La Cassazione “ferma il cronometro” del Garante Privacy: senza termini certi il potere punitivo si consuma (caso Report–Siri)

Un’Authority può chiedere rigore a tutti, ma non può permettersi l’eternità per sé.

La Corte di Cassazione, con sentenza n. 759/2025 decisa il 16 dicembre 2025, ha respinto i ricorsi collegati al contenzioso tra RAI, Garante per la protezione dei dati personali e Armando Siri sul caso Report–Presa Diretta. Il cuore della pronuncia non è “se” un’inchiesta sia legittima, ma “quando” un’Authority può colpire: il potere sanzionatorio deve stare dentro termini perentori. Se l’Autorità sfora, quel potere si consuma.

La vicenda nasce dal reclamo presentato da Siri nel novembre 2020 per la diffusione in tv di due e-mail mostrate in servizi di Presa Diretta (28 settembre 2020) e Report (26 ottobre 2020). Nel luglio 2023 il Garante aveva dichiarato fondato il reclamo e disposto il divieto di ulteriore diffusione delle e-mail, oltre a un ammonimento alla RAI. Il Tribunale di Roma aveva annullato quel provvedimento; la Cassazione ora conferma l’impostazione: niente potere punitivo “senza scadenza”.

Il punto vero: il tempo non è un dettaglio, è garanzia

La Cassazione mette nero su bianco un principio che vale oltre questa storia: la pubblica amministrazione non può esercitare una potestà punitiva senza un confine temporale certo. Perché? Perché un procedimento che dura anni, anche prima della decisione finale, diventa esso stesso una punizione: logora il diritto di difesa, altera la certezza del diritto e crea un effetto “cappa” su chi è sottoposto al controllo.

Nel caso specifico, la Corte ricostruisce due fasi distinte: una fase preistruttoria (investigativa) e una fase sanzionatoria “in senso stretto”. Il confine non è teorico: è il momento in cui l’Autorità contesta formalmente le presunte violazioni e avvia il procedimento per adottare misure e sanzioni. Da lì, scatta un termine perentorio previsto dal regolamento interno dell’Autorità: 120 giorni. Se si va oltre, il potere decade nei fatti: non si può più colpire.

Cosa dice la sentenza: 120 giorni, non “quando capita”

La Cassazione richiama la propria giurisprudenza recente e un passaggio decisivo: la predefinizione di un limite temporale per l’emissione di una sanzione è una garanzia che discende da principi costituzionali, non un vezzo procedurale. Nel linguaggio della sentenza, se manca un termine finale, l’Authority finisce in una posizione ingiustificatamente privilegiata rispetto ai cittadini e ai soggetti controllati, con un potere che può restare “appeso” per anni.

Applicato ai fatti: dopo il reclamo del 25 novembre 2020, il Garante avvia interlocuzioni e acquisizioni; poi comunica l’avvio del procedimento sanzionatorio nell’agosto 2021. Da quel momento (e, tecnicamente, dalla contestazione formale), la finestra dei 120 giorni porta la scadenza tra novembre e dicembre 2021. Ma la misura finale arriva soltanto nel luglio 2023. Troppo tardi: oltre qualunque logica di tempestività.

La Corte fa anche pulizia di un equivoco: corregge il ragionamento del giudice di merito nella parte in cui aveva agganciato la perentorietà a un termine “auto-assegnato” più ampio. Ma è una correzione tecnica che non cambia l’esito: anche col termine corretto dei 120 giorni, l’Authority è fuori tempo massimo.

Il contenuto del provvedimento del Garante: divieto e ammonimento

Nel provvedimento del luglio 2023, il Garante dichiara il reclamo fondato e qualifica come illecito il trattamento legato alla diffusione delle e-mail, disponendo il divieto di ulteriore diffusione e un ammonimento alla RAI. La motivazione ruota attorno alla tutela della corrispondenza, al bilanciamento con il diritto di cronaca e al principio di essenzialità dell’informazione in ambito giornalistico.

