La fase investigativa (o preistruttoria) svolta dal Garante per la protezione dei dati personali, anche se protratta nel tempo per esigenze di approfondimento, è estranea al procedimento sanzionatorio in senso stretto, che inizia solo con la notifica della contestazione dell’illecito […].
[…] Il termine di 120 giorni per la notifica decorre dal formale accertamento della violazione, secondo una valutazione discrezionale dell'Autorità, non sindacabile dal giudice. Il fatto Il Garante, con provvedimento n. 443 del 16 dicembre 2021, ha inflitto ad un'azienda elettrica una sanzione amministrativa per trattamento illecito dei dati personali degli utenti ai fini di telemarketing, ingiungendole anche di adottare una serie di misure per conformarsi alla normativa nazionale ed europea sulla tutela dei dati. Detto provvedimento è stato impugnato dall'azienda soccombente dinnanzi al Tribunale, per quanto di interesse, per violazione di tutti i termini prescritti dalla vigente normativa per lo svolgimento e la conclusione del provvedimento medesimo. Il Tribunale, all'esito del procedimento, ha annullato il provvedimento, compensando le spese ed avverso la sua pronuncia il Garante è ricorso in cassazione. In particolare, la vicenda tra origine dalla ricezione, da parte del Garante, di una mola cospicua di segnalazioni e reclami, che hanno comportato l'apertura di diversi fascicoli, tra la fine del 2018 ed il 2020, in relazione ai quali è stata condotta un'attività istruttoria che si è svolta per circa due anni e mezzo. La decisione della Suprema Corte La dilatazione temporale è stata determinata dalla natura dell'oggetto del procedimento, soprattutto dalla necessità di valutare se i reclami e le segnalazioni ricevuti fossero riferibili a casi isolati oppure indicativi di comportamenti reiterati nel tempo. Ed è solo, una volta esaurita la fase investigativa (o preistruttoria) che il Garante, se lo ritiene, avvia «il procedimento per l'adozione dei provvedimenti e delle sanzioni (…) notificando al titolare o al responsabile del trattamento. le presunte violazioni» (fase sanzionatoria). L'elemento di raccordo tra le due fasi è costituito dal Regolamento del Garante n. 2/2019 che prevede per l'esercizio dei poteri sanzionatori un termine di 120 giorni decorrenti «dall'accertamento della violazione per la notificazione della stessa ai residenti nel territorio della Repubblica (…)».Il Tribunale, individuando detto termine nella data in cui il Garante ha ricevuto le risposte definitive alle sue richieste di informazioni (necessarie a completare il quadro preistruttorio), lo ha sostituito di fatto e in modo illegittimo nelle valutazioni discrezionali. Valutazioni riguardo alle modalità di conduzione della fase investigativa preliminare, che precede l'avvio formale del procedimento sanzionatorio, le quali spettano al Garante. Il Tribunale così decidendo ha assunto il ruolo dell'ente accertatore, senza tener conto, tra l'altro, di quanto previsto dall'articolo 10, comma 4, Regolamento n. 1/2019. Questa disposizione prevede, infatti, che l'istruttoria preliminare può essere svolta contestualmente in relazione a più reclami aventi il medesimo oggetto o relative al medesimo titolare/responsabile del trattamento, ovvero a trattamenti di dati tra loro correlati. Peraltro, possono trovare applicazione nella fattispecie in esame, in virtù dell'evidente ratio seppur concernenti le sanzioni amministrative comminate dalla Consob in ambito di intermediazione finanziaria, le sentenze n. 9022/2023 e n. 21500/2024. Esse statuiscono che, ai fini della decorrenza del termine di decadenza per la contestazione degli illeciti, il momento dell'accertamento deve essere individuato tenendo conto, caso per caso, della complessità della materia, delle specificità della situazione concreta e del contenuto nonché della tempistica delle operazioni oggetto di verifica. Resta fermo che spetta al giudice, nell'ambito di un accertamento di fatto, valutare la correttezza di tale individuazione, stabilire la congruità, o meno, del tempo concretamente occorrente all'Autorità per procedere alla contestazione rispetto all'acquisizione informativa. Questa conclusione è, oltretutto, assolutamente coerente con i principi di cui all'articolo 6 CEDU, applicabili al procedimento sanzionatorio de quo e richiamati dallo stesso Tribunale. Un controllo giurisdizionale che consenta di individuare rigidamente il momento in cui l'organo amministrativo sia in condizione di comminare una sanzione finisce per ledere il principio della separazione tra funzione istruttoria e potere di controllo, imponendo alla Pubblica Amministrazione di esercitare il potere sanzionatorio nel tempo più breve possibile, per non incorrere in decadenze, con il rischio concreto di compromettere le garanzie di un adeguato approfondimento istruttorio. Orbene, l'attività istruttoria preliminare svolta, nel caso in esame, dal Garante deve ritenersi estranea al procedimento sanzionatorio in senso stretto che ha inizio solo con la notifica della contestazione dell'illecito, ai sensi dell'articolo 166, comma 5 d.lgs. n. 196/2003. È a partire da tale atto che inizia ad operare il principio del contraddittorio, esplicazione del diritto di difesa quale garanzia del procedimento sanzionatorio stesso. Pertanto, il termine di 120 giorni previsto per la notificazione della contestazione riguarda una fase di amministrazione attiva (ancora) estranea al procedimento sanzionatorio nonché ad essa prodromica, in quanto tale, soggetta a termini meramente ordinatori. Il principio di diritto «In tema di trattamento dei dati personali, la complessiva attività procedimentale dell'Autorità Garante per la protezione di questi ultimi, finalizzata all'accertamento di violazioni ed alla irrogazione delle corrispondenti sanzioni, consta di due fasi – una sanzionatoria in senso stretto ed una, precedente, investigativa o preistruttoria – logicamente e cronologicamente distinte. Il termine, da considerarsi perentorio, di centoventi giorni previsto al punto 2 dell'allegato “B” del Regolamento del Garante n. 2/2019 si riferisce esclusivamente alla fase sanzionatoria in senso stretto e decorre dalla conclusione della fase preistruttoria che culmina con l'effettivo accertamento delle violazioni ascritte al trasgressore e la notifica della contestazione».
Presidente Acierno - Relatore Campese Fatti di causa 1. Con ricorso ex articolo 156 del D.Lgs. n. 196/2003 e 10, commi 1 e 7, in relazione all'articolo 5, del D.Lgs. n. 150/2011, depositato innanzi al Tribunale di Roma il 9 febbraio 2022 e ritualmente notificato unitamente al pedissequo decreto di fissazione di udienza, ENEL ENERGIA Spa (d'ora in avanti anche, breviter, Enel) impugnò il provvedimento n. 443 del Registro dei provvedimenti, reso il 16 dicembre 2021, con il quale il Garante per la Protezione dei Dati Personali (per il prosieguo, semplicemente, Garante) le aveva contestato quindici violazioni del Regolamento UE 2016/679 (il Regolamento, o RGPD) e del D.Lgs. n. 196/2003, come modificato dal D.Lgs. n. 101/2018 (il Codice) e le aveva inflitto una sanzione pecuniaria di Euro 26.513.977,00, oltre a diversi avvertimenti, ammonizioni e prescrizioni, con la sanzione accessoria della pubblicazione sul sito del Garante. Enel contestò, preliminarmente, la violazione, da parte di quest'ultimo, di tutti i termini prescritti dalle norme vigenti per lo svolgimento e la conclusione del procedimento sanzionatorio ed eccepì, pertanto, la nullità del provvedimento impugnato. Nel merito, svolse articolate difese per confutare i singoli addebiti, oltre a lamentare, comunque, l'entità eccessiva e sproporzionata della sanzione e delle prescrizioni impostele. Formulò pure istanza di sospensione, concessa inaudita altera parte e confermata, subordinatamente alla prestazione di una garanzia a prima richiesta (fornita tempestivamente dalla società), all'esito del contraddittorio. 1.1. Costituendosi tempestivamente in giudizio, il Garante ribadì le ragioni del proprio provvedimento e contestò l'addebito di violazione dei termini del procedimento negando, così, la nullità dell'atto sanzionatorio come invocata da controparte. 1.2. L'adito Tribunale con sentenza del 13 gennaio 2024, n. 2615, accolse il ricorso suddetto, annullò il provvedimento impugnato e compensò interamente tra le parti le spese del giudizio. 1.2.1. Per quanto qui di interesse, quel Tribunale, riassunta schematicamente la cronologia delle tappe della vicenda: i) osservò, innanzitutto, che, Ai fini dell'inquadramento normativo della fattispecie, è utile rammentare che l'articolo 2 della L. n. 241/1990 impone, in via generale, il termine di 30 giorni per la conclusione dei procedimenti amministrativi. Tale imperativo è però mitigato dalle disposizioni dei commi 3, 4 e 5, che consentono la fissazione di termini più lunghi (fino a 90 o 180 giorni) e che, in particolare, rimettono alle autorità di garanzia e di vigilanza la facoltà di stabilire esse stesse, in conformità ai propri ordinamenti, i termini di conclusione dei procedimenti di rispettiva competenza (comma 5). I successivi commi 6 e 7, infine, disciplinano, rispettivamente, la decorrenza dei termini ( dall'inizio del procedimento d'ufficio o dal ricevimento della domanda se il procedimento è ad iniziativa di parte ) e le condizioni e limiti della loro sospensione (trenta giorni per una sola volta), anche con riferimento al comma 5. Avvalendosi della norma derogatoria di cui al comma 5, il Garante, con il proprio regolamento n. 2/2019, si è attribuito (vedasi la tabella B, punto 2, allegata alla delibera) il termine di 120 giorni dall'accertamento della violazione per la notificazione della stessa ai residenti nel territorio della Repubblica ; ii) rimarcò, poi, che, Nel contesto della procedura civile (cui deve farsi riferimento, in relazione ai procedimenti sanzionatori amministrativi), i termini si distinguono in perentori e ordinatori . I primi - è semplice - sono quelli che non possono essere violati, pena la nullità, l'inefficacia o l'inutilizzabilità dell'atto tardivamente compiuto; essi non possono essere prorogati (e neppure abbreviati) in nessun caso, neppure sull'accordo delle parti; l'unica deroga possibile consiste nella dimostrazione, da parte di colui che è incorso nella decadenza, di non aver potuto rispettare il termine per causa a lui non imputabile, ed ottenere così una rimessione in termini (articolo 153 C.P.C.). I secondi, invece, sono prorogabili, solo prima della loro scadenza, sia su istanza di parte che d'ufficio, ma la proroga non può superare il termine originario e non può essere ripetuta (articolo 154 C.P.C.). Come ben si vede, non vi è alcuna differenza tra i due tipi di termine sotto il profilo delle conseguenze della loro violazione; la differenza si esaurisce interamente nelle diverse (più o meno elastiche ) possibilità e modalità per schivare quelle conseguenze ; iii) opinò, quindi, che, In materia sanzionatoria, la perentorietà dei termini entro i quali l'autorità procedente deve concludere le varie vasi del procedimento, sino al provvedimento finale, è presupposto irrinunciabile per l'effettivo rispetto di principi fondamentali dell'ordinamento, anche coperti da garanzia costituzionale, e consacrati anche in strumenti giuridici internazionali vincolanti per l'Italia. La certezza dei tempi entro i quali l'autorità deve iniziare (con la comunicazione della contestazione all'interessato, che dà avvio al contraddittorio difensivo) e poi concludere il procedimento è requisito per il rispetto del diritto di difesa (che sarebbe irrimediabilmente pregiudicato dal trascorrere di un tempo abnorme fra il presunto illecito e la sua contestazione), per la certezza del diritto (il cittadino deve poter fare affidamento sulla condotta inerte, protratta per un lungo tempo, dell'autorità titolare della potestà sanzionatoria che gli abbia richiesto informazioni su un'azione da lui compiuta o omessa) e in definitiva per la stessa rule of law, che non tollera spazi di arbitrio dell'autorità, maxime in materia sanzionatoria. Ancora a favore della perentorietà dei termini viene in considerazione la circostanza che il Garante ha, con suo regolamento, stabilito esso stesso i propri tempi di azione ed i propri termini. In particolare, la tabella B allegata al regolamento n. 2/2019, espressamente stabilisce che le comunicazioni (ai residenti in Italia) delle presunte violazioni ex articolo 166 del Codice privacy devono avvenire entro 120 giorni dall'accertamento della violazione . Termine che eccede largamente quello previsto in via generale dall'articolo 2, comma 2, della L. n. 241/1990 (atto normativo certamente applicabile alle Autorità indipendenti, tanto che il comma 5 del medesimo articolo, derogando al precedente, consente loro di stabilire autonomamente i propri termini), ma anche quello di cui all'articolo 14 della L. n. 689/1981 (che, sebbene non richiamata dal Codice, esprime, a parere del Tribunale, un principio generale applicabile ad ogni tipo di procedimento amministrativo sanzionatorio). Appare allora difficilmente predicabile la non perentorietà del termine che il soggetto pubblico stesso che dovrà osservarlo ha sua sponte fissato ; iv) quanto al dies a quo per la decorrenza di tale termine, sollevò convinte obiezioni all'indirizzo giurisprudenziale che lo individua non nel momento di conoscenza del fatto nella sua materialità, ma in quello successivo di piena conoscenza della condotta illecita . Spiegò, in proposito, che un termine il cui dies a quo è del tutto incerto, rimesso alla mera volontà dell'organo amministrativo (...) non è calcolabile e non è, quindi, un termine ma una mistificazione del concetto di termine, incompatibile con le esigenze del diritto di interlocuzione e difesa del soggetto destinatario di una contestazione di violazione e, potenzialmente, di una sanzione amministrativa . Per tali motivi, quindi, ritenne di individuare quale dies a quo la data in cui il Garante riceve le risposte (definitive) alle sue richieste di informazioni ed eventualmente, poi, agli ulteriori chiarimenti . Pur riconoscendo al Garante la facoltà di chiedere chiarimenti o maggiori dettagli, considerò, tuttavia, che ciò dovesse avvenire sempre entro il termine di centoventi giorni e, se anche in questo caso gli elementi acquisiti fossero rimasti insufficienti, precisò che sarebbe perfettamente possibile (e si potrebbe dire quasi automatico) concludere che vi sono già sufficienti elementi per paventare una possibile violazione e per notificare, quindi, una formale contestazione. La quale andrebbe notificata, però, allo scadere del termine di 120 giorni decorrente dall'ultima risposta fornita ; v) aggiunse che, con più stretto riferimento al caso di specie, vi è la questione del cumulo dei cumuli; del cumulo al quadrato, o del super-CUM . Di una situazione, cioè, come quella di cui è causa, in cui il Garante ha dapprima atteso l'arrivo (in archi di tempo incerti) di certe quantità di reclami o segnalazioni, le ha via via raggruppate in più CUM e su ciascuno di essi ha chiesto informazioni ad Enel, per poi notificare alla società un'unica contestazione di violazione che li comprendeva tutti. Ma della necessità di attuare una siffatta strategia non si vede - e comunque non è stata dedotta - alcuna necessità, alcuna causa giustificatrice: che quindi deve ritenersi inesistente. A fortiori se, com'è il nostro caso, a ciascun CUM (con una sola eccezione, emendata successivamente) ha fatto seguito una richiesta di informazioni ad Enel ed una sua risposta: satisfattiva, deve ritenersi, se il Garante non ha, di volta in volta, chiesto ulteriori chiarimenti (fatta salva la richiesta di chiarimenti cumulativa del 24/12/2020, di cui appresso si dirà); e perciò già idonea, per il Garante, a stabilire se vi fossero, in astratto, gli estremi di una violazione (con conseguente notifica della contestazione nei 120 giorni), oppure no. Va da ultimo chiarito come l'applicazione del termine di 120 giorni per la contestazione non possa non estendersi alle (eventuali) richieste di chiarimenti o di ulteriori elementi che il Garante può rivolgere al titolare o al responsabile del trattamento quando le sue prime risposte sono insoddisfacenti. Tali richieste di chiarimenti costituiscono, invero, l'atto tipico di approfondimento istruttorio, prodromico alla contestazione in quanto necessario al Garante per formare il proprio convincimento sulla possibilità di una violazione e, quindi, sulla necessità di contestarla formalmente, provocando il contraddittorio. Ma, se così è, è evidente che anche le richieste di chiarimenti (cioè quegli atti che servono a completare il quadro preistruttorio ) devono essere fatte nel termine stabilito per la contestazione, il quale sarebbe altrimenti, per quest'altra via, prolungato, virtualmente usque ad aeternum. (...). In altre parole, delle due l'una: o la prima risposta alla prima richiesta di informazioni è già da sé sufficiente al Garante per decidere se il fascicolo debba essere archiviato o se, invece, si debba procedere a contestare una violazione, e allora la contestazione deve avvenire entro i 120 giorni; oppure la prima risposta non è sufficiente, e allora il Garante ha il potere (e l'onere) di chiedere informazioni supplementari e/o chiarimenti; ma deve farlo entro gli stessi 120 giorni, poiché altrimenti, nel silenzio che seguirebbe la prima risposta (cui non facesse seguito né una contestazione né una richiesta di chiarimenti) non si potrebbe che concludere che tale prima risposta era soddisfacente ed era tale da non comportare l'avvio di alcun procedimento (che, in caso contrario, sarebbe stato - o avrebbe dovuto essere - già notificato) ; vi) concluse nel senso che È proprio in tale ottica che va esaminata la scansione dei fatti sottoposti a questo giudizio. Come si è visto, alle prime due richieste del Garante (del 13/12/2018 e del 19/08/2019, cioè a più di 8 mesi l'una dall'altra) Enel ha risposto (rispettivamente il 20/12/2018 e il 06/09/2019), senza più ricevere dal Garante alcuna ulteriore richiesta, né tanto meno una contestazione; la terza richiesta (del 17/12/2019) è rimasta inevasa, ma il Garante non ha sollecitato la risposta se non con la quarta richiesta (il 10/07/2020, poco meno di 7 mesi dopo), ed Enel ha quindi risposto ad entrambe. Infine, il Garante, solo in data 24/12/2020 (e cioè più di 5 mesi dopo), ha chiesto chiarimenti, forniti da Enel il 14/01/2021. Già rispetto all'ultima richiesta (IV CUM, del 10/07/2020), comprendente anche il sollecito della risposta alla precedente, la richiesta di chiarimenti (a voler supporre che si riferisse soltanto a quella) era giunta dopo la scadenza dei 120 giorni: e cioè quando, legittimamente, Enel poteva ritenere che la sua condotta non avesse dato luogo a rilievi tali da comportare l'avvio di un procedimento sanzionatorio, perché, se così non fosse stato, avrebbe certamente dovuto ricevere o una formale contestazione (se il Garante avesse ritenuto di avere in mano elementi sufficienti) o una richiesta di chiarimenti (se il Garante avesse invece ritenuto di avere la necessità di acquisire elementi ulteriori per poter stabilire se fosse necessario avviare il procedimento o archiviare la pratica). E questo, per non parlare delle precedenti richieste (del 2018 e 2019), che precedono di uno due anni la richiesta di chiarimenti e la successiva contestazione. All'esito delle considerazioni che precedono, il Tribunale ritiene che la contestazione delle violazioni fu tardiva e che il provvedimento impugnato vada pertanto annullato . 3. Per la cassazione di questa sentenza il Garante per la Protezione dei Dati Personali ha proposto ricorso affidandosi a quattro motivi, illustrati anche da memoria ex articolo 380-bis.1 cod. proc. civ. Ha resistito, con controricorso, corredato da analoga memoria, ENEL ENERGIA Spa 3.1. La Prima Sezione civile di questa Corte, investita della decisione della controversia, con ordinanza interlocutoria del 19 novembre/29 dicembre 2024, n. 34858, ritenuto che Le questioni di diritto complessivamente poste dai motivi di ricorso (natura perentoria oppure ordinatoria del termine di contestazione della violazione di cui si discute; individuazione del dies a quo della relativa sua decorrenza e se, a tale fine, rilevi, o non, la complessità della istruttoria e se quest'ultima debba considerarsi unitariamente, o meno; incidenza, o non, sul corso di detto termine, del periodo di sospensione feriale e di quello sancito dalla legislazione emergenziale durante il periodo pandemico), - attesane la particolare complessità e rilevanza (cfr. Cass., S.U., n. 14437 del 2018), l'assenza di specifici precedenti di legittimità ed il chiaro valore nomofilattico, - rendono opportuna la rimessione della causa alla pubblica udienza , ha disposto in conformità e rinviato la causa nuovo ruolo. 