12, Regolamento n. 2/2019).L’uno e l’altro rientrano nel vasto ambito delle «procedure concernentila tutela dinanzi al garante» (così il capo II del Regolamento n. 1/2019; v.anche la parte terza del codice della privacy, titolo I, capo I «Tutela dinanzial garante»).L’istruttoria preliminare (art. 143, comma 1, cod. privacy) inizia conl’esame del reclamo o della segnalazione, ma evidentemente non mancaanche nei casi di iniziativa officiosa (art. 166, comma 4, cod. privacy), epuò concludersi con l’archiviazione (artt. 11, 19, comma 5, Regolamento n.1/2019) oppure sfociare nell’eventuale «procedimento per l’adozione deiprovvedimenti correttivi e sanzionatori» (v. in particolare l’art. 9, comma 1,gli artt. 12-14, 15, comma 4, 16, 18, 20, comma 2, Regolamento n. 1/2019;v. altresì gli artt. 143 e 166, commi 4 e 5, cod. privacy).L’istruttoria preliminare è il procedimento, anteriore a quellosanzionatorio in senso stretto, nel corso del quale si svolgono «le attività dicui al comma 4», come le definisce il comma 5 dell’art. 166 cod. privacy.Numerosi e chiari, nei regolamenti interni, sono i riferimentiall’istruttoria preliminare.Numero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/20261.3.4. All’istruttoria preliminare e alle questioni relative alla suachiusura si riferisce Cass., sez. I, 8 luglio 2025, n. 18583, Garante c. EnelEnergia, che talora parla anche di fase investigativa (o preistruttoria) perdistinguerla dalla fase istruttoria interna e da quella sanzionatoria in sensostretto (paragrafo 2.3.) e nella quale il destinatario della contestazione, aisensi dell’art. 166, comma 6, cod. privacy, nel termine di trenta giorni dalricevimento della comunicazione di cui al comma 5 può esercitare le facoltàdifensive inviando al Garante scritti o documenti ed eventualmentechiedendo di essere sentito dalla medesima autorità.Infatti, Cass., sez. I, 8 luglio 2025, n. 18583, prendendo le mossedall’art. 166, cod. privacy, osserva che la fase sanzionatoria in senso stretto(art. 166, comma 5, cod. privacy), preceduta da quella cui è dedicato ilcomma 4 (presentata come fase investigativa o preistruttoria,corrispondente a quella che il Regolamento n. 1/2019 definisce istruttoriapreliminare, formula questa peraltro ripresa e condivisa anche da Cass.,sez. I, 8 luglio 2025, n. 18583 nel par. 2.3, pag. 20, nel par. 2.5., pag. 25,e soprattutto nel par. 2.7., pag. 30), trae «avvio» dalla notifica dellepresunte violazioni, prevede una fase (interna o incidentale) istruttoria verae propria volta a garantire l’esercizio del diritto di difesa (art. 166, comma6) e, salva l’infondatezza del reclamo (art. 14, comma 3, Regolamento n.1/2019) o della segnalazione (art. 20, comma 2, Regolamento n. 1/2019),culmina in base al comma 7 nell’adozione del provvedimento sanzionatoriodi cui al comma 3 suscettibile di impugnazione davanti all’autoritàgiudiziaria.In altri termini, Cass., sez. I, 8 luglio 2025, n. 18583 coglie il momentodi passaggio dall’istruttoria preliminare (talora definita come faseinvestigativa o preistruttoria, art. 166, comma 4, cod. privacy) alprocedimento sanzionatorio in senso stretto nella notificazione (ocomunicazione, art. 12, Regolamento n. 1/2019, mentre l’art. 13, comma2 parla di «notifica della […] comunicazione») delle presunte violazioni (art.Numero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/2026166, comma 5, del Codice), menzionata altresì nella tabella B allegata alRegolamento n. 2/2019, parte o punto 2, quinta ipotesi («comunicazionedelle presunte violazioni»).Nelle osservazioni svolte da Cass. n. 18583/2025 vi è un richiamo aCorte cost., 12 luglio 2021, n. 151 che, esaminando la legge generale sullesanzioni amministrative (l. n. 689/1981), aveva distinto una prima fase,«deputata all’acquisizione di elementi istruttori», da una seconda fase,«avente natura lato sensu contenziosa e decisoria, […] preordinataall’adozione, da parte dell’autorità titolare della potestà sanzionatoria, di unpecuniaria e di ingiunzione del relativo pagamento, ovvero dell’ordinanza diarchiviazione» e aveva osservato che «[l]’elemento di raccordo tra gliindicati snodi procedimentali è costituito dalla contestazione dell’illecito[…]».Sul punto si