Con l’ordinanza n. 24998/2026 la I° Sezione Civile della Suprema Corte interviene sul caso Garante c. INAIL relativo ai tre data breach dello “Sportello virtuale lavoratori”, confermando la natura perentoria del termine di 120 giorni per l’avvio del procedimento sanzionatorio ma correggendone il dies a quo: non la notifica della violazione, bensì il momento dell’effettivo accertamento, comprensivo dell’attività istruttoria necessaria a verificarne consistenza ed elementi costitutivi. Per approfondimenti in materia, segnaliamo, con piacere, l’uscita della seconda edizione del “Formulario commentato della privacy”, acquistabile cliccando su Shop Maggioli o su Amazon.
Formulario commentato della privacy
La nuova edizione dell’opera affronta con taglio pratico gli aspetti sostanziali e procedurali del trattamento dei dati personali alla luce delle nuove sfide poste dall’evoluzione normativa e tecnologica degli ultimi due anni. La disciplina di riferimento è commentata tenendo conto dei rilevanti interventi a livello europeo e nazionale (tra cui le Linee Guida EDPB, i regolamenti AI Act e DORA, l’attuazione della direttiva NIS 2), offrendo al Professionista una guida completa e aggiornata.
Il libro è suddiviso in tredici sezioni, che coprono ogni aspetto della materia e tutti gli argomenti sono corredati da oltre 100 formule e modelli. Tra le novità più rilevanti:
• Connessioni tra il nuovo AI Act e il GDPR, differenze tra FRIA e DPIA, valutazione dei rischi e incidenti
• Gestione del personale: smart working, telelavoro e whistleblowing
• Strumenti di monitoraggio: controlli a distanza dei lavoratori, cloud computing e gestione degli strumenti informatici in azienda
• Tutela degli interessati: una guida completa su profilazione, processi decisionali automatizzati e sull’esercizio dei diritti
• Strumenti di tutela: sanzioni, reclami, segnalazioni e ricorsi al Garante.
Giuseppe Cassano
Direttore del Dipartimento di Scienze Giuridiche della European School of Economics della sede di Roma e Milano, ha insegnato Istituzioni di Diritto Privato nell’Università Luiss di Roma. Avvocato cassazionista. Studioso dei diritti della persona, del diritto di famiglia, della responsabilità civile e del diritto di Internet, ha pubblicato oltre trecento contributi in tema, fra volumi, trattati, voci enciclopediche, note e saggi.
Enzo Maria Tripodi
attualmente all’Ufficio legale e al Servizio DPO di Unioncamere, è un giurista specializzato nella disciplina della distribuzione commerciale, nella contrattualistica d’impresa, nel diritto delle nuove tecnologie e della privacy, nonché nelle tematiche attinenti la tutela dei consumatori. È stato docente della LUISS Business School e Professore a contratto di Diritto Privato presso la facoltà di Economia della Luiss-Guido Carli. Ha insegnato in numerosi Master post laurea ed è autore di oltre quaranta monografie con le più importanti case editrici.
Cristian Ercolano
Partner presso Theorema Srl - Consulenti di direzione, con sede a Roma; giurista con circa 20 anni di esperienza nell’applicazione della normativa in materia di protezione dei dati personali e più in generale sui temi della compliance e sostenibilità. Ricopre incarichi di Responsabile della Protezione dei Dati, Organismo di Vigilanza e Organismo Indipendente di Valutazione della performance presso realtà private e pubbliche. Autore di numerosi contributi per trattati, opere collettanee e riviste specialistiche sia tradizionali che digitali, svolge continuativamente attività didattica, di divulgazione ed orientamento nelle materie di competenza.
Leggi descrizione
Giuseppe Cassano, Enzo Maria Tripodi, Cristian Ercolano, 2025, Maggioli Editore
62.00 €
58.90 €
Formulario commentato della privacy
La nuova edizione dell’opera affronta con taglio pratico gli aspetti sostanziali e procedurali del trattamento dei dati personali alla luce delle nuove sfide poste dall’evoluzione normativa e tecnologica degli ultimi due anni. La disciplina di riferimento è commentata tenendo conto dei rilevanti interventi a livello europeo e nazionale (tra cui le Linee Guida EDPB, i regolamenti AI Act e DORA, l’attuazione della direttiva NIS 2), offrendo al Professionista una guida completa e aggiornata.
Il libro è suddiviso in tredici sezioni, che coprono ogni aspetto della materia e tutti gli argomenti sono corredati da oltre 100 formule e modelli. Tra le novità più rilevanti:
• Connessioni tra il nuovo AI Act e il GDPR, differenze tra FRIA e DPIA, valutazione dei rischi e incidenti
• Gestione del personale: smart working, telelavoro e whistleblowing
• Strumenti di monitoraggio: controlli a distanza dei lavoratori, cloud computing e gestione degli strumenti informatici in azienda
• Tutela degli interessati: una guida completa su profilazione, processi decisionali automatizzati e sull’esercizio dei diritti
• Strumenti di tutela: sanzioni, reclami, segnalazioni e ricorsi al Garante.
Giuseppe Cassano
Direttore del Dipartimento di Scienze Giuridiche della European School of Economics della sede di Roma e Milano, ha insegnato Istituzioni di Diritto Privato nell’Università Luiss di Roma. Avvocato cassazionista. Studioso dei diritti della persona, del diritto di famiglia, della responsabilità civile e del diritto di Internet, ha pubblicato oltre trecento contributi in tema, fra volumi, trattati, voci enciclopediche, note e saggi.
Enzo Maria Tripodi
attualmente all’Ufficio legale e al Servizio DPO di Unioncamere, è un giurista specializzato nella disciplina della distribuzione commerciale, nella contrattualistica d’impresa, nel diritto delle nuove tecnologie e della privacy, nonché nelle tematiche attinenti la tutela dei consumatori. È stato docente della LUISS Business School e Professore a contratto di Diritto Privato presso la facoltà di Economia della Luiss-Guido Carli. Ha insegnato in numerosi Master post laurea ed è autore di oltre quaranta monografie con le più importanti case editrici.
Cristian Ercolano
Partner presso Theorema Srl - Consulenti di direzione, con sede a Roma; giurista con circa 20 anni di esperienza nell’applicazione della normativa in materia di protezione dei dati personali e più in generale sui temi della compliance e sostenibilità. Ricopre incarichi di Responsabile della Protezione dei Dati, Organismo di Vigilanza e Organismo Indipendente di Valutazione della performance presso realtà private e pubbliche. Autore di numerosi contributi per trattati, opere collettanee e riviste specialistiche sia tradizionali che digitali, svolge continuativamente attività didattica, di divulgazione ed orientamento nelle materie di competenza.
Tre data breach e una sanzione da 50.000 euro
Il caso origina da tre distinte violazioni di dati personali che l’INAIL aveva notificato al Garante per la protezione dei dati personali, ai sensi dell’art. 33 del Regolamento (UE) 2016/679, tra il 2019 e il 2020. Le violazioni riguardavano il servizio online “Sportello virtuale lavoratori”, tramite cui alcuni utenti, nel consultare la propria posizione, erano riusciti a visualizzare, e in un caso a scaricare in formato pdf, oltre che fotografare tramite screenshot, dati personali, anche sensibili, relativi a ulteriori soggetti.
Le tre notifiche erano pervenute al Garante rispettivamente il 16 maggio 2019 (integrata il 3 luglio 2019), il 29 novembre 2019 e il 24 aprile 2020. L’Autorità aveva richiesto informazioni sul primo episodio il 3 giugno 2019 e sugli altri due il 6 maggio 2020, ricevendo tempestivi riscontri da INAIL. Solamente il 24 agosto 2020 il Garante aveva chiesto aggiornamenti complessivi sulle azioni intraprese a seguito delle segnalazioni, ottenendo risposta da INAIL verosimilmente il 19 settembre 2020.
La contestazione formale delle violazioni degli artt. 5, 6 e 9 del GDPR, come pure degli artt. 2-ter e 2-sexies del Codice privacy, è stata notificata il 3-4 dicembre 2020. Il 28 aprile 2022 il Garante ha adottato il provvedimento sanzionatorio n. 147, relativo al primo e al terzo episodio (il secondo era stato ritenuto irrilevante, riguardando soggetti non identificati né identificabili), irrogando una sanzione pecuniaria di 50.000 euro, con pubblicazione sul website dell’Autorità e annotazione nel registro interno.
INAIL ha impugnato il provvedimento davanti al Tribunale di Roma, che con sentenza resa nel 2024 lo ha parzialmente annullato: quanto al primo episodio, per superamento del termine di 120 giorni dall’accertamento della violazione previsto dalla Tabella B allegata al Regolamento del Garante n. 2/2019; quanto al terzo episodio, rideterminando la sanzione in 20.000 euro anziché 50.000, in ragione della tempestiva segnalazione e della pronta risoluzione del problema da parte dell’Istituto.
Potrebbe interessarti:
Primo motivo di ricorso, natura del termine di 120 giorni
Il Garante ha impugnato la decisione in Cassazione con due motivi.
Col primo, sostenendo, anche richiamando la sentenza della Corte Costituzionale n. 151/2021 e l’arrêt della Corte di giustizia UE del 30 gennaio 2025 nella causa C-510/23 (Trenitalia c. AGCM), che il termine di 120 giorni dalla chiusura dell’istruttoria preliminare per la notifica della contestazione non potesse essere qualificato come perentorio, in assenza di un’espressa previsione di legge in tal senso.
La Suprema Corte ha respinto il motivo, richiamando un proprio precedente (Cass. n. 18583/2025, Garante c. Enel Energia).