3.2. Successivamente è stata fissata l'odierna pubblica udienza, nell'imminenza della quale il Procuratore generale ha depositato requisitoria scritta chiedendo accogliersi il primo ed il terzo motivo di ricorso, dichiarandosene inammissibile il secondo ed assorbito il quarto, e le parti hanno depositato memorie ex articolo 378 cod. proc. civ. Ragioni della decisione 1. I primi tre formulati motivi di ricorso denunciano, rispettivamente, in sintesi: I) Violazione e falsa applicazione degli articolo 2 della L. n. 241/1990, 14 della L. n. 689/1981, 166 del D.Lgs. n.196/2003, 10, comma 4, del Reg. n. 2/2019, (articolo 360, comma 1, n. 3 c.p.c.), con riferimento alla perentorietà del termine di 120 giorni per la notifica dell'atto di contestazione . Si ascrive al Tribunale di non aver considerato, in violazione delle epigrafate disposizioni, che un conto è il procedimento istruttorio, che ha natura amministrativa, altro è il procedimento sanzionatorio al quale si applicano ovviamente le regole più stringenti che il Tribunale erroneamente ha applicato alla fase amministrativa. Ciò significa che esula dal calcolo del termine per la notifica della contestazione, proprio per la natura estremamente complessa e composita del procedimento amministrativo istruttorio, la fase di mera acquisizione di elementi informativi; l'istruttoria preliminare, come tale è estranea al procedimento sanzionatorio tout court, che, invece, inizia, a garanzia della posizione giuridica e del diritto di difesa del destinatario, solo con la notifica della contestazione dell'illecito ai sensi dell'articolo 166, comma 5 del Codice, che costituisce l'atto di avvio e il momento a partire dal quale opera la garanzia del contraddittorio quale caratteristica ineludibile del procedimento sanzionatorio. Il termine di 120 giorni fissato per la notificazione della contestazione dell'illecito riguarda, pertanto, la fase di amministrazione attiva relativa al procedimento sanzionatorio; la fase istruttoria prodromica, come tale, è soggetta a termini meramente ordinatori . Richiamato il contenuto della sentenza della Corte costituzionale n. 151 del 2021 ed alcune pronunce della giurisprudenza amministrativa, si conclude nel senso che Nessuna conseguenza caducatoria può, pertanto, attribuirsi al superamento - che, peraltro, non vi è stato - del termine di 120 giorni per la notificazione della contestazione delle violazioni, atto di avvio del procedimento sanzionatorio. Erra, dunque, il Tribunale nel ritenere che la notifica dell'avvio di contestazione di violazione sia da ritenersi tardivo, considerato in primo luogo, la pluralità di segnalazioni giunte all'Autorità in tempi successivi, la pluralità di atti da esaminare e la complessità della relativa istruttoria, caratterizzata dall'invio di successive richieste e dal riscontro dei relativi chiarimenti. Tutti atti che, per la loro mole e rilevanza, hanno richiesto un esame approfondito che, proprio nell'interesse di Enel, non poteva consentire al garante di rispettare il termine, come detto ordinatorio, intercorrente tra un atto e l'altro ; II) Omessa considerazione della complessità dell'istruttoria, necessariamente unitaria, condotta dal Garante, fatto che ha formato oggetto di discussione fra le parti (articolo 360, comma 1, n. 5, c.p.c.) . Si contesta al Tribunale l'omessa considerazione di un fatto che ha formato oggetto di discussione fra le parti ed il cui esame - l'istruttoria condotta dal garante -era decisivo per ritenere tempestivamente condotta l'attività del garante. La complessità dell'istruttoria era stata adeguatamente rappresentata al Tribunale che, tuttavia, non ne ha tenuto conto, mentre se invece ciò avesse fatto si sarebbe reso conto che proprio la lunga istruttoria ha potuto portare alla luce una fattispecie illecita a formazione progressiva. Tale considerazione smentisce, poi, anche l'ulteriore assunto per cui sarebbe stata inesistente l'esigenza di procedere alle richieste cumulative formulate dall'Autorità ed inviate con 4 gruppi. Sul punto, il Tribunale, ritenendo che l'attività del Garante si sia svolta in tempi arbitrariamente dilatati, ha dimenticato completamente l'esistenza dell'articolo 10, c. 4, del regolamento n. 1/2019 del Garante (cfr. punto 10, pag. 9 ss. della sentenza) che prevede esattamente la possibilità della riunione di procedimenti nel corso di una istruttoria complessa. (...). Nel caso in esame, invece, l'omessa considerazione della complessità dell'istruttoria, necessariamente unitaria, condotta dal Garante ha indotto il Tribunale anche ad errare, come si vedrà, nell'individuazione della data di decorrenza del termine di 120 giorni per la notificazione della contestazione delle violazioni, travolgendo, così, anche il contenuto prescrittivo del provvedimento (essenziale ai fini del ripristino della legalità dei trattamenti) ; III) Violazione e falsa applicazione, con riferimento alla decorrenza del termine, delle disposizioni contenute nella tabella B, n. 2, del regolamento n. 2/2019 dell'Ufficio del Garante e dell'articolo 166, comma 5, del Codice, (articolo 360 comma 1, n. 3, c.p.c.) . Si sostiene che La sentenza di primo grado erra, inoltre, nell'individuazione del dies a quo ai fini della decorrenza del termine di 120 giorni per la notificazione della contestazione delle violazioni. Il Tribunale, del tutto erroneamente e senza alcuna ragione giuridica, ritiene di discostarsi dal consolidato indirizzo giurisprudenziale (sostenuto recentemente anche da CdS. Sez., VI, sent. n. 8503 del 2022) che individua il dies a quo nel momento in cui l'amministrazione viene a conoscenza non già del fatto nella sua materialità ma dell'illiceità della condotta. (...). Al contrario, risponde proprio alla tutela del diritto di difesa, il principio per cui non è sufficiente l'accertamento del fatto nella sua materialità ma è necessario anche accertarne l'antigiuridicità, ovvero la contrarietà a norme di diritto. Tanto perché, considerato che il tema delle sanzioni amministrative poggia su un campo finitimo a quello delle sanzioni penali, va ricordato il principio per cui la condotta non è sanzionabile quando, pur essendo contraria a diritto nei suoi elementi costitutivi di fatto, non sia però rilevante sotto il profilo della colpa, in ultima analisi quando non ne sia accertata l'illiceità sotto tutti gli aspetti giuridicamente rilevanti. E non è inutile sottolineare, sotto questo profilo, come la reiterazione nel tempo della stessa condotta antigiuridica costituisca elemento rilevante proprio al fine di valutarne l'illiceità e la sanzionabilità: il che è esattamente quanto accaduto e si rileva nella specie . 2. Queste doglianze, scrutinabili congiuntamente perché chiaramente connesse, si rivelano fondate nei sensi di cui appresso. 2.1. Giova ricordare, preliminarmente, la cronologia delle tappe della odierna vicenda, sostanzialmente incontroversa e così ricostruita nella sentenza qui impugnata (cfr. pag. 2-4): Il Garante ha avviato, già a fine 2018, una serie di indagini su numerose segnalazioni e reclami pervenuti in tempi diversi e accorpati, secondo quanto previsto dal regolamento del Garante stesso, n. 1/2019, in quattro gruppi, oggetto di altrettante richieste cumulative (dette CUM) di chiarimenti, rivolte ad Enel. Tali richieste vengono di seguito brevemente descritte nei termini adoperati nella comunicazione di avvio del procedimento (...). 1) CUM I e II - richieste del 13 dicembre 2018 e del 19/08/2019 (relative, rispettivamente, a 25 e a 32 segnalazioni): le doglianze pervenute al Garante, alla base delle menzionate richieste di informazioni, hanno riguardato, in particolare, il trattamento dei dati personali degli interessati nel contesto di telefonate promozionali indesiderate in quanto effettuate rispetto ad utenze riservate in assenza del necessario consenso degli interessati (...), ovvero, rispetto ad utenze fisse, nonostante l'iscrizione della numerazione nel registro pubblico delle opposizioni (...), nonché il tardivo riscontro ad istanze di esercizio dei diritti di accesso ai dati personali oppure di opposizione al relativo trattamento per finalità di marketing (...) . ENEL ha fornito riscontro al primo CUM in data 20/12/2018 (...), dichiarando, con riguardo agli indebiti contatti promozionali effettuati sia nei confronti di interessati i cui numeri risultavano riservati sia nei confronti di interessati le cui utenze risultavano iscritte al ROP, che in tutti i casi segnalati le numerazioni chiamanti non appartenevano alla rosa di quelle in uso alla società o ai suoi partner commerciali e che dette numerazioni, da una ricerca effettuata on-line, risultavano riferibili a sedicenti operatori che spendono illegittimamente il nome di ENEL ENERGIA stessa - ovvero quello di altre società operanti anche in settori diversi da quello energetico . Ha poi fornito riscontro in data 06/09/2019 (...) al secondo CUM, rappresentando (come riporta la difesa erariale, n.d.r.) che le telefonate promozionali indesiderate che gli interessati avevano segnalato come riconducibili ad EE provenivano, invece, da numerazioni estranee alla Società ed alla sua rete di partners commerciali. Più specificamente, la società ha evidenziato come dalle verifiche informatiche effettuate nei propri sistemi aziendali, risultasse che la maggior parte degli interessati non avesse mai avuto un rapporto contrattuale con la stessa. Solo in cinque casi i dati personali dei segnalanti erano presenti nei sistemi di EE, in ragione di rapporti contrattuali in essere, mentre in sei casi i rapporti contrattuali risultavano cessati. Rispetto a due specifiche fattispecie la società ha tuttavia constatato come i contatti promozionali fossero ascrivibili, in un caso, ad un proprio partner in virtù di un contratto di agenzia ancora in essere (...) e provenissero, nell'altro, da un ex partner, con il quale i rapporti contrattuali si erano conclusi precedentemente all'effettuazione della telefonata promozionale indesiderata . Non è pervenuta replica alle risposte fornite da ENEL. 2) CUM III - richiesta del 17 dicembre 2019 (...), riferita ad ulteriori 25 segnalazioni, relative ad utenti titolari sia di numerazioni riservate in assenza del necessario consenso (...) sia iscritte al registro pubblico delle opposizioni (...). Le doglianze pervenute hanno anche rappresentato la ricezione di telefonate promozionali dichiaratamente nell'interesse di EE tramite disco preregistrato (143863, 144081, 144296, 144240, 144385). In un caso il segnalante, a fronte dell'indebita ricezione di telefonate promozionali, ha esercitato nei confronti di EE i propri diritti, in particolare quello di opposizione al trattamento per finalità di marketing diretto (...) . ENEL non ha fornito riscontro nei termini indicati; il GARANTE non ha inviato solleciti. 