rimanda a Cass., sez. I, 8 luglio 2025, n. 18583, paragrafo2.7. (pag. 30), ove si spiega con chiarezza che «lo svolgimentodell’istruttoria preliminare condotta, nella fattispecie in esame, dall’AutoritàGarante risulta estranea al procedimento sanzionatorio tout court, che iniziacon la notifica della contestazione dell’illecito ai sensi dell’art. 166, comma5, del d.lgs. n. 196/03, quale atto di avvio del procedimento sanzionatoriodal quale inizia ad operare il principio del contraddittorio, esplicazione deldiritto di difesa quale garanzia del procedimento sanzionatorio medesimo.Il termine di centoventi giorni fissato per la notificazione dellacontestazione dell’illecito riguarda, pertanto, – giova ribadirlo – una fase diamministrazione attiva (ancora) estranea al procedimento sanzionatorio ead esso prodromica, come tale, soggetta a termini meramente ordinatori[…]».L’avvio del procedimento sanzionatorio si realizza, di regola, con la«previa notifica» della contestazione delle «presunte violazioni» al titolareo al responsabile del trattamento (art. 166, comma 5, cod. privacy; art. 58,Numero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/2026Regolamento (UE) 2016/679: «Poteri 1. Ogni autorità di controllo ha tutti ipoteri di indagine seguenti: […] d) notificare al titolare del trattamento o alresponsabile del trattamento le presunte violazioni del presenteregolamento; […]»). [OSCURATO:PERSONA] 1/2019 parla di «comunicazione» (art.12, Reg. cit.) e di «notifica della […] comunicazione» (art. 13, comma 2,Reg. cit.).Una volta ricevuto l’atto di contestazione delle violazioni, il destinatariodella notificazione può avvalersi delle facoltà difensive previste dal comma6 dell’art. 166, cod. privacy («6. Entro trenta giorni dal ricevimento dellacomunicazione di cui al comma 5, il contravventore può inviare al Garantescritti difensivi o documenti e può chiedere di essere sentito dalla medesimaautorità»; v. anche l’art. 13, comma 3, Regolamento n. 1/2019).Il procedimento sanzionatorio si conclude con l’archiviazione ad operadel dipartimento, servizio, o altra unità organizzativa se i nuovi elementisopravvenuti evidenziano l’infondatezza o l’insussistenza dei presuppostiper l’adozione di un provvedimento (art. 14, comma 1, Regolamento n.1/2019 che richiama l’art. 11, comma 1, Reg. cit.) oppure con unadeliberazione del collegio che adotta un provvedimento correttivo esanzionatorio o invece dichiara infondato il reclamo o la segnalazione (v. inparticolare gli artt. 14, 16, 20, comma 2, Regolamento n. 1/2019; v. altresìl’art. 166, comma 7, cod. privacy: «7. Nell'adozione dei provvedimentisanzionatori nei casi di cui al comma 3 si osservano, in quanto applicabili,gli articoli da 1 a 9, da 18 a 22 e da 24 a 28 della legge 24 novembre 1981,n. 689»).L’art. 166, comma 7, cod. privacy non richiama l’art. 14, l. 24 novembre1981, n. 689, da ritenersi pertanto non applicabile nel procedimentosanzionatorio davanti al Garante (cfr. Cass., sez. I, 8 luglio 2025, n. 18583,par. 2.3, pag. 19).Dunque, in ordine alla «[c]omunicazione delle presunte violazioni(articolo 166, comma 5, del Codice)» la quinta ipotesi menzionata in parteNumero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/2026o punto 2 della tabella B allegata al Regolamento n. 2/2019 stabilisce iltermine, non direttamente previsto dalla legge ma appunto dalregolamento, di «120 giorni dall’accertamento della violazione per lanotificazione della stessa ai residenti nel territorio della Repubblica o 360giorni per la notificazione ai residenti all’estero».Si tratta del termine per l’«avvio» del «procedimento per l’adozione deiprovvedimenti correttivi e sanzionatori» che è meramente eventuale ecostituisce uno degli esiti della «chiusura dell’istruttoria preliminare» inalternativa all’archiviazione, come si desume fra l’altro dal raffronto tra l’art.11 e l’art. 12 del Regolamento n. 1/2019.Il procedimento sanzionatorio in senso stretto viene avviato con lanotifica al titolare o al responsabile del trattamento delle «presunteviolazioni» quando «[l]’Ufficio del Garante [...] ritiene che gli elementiacquisiti nel corso delle attività di cui al comma 4 configurino una o piùviolazioni indicate nel