Chi scrive il tempo di risposta del Garante? Da oltre un anno lo fa la Corte di Cassazione e prima lo facevano i tribunali di merito. Sei pronunce della Cassazione e una del Tribunale di Roma hanno dovuto ricostruire, caso per caso, le regole sulla durata dei procedimenti dell’Autorità, perché i regolamenti del 2019 fissano i termini ma tacciono su tre cose: che cosa sia l’accertamento da cui si contano, se siano vincolanti, che cosa accada per ciascuno di essi, quando scadono. Sono le tre righe che mancano. Il tempo non è un dettaglio. Una tutela può dirsi realmente effettiva solo se è anche prevedibile nei tempi, e chi attende una decisione, come chi è chiamato a difendersi, deve poter conoscere, entro limiti ragionevoli, il percorso e la durata del procedimento. Il potere di scrivere quelle righe non è dei giudici, che lo hanno detto con chiarezza; il legislatore lo ha affidato all’Autorità, ed è nelle sue mani. Questo articolo auspica che quel potere venga esercitato. Muove dall’idea che il Garante possa applicare alla propria organizzazione gli stessi principi di responsabilizzazione e di governo dei processi che il GDPR richiede a chi tratta dati personali: obiettivi chiari sui tempi, responsabilità definite, monitoraggio e trasparenza. Le regole così individuate potrebbero poi essere tradotte, dove servono effetti giuridici, nei regolamenti che l’Autorità può modificare autonomamente. Non occorre una riforma legislativa. Occorre una scelta di indirizzo e di regolamentazione, capace di rendere più prevedibile l’esercizio dei poteri del Garante e di rafforzare, al tempo stesso, la fiducia dei cittadini e la credibilità dell’istituzione.

L’arma e l’orologio

Molti anni fa, quando ero un giovane ufficiale dei Carabinieri al mio primo comando, durante un posto di blocco fermammo un’autovettura. La perquisizione del veicolo portò alla scoperta di una pistola con la matricola abrasa. Non era addