Vos préférences en matière de cookies

Lignes directrices CEPD · art. 7 RGPD

Nous utilisons des cookies techniques essentiels au fonctionnement de la plateforme (connexion, sécurité, sessions). Nous souhaiterions aussi utiliser des cookies analytiques pour comprendre comment l'améliorer.

Vous pouvez tout accepter, tout refuser, ou choisir les catégories à activer.Votre consentement est valable 6 mois et vous pouvez le retirer à tout moment depuis le pied de page.

Vous trouverez tout dans notre politique de confidentialité.

Toutes les actualités
Réglementation 20 septembre 2026 7 min

Les 120 jours ne sont pas le délai pour vous sanctionner : c'est le délai pour vous notifier les griefs

Trois arrêts de la Première Chambre civile — n° 22791, 24861 et 24862 de 2026 — closent le débat sur les délais de l'autorité italienne. Pour la défense, l'argument « ils ont mis trop de temps » perd presque tout son espace

En deux lignes

Cass. civ., 1re ch., n° 22791/2026 et, issus de la même audience du 24 juin 2026 et déposés le 31 août, n° 24861 et 24862/2026. Le délai de 120 jours du tableau « B » du règlement de l'autorité n° 2/2019 est interne à la procédure et péremptoire, mais il vise la NOTIFICATION DES GRIEFS. Pour la décision finale, aucune déchéance : subsiste la prescription de cinq ans au titre de l'art. 28 de la loi n° 689/1981.

Deux procédures, non deux phases

L'arrêt n° 24861/2026 — qui statue sur le pourvoi de Società Editoriale Il Fatto S.p.A. contre une sanction de 20 000 euros pour un article identifiant les enfants majeurs d'un homme condamné pour abus sur mineurs — affirme que la procédure d'adoption des mesures correctrices et de sanction « se présente comme une procédure administrative ultérieure et distincte et non comme une sous-procédure ou une autre phase de la procédure d'ensemble de traitement de la réclamation ». Les neuf mois prorogeables à douze de l'art. 143 du Code visent la réclamation ; ils ne marquent pas « une échéance finale pour l'exercice du pouvoir de sanction ».

L'arrêt n° 24862/2026 naît du pourvoi de l'autorité elle-même contre une décision du fond qui lui avait donné tort. K-City S.r.l. avait été sous-traitant pour la commune de Formia, sur le stationnement payant, entre septembre 2019 et avril 2020, sans acte de désignation approprié. L'autorité obtient des éclaircissements de la commune le 3 février 2020 ; elle demande des informations à K-City, qui répond le 13 juillet 2021 ; elle notifie les griefs le 30 juillet 2021, dix-sept jours plus tard. Le tribunal de Rome avait fait courir les 120 jours depuis le 3 février 2020 et annulé la décision. La Cour casse : la constatation définitive « ne consiste pas dans la simple acquisition de l'information, mais exige la capacité de l'autorité d'apprécier tous les éléments constitutifs de l'infraction ». Une information portant sur un tiers — la commune — ne fait pas courir le délai à l'égard de celui qui sera sanctionné.

La chronologie telle qu'elle ressort des trois arrêts:

  • Phase de collecte et d'appréciation : aucun délai péremptoire, mais aucun retard injustifié dû à des dysfonctionnements organisationnels. Le juge peut en contrôler le caractère raisonnable et proportionné à la complexité de l'affaire.
  • Constatation définitive : elle exige le contradictoire effectif avec la personne qui sera sanctionnée, non la simple information provenant de tiers.
  • À partir de là, 120 jours pour notifier les griefs. Leur inobservation éteint l'obligation pécuniaire.
  • Après des griefs notifiés dans les délais : aucun autre délai de déchéance. Subsiste la prescription de cinq ans à compter de la commission du fait (art. 28, loi n° 689/1981).
  • À titre de comparaison, le modèle général de l'art. 14 de la loi n° 689/1981 : quatre-vingt-dix jours pour les résidents en Italie, trois cent soixante pour les résidents à l'étranger.

Ce qui change pour vous, concrètement

1) Dater les réponses. Le moment où vous répondez à une demande d'informations au titre de l'art. 157 est, dans l'affaire K-City, celui qui rapproche la constatation définitive : cette date doit être enregistrée et conservée, car c'est de là que se mesure la rapidité des griefs. 2) Ne construisez pas la défense sur le temps écoulé entre le premier signalement et les griefs : la Cour a dit expressément que la phase préalable n'a pas de délai prédéterminé. Seul reste attaquable le retard dû à des dysfonctionnements organisationnels, et il faut le démontrer. 3) Rappelez-vous que la réclamation ne tombe pas : si l'autorité dépasse les neuf à douze mois, la personne concernée dispose du recours au juge ordinaire, et le pouvoir de sanction reste intact. 4) Inscrivez à l'agenda cinq ans depuis le comportement, non depuis les griefs : c'est le seul délai final subsistant.

D'où vient cette lecture, et pourquoi cela compte

La reconstitution la plus détaillée de ces trois arrêts est la tribune du secrétaire général de l'autorité, Luigi Montuori, publiée dans AgendaDigitale le 8 septembre 2026 et reprise par la newsletter de l'autorité. C'est une lecture autorisée et documentée, avec les citations référencées page par page — et c'est aussi la lecture que l'autorité donne d'arrêts portant sur ses propres pouvoirs. Qui prépare une défense doit se reporter au texte des arrêts, non au résumé : le fond ne change pas, mais l'accent sur ce qui reste contrôlable — le caractère raisonnable de la phase préalable — est, logiquement, moins appuyé dans le texte de l'autorité.

Source officielle:Autorité italienne de protection des données — « Sanctions vie privée : la Cassation clarifie la règle des 120 jours », tribune de Luigi Montuori, doc. web n° 10294426 (8 septembre 2026)

Vous cherchez un outil pour votre travail de DPO ?

DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.

Commencer gratuitement

Articles connexes

Réglementation
4semaines : le délai le plus court d'Europe

Quatre semaines, pas un jour de plus : combien de temps conserver les données des candidats aux Pays-Bas

Quatre semaines après la fin de la procédure : c'est le délai le plus court d'Europe sur cette donnée, et ce n'est pas une recommandation facultative. Face à une réclamation, c'est la première chose que vérifie l'autorité néerlandaise. La copie de la pièce d'identité est l'exception qui coupe le dossier du personnel en trois.

18 sept. 2026Nouveau 6 min
Réglementation
10ans de documentation technique, et deux horloges différentes

Le règlement sur l'IA est un problème de conservation, et presque personne ne le traite ainsi

Tout le monde lit le règlement comme un exercice de classification des risques. En dessous se trouvent des durées de conservation aussi concrètes qu'en droit fiscal : documentation dix ans à compter de la mise sur le marché, journaux au moins six mois, signalement d'incident sous quinze, dix ou deux jours. Rien de cela n'entre dans un registre qui comporte une seule ligne pour « système d'IA ».

18 sept. 2026Nouveau 7 min
Réglementation
16cas où la loi espagnole impose un DPO

Quand le DPO est-il obligatoire en Espagne : les seize cas de l'article 34

L'Espagne fait partie des rares États à avoir énuméré dans la loi les cas où le délégué est obligatoire. Seize lettres, de a) à o), qui s'ajoutent — sans les remplacer — aux trois hypothèses de l'art. 37, § 1. L'erreur la plus coûteuse n'est pas dans la liste : elle est au paragraphe 2, car l'organisme qui désigne volontairement un DPO relève du même régime et doit le notifier à l'AEPD dans les dix jours.

15 sept. 2026Nouveau 6 min