3) CUM IV - richiesta del 10/07/2020 (...), relativa ad 8 reclami e 45 segnalazioni. Le doglianze alla base della quarta richiesta hanno riguardato, ancora una volta: - la ricezione di chiamate promozionali indesiderate verso numerazioni iscritte al Registro delle opposizioni (...) e verso numerazioni riservate senza la previa acquisizione del necessario consenso (...); - l'utilizzo di disco preregistrato sempre nell'ambito di chiamate promo-commerciali (...); - il mancato riscontro da parte di ENEL ENERGIA all'esercizio dei relativi diritti, nonché la ricezione di ulteriori telefonate promozionali, anche preregistrate, nonostante la recepita opposizione al trattamento (...). Le richieste dell'Autorità si sono altresì appuntate sulla opportunità di fornire chiarimenti in merito: - ai rapporti tra EE ed altre società che avrebbero contattato l'interessato per suo conto nonché all'utilizzo del numero di telefono (...); - alla lamentata obbligatorietà di un consenso da rilasciarsi per finalità di marketing e profilazione da parte di altre società del gruppo Enel e di partner commerciali, nell'ambito dell'utilizzo di app per la consultazione dei consumi e per il pagamento delle bollette (...); - all'invio di sms promozionali in assenza del consenso dell'interessato (...); - alla acquisizione ed automatica associazione di numerazioni telefoniche di contatto (...) - all'invio di fatture ed altri dati personali ad altri utenti (...); - all'indebito utilizzo da parte di terzi di informazioni nella disponibilità di EE (...) nonché della relativa modulistica (...). - ad ulteriori e distinte doglianze (...) . Nell'occasione, il Garante sollecitava anche la risposta alla precedente richiesta, rimasta inevasa. Enel, quindi, ha fornito riscontro congiuntamente al terzo e quarto CUM. Per i lunghi e complessi elementi di risposta, sui quali non vi è controversia, si può fare riferimento alla comunicazione di avvio del procedimento ed agli scritti difensivi delle parti. Infine, in data 24/12/2020, il Garante ha indirizzato ad Enel una richiesta di chiarimenti e integrazione delle informazioni (identificata dalle parti come CUM IV-BIS), cui veniva dato riscontro il 14/01/2021. Soltanto in data 14 maggio 2021 il Garante dava avvio al procedimento sanzionatorio dandone comunicazione ad ENEL . Da tanto emerge, allora, chiaramente che la vicenda oggi all'esame di questa Corte ha avuto origine dalla ricezione, da parte del Garante, di una mole cospicua di reclami e segnalazioni - che hanno comportato l'apertura di svariati fascicoli - sul cd. telemarketing selvaggio , pervenuti al Garante nell'arco temporale tra la fine del 2018 e il 2020, in relazione ai quali l'Autorità ha condotto un'attività istruttoria che si è svolta in un arco temporale di circa due anni e mezzo. Tale dilatazione temporale, lungi dall'essere stata frutto di un arbitrio dell'odierno ricorrente, è stata dovuta, evidentemente, alla natura dell'oggetto del procedimento. Posto, infatti, che tra le funzioni del Garante vi è quella di tutelare posizioni giuridiche soggettive che possano essere compromesse da attività altrui invasive della sfera giuridica dei singoli soggetti, nella specie è stato contestato ad ENEL ENERGIA Spa che soggetti che agivano in suo nome, in violazione della privacy, utilizzavano il mezzo telefonico per sollecitare al destinatario la stipula di un contratto con Enel stessa. È intuitivo, quindi, che un tale modus operandi doveva necessariamente essere accertato, in concreto, con riferimento ad un arco temporale realmente significativo, soprattutto per valutare se i reclami e le segnalazioni suddetti fossero relativi a casi isolati oppure indicativi di comportamenti reiterati nel tempo. 2.2. Con riguardo, poi, alla complessiva disciplina normativa di riferimento, occorre ricordare che: i) gli articolo 83 e 84 del Regolamento UE n. 679/2016 (Relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati)) disciplinano la materia delle sanzioni amministrative a supporto delle disposizioni dettate dal Regolamento a tutela dei dati personali , prescrivendo che queste siano in ogni caso effettive, proporzionate e dissuasive (articolo 83 Reg UE). L'articolo 83, in particolare, al comma 8, stabilisce che L'esercizio da parte dell'autorità di controllo (statale) dei poteri attribuiti dal presente articolo è soggetto a garanzie procedurali adeguate in conformità del diritto dell'Unione e degli Stati membri, inclusi il ricorso giurisdizionale effettivo e il giusto processo ; ii) l'Autorità Garante per la Protezione dei Dati Personali è stata individuata dal D.Lgs. n. 196/03 (recante il Codice in materia di protezione dei dati personali), successivamente integrato dal D.Lgs. 10 agosto 2018, n. 101 (a sua volta recante Disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, (...) ), quale soggetto nazionale depositario dei poteri investigativi e sanzionatori dettato dalla fonte eurounitaria (cfr. articolo 166, comma 3, a tenore del quale Il Garante è l'organo competente ad adottare i provvedimenti correttivi di cui all'articolo 58, paragrafo 2, del Regolamento, nonché ad irrogare le sanzioni di cui all'articolo 83 del medesimo Regolamento e di cui ai commi 1 e 2 ); iii) l'articolo 2, comma 2, della legge 7 agosto 1990, n. 241, prevede che le pubbliche amministrazioni determinano per ciascun tipo di procedimento, qualora non sia già direttamente disposto per legge o per regolamento, il termine entro cui il procedimento deve concludersi. Pertanto, il regolamento del Garante n. 1/2000 sull'organizzazione ed il funzionamento dell'Ufficio del Garante (deliberazione 28 giugno 2000, n. 15, in G.U. 13 luglio 2000, n. 162) e, in particolare, il suo articolo 13, comma 2, ha previsto l'adozione di disposizioni sulla durata dei procedimenti amministrativi di competenza dell'Autorità; iv) giusta l'articolo 156, comma 3, lett. a), del menzionato D.Lgs. n. 196/03, il Garante, con propri regolamenti pubblicati nella Gazzetta Ufficiale della Repubblica italiana, definisce l'organizzazione e il funzionamento dell'Ufficio , anche ai fini dello svolgimento dei compiti e all'esercizio dei poteri ad esso assegnati dagli articoli da 140-bis a 144, 154, 154-bis, 157, 158, 160, del medesimo D.Lgs.; v) l'articolo 166, comma 4, del D.Lgs. n. 196/03, prevede che l'esercizio dell'attività investigativa, ispettiva e sanzionatoria del Garante avvenga sia su segnalazione di parte, che ex officio. I poteri ispettivi ed investigativi sono dettati direttamente dall'articolo 58 del Regolamento (richiesta informazione, analisi dei dati, accesso ai locali del titolare dove viene effettuato il trattamento etc.). Il medesimo articolo 166, inoltre, stabilisce, ai commi 5, 6 e 9, rispettivamente, che: v-a) L'Ufficio del Garante, quando ritiene che gli elementi acquisiti nel corso delle attività di cui al comma 4 configurino una o più violazioni indicate nel presente titolo e nell'articolo 83, paragrafi 4, 5 e 6, del Regolamento, avvia il procedimento per l'adozione dei provvedimenti e delle sanzioni di cui al comma 3 notificando al titolare o al responsabile del trattamento le presunte violazioni, nel rispetto delle garanzie previste dal Regolamento di cui al comma 9, salvo che la previa notifica della contestazione non risulti incompatibile con la natura e le finalità del provvedimento da adottare. (...) ; v-b) Entro trenta giorni dal ricevimento della comunicazione di cui al comma 5, il contravventore può inviare al Garante scritti difensivi o documenti e può chiedere di essere sentito dalla medesima autorità ; v-c) (...) con proprio regolamento pubblicato nella Gazzetta Ufficiale della Repubblica italiana, il Garante definisce le modalità del procedimento per l'adozione dei provvedimenti e delle sanzioni di cui al comma 3 ed i relativi termini, in conformità ai principi della piena conoscenza degli atti istruttori, del contraddittorio, della verbalizzazione, nonché della distinzione tra funzioni istruttorie e funzioni decisorie rispetto all'irrogazione della sanzione ; vi) con deliberazione del 4 aprile 2019, il Garante ha adottato il Regolamento n. 2/2019 (concernente l'individuazione dei termini e delle unità organizzative responsabili dei procedimenti amministrativi presso lo stesso). Si tratta, quindi, di regolamento attuativo (di quanto sancito, appunto, dal comma 9 dell'articolo 166 del D.Lgs. n. 196/03) per mezzo del quale - in forza di norma di legge - sono stati stabiliti termini per la conclusione del procedimento amministrativo difformi e più ampi di quelli previsti dalla normativa nazionale di riferimento, costituita dalla nota legge n. 241/90. In particolare: vi-a) il suo articolo 2 precisa che Il presente regolamento disciplina la durata dei procedimenti presso il Garante e individua le unità organizzative competenti ad effettuare la relativa istruttoria . Per quanto qui di specifico interesse, la durata è contemplata nell'elenco di cui all'allegato B , che, al punto 2 ( Termini relativi a procedimenti individuati nel codice in materia di protezione dei dati personali ), prevede, per l'esercizio dei poteri sanzionatori (articolo 166, comma 5, del D.Lgs. n. 196/03), un termine di 120 giorni decorrente dall'accertamento della violazione per la notificazione della stessa ai residenti nel territorio della Repubblica o 360 giorni per la notificazione ai residenti all'estero , individuando quale ufficio competente all'emissione del provvedimento il Dipartimento affari legali e giustizia; vi-b) il successivo articolo 7 dispone, a completamento di tale disciplina, che: Salvo quanto previsto da specifiche norme di legge o di regolamento, se l'istante è invitato dall'Autorità a fornire informazioni, integrazioni o precisazioni o a esibire documenti, i termini previsti nelle tabelle A e B per provvedere sulla richiesta, istanza o diverso atto di iniziativa comunque denominato sono sospesi e decorrono nuovamente dalla data di scadenza del termine fissato per l'adempimento richiesto . 