1. Il primo motivo di ricorso è così rubricato: Violazione dell’art. 18 d. lgs. n. 101/2018 in combinato disposto con l’art. 10, comma 3, del d. lgs. 150/2011 nella mancata declaratoria di inammissibilità del ricorso, in relazione all’art. 360 comma 1 n. 3 c.p.c. .

Si deduce che, in virtù dell’art. 10, comma 3, del d.lgs. n. 150/2011, il ricorso avverso i provvedimenti del Garante è proposto, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento (art. 152 comma 1-bis del Codice). Tuttavia, ai sensi dell’art. 18 del d.lgs. n. 101/2018, in vigore dal 19 settembre 2018, è stata introdotta la possibilità di pagare i 2/5 della sanzione prevedendo, altresì, in mancanza del pagamento in misura ridotta, un effetto di conversione della contestazione di violazione amministrativa in ordinanza-ingiunzione.

Tale effetto poteva essere inibito dal contravventore ove questi avesse prodotto “memorie difensive ai sensi del comma 4” dell’art. 18, ossia nuove memorie difensive (rispetto a quelle eventualmente presentate in precedenza) entro 60 giorni dalla scadenza del termine per il pagamento della sanzione in misura agevolata.

I contravventori, dunque, potevano esercitare il diritto a far proseguire i procedimenti sanzionatori oggetto di definizione agevolata, presentando nuove memorie difensive a partire dall’entrata in vigore del d.lgs. n. 101/2018 ed entro il termine del 16 febbraio 2019 (in un arco temporale pari a 150 giorni, che è ben più ampio del termine di 30 giorni previsto dall’art. 18 della legge n. 689/1981).

Il procedimento sanzionatorio nei confronti della società rientrava nel campo di applicazione del richiamato art. 18, in quanto alla data di applicazione del Regolamento (UE) 2016/679 tale procedimento non risultava ancora definito con l’adozione dell’ordinanza-ingiunzione (art. 18, comma 1, cit.)

La Società (OMISSIS) non aveva definito in via agevolata il procedimento sanzionatorio entro il termine del 18 dicembre 2018 (come previsto dall’art. 18, comma 1, d.lgs. n. 101/2018), né aveva presentato nuove memorie difensive entro il 19 febbraio 2019 (come previsto dal comma 4 dello stesso art. 18).

L’atto di contestazione immediata di cui all’art. 14 della legge 24 novembre 1981, n. 689 per il caso di specie notificato il 26.6.2014 aveva assunto così ex lege il “valore dell’ordinanza ingiunzione […] senza obbligo di ulteriore notificazione” (ex art. 18, comma 3, d. lgs. 101/2018). Pertanto, il dies a quo da cui decorrevano (e sono decorsi) i 30 giorni per impugnare l’ordinanza-ingiunzione era il 18 dicembre 2018 (novanta giorni dall’entrata in vigore del d. lgs. n. 101/2018) e l’ordinanza-ingiunzione poteva essere utilmente impugnata entro il 17 gennaio 2019, mentre il ricorso risultava essere stato depositato nella cancelleria dell’adito Tribunale tardivamente il 3 gennaio 2020, di talché avrebbe dovuto essere dichiarato inammissibile.

2. Il secondo motivo di ricorso è così rubricato: falsa applicazione dell’art. 1, comma 2, della l. n. 689/1981 e dell’art. 2 c.p. in combinato disposto con gli artt. 13 e 161 d.lgs. n. 196/2003 in relazione all’art. 360, comma 1, n. 3 c.p.c..

Con esso si censura la sentenza impugnata per avere ritenuto doversi fare applicazione del principio del favor rei in luogo di quello del tempus regit actum.

Le ricorrenti sostengono che, invero, in materia di sanzioni amministrative trova applicazione, ai sensi dell’art. 1, comma 2, della legge 24 novembre 1981 n. 689, il principio generale del “tempus regit actum” (si richiamano Cass. civ. n. 28888 del 12 novembre 2018, n. 258 del 14 gennaio 2018).

A differenza di quanto previsto per i reati dall’art. 2 c.p., l’illecito amministrativo va assoggettato, infatti, alla legge del tempo del suo verificarsi (nella fattispecie, in data anteriore al maggio 2016) con conseguente inapplicabilità della disciplina posteriore, anche quando la stessa dovesse essere più favorevole nonché abrogatrice della fattispecie precedentemente sanzionata (si citano Cass. S.U. n.22407/2018; Cass. n. 33047/2018; Cass. n. 1105/2012).

2.1. I primi due motivi di ricorso sono fondati.

2.1.1. Con riferimento al primo si osserva che il d.lgs. n. 101 del 2018 ha riformato il d.lgs. 30 giugno 2003, n. 196, per il necessario adeguamento dell’ordinamento nazionale al regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE.