Qui sta il cortocircuito istituzionale che interessa tutti: un’Authority può arrivare a incidere su ciò che resta accessibile al pubblico (un divieto di ulteriore diffusione), ma se lo fa dopo anni, quel potere non è più “garanzia” di diritti. È un meccanismo che rischia di trasformarsi in minaccia permanente: oggi colpisce una redazione, domani può colpire chiunque.

Tradotto: cosa cambia davvero per chi legge, non per chi comanda

La privacy resta un diritto serio, ma anche il diritto a non essere “processati” per anni da un’Authority lo è. La Cassazione dice: se lo Stato (anche nella forma di un’Autorità indipendente) vuole punire o imporre misure correttive, deve farlo entro tempi certi. Altrimenti il cittadino, l’azienda o la redazione restano sotto una spada di Damocle che costa avvocati, energie, paura e autocensura.

Tradotto ancora: non è un favore ai giornalisti e non è un “liberi tutti”. È un freno al potere senza scadenza. E quando un potere può incidere su cosa si può diffondere e cosa no, quel freno è una garanzia per ogni cittadino che, domani, potrebbe finire in un procedimento per un post, un video, una segnalazione o un’inchiesta locale.

Il nodo “watchdog”: un’Authority forte sì, ma controllabile

Il punto è semplice e scomodo: il Garante Privacy è un’Autorità con funzioni cruciali e, per essere credibile, deve essere anche disciplinata dal diritto che applica. Se la regola è “tempi certi” per chi è controllato, la regola deve valere anche per chi controlla. Altrimenti la tutela dei diritti diventa selettiva: rigorosa con i deboli, elastica con chi ha il timbro.

Ed è qui che la sentenza diventa politica nel senso più alto del termine: non perché favorisca un partito o una parte, ma perché mette un limite a un potere amministrativo che, se non recintato, può comprimere diritti fondamentali senza una decisione rapida e verificabile.

Il contesto che “pesa”: l’Authority sotto i riflettori di Report

Questa pronuncia arriva mentre il Garante è finito al centro di un conflitto pubblico con Report e di un dibattito sulla sua indipendenza. Secondo ricostruzioni giornalistiche, la trasmissione ha dedicato servizi ai costi dell’Autorità, alle spese di rappresentanza e a possibili conflitti di interessi o rapporti politici che, anche solo come percezione, intaccano la fiducia nell’arbitro. È un contesto che non prova colpe, ma aumenta la domanda di trasparenza e di regole stringenti.

In sostanza: quando un’Authority che può sanzionare e imporre divieti viene descritta da un’inchiesta come esposta a dinamiche di amichettismo o vicinanze, la risposta istituzionale non può essere “ci fidiamo”. Deve essere “ci sono controlli, ci sono limiti, ci sono tempi, e valgono sempre”. La sentenza della Cassazione si inserisce esattamente qui: richiama l’Authority a un perimetro verificabile, non a una fiducia in bianco.

Come finisce in Cassazione: rigetti e spese compensate

Sul piano tecnico, la Corte rigetta sia il ricorso principale sia quello incidentale e dispone la compensazione integrale delle spese tra tutte le parti, citando anche la novità della questione e il fatto che alcuni principi sono stati chiariti in modo definitivo solo successivamente. Il messaggio però resta: il potere punitivo senza una scadenza diventa incompatibile con certezza e difesa.

Cosa sappiamo: la Cassazione conferma che il termine dei 120 giorni nella fase sanzionatoria è perentorio e che, se superato, il potere dell’Authority si consuma; nel caso Report–Siri il provvedimento del luglio 2023 arriva troppo tardi.

Cosa non sappiamo: quanto questa linea verrà applicata in modo uniforme nei procedimenti futuri e se l’Authority modificherà prassi interne per evitare che la “durata” diventi un’arma indiretta.

Cosa aspettarci: più ricorsi fondati sul tema dei termini e, soprattutto, una pressione crescente perché il Garante renda più trasparenti tempi, criteri e responsabilità, specie quando le decisioni toccano informazione e diritto di cronaca.