L’ordinanza ricostruisce con cura la distinzione, propria della disciplina di settore (d.lgs. n. 196/2003 e Regolamento UE 2016/679, unitamente ai Regolamenti interni del Garante nn. 1/2019 e 2/2019), tra due fasi distinte:
- da un lato l’istruttoria preliminare (o “fase investigativa/preistruttoria”, art. 166, comma 4, Codice privacy), avente funzione meramente istruttoria e priva di termini perentori per la sua conclusione;
- dall’altro il procedimento sanzionatorio in senso stretto, che si avvia con la notifica al titolare del trattamento delle “presunte violazioni” (art. 166, comma 5, Codice privacy) e che apre la fase del contraddittorio con l’interessato.
Secondo la Corte, è proprio il termine per l’avvio di quest’ultimo procedimento, i 120 giorni previsti dalla Tabella B allegata al Regolamento n. 2/2019, ad avere natura perentoria, in ragione delle esigenze di certezza giuridica e di effettività del diritto di difesa.
Diversamente, il termine di 90 giorni previsto in via residuale dall’art. 3, comma 5, del medesimo Regolamento per la chiusura dell’istruttoria preliminare ha carattere meramente ordinatorio, sulla scia di quanto già affermato dal Consiglio di Stato (sez. VI, n. 4577/2018) con riferimento all’art. 2 della legge 241/1990.
Secondo motivo, quando decorre il termine per contestare la violazione
È sul secondo motivo, tuttavia, che si gioca l’esito del giudizio. Il Garante ha censurato la pronuncia di merito per aver fatto decorrere il termine di 120 giorni dalla data di ricezione della notifica del data breach ai sensi dell’art. 33 del GDPR, senza considerare la complessità dell’istruttoria svolta né la richiesta di chiarimenti del 24 agosto 2020.
La Cassazione ha accolto il motivo, ribadendo il principio già espresso nella sentenza Enel Energia: l’”accertamento della violazione”, da cui decorre il termine per la contestazione, non coincide con la mera “constatazione” dei fatti nella loro materialità, né con la conoscenza della semplice possibilità dell’esistenza dell’illecito.
Esso richiede invece l’apprezzamento, quantomeno in termini di probabilità, dell’esistenza dei presupposti per l’irrogazione della sanzione, apprezzamento che normalmente presuppone un’attività istruttoria e valutativa. Il giudice di merito, in altre parole, non può sostituirsi al Garante nel valutare l’opportunità e la sufficienza dei tempi impiegati nell’esercizio dei poteri di indagine.
L’ordinanza richiama a questo proposito anche la giurisprudenza consolidata in materia di sanzioni Consob e Banca d’Italia (tra cui Cass. n. 26766/2024 e n. 10348/2024), che valorizza, in sede di verifica della tempestività della contestazione, la complessità della materia, la particolarità del caso concreto e l’interesse a un accertamento complessivo e unitario dei fatti, specie quando questi si sviluppino in condotte diverse e non contigue nel tempo.
Applicando questi principi al caso di specie, la Corte ha ritenuto che il Tribunale di Roma avesse errato nel non tenere conto, ai fini del computo del termine, della richiesta di chiarimenti del 24 agosto 2020 e della relativa risposta di INAIL, verosimilmente resa il 19 settembre 2020: elementi che avrebbero potuto spostare in avanti il momento dell’effettivo accertamento della violazione, rendendo tempestiva la contestazione formale del 3-4 dicembre 2020.
Il ricorso incidentale di INAIL e l’esito del giudizio
Quanto al ricorso incidentale proposto da INAIL, articolato in quattro motivi, la Corte ne ha dichiarati inammissibili i primi tre:
- il primo perché sollevava per la prima volta in Cassazione una questione (la tardività della contestazione anche per il terzo episodio) mai posta nei gradi di merito;
- il secondo perché diretto a censurare direttamente il provvedimento amministrativo sanzionatorio anziché la sentenza impugnata;
- il terzo per difetto di specificità nell’individuazione del fatto storico decisivo asseritamente omesso.
Il quarto motivo, relativo alla presunta disparità di trattamento sanzionatorio rispetto a fattispecie analoghe, è stato dichiarato assorbito.
In conclusione, la Suprema Corte ha rigettato il primo motivo del ricorso principale del Garante, dichiarato inammissibili i primi tre motivi del ricorso incidentale di INAIL e assorbito il quarto, e ha accolto il secondo motivo del ricorso principale, cassando la sentenza impugnata con rinvio al Tribunale, in diversa composizione, anche per la liquidazione delle spese del giudizio di legittimità.
Il giudice del rinvio dovrà pertanto rivalutare la tempestività della contestazione del primo episodio di data breach applicando il corretto criterio di individuazione del dies a quo, tenendo conto dell’intera sequenza istruttoria intercorsa tra il Garante e INAIL, inclusa la richiesta di chiarimenti dell’agosto 2020.