La riforma ha riguardato anche gli illeciti amministrativi e le relative sanzioni. In tale occasione l’art. 18 del suddetto d.lgs. n. 101 del 2018 ha previsto, tra le norme transitorie, la possibilità di essere ammessi al pagamento in misura ridotta di un somma pari a due quinti del minimo edittale per i procedimenti sanzionatori riguardanti le violazioni di cui agli articoli 161, 162, 162-bis, 162-ter, 163, 164, 164-bis, comma 2, del Codice in materia di protezione dei dati personali, di cui al decreto legislativo 30 giugno 2003, n. 196, che, alla data di applicazione del Regolamento, non fossero ancora definiti con l’adozione dell’ordinanza-ingiunzione.

Il pagamento doveva essere effettuato entro novanta giorni dalla data di entrata in vigore del citato d. lgs. n. 101 del 2018 e, ai sensi del secondo comma, decorsi i termini, l’atto con il quale erano stati notificati gli estremi della violazione o l’atto di contestazione immediata di cui all’articolo 14 della legge 24 novembre 1981, n. 689, assumeva il valore dell’ordinanza-ingiunzione di cui all’articolo 18 della predetta legge, senza obbligo di ulteriore notificazione, sempre che il contravventore non avesse prodotto memorie difensive ai sensi del comma 4.

Infatti, i procedimenti sanzionatori, in virtù di quanto disposto dall’art. 166 del D.Lgs. n. 196 del 2003 nel testo precedente alla riforma del 2018, erano regolati dalla l. n. 689 del 1981 e si articolavano in due fasi: la prima era quella dell’acquisizione di elementi istruttori, che si concludeva con la contestazione immediata o con la notifica degli estremi della violazione, ai sensi dell’art. 14 della L. n. 689 del 1981; la seconda era la fase decisoria preordinata all’emanazione dell’ordinanza-ingiunzione o del provvedimento di archiviazione.

L’Amministrazione per concludere la seconda fase, in base alla norma transitoria, non doveva, di regola, rispettare altro termine se non quello quinquennale di prescrizione, di cui all’art. 28 della l. n. 689 del 1981. Il destinatario dell’originaria contestazione, dunque, senza aver ricevuto alcuna nuova comunicazione, vedeva aprirsi una nuova fase procedimentale: poteva pagare in misura ridotta la sanzione contestata, ma non accertata in via definitiva, o poteva presentare nuove memorie difensive. In mancanza, il provvedimento originario si sarebbe convertito ope legis in ordinanza-ingiunzione, senza l’obbligo di una ulteriore notificazione.

Tale procedura ha – sia pure implicitamente – resistito anche al vaglio della Corte costituzionale che, con la sentenza n. 260 del 2021, si è limitata a dichiarare costituzionalmente illegittimo il quinto comma dell’art. 18 del d. lgs. n. 101 del 2018, che prevedeva anche l’interruzione della prescrizione.

Nel caso di specie alla società odierna resistente era stato notificato il verbale n. 1 del 26 giugno 2014 con il quale era stata contestata, con riferimento alla raccolta di dati personali attraverso il sito internet aziendale, la violazione dell’art. 13 del Codice (obbligo di fornire la preventiva informativa), punita dall’art. 161 del medesimo Codice.

Il procedimento sanzionatorio, dunque, rientrava nel campo di applicazione del richiamato art. 18, in quanto alla data di applicazione del Regolamento (UE) 2016/679 tale procedimento non risultava ancora definito con l’adozione dell’ordinanza-ingiunzione (art. 18, comma 1, cit.).

La società oggi intimata non si è avvalsa della possibilità di definire in via agevolata il procedimento sanzionatorio entro il termine del 18 dicembre 2018, né ha presentato nuove memorie difensive sicché, in base al meccanismo sopra delineato, l’atto di contestazione immediata di cui all’art. 14 della legge 24 novembre 1981, n. 689 ha assunto ex lege il “valore dell’ordinanza-ingiunzione senza alcuna ulteriore notificazione”.

Alla stregua di tale ricostruzione il collegio intende dare continuità ai seguenti principi di diritto (ai quali dovrà uniformarsi il giudice di rinvio):

– in tema di protezione dei dati personali, l’art. 18 del d.lgs. n. 101 del 2018, attuativo del Regolamento (UE) n. 679 del 2016 (GDPR), ha introdotto un meccanismo di definizione agevolata delle violazioni ancora non definite con ordinanza-ingiunzione alla data di applicazione del Regolamento medesimo, che si traduce, in mancanza di definizione e di presentazione di nuove memorie difensive, nella conversione ex lege del verbale di contestazione già notificato in ordinanza-ingiunzione, della quale non necessita ulteriore notificazione, sicché il dies a quo del termine per la proposizione dell’opposizione ex art. 10, comma 3, del d.lgs. 150 del 2011, avverso la cartella di pagamento successivamente notificata al trasgressore, va individuato non già nella data di sua notificazione, bensì nell’ultimo momento utile per produrre le memorie ai sensi del comma 4 del citato art. 18, senza che il destinatario della prima possa avvalersi della opposizione cd. recuperatoria (Cass. Sez. 2, 27/7/2023, n. 22798; Cass. Sez. 1, 20/12/2023, n. 35568);