2.3. Fermo quanto precede, osserva il Collegio che, dalle complessive disposizioni, legislative e regolamentari, appena descritte, emerge agevolmente, in relazione all'attività procedimentale del Garante volta all'accertamento di violazioni ed alla irrogazione delle corrispondenti sanzioni, la distinzione, sul piano logico e cronologico, tra una fase sanzionatoria in senso stretto (cfr. articolo 166, comma 5, del D.Lgs. n. 196/03. Essa prende l'avvio con la notifica delle presunte violazioni, prevede una fase istruttoria vera e propria, nel corso della quale il contravventore, giusta il comma 6 di detto articolo, può inviare al Garante scritti difensivi o documenti, altresì potendo chiedere di essere sentito dalla medesima autorità, e culmina, in base al comma 7, nell'adozione del provvedimento sanzionatorio di cui al comma 3 dello stesso articolo, avverso il quale, poi, il trasgressore può promuovere il ricorso innanzi al Tribunale ex articolo 10, comma 3, del D.Lgs. n. 150 del 2001) ed una precedente fase investigativa (o, se si preferisce, preistruttoria, cui, invece, è dedicato il comma 4 del medesimo articolo 166). In altri termini, è affatto plausibile ritenere che, solo una volta esaurita la fase investigativa (o preistruttoria) disciplinata dall'articolo 166, comma 4, del D.Lgs. n. 196/03 (che richiama, quanto ai poteri di cui dispone il Garante in questo frangente, l'articolo 58 del Regolamento UE n. 2016/679), l'Ufficio del Garante, quando ritiene che gli elementi acquisiti nel corso delle attività di cui al comma 4 configurino una o più violazioni indicate nel presente titolo e nell'articolo 83, paragrafi 4, 5 e 6, del Regolamento, avvia il procedimento per l'adozione dei provvedimenti e delle sanzioni di cui al comma 3 notificando al titolare o al responsabile del trattamento le presunte violazioni . Una tale conclusione, del resto, appare pienamente coerente con quanto opinato dalla Corte costituzionale, con la sentenza n. 151 del 2021, relativamente al procedimento sanzionatorio regolato dalla legge n. 689 del 1981, recante la disciplina generale sulle violazioni amministrative. In quella sede, infatti, si è chiarito che detto procedimento si articola in due fasi distinte, la prima delle quali, affidata agli organi di vigilanza, è deputata all'acquisizione di elementi istruttori, e la seconda, avente natura lato sensu contenziosa e decisoria, è preordinata all'adozione, da parte dell'autorità titolare della potestà sanzionatoria, di un atto complesso, l'ordinanza-ingiunzione, di applicazione della sanzione pecuniaria e di ingiunzione del relativo pagamento, ovvero dell'ordinanza di archiviazione. L'elemento di raccordo tra gli indicati snodi procedimentali è costituito dalla contestazione dell'illecito, la quale, a norma dell'articolo 14 della legge n. 689 del 1981, se non è effettuata nell'immediatezza dell'accertamento, deve essere notificata agli interessati residenti nel territorio della Repubblica entro il termine di novanta giorni e a quelli residenti all'estero entro il termine di trecentosessanta giorni dall'accertamento. Il superamento di tale termine - che decorre dal momento in cui si è compiuta o si sarebbe dovuta compiere l'attività amministrativa necessaria a verificare l'esistenza dell'infrazione - è espressamente sanzionato con l'estinzione dell'obbligazione pecuniaria . Ragionando, dunque, analogamente, ma con riferimento, per quanto qui di specifico interesse, alla descritta, complessiva attività procedimentale del Garante finalizzata all'accertamento di violazioni ed alla irrogazione delle corrispondenti sanzioni, ne consegue, allora, che l'elemento di raccordo tra la fase investigativa (o preistruttoria) di cui all'articolo 166, comma 4, del D.Lgs. n. 196/03 e quella sanzionatoria in senso stretto (la quale prende l'avvio con la notifica delle presunte violazioni, prevede una fase istruttoria vera e propria e culmina nell'adozione del provvedimento sanzionatorio. Cfr. il medesimo articolo 166, commi 5, 6, 7) è costituito - non già dall'articolo 14 della legge n. 689 del 1981, qui concretamente inutilizzabile perché non ricompreso tra gli articoli di quest'ultima legge richiamati (da 1 a 9, da 18 a 22 e da 24 a 28), in quanto applicabili , la cui osservanza nell'adozione dei provvedimenti sanzionatori di cui all'articolo 166, comma 3, del D.Lgs. n. 196/03 è stata espressamente prevista dal comma 7 del medesimo articolo, bensì - dal già citato Regolamento del Garante n. 2/2019, che, come si è detto, al punto 2 dell'allegato B , ( Termini relativi a procedimenti individuati nel codice in materia di protezione dei dati personali ), prevede, per l'esercizio dei poteri sanzionatori (articolo 166, comma 5, del D.Lgs. n. 196/03), un termine di 120 giorni decorrente dall'accertamento della violazione per la notificazione della stessa ai residenti nel territorio della Repubblica o 360 giorni per la notificazione ai residenti all'estero . A tanto deve aggiungersi che: i) giusta l'articolo 144 (Segnalazioni) del D.Lgs. n. 196/2003, 1. Chiunque può rivolgere una segnalazione che il Garante può valutare anche ai fini dell'emanazione dei provvedimenti di cui all'articolo 58 del Regolamento. 2. I provvedimenti del Garante di cui all'articolo 58 del Regolamento possono essere adottati anche d'ufficio ; ii) il citato Regolamento del Garante n. 2/019, dispone, all'articolo 4 (Decorrenza del termine per i procedimenti di competenza del Garante), comma 1, che, Per i procedimenti avviati d'ufficio e per quelli relativi alle segnalazioni di cui all'articolo 144 del Codice, il termine decorre dalla data in cui il procedimento è avviato in conformità all'articolo 12 del regolamento del Garante n. 1/2019 ; iii) ai sensi dell'articolo 12 (Avvio del procedimento per l'adozione dei provvedimenti correttivi e sanzionatoti) del Regolamento del Garante n. 1/2019, Quando l'esame del reclamo non si conclude ai sensi dell'articolo 11, comma 1, (cioè con un provvedimento di archiviazione, nelle ipotesi ivi previste, reso all'esito dell'istruttoria preliminare. Ndr) il dipartimento, servizio o altra unità organizzativa avvia, con propria comunicazione al titolare e, se del caso, al responsabile del trattamento, il procedimento per l'adozione dei provvedimenti di cui agli articoli 58, paragrafo 2, e 83 del RGPD. 2. Nel rispetto dell'articolo 166, comma 5, del Codice, la comunicazione di cui al comma 1 contiene: a) una sintetica descrizione dei fatti e delle presunte violazioni della disciplina rilevante in materia di protezione dei dati personali nonché delle relative disposizioni sanzionatone; b) l'indicazione dell'unità organizzativa competente presso la quale può essere presa visione ed estratta copia degli atti istruttori; c) l'indicazione che entro trenta giorni dal ricevimento della comunicazione è possibile inviare al Garante scritti difensivi o documenti e chiedere di essere sentito dalla medesima Autorità. 3. Ove ne ricorrano i presupposti, la comunicazione di cui ai commi 1 e 2 del presente articolo può essere resa direttamente al titolare e, se del caso, al responsabile del trattamento, qualora tali soggetti vengano sentiti dal dipartimento, servizio o altra unità organizzativa in fase di istruttoria preliminare, ai sensi dell'articolo 10, comma 3, del presente regolamento. 4. Ai sensi dell'articolo 166, comma 5, del Codice, i commi precedenti non trovano applicazione ove la suddetta comunicazione risulti incompatibile con la natura e le finalità del provvedimento da adottare . 