presente titolo e nell'articolo 83, paragrafi 4, 5 e 6,del Regolamento [UE, n.d.r.]» (così l’art. 166, comma 5, cod. privacy).1.3.5. Con riferimento al caso di specie, trova qui applicazione ilprincipio enunciato da Cass., sez. I, 8 luglio 2025, n. 18583, secondo cui iltermine di centoventi giorni fissato per la notificazione della contestazionedell’illecito (art. 166, comma 5, cod. privacy, artt. 12 e 13, comma 3,Regolamento n. 1/2019, tabella B allegata al Regolamento n. 2/2019, parteo punto 2, quinta ipotesi relativa alla «comunicazione delle presunteviolazioni») e decorrente dall’«accertamento della violazione» (tabella Ballegata al Regolamento n. 2/2019, parte o punto 2, quinta ipotesi), intesocome attività implicante una ponderata valutazione dei fatti e che dunquenon coincide con la mera constatazione o acquisizione di quei fatti, hanatura perentoria in ragione delle esigenze di tutela della certezza giuridicae di garanzia della effettività del diritto di difesa, illustrate nella sentenza n.18583/2025 (paragrafo 2.4.).Ne consegue il rigetto del primo motivo.Numero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/20262. Col secondo motivo del ricorso principale del Garante, formulato inrelazione all’art. 360, comma 1, n. 3, c.p.c., si deduce «[v]iolazione e/ofalsa applicazione di norme di diritto [...] con riferimento alla decorrenzadel termine dei 120 giorni: Violazione e/o falsa applicazione delRegolamento del Garante 2/2019 (Tabella B n. 2) e dell’art. 166, comma 5,del [OSCURATO:PERSONA]».2.1. Sostiene il Garante che il Tribunale ha errato nel ritenere che il diesa quo del termine di centoventi giorni per l’avvio del procedimentosanzionatorio coincida sostanzialmente con la data di ricezione dellanotificazione di cui all’art. 33, Reg. UE, avvenuta quanto al primo episodioil 16 maggio 2019, e che, una volta avuto riscontro a una singola richiestadi chiarimenti, il Garante non possa reiterare un approfondimento.Secondo il ricorrente, il Tribunale avrebbe dovuto dare rilievo allacomplessità dell’istruttoria espletata, in ragione della quale era stataformulata una successiva richiesta di chiarimenti in data 24 agosto 2020,nonché all’opportunità della trattazione congiunta di tutti gli elementi sinoad allora raccolti, al fine di comprendere in modo adeguato i profili diresponsabilità dell’INAIL. Osserva inoltre che solo il 19 settembre 2020,rispondendo alla richiesta di chiarimenti del 24 agosto 2020, INAIL avevariferito in ordine all’attività di audit concernente il terzo episodio ecomunicato informazioni e dati ulteriori. Dunque, la comunicazione di avviodel procedimento sanzionatorio del 4 dicembre 2020 era avvenuta entro iltermine di centoventi giorni, peraltro non perentorio.2.2. Il secondo motivo del ricorso principale è fondato.2.2.1. Come affermato da Cass., sez. I, 8 luglio 2025, n. 18583,paragrafo 2.4, ii), mentre è previsto un termine (perentorio) per l’avvio delprocedimento per l’adozione dei provvedimenti correttivi e sanzionatori,non è invece previsto, all’interno della tabella B allegata al Regolamento n.2/2019, un termine di natura perentoria per il completamento dell’attivitàNumero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/2026investigativa o preistruttoria ossia per la «chiusura dell’istruttoriapreliminare» (v. il raffronto tra gli artt. 11 e 12 del Regolamento n. 1/2019).[OSCURATO:PERSONA]. n. 18583/2025, 2.4, ii), per la chiusura dell’istruttoriapreliminare si applica l’art. 3, comma 5, del Regolamento n. 2/2019 («5.Eventuali altri procedimenti avviati e non indicati nella tabella B siconcludono nel termine stabilito da altra fonte normativa o, in mancanza,in quello di novanta giorni a decorrere dalla data di ricezione dell'istanza aisensi dell'articolo 2, comma 3, della legge 7 agosto 1990, n. 241 esuccessive modificazioni»), il quale, facendo espresso riferimento al terminedi cui all’art. 2, l. 7 agosto 1990, n. 241, «manifesta un chiaro carattereordinatorio» e tale «natura ordinatoria [...] è stata affermata dal Consigliodi Stato (cfr. Sez. VI, n. 4577/2018, che lo ha qualificato come regola dicomportamento e non di validità dell’atto) ed è confermata dall’art. 2-bisdella medesima legge che