– in tema di protezione dei dati personali, nelle ipotesi di mancata definizione e di omessa presentazione di nuove memorie difensive nel meccanismo di risoluzione agevolata, introdotto dall’art. 18 del d.lgs. n. 108 del 2018, per i procedimenti non ancora conclusi alla data di entrata in vigore della norma, il titolo si cristallizza nel verbale di contestazione, ove lo stesso contenga tutti gli elementi necessari a individuare una determinata pretesa sanzionatoria, con le seguenti conseguenze: il dies a quo del termine per la proposizione dell’opposizione, ex artt. 152 del menzionato d.lgs. e 10, comma 3, del d.lgs. n. 150 del 2011, va individuato nell’ultimo momento utile per produrre le memorie; la cartella di pagamento, successivamente notificata, costituisce non il primo atto teso a far valere la pretesa patrimoniale, bensì proprio l’atto della riscossione; al trasgressore che non si sia avvalso, nei termini sanciti dall’art. 18, rispettivamente commi 1 e 4, del d.lgs. n. 101 del 2018, della facoltà di pagamento della sanzione in misura ridotta, né abbia prodotto nuove memorie difensive, è precluso il rimedio della cd. opposizione recuperatoria, potendo egli impugnare la cartella suddetta solo per vizi suoi propri (Cass. Sez. 1, 11/11/2024, n. 28920).

2.1.2. Anche il secondo motivo di ricorso è fondato, in quanto la sentenza impugnata ha fatto erronea applicazione di consolidati principi in materia di sanzioni amministrative dove vige il principio tempus regit actum e non trova applicazione il principio della retroattività della norma più favorevole, neanche nell’ipotesi di successiva abrogazione della norma sanzionatoria.

Deve, perciò, riaffermarsi in proposito l’ulteriore principio di diritto (a cui pure dovrà uniformarsi il giudice di rinvio), secondo il quale, in tema di illeciti amministrativi, i principi di legalità, di irretroattività e di divieto di applicazione dell’analogia, di cui all’art. 1 della l. n. 689 del 1981, comportano l’assoggettamento del comportamento considerato alla legge del tempo in cui si è verificato e la conseguente inapplicabilità della disciplina posteriore, anche se abrogatrice o più favorevole (v., tra le tante, Cass. Sez. 2, 28/04/2022, n. 13336).

In altri termini, l’avvenuta abrogazione di illeciti amministrativi non elide l’antigiuridicità delle condotte pregresse, secondo la regola penalistica della retroattività degli effetti derivanti dalla “abolitio criminis” poiché agli illeciti amministrativi non trova applicazione il principio del “favor rei” sancito dall’art. 2 cod. pen., bensì quello del “tempus regit actum”.

In ogni caso è sempre possibile che il legislatore introduca un meccanismo che disciplini la fase transitoria come avvenuto nel caso di specie con la possibilità del pagamento in misura ridotta.

3. Il terzo motivo di ricorso è così rubricato: Violazione degli artt. 13 e 161 d.lgs. 196/2003 e degli artt. 18 e 22 D.Lgs. n. 101/2018; degli artt. 13 e 14 e 83 del Regolamento UE n. 196/2003, in relazione all’art. 360, comma 1, n. 3 c.p.c., per avere il Tribunale Civile di Macerata ritenuto abrogato l’illecito amministrativo contestato.

Si rappresenta, più precisamente, che il giudice di merito ha, comunque, errato nel ritenere che l’illecito amministrativo contestato (mancanza di informativa preventiva ai sensi dell’art. 13 del D.lgs. n. 196/2003, sanzionato dall’art. 161 del codice), sia stato abrogato dal nuovo assetto normativo che, al contrario, lo ha espressamente previsto dal Regolamento (UE), nonché dal Codice come modificato dal d.lgs. 101/2018.

3.1. Detto motivo è assorbito dall’accoglimento dei primi due.

4. In definitiva, alla stregua delle argomentazioni complessivamente svolte, devono essere accolti il primo e il secondo motivo di ricorso, con assorbimento del terzo.

Da ciò consegue la cassazione della sentenza impugnata in relazione ai motivi accolti, con il rinvio della causa al Tribunale di Macerata, in persona di altro magistrato, che, oltre ad uniformarsi ai su enunciati principi di diritto, provvederà anche a regolare le spese del presente giudizio di legittimità.

Cass. civ., II, ord., 22.10.2025, n. 28130