2.4. Da tutto quanto fin qui esposto, dunque, può agevolmente evincersi che il descritto termine di centoventi giorni decorrente dall'accertamento della violazione per la notificazione della stessa ai residenti nel territorio della Repubblica o 360 giorni per la notificazione ai residenti all'estero , di cui al punto 2 dell'allegato B , ( Termini relativi a procedimenti individuati nel codice in materia di protezione dei dati personali ) del menzionato Regolamento del Garante n. 2/2019, per l'esercizio dei poteri sanzionatori (articolo 166, comma 5, del D.Lgs. n. 196/03), non può che essere fatto decorrere, giusta l'articolo 12, comma 1, del Regolamento n. 1/2019 dello stesso Garante, dall'avvio del corrispondente procedimento sanzionatolo, vale p quando viene comunicato al titolare e, se del caso, al responsabile del trattamento, il procedimento per l'adozione dei provvedimenti di cui agli articoli 58, paragrafo 2, e 83 del RGPD. Comunicazione da individuarsi in quella di cui all'articolo 166, comma 5, del D.Lgs. n. 196/03, stante lo specifico richiamo a quest'ultima disposizione che si rinviene nel comma 2 del predetto 12 (Nel rispetto dell'articolo 166, comma 5, del Codice, la comunicazione di cui al comma 1 contiene: a) una sintetica descrizione dei fatti e delle presunte violazioni della disciplina rilevante in materia di protezione dei dati personali nonché delle relative disposizioni sanzionatone; b) l'indicazione dell'unità organizzativa competente presso la quale può essere presa visione ed estratta copia degli atti istruttori; c) l'indicazione che entro trenta giorni dal ricevimento della comunicazione è possibile inviare al Garante scritti difensivi o documenti e chiedere di essere sentito dalla medesima Autorità). In altri termini, come opinato anche dal sostituto procuratore generale nella sua requisitoria scritta (cfr. pag. 4 e ss.): i) il suddetto termine di centoventi giorni per l'irrogazione della sanzione decorre dal definitivo accertamento dell'illecito ed impone l'esercizio del potere sanzionatorio, mediante l'invio della comunicazione di cui al combinato disposto degli articolo 12, commi 1 e 2, del regolamento del Garante n. 1/2019, e 166, comma 5, del D.Lgs. n. 196/2003, entro quattro mesi dalla conoscenza (accertamento) della violazione, pena l'esaurimento della potestà sanzionatoria (cfr. Corte costituzionale n. 151 del 2021, secondo la quale: Alla peculiare finalità del termine per la formazione del provvedimento nel modello procedimentale sanzionatorio corrisponde una particolare connotazione funzionale del termine stesso. Mentre nel procedimento amministrativo il superamento del limite cronologico prefissato dall'articolo 2 della legge n. 241 del 1990 per l'esercizio da parte della pubblica amministrazione delle proprie attribuzioni non incide ex se, in difetto di espressa previsione, sul potere (...), in quanto il fine della cura degli interessi pubblici perdura nonostante il decorso del termine, la predefinizione legislativa di un limite temporale per la emissione della ordinanza-ingiunzione il cui inutile decorso produca la consumazione del potere stesso risulta coessenziale ad un sistema sanzionatorio coerente con i parametri costituzionali sopra richiamati ). A quello specifico termine, dunque, deve attribuirsi natura perentoria. Secondo la giurisprudenza costituzionale, infatti, la predefinizione legislativa di un limite temporale per la emissione di una sanzione espressiva della potestà punitiva della pubblica amministrazione, il cui inutile decorso produca la consumazione del potere stesso, risulta coessenziale ad un sistema sanzionatorio coerente con i parametri costituzionali di sicurezza giuridica e diritto di difesa . La mancanza di un termine finale perentorio colloca l'autorità titolare della potestà punitiva in una posizione ingiustificatamente privilegiata che, nell'attuale contesto ordinamentale, si configura come un anacronistico retaggio della supremazia speciale della pubblica amministrazione (cfr. la già sentenza n. 151 del 2021). La previsione di un preciso limite temporale per la irrogazione della sanzione tutela la certezza giuridica (in termini di prevedibilità delle conseguenze derivanti dalla reazione autoritativa alla violazione di un precetto pubblico, con finalità di prevenzione speciale e generale) e l'effettività del diritto di difesa dei consociati (la quale richiede una contiguità temporale tra l'accertamento dell'illecito e l'applicazione della sanzione). In caso di poteri di regolazione, invece, la perentorietà dei termini procedimentali può aversi solo quale eccezione alla regola della loro natura meramente ordinatoria o acceleratoria (articolo 2 della legge 7 agosto 1990, n. 241). Nel precedente appena citato, la Corte costituzionale - pur avendo accertato la contrarietà a Costituzione della previsione del solo termine di prescrizione del diritto alla riscossione delle somme dovute per le violazioni amministrative, previsto dall'articolo 28 della legge n. 689 del 1981, in ragione dell'ampiezza di detto termine, di durata quinquennale, suscettibile per di più di interruzione - ha dichiarato inammissibile la questione sollevata dal giudice a quo, avendo ritenuto che un suo intervento di natura additiva avrebbe implicato un'invasione nella sfera riservata alla discrezionalità del legislatore. Nel diverso caso in esame - in cui il termine per la conclusione del procedimento sanzionatorio è espressamente fissato in via regolamentare, sia pure senza sanzionarne la violazione in termini decadenziali - le medesime esigenze costituzionali di certezza giuridica della posizione del trasgressore e di effettività del suo diritto di difesa impongono di interpretare, sia la fonte primaria di attribuzione del potere regolamentare (articolo 166, comma 9, del D.Lgs. n. 196/03), sia le disposizioni secondarie di determinazione del termine di durata del procedimento individuato per l'esercizio del potere sanzionatorio ex articolo 166, comma 5, dell'appena menzionato D.Lgs. (articolo 3 e 4 del regolamento n. 2/2019 del Garante, di cui alla deliberazione del medesimo Garante del 4 aprile 2019, e punto 2 della Tabella B allegata al medesimo Regolamento), nel senso di vincolare perentoriamente l'Autorità che l'ha previsto alla sua osservanza; ii) non è previsto, invece, un termine di natura perentoria per il completamento dell'attività investigativa (o preistruttoria) prevista al comma 4 dell'articolo 166 del D.Lgs. n. 1906/03, almeno non all'interno dell'allegato B del Regolamento del Garante n. 2/2019. Quindi, per l'attività di indagine e per l'istruttoria in generale trova applicazione l'articolo 3, comma 5, del Regolamento del Garante 2/2019, il quale, facendo espresso riferimento al termine di cui all'articolo 2 della legge n. 241/90, manifesta un chiaro carattere ordinatorio: Eventuali altri procedimenti avviati e non indicati nella tabella B si concludono nel termine stabilito da altra fonte normativa o, in mancanza, in quello di novanta giorni a decorrere dalla data di ricezione dell'istanza ai sensi dell'articolo 2, comma 3, della legge 7 agosto 1990, n. 241 e successive modificazioni . La natura ordinatoria di questo termine (evidentemente diverso, dunque, da quello di cui si è detto nel punto precedente) è stata affermata dal Consiglio di Stato (cfr. Sez. VI, n. 4577/2018, che lo ha qualificato come regola di comportamento e non di validità dell'atto) ed è confermata dall'articolo 2-bis della medesima legge che espone le pubbliche amministrazioni al risarcimento del danno ingiusto cagionato in conseguenza dell'inosservanza dolosa o colposa del termine di conclusione del procedimento . La violazione di tale termine, quindi, ha riflessi sulla legittimità del comportamento della P.A. e non su quella dell'atto. Questa interpretazione, del resto, soddisfa l'esigenza di predeterminazione ex lege dei criteri di esercizio del potere da parte dell'amministrazione, giacché garantisce una contiguità temporale tra l'accertamento dell'illecito e l'applicazione della sanzione, modula la decorrenza del termine in relazione agli specifici interessi di volta in volta incisi e preserva la certezza giuridica della posizione del trasgressore e l'effettività del suo diritto di difesa. 2.5. Calando, allora, queste conclusioni nella concreta vicenda in esame, ne consegue la non conformità ad esse del convincimento del Tribunale capitolino di far decorrere il termine - benché ivi correttamente ritenuto perentorio - di centoventi giorni previsto al punto 2 dell'allegato B del Regolamento del Garante n. 2/2019 non già dall'effettivo accertamento delle violazioni ascritte ad ENEL ENERGIA Spa, bensì dalle singole sottofasi in cui si era sviluppata la fase investigativa (o preistruttoria) nel corso della quale il Garante, nell'esercizio dei poteri riconosciutigli dall'articolo 58 del Regolamento UE n. 2016/679, aveva inviato plurime richieste di informazioni alla odierna controricorrente ricevendone le corrispondenti risposte. Quel termine, infatti, come si è ampiamente spiegato, è riferibile esclusivamente al procedimento sanzionatorio in senso stretto (che si avvia, giova ribadirlo, da quando viene comunicato al titolare e, se del caso, al responsabile del trattamento, il procedimento per l'adozione dei provvedimenti di cui agli articoli 58, paragrafo 2, e 83 del RGPD. Comunicazione da individuarsi in quella di cui all'articolo 166, comma 5, del D.Lgs. n. 196/03, stante lo specifico richiamo a quest'ultima disposizione che si rinviene nel comma 2 dell'articolo 12 del regolamento del Garante n. 1/2019) e non, invece, all'attività investigativa (o preistruttoria) disciplinata dall'articolo 166, comma 4, del D.Lgs. n. 196/03. Nemmeno persuade appieno, poi, - in ciò condividendo il Collegio l'analoga osservazione rinvenibile nella requisitoria scritta del sostituto procuratore generale - l'affermazione del giudice capitolino allorquando, a riguardo della decorrenza del termine dalla data di apprezzamento dell'illecito nel suo complesso, e non dalla data della segnalazione, non si è potuto esimere dal sollevare convinte obiezioni ad una simile tesi, in primo luogo per le stesse ragioni che inevitabilmente conducono ad affermare la perentorietà del termine: un termine il cui dies a quo è del tutto incerto, rimesso alla mera volontà dell'organo amministrativo, volontà, peraltro, che si forma nel segreto delle sue deliberazioni interne, non è calcolabile e non è, quindi, un termine . Invero, va rimarcato, in proposito, che una cosa è la conoscenza della possibilità dell'esistenza dell'illecito che dà luogo all'esercizio dei poteri ispettivi, altra, e diversa, è l'apprezzamento dell'esistenza dei presupposti per l'irrogazione della sanzione. Orbene, nell'individuare il dies a quo da cui far decorrere il termine per l'esercizio della potestà sanzionatoria nella data in cui il Garante riceve le risposte (definitive) alle sue richieste di informazioni e chiarimenti (cioè a quegli atti che servono a completare il quadro preistruttorio), stigmatizzando pure l'esercizio, da parte di quest'ultimo, della procedura dei CUM (cioè del cumulo fra segnalazioni di carattere omogeneo su cui il soggetto attinto dalla investigazione doveva prendere posizione), il Tribunale, di fatto, ma illegittimamente, ha inteso sostituirsi al Garante rispetto a valutazioni ampiamente discrezionali, proprie, invece, esclusivamente di quest'ultimo, sulle modalità di svolgimento della fase investigativa (o preistruttoria) anteriore all'avvio del procedimento