espone “le pubbliche amministrazioni alrisarcimento del danno ingiusto cagionato in conseguenza dell'inosservanzadolosa o colposa del termine di conclusione del procedimento”. La violazionedi tale termine, quindi, ha riflessi sulla legittimità del comportamento dellaP.A. e non su quella dell’atto. Questa interpretazione, del resto, soddisfal’esigenza di predeterminazione ex lege dei criteri di esercizio del potere daparte dell’amministrazione, giacché garantisce una contiguità temporale tral'accertamento dell'illecito e l'applicazione della sanzione, modula ladecorrenza del termine in relazione agli specifici interessi di volta in voltaincisi e preserva la certezza giuridica della posizione del trasgressore el'effettività del suo diritto di difesa».In questa chiave interpretativa, elaborata in relazione a un casoconfrontabile con quello ora in esame, il termine di centoventi giorniriguardante «esclusivamente» l’avvio del procedimento sanzionatorio insenso stretto volto alla (eventuale) adozione dei provvedimenti correttivi esanzionatori (art. 166, comma 5, cod. privacy, art. 12, Regolamento n.1/2019), non si riferisce all’attività istruttoria anteriore alla contestazioneNumero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/2026degli addebiti, all’istruttoria preliminare (art. 11, Regolamento n. 1/2019),disciplinata dall’art. 166, comma 4, cod. privacy.A tal proposito, Cass., sez. I, 8 luglio 2025, n. 18583, par. 2.5., pag.24, ha ritenuto non conforme alle conclusioni in diritto da essa affermate «ilconvincimento del tribunale capitolino di far decorrere il termine – benchéivi correttamente ritenuto perentorio – di centoventi giorni previsto al punto2 dell’allegato “B” del Regolamento del Garante n. 2/2019 non giàdall’effettivo accertamento delle violazioni ascritte [...], bensì dalle singolesottofasi in cui si era sviluppata la fase investigativa (o preistruttoria) nelcorso della quale il Garante, nell’esercizio dei poteri riconosciutigli dall’art.58 del Regolamento UE n. 2016/679, aveva inviato plurime richieste diinformazioni alla odierna controricorrente ricevendone le corrispondentirisposte»; dove per “effettivo accertamento delle violazioni ascritte”, ai finidell’applicazione dell’art. 166 comma 5, cod. privacy e così dell’art. 12,Regolamento n. 1/2019 (notificazione o contestazione delle violazioni, avviodel procedimento sanzionatorio in senso stretto), Cass. n. 18583/2025intende non la pura “constatazione” dei fatti o la mera «conoscenza dellapossibilità dell’esistenza dell’illecito» (pag. 25), ma «l’apprezzamentodell’esistenza dei presupposti per l’irrogazione della sanzione» (pag. 25)quantomeno in termini di probabilità, apprezzamento che può richiedere, enormalmente richiede, una «attività istruttoria e valutativa ai finidell’efficiente espletamento dell’attività sanzionatoria» (pag. 27), un«adeguato approfondimento istruttorio» (pag. 29) nell’interesse pubblico eanche nell’interesse del cittadino o delle imprese a non essere sottoposti aun procedimento sanzionatorio, di per sé afflittivo, all’esito di «accertamentifumosi e/o sbrigativi ovvero carenti dei più elementari dati utili a una difesapuntuale nel merito» (così Cass. n. 18583/2025, par. 2.6., nella parte incui ha condiviso le osservazioni del sostituto procuratore generale chemuovono dalla rilevanza dell’art. 6 CEDU e dei principi del giusto processoin relazione al procedimento sanzionatorio de quo).Numero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/2026Secondo Cass. n. 18583/2025, par. 2.5., nel giudizio di opposizione allesanzioni inflitte dall’[OSCURATO:PERSONA] garante il giudice non può sostituirsi al Garante«rispetto a valutazioni ampiamente discrezionali, proprie, invece,esclusivamente di quest’ultimo, sulle modalità di svolgimento della faseinvestigativa (o preistruttoria) anteriore all’avvio del procedimentosanzionatorio vero e proprio» ossia «nella attività di valutazione dellasufficienza dei tempi adottati e degli elementi conoscitivi utili all’emissionedella sanzione», dovendosi invece considerare, «da un lato, che, comesancito dall’art. 10 (Istruttoria preliminare), comma 4, del regolamento delGarante n. 1/2019, “al fine di promuovere l’esame organico di questioni,anche pervenute in tempi diversi, che possono rendere opportuna l’adozionedi un eventuale provvedimento di carattere generale, l’istruttoriapreliminare può essere svolta contestualmente in relazione a più reclamiaventi il medesimo oggetto o che riguardano il medesimo titolare oresponsabile del trattamento, oppure trattamenti di dati tra loro correlati”;dall’altro, che, come sancito dalla qui condivisa giurisprudenza di legittimità,«il giudice non può sostituirsi all'organo addetto al controllo nel valutarel'opportunità dell'esercizio dei poteri di indagine per riscontrare lasussistenza dell'illecito» (cfr. Cass. n. 34695 del 2023; Cass. n. 8326 del2018; Cass. n. 16642 del 2005)»Si aggiunga che l’opportunità di adottare «un eventuale provvedimentodi carattere generale» o di svolgere l’istruttoria preliminare«contestualmente in relazione a più reclami aventi il medesimo oggetto oche riguardano il medesimo titolare o responsabile del trattamento, oppuretrattamenti di dati tra loro correlati», come prevede l’art. 10, comma 4,Regolamento n. 1/2019, ben può sussistere, e trovare attuazione, ancheove pervengano al Garante più segnalazioni (art. 20, comma 2,Regolamento n. 1: «2. Nel corso dell’eventuale procedimentoamministrativo si osservano le disposizioni per i reclami di cui agli articolida 9 a 18, anche per quanto riguarda l’informativa al Collegio ai sensiNumero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/2026dell’art. 36, e al segnalante può essere fornito un riscontro») o nelle ipotesidi istruttoria avviata d’ufficio.Tale aspetto, non considerato nella sentenza impugnata, apparerilevante nel caso di specie.Inoltre, secondo Cass. n. 18583/2025, par. 2.5. (pagine 26-27),l’orientamento di legittimità in tema di sanzioni amministrative applicatedalla Consob in materia di intermediazione finanziaria, che a proposito ditardività della contestazione degli illeciti assegna rilievo alle valutazioni,caso per caso, riguardanti la complessità della materia, la particolarità dellafattispecie concreta, il contenuto e la data delle operazioni (Cass., sez. II,18 ottobre 2024, n. 27009, Cass., sez. II, 8 settembre 2019, n. 21171,Cass., sez. un., 9 marzo 2007, n. 5395), ben può trovare applicazione ancheai procedimenti sanzionatori di competenza del Garante per la protezionedei dati personali, attesa l’identità di ratio.In tal senso, Cass., sez. II, 15 ottobre 2024, n. 26766 ha così riassunto«le coordinate, normative e giurisprudenziali, dei procedimentisanzionatori: (a) è ius receptum l’estensione ai procedimenti sanzionatorifinanziari volti all’irrogazione di sanzioni amministrative dei principi sancitidalla legge n. 689 del 1981, soprattutto per quanto riguarda la scadenzaprevista per la conclusione degli stessi procedimenti; (b) nel caso dicontestazione non immediata degli addebiti agli interessati, il momentodell’accertamento (che, di per sé, presuppone un’istruttoria), in relazione alquale va collocato il termine di centottanta giorni entro il quale deve essereadottato il provvedimento motivato che applica la sanzione non coincide conil momento di acquisizione del fatto nella sua materialità da partedell’autorità che ha ricevuto il rapporto, ma va individuato nella data in cuila stessa autorità ha completato l’attività intesa a verificare la sussistenzadegli elementi oggettivi e soggettivi dell’infrazione; (c) la pura«constatazione» dei fatti nella loro materialità non coincidenecessariamente con l’«accertamento»: nell’attività di regolazione eNumero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/2026supervisione delle attività private vi sono àmbiti, come quellodell’intermediazione finanziaria, che richiedono valutazioni complesse, noneffettuabili nell’immediatezza della percezione dei fatti suscettibili ditrattamento sanzionatorio, dovendosi tenere conto della complessità dellamateria e delle particolarità del caso concreto, anche con riferimento alcontenuto e alle date delle operazioni; (d) il momento dell’accertamentodegli illeciti amministrativi in materia di intermediazione finanziaria noncoincide, necessariamente e automaticamente, né con il giorno in cuil’attività accertativa – ispettiva o commissariale – è terminata, né con quelloin cui sono stati depositati relazioni o rapporti finali degli incaricati degliaccertamenti, e neppure con la data in cui l’autorità di vigilanza ha investitoo riunito il suo organo volitivo per prendere in esame la situazione; occorre,pertanto, individuare, secondo le particolarità dei singoli casi, il momento -successivo alla conclusione delle verifiche di natura ispettiva ocommissariale - in cui ragionevolmente la constatazione avrebbe potutoessere tradotta in accertamento. È proprio da tale momento che cominciaa decorrere il termine per la contestazione dell’addebito; (e) la valutazionedell’opportunità dell’esercizio dei poteri di indagine è rimessa all’autoritàcompetente: il giudice non può sostituirsi all’organo di controllo nel valutarel’opportunità dell’esercizio dei poteri di indagine per riscontrare lasussistenza dell’illecito; (f) ciò non toglie che a tale valutazione si debbaprocedere in un tempo ragionevole e che, in sede di opposizione, al giudice,ove l’interessato abbia fatto valere il ritardo come ragione d’illegittimità delprovvedimento sanzionatorio, sia consentito di individuare il momentoiniziale del termine per la contestazione non nel giorno in cui la valutazioneè stata compiuta, ma in quello in cui avrebbe potuto e, quindi, dovutoesserlo. La ricostruzione e l’apprezzamento delle circostanze di fatto inerentiai tempi occorrenti per la contestazione e alla congruità del tempo utilizzatoin relazione alla difficoltà del caso sono rimessi al giudice di merito, il qualedeve limitarsi a rilevare se vi sia stata un’ingiustificata e protratta inerziaNumero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/2026durante o dopo la raccolta dei dati di indagine, prendendo in considerazione:(i) la sussistenza di esigenze di economia che inducano a raccogliereulteriori elementi a dimostrazione di altre violazioni rispetto a quelleaccertate; (ii) l’interesse dell’amministrazione a pervenire all’accertamentocomplessivo di tutti gli aspetti di vicende che possono essere anche moltocomplesse e svilupparsi in periodi temporali non brevi (e le responsabilitàdi tutti coloro che in tali vicende possano essere a diverso titolo coinvolti)mediante un’attività istruttoria unitaria, tesa a cogliere la portatacomplessiva della violazione, pur quando essa si articoli in condotte diverse,riferibili a soggetti diversi, e non contigue nel tempo e nello spazio;interesse che va salvaguardato dal rischio che l’efficacia delle indaginidell’autorità di vigilanza venga posta a repentaglio da una discoveryprematura, che consegua alla parcellizzazione dei risultati dell’indagine inuna pluralità di contestazioni relative alle singole posizioni, atomisticamenteconsiderate, dei soggetti coinvolti; (iii) che la valutazione della superfluitàdegli atti di indagine deve essere svolta con giudizio ex ante, ossiaprendendo in considerazione l’utilità potenziale delle ulteriori iniziativeistruttorie e non già i concreti esiti che tali iniziative abbiano effettivamenteprodotto, restando irrilevante la loro inutilità ex post».Tra le altre, Cass., sez. II, ord. 9 dicembre 2015, n. 32020, ha ribaditoche la decorrenza del termine per la tempestiva contestazione degli illecitida parte di Consob va individuata in relazione al momento in cui l'autoritàacquisisce «una conoscenza effettiva e completa degli elementi costitutividella condotta sanzionabile» con riguardo a tutti gli elementi, oggettivi esoggettivi, dell’infrazione, non coincidente con la mera constatazionemateriale dei fatti, né con la semplice ricezione di rapporti ispettivi.Cass., sez. II, ord. 17 aprile 2024, n. 10348 ha affermato che iprocedimenti sanzionatori bancari di competenza della Banca d’Italia sonotemporalmente soggetti solo al termine quinquennale di prescrizione dellapretesa punitiva previsto dal citato art. 28, l. n. 689/1981 e non a terminiNumero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/2026ulteriori di decadenza e/o perenzione, mentre in ordine alla contestazionedegli illeciti ha richiamato l’orientamento secondo cui il relativo terminedecorre dall’accertamento, non necessariamente coincidente né con quellodella mera constatazione dei fatti nella loro materialità né con quello in cuile relazioni o i rapporti finali degli incaricati degli accertamenti siano statidepositati o comunque messi a disposizione degli organi dell'autorità disupervisione competenti al relativo esame.Infine, Cass. n. 18583/2025, par. 2.7., ha ritenuto sovrapponibili al casosottoposto al suo esame le coordinate ermeneutiche tracciate dalle due giàrichiamate sentenze, entrambe in data 30 gennaio 2025, nelle cause C-510/23 e C-511/23, rilevando che la Corte di giustizia dell’Unione europeaha messo in evidenza come un’interpretazione eccessivamente formalisticae rigida delle disposizioni sui termini procedimentali comporta, da un lato,il rischio di un’ingerenza nell’indipendenza e nella neutralità operativadell’[OSCURATO:PERSONA] di vigilanza e garanzia e, dall’altro, il rischio sistemico diimpunità a beneficio dei trasgressori qualora l’istruttoria sia caratterizzatada elevata complessità (punti 65 e 66 della sentenza C-510/23).In effetti, nelle due sentenze gemelle la Corte di Lussemburgo, oltre arilevare che nella fase preliminare l’[OSCURATO:PERSONA] gode di un «ampio marginediscrezionale» in funzione di una migliore tutela degli interessi in gioco edell’efficienza complessiva della sua azione, osserva che il principio dellacertezza del diritto e la garanzia del diritto di difesa richiedono che ladefinizione dei procedimenti sanzionatori avvenga entro un termineragionevole, purché ciò non comprometta l’effettiva attuazione delladirettiva né pregiudichi le esigenze di tutela, in quel caso, dei consumatori.2.2.2. La sentenza impugnata non è conforme ai principi enunciati daCass., sez. I, 8 luglio 2025, n. 18583 e agli altri rilievi sopra formulati,avendo ritenuto tardiva, rispetto al termine di centoventi giorni, lanotificazione o comunicazione della contestazione riguardante il primoepisodio di data breach (segnalato da Inail al Garante con notificazione delNumero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/202616 maggio 2019 integrata il 3 luglio 2019: così si legge nel paragrafo 1,pagina 1) avvenuta il 3-4 dicembre 2020, ossia «ben oltre il termineconsentito», non interrotto dalla richiesta di chiarimenti del 24 agosto 2020relativa a tutti e tre gli episodi, «giacché essa era già, a sua volta, tardivarispetto al termine in cui sarebbe dovuta intervenire una contestazioneformale».In sostanza, il Tribunale ha ravvisato la tardività della notificazione (ocomunicazione) della contestazione del 3-4 dicembre 2020 senzaconsiderare la richiesta di chiarimenti da parte del Garante del 24 agosto2020 né la risposta di INAIL, «verosimilmente» data il 19 settembre 2020,e ciò ha fatto - in consapevole contrasto con «la giurisprudenza, siaordinaria che amministrativa, [..] concorde nell’individuare il dies a quo nongià nel momento in cui l’autorità viene a conoscenza “del fattoipoteticamente sanzionabile nella sua materialità” bensì in quello successivo(e però, occorre sottolineare, del tutto incerto, al limite del puro arbitrio) incui essa acquista “piena conoscenza della condotta illecita; conoscenza asua volta implicante il riscontro, anche ai fini di una corretta formulazionedella contestazione, dell'esistenza e della consistenza dell'infrazione e deisuoi effetti” [...]») (par. 15) - sul presupposto, enunciato in termini generalinel par. 17, secondo cui, ritenuto fallace il richiamato orientamentogiurisprudenziale (par. 16), «[a]ppare insomma evidente che lacontestazione formale di una violazione debba necessariamente intervenirenelle primissime fasi dell’indagine su una condotta illegittima che deveessere ancora meramente ipotetica, e non nella sua fase conclusiva, quandoormai gli accertamenti sono sostanzialmente conclusi e gli elementi a caricosono già acquisiti. E questo perché al soggetto passivo del procedimentosanzionatorio dev’essere data la più ampia facoltà di partecipare, infunzione difensiva, anche all’attività d’indagine» (par. 17, pag. 6).Ne consegue, in accoglimento del secondo motivo del ricorso principale,la cassazione della sentenza impugnata e il rinvio al Tribunale di Roma.Numero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/20263. Passando al ricorso