sanzionatorio vero e proprio. In altri termini, si è sostituito, sostanzialmente, all'ente accertatore nella attività di valutazione della sufficienza dei tempi adottati e degli elementi conoscitivi utili all'emissione della sanzione, così mostrando di non considerare, da un lato, che, come sancito dall'articolo 10 (Istruttoria preliminare), comma 4, del regolamento del Garante n. 1/2019, Al fine di promuovere l'esame organico di questioni, anche pervenute in tempi diversi, che possono rendere opportuna l'adozione di un eventuale provvedimento di carattere generale, l'istruttoria preliminare può essere svolta contestualmente in relazione a più reclami aventi il medesimo oggetto o che riguardano il medesimo titolare o responsabile del trattamento, oppure trattamenti di dati tra loro correlati ; dall'altro, che, come sancito dalla qui condivisa giurisprudenza di legittimità, il giudice non può sostituirsi all'organo addetto al controllo nel valutare l'opportunità dell'esercizio dei poteri di indagine per riscontrare la sussistenza dell'illecito (cfr. Cass. n. 34695 del 2023; Cass. n. 8326 del 2018, Cass. n. 16642 del 2005). Del resto, sebbene in materia di sanzioni amministrative applicate dalla Consob in materia di intermediazione finanziaria, - ma con argomentazioni che possono agevolmente trasporsi in questa sede stante l'evidente identità di ratio - questa Corte ha ritenuto, costantemente (cfr. tra le più recenti, Cass. n. 9022 del 2023 e Cass. n. 21500 del 2024), che il momento dell'accertamento, dal quale decorre il termine di decadenza per la contestazione degli illeciti da parte della Consob, impone di tener conto, di caso in caso, della complessità della materia, delle particolarità della fattispecie concreta, del contenuto e delle date delle operazioni. In particolare, come si legge in Cass. n. 21500 del 2024, in materia di sanzioni amministrative previste per la violazione delle norme che disciplinano l'attività di intermediazione finanziaria, la decorrenza del termine da rispettare per la contestazione degli illeciti va individuata nel giorno in cui la CONSOB in composizione collegiale, dopo l'esaurimento dell'attività ispettiva e di quella istruttoria, è in grado di adottare le decisioni di sua competenza, senza che si possa tenere conto di ingiustificati ritardi, derivanti da disfunzioni burocratiche o artificiose protrazioni nello svolgimento dei compiti assegnati ai suddetti organi. Il momento dell'accertamento, dal quale decorre il termine di decadenza per la contestazione degli illeciti da parte della Consob, non deve, perciò, essere fatto coincidere, necessariamente e automaticamente, né con il giorno in cui l'attività ispettiva è terminata, né con quello in cui è stata depositata la relazione dell'indagine, né con quello in cui la Commissione si è riunita per prenderla in esame, poiché la constatazione dei fatti non comporta di per sé il loro accertamento . Ne consegue che occorre individuare, secondo gli elementi indicatori della situazione concreta, il momento in cui ragionevolmente la constatazione avrebbe potuto essere tradotta in accertamento, momento dal quale deve farsi decorrere il termine per la contestazione stessa (Cass. Sez. Unite, n. 5395 del 2007; Cass. n. 8687 del 2016; n. 9254 del 2018; n. 11961 del 2019; n. 21171 del 2019; n. 9022 del 2023) . Orbene, proprio tenuto conto della già descritta, specifica normativa, legislativa e regolamentare (articolo 166, commi 4 e 5, del D.Lgs. n. 196/03; articolo 12 del Regolamento n. 1/2019 del Garante; punto 2 dell'allegato B del Regolamento del Garante n. 2/2019), riguardante il complessivo iter procedimentale previsto per l'adozione, da parte dell'Ufficio del Garante, dei provvedimenti e delle sanzioni indicati all'articolo 166, comma 3, del D.Lgs. n. 196/03, ed altresì tenuto conto che la pura constatazione dei fatti non comporta di per sé il loro accertamento , per gli effetti di cui all'articolo 166 predetto, ove occorra una successiva attività istruttoria e valutativa ai fini dell'efficiente espletamento dell'attività sanzionatoria, il Collegio non ravvisa significative ragioni ostative all'applicazione dell'appena descritto modus operandi della Consob anche al Garante quanto alla individuazione del dies a quo del termine per la contestazione delle violazioni al trasgressore, spettando, poi al giudice - la cui valutazione è da considerarsi accertamento fattuale (cfr. Cass. n. 9022 del 2023, laddove afferma che La ricostruzione e la valutazione delle circostanze di fatto inerenti ai tempi occorrenti per la contestazione rispetto all'acquisizione informativa, e in particolare la stima della congruità del tempo utilizzato in relazione alla maggiore o minore difficoltà del caso, sono elementi evidentemente rimessi al giudice del merito, con apprezzamento incensurabile in sede di legittimità, al di fuori del sindacato consentito ai sensi dell'articolo 360, primo comma, n. 5, c.p.c. ) - stabilire la congruità, o meno, del tempo concretamente occorrente all'Autorità per procedere alla contestazione rispetto all'acquisizione informativa. Alteris verbis, come ancora condivisibilmente osservato dal sostituto procuratore generale nella sua requisitoria scritta, All'organo giurisdizionale è, sì, demandato un controllo sulla tempestività dell'adozione del provvedimento sanzionatorio, ma tale controllo deve svolgersi, insegna la Corte, sul rispetto della ragionevole durata del procedimento, e quindi nell'apprezzamento della sussistenza di indagini dilatorie sotto il profilo istruttorio (e quindi violative del principio del giusto processo) e non nel sindacato del necessario approfondimento istruttorio da parte dell'organo emittente (approfondimento istruttorio che, trova origine anch'esso nell'articolo 6 CEDU). Opinando altrimenti si consentirebbe al giudice ordinario un sindacato implicito sulla discrezionalità amministrativa. Codesta Corte ha, difatti, avuto modo di precisare (Sez. II, n. 21171 del 21.03.2019): in relazione al sindacato sulla tempistica degli atti di indagine: (a) il giudice deve limitarsi a rilevare se vi sia stata un'ingiustificata e protratta inerzia durante o dopo la raccolta dei dati di indagine, tenuto anche conto che ragioni di economia possono indurre a raccogliere ulteriori elementi atti a dimostrare la sussistenza, accanto a violazioni già risultanti dagli atti raccolti, di altre violazioni amministrative, al fine di emettere un unico provvedimento sanzionatorio ). Quindi, in applicazione di questi medesimi princìpi, non appare sindacabile ai fini del rispetto del termine di cui all'articolo 3 del Reg. 2/09 la scelta del Garante di procedere ad un approfondimento istruttorio più vasto ed articolato al fine di esaminare un quadro oggettivamente complesso e caratterizzato da una miriade di segnalazioni, ciascuna delle quali necessitava di rigorosi controlli di riscontro. Il giudizio di opposizione a sanzione amministrativa - difatti - verte sul rapporto sanzionatorio e si traduce in un controllo sul corretto esercizio del potere punitivo dell'amministrazione, teso a prevenire comportamenti inutili o dilatori da parte del soggetto preposto, ma che non può mai esorbitare in un controllo sostitutivo della necessità di disporre un supplemento istruttorio, ovvero su una diversa modalità di condurre le indagini, anche alla luce del necessario esame di tutti gli eventuali rilievi difensivi formulati dal resistente e della finalità istituzionale di ricercare nuovi e diversi abusi (oltre che del fine corrispondente al corretto ed efficiente esercizio del potere amministrativo ex articolo 97 Cost di concentrare nel provvedimento sanzionatorio, come nel caso in esame, tutte le fattispecie desumibili dalla medesima indagine) . 2.6. La conclusione qui propugnata, peraltro, è assolutamente coerente con i principi di cui all'articolo 6 CEDU, certamente applicabili al procedimento sanzionatorio de quo e richiamati dallo stesso Tribunale capitolino (cfr. Corte Cost. sent. n. 63/19; Cass. n. 8237 del 2019; Cass. n. 770 del 2017; Cass. n. 8210 del 2016; Cass. n. 25141 del 2015; Cass. n. 18683 del 2014, nonché con riferimento al procedimento dinanzi alla Consob, Cass. n. 20689/2018). Un controllo giurisdizionale che consenta di individuare il momento in cui l'organo amministrativo sia in condizione di emettere una sanzione, lede il principio della separazione fra funzioni istruttorie e potere di controllo ed impone alla Pubblica Amministrazione l'esercizio del potere sanzionatorio nel più breve tempo possibile, per non incorrere in decadenze, con conseguenti insufficienti garanzie di adeguato approfondimento istruttorio. Ciò comporta, però, proprio la violazione degli stessi principi del giusto processo, dettati dall'articolo 6 della CEDU, che il Tribunale suddetto ha richiamato a fondamento di un principio di accelerazione. Come pure opinato, ancora condivisibilmente, dal sostituto procuratore generale, Il rispetto dell'articolo 6 CEDU impone, da un lato, che il provvedimento sanzionatorio sia soggetto ad un sindacato giurisdizionale pieno, di natura tendenzialmente sostitutiva, attuato attraverso un procedimento conforme alle richiamate prescrizioni della Convenzione, e, quale, contrappeso, dall'altro lato, la libertà dell'organo di vigilanza di svolgere un'indagine conoscitiva quanto più ampia ed approfondita possibile, al fine, evidente, di non sottoporre il cittadino ad un procedimento sanzionatorio, e quindi ex se afflittivo, sulla base di accertamenti fumosi e/o sbrigativi ovvero carenti dei più elementari dati utili ad una difesa puntuale nel merito. Una lettura costituzionalmente orientata dell'articolo 166, comma 9, del D.Lgs. 196/03 quindi, non può che riportare il termine di 120 giorni previsto dal regolamento attuativo come decorrenti dall'accertamento dell'illecito e non già al merito del momento in cui il GPDP avrebbe avuto , compiuta conoscenza dei presupposti del merito sanzionatorio . 