incidentale di INAIL si osserva quanto segue.3.1. Col primo motivo si deduce «Violazione e non correttaapplicazione dell’art. 166 del D.lgs. n.196/2003, nonché della [OSCURATO:PERSONA] al Regolamento del Garante n.2/2019 (Tabella B n.2) ex art.360,comma 1, n. 3, c.p.c., con riferimento alla decorrenza del termine dei 120giorni. Mancato esame di un fatto decisivo per il giudizio oggetto didiscussione fra le parti ex art. 360 n. 5 c.p.c.».Lamenta il controricorrente che il provvedimento sanzionatorio sia statoemesso solo il 28 aprile 2022, quando il termine di centoventi giorni eraormai decorso anche per il terzo episodio.Premesso che il controricorrente confonde il termine per lacontestazione degli addebiti con quello per la definizione del procedimentosanzionatorio in senso stretto, il motivo è inammissibile perché relativo auna questione sollevata per la prima volta col ricorso per cassazione.3.2. Col secondo motivo si deduce, in relazione all’art. 360, comma1, n. 3, c.p.c., la «Violazione e falsa applicazione art. 83 del GDPR -Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27aprile 2016 relativo alla protezione delle persone fisiche con riguardo altrattamento dei dati personali, recepito in Italia con il D. Lgs. 10 agosto2018, n. 101» per aver il Tribunale liquidato in poche righe l’esame dellaquestione relativa alla fondatezza o meno dell’applicazione della sanzioneper il terzo episodio, senza aver considerato che il ragionamento svolto dalgarante nel provvedimento impugnato conteneva in realtà solo «una pseudomotivazione» e non aveva motivato in ordine a una serie di elementirinvenibili nell’art. 83, Reg. UE.Il motivo è inammissibile, prima ancora che in ragione della suagenericità, perché è volto a censurare il provvedimento amministrativosanzionatorio e non la sentenza impugnata, con la motivazione della qualenon si confronta.Numero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/20263.3. Col terzo motivo si deduce «Mancata considerazione dicircostanze decisive evidenziate dalle parti ex art. 360 n. 5, c.p.c., emancata corrispondenza fra chiesto e pronunciato, in violazione dell’art. 112c.p.c. ex art. 360, n. 4, c.p.c. con particolare riferimento alla responsabilitàdi terzi e alla non piena imputabilità e responsabilità dell’[OSCURATO:PERSONA], e mancatapronuncia sulle richieste istruttorie».Il motivo è inammissibile perché non individua con precisione, e dunquenon ne mette in luce la decisività, il fatto storico il cui esame sarebbe statoomesso, perché si limita a contestare la valutazione del Tribunale in ordinealla sufficienza degli elementi di prova raccolti e perché sollecita un riesamedegli elementi di fatto riservato al giudice di merito.3.4. Col quarto motivo si deduce la «Mancata considerazione dicircostanze decisive evidenziate dalle parti, con particolare riferimento alladiversa misura della sanzione applicata in fattispecie similari, ex art. 360 n.5, c.p.c.».Il motivo è assorbito dall’accoglimento del secondo motivo del ricorsoprincipale.4. In conclusione, infondato il primo motivo del ricorso principale,mentre quanto al ricorso incidentale i primi tre motivi sono inammissibili eil quarto assorbito, all’accoglimento unicamente del secondo motivo delricorso principale consegue la cassazione della sentenza impugnata e ilrinvio al Tribunale di Roma, in persona di magistrato diverso da quello cheha pronunciato la sentenza impugnata, per un nuovo esame e per laliquidazione delle spese anche del giudizio di legittimità. P.Q.MRigetta il primo motivo del ricorso principale; dichiara, quanto al ricorsoincidentale, inammissibili i primi tre motivi e assorbito il quarto; inaccoglimento unicamente del secondo motivo del ricorso principale neitermini di cui in motivazione, cassa la sentenza impugnata e rinvia alTribunale di Roma, in persona di magistrato diverso da quello che haNumero registro generale 13434/2025Numero sezionale 32/2026Numero di raccolta generale 24998/2026Data pubblicazione 04/09/2026pronunciato la sentenza impugnata, per un nuovo esame e per laliquidazione delle spese anche del giudizio di legittimità.Così deciso in Roma, nella camera di consiglio dell’8 gennaio 2026La PresidenteMaria Acierno