2.7. È doveroso ricordare, infine, - stante il richiamo fattone da entrambe le parti nelle rispettive memorie ex articolo 378 cod. proc. civ., oltre che dai loro rispettivi difensori nel corso della discussione in pubblica udienza - che la Corte di Giustizia, con le recenti sentenze (gemelle) del 30 gennaio 2025, nelle cause Trenitalia Spa c. AGCOM, C-510/23 e Caronte Tourist Spa c. AGCOM, C-511/23, ha evidenziato che le storture derivanti un'interpretazione eccessivamente formalistica e rigida delle disposizioni normative dettate in materia di termini procedimentali in capo alle Autorità di vigilanza e garanzia comportano, da un lato, il rischio di un'ingerenza nell'indipendenza/neutralità operativa dell'Autorità; dall'altro, il rischio sistemico di impunità a beneficio dei contravventori, ogniqualvolta l'istruttoria finalizzata ad accertare le condotte illecite ed a correggerle sia caratterizzata da elevata complessità (cfr. parag. 65 e 66 della sentenza C-510/23). Orbene, le coordinate ermeneutiche tracciate, in quelle sedi, dalla Corte suddetta in ordine al termine di novanta giorni di cui all'articolo 14 della legge n. 689/1981, benché specificamente riferite ad una norma (appunto, l'articolo 14 della legge n. 689/1981) qui inutilizzabile, come si è già spiegato, tuttavia sono assolutamente sovrapponibili all'oggetto del presente giudizio concernente i centoventi giorni di cui al Regolamento del Garante n. 2/2019, Tabella B, punto 2, previsto per la contestazione degli addebiti, posto che il livello di tutela sotteso alla disciplina in materia di consumatori deve essere garantito anche per quella dettata in ambito di protezione dei dati personali di rilevanza costituzionale (ex articolo 2 Cost.), eurounitaria (ex Regolamento UE n. 2016/679, articolo 16 TFUE, articolo 7 e 8 Carta dei diritti fondamentali UE) e sovranazionale (ex articolo 8 CEDU). Merita, però, di essere precisato che, come si è già spiegato, lo svolgimento dell'istruttoria preliminare condotta, nella fattispecie in esame, dall'Autorità Garante risulta estranea al procedimento sanzionatorio tout court, che inizia con la notifica della contestazione dell'illecito ai sensi dell'articolo 166, comma 5, del D.Lgs. n. 196/03, quale atto di avvio del procedimento sanzionatorio dal quale inizia ad operare il principio del contraddittorio, esplicazione del diritto di difesa quale garanzia del procedimento sanzionatorio medesimo. Il termine di centoventi giorni fissato per la notificazione della contestazione dell'illecito riguarda, pertanto, - giova ribadirlo - una fase di amministrazione attiva (ancora) estranea al procedimento sanzionatorio e ad esso prodromica, come tale, soggetta a termini meramente ordinatori, come, del resto, ancora recentemente ribadito da Cons. Stato n. 3569 del 2024, secondo cui Costituisce principio generale del diritto, di cui le previsioni dell'articolo 2 della legge n. 241 del 1990 rappresentano ulteriore conferma a livello di normazione primaria, quello per cui i termini del procedimento amministrativo devono essere considerati ordinatori, ove non siano dichiarati espressamente perentori dalla legge (Cons. Stato, sez. IV, 6 agosto 2013, n. 4150; Cons. Stato, sez. VI, 29 dicembre 2010, n. 9569). In siffatta direzione, il rispetto del termine di conclusione del procedimento resta ancorato all'area degli obblighi di comportamento senza essere trascinato sul terreno del giudizio di validità dell'atto (si veda, sul punto: Cons. Stato, sez. V, 11 ottobre 2013, n. 4980). A simili conclusioni si perviene sulla base delle seguenti considerazioni: l'esercizio della funzione pubblica è connotato dai requisiti della doverosità e della continuità, cosicché i termini fissati per il suo svolgimento hanno giocoforza carattere acceleratorio, in funzione del rispetto dei principi di buon andamento (97 Cost.), efficienza ed efficacia dell'azione amministrativa (articolo 1, comma 1, L. n. 241/1990), e non già perentorio. Conseguentemente, la loro scadenza non priva l'amministrazione del dovere di curare l'interesse pubblico, né rende l'atto sopravvenuto di per sé invalido (Cons. Stato, sez. V, 11 ottobre 2013, n. 4980, cit.). Ed infatti: la cessazione della potestà, derivante dal protrarsi del procedimento, potrebbe nuocere all'interesse pubblico alla cui cura quest'ultimo è preordinato, con evidente pregiudizio della collettività (Cons. Stato, sez. VI, 2 febbraio 2015, n. 468). Ne deriva da quanto detto che: in assenza di una specifica disposizione che espressamente preveda il termine come perentorio, comminando la perdita della possibilità di azione da parte dell'Amministrazione al suo spirare o la specifica sanzione della decadenza, il termine stesso deve intendersi come meramente sollecitatorio o ordinatorio; il suo superamento non determina, perciò, l'illegittimità dell'atto, ma una semplice irregolarità non viziante, poiché non esaurisce il potere dell'Amministrazione di provvedere: se tale conclusione vale con riferimento ad una norma di legge, è tanto più valida laddove, come nella fattispecie in esame, il termine finale sia stato previsto dalla stessa Amministrazione procedente (Cons. Stato, sez. VI, 2 febbraio 2015, n. 468, cit. Si veda sul punto anche: Cons. Stato, sez. III, 22 dicembre 2017, n. 6044) . 2.8. In contrario, nemmeno sembra utilmente invocabile un ipotetico principio di legittimo affidamento. Al riguardo, infatti, giova sottolineare che una tale argomentazione -come osservato dall'Avvocato generale nelle conclusioni depositate della Causa C-510/23, che questo Collegio, condividendole appieno, intende fare proprie, - poggia su di un'errata cognizione del ruolo delle autorità nazionali incaricate di constatare e sanzionare le violazioni commesse nei settori alla cui cura sono preposte. Sul punto, si legge che l'inerzia di tale autorità non comporta il riconoscimento della conformità di una pratica commerciale alle regole del mercato interno. In altre parole, non è giuridicamente possibile dedurre la legittimità della pratica commerciale di cui trattasi dal mancato intervento di detta autorità, assimilabile a un consenso tacito. Non esiste pertanto alcuna presunzione di legittimità di una pratica commerciale di cui un'impresa potrebbe avvalersi in tali circostanze. Qualora così non fosse, il sistema di vigilanza diverrebbe assurdo, dal momento che un'impresa potrebbe basarsi sull'inerzia dell'autorità e ciò benché la pratica commerciale in discussione sia in evidente contraddizione con il diritto dell'Unione. L'applicazione efficace delle norme del diritto del consumo e della concorrenza sarebbe gravemente compromessa . 2.9. Da ultimo, va osservato che le complessive argomentazioni e conclusioni fin qui esposte rendono insussistenti i presupposti per dare seguito alla richiesta sia del duplice rinvio pregiudiziale, ai sensi dell'articolo 267 TFUE, alla Corte di Giustizia come invocato dalla controricorrente alla pag. 13 della sua memoria ex articolo 378 cod. proc. civ. datata 16 maggio 2025, sia (stante l'insussistenza di qualsivoglia concreta allegazione concernente l'avvenuta contestazione di un'eventuale ingiustificata e protratta inerzia del Garante durante o dopo la raccolta dei dati di indagine) di quello ulteriore alla stessa Corte, come dalla medesima controricorrente invocato alla successiva pag. 20 di detta memoria. 2.10. Deve essere enunciato, dunque, il seguente principio di diritto. In tema di trattamento dei dati personali, la complessiva attività procedimentale dell'Autorità Garante per la protezione di questi ultimi, finalizzata all'accertamento di violazioni ed alla irrogazione delle corrispondenti sanzioni, consta di due fasi - una sanzionatoria in senso stretto ed una, precedente, investigativa o preistruttoria - logicamente e cronologicamente distinte. Il termine, da considerarsi perentorio, di centoventi giorni previsto al punto 2 dell'allegato B del Regolamento del Garante n. 2/2019 si riferisce esclusivamente alla fase sanzionatoria in senso stretto e decorre dalla conclusione della fase preistruttoria che culmina con l'effettivo accertamento delle violazioni ascritte al trasgressore e la notifica della contestazione . 3. Il quarto motivo di ricorso denuncia la Violazione o falsa applicazione dell'articolo 6, comma 1, del regolamento n. 2/2019 del Garante; dell'articolo 103, comma 1, del D.L. n. 18 del 2020 e s.m.i.; violazione del principio iura novit curia (articolo 360, comma 1, n. 3, c.p.c.) . In via subordinata al mancato accoglimento delle doglianze precedenti, e fermo che la giurisprudenza, in consimili fattispecie, individua il dies a quo, da cui decorrono i centoventi giorni per la contestazione della violazione, nel momento in cui l'istruttoria amministrativa è conclusa, sicché l'autorità procedente, avendo completo il quadro giuridico e fattuale della situazione analizzata, può trarre le proprie conclusioni, si assume che il Tribunale ha dimenticato, nella propria ricostruzione temporale dei fatti, di considerare la sospensione feriale dei termini e quella ex lege sancita dalla legislazione emergenziale durante il periodo pandemico susseguitasi, di cui alla norma epigrafata, applicabile nei procedimenti amministrativi del Garante. 3.1. Questa censura, espressamente formulata in via subordinata al rigetto dei primi tre motivi, deve considerarsi assorbita per effetto dell'avvenuto accoglimento di questi ultimi. 4. In conclusione, dunque, l'odierno ricorso promosso dal Garante per la Protezione dei Dati Personali deve essere accolto, nei sensi in precedenza spiegati, limitatamente ai suoi primi tre motivi, dichiarandosene assorbito il quarto. Pertanto, la sentenza impugnata deve essere cassata, con rinvio della causa al Tribunale di Roma, in persona di diverso giudice monocratico, per il corrispondente nuovo esame e per la regolamentazione delle spese di questo giudizio di legittimità. P.Q.M. La Corte accoglie, nei sensi di cui in motivazione, il ricorso promosso dal Garante per la Protezione dei Dati Personali limitatamente ai suoi primi tre motivi, dichiarandone assorbito il quarto. Cassa la sentenza impugnata e rinvia la causa al Tribunale di Roma, in persona di diverso giudice monocratico, per il corrispondente nuovo esame e per la regolamentazione delle spese di questo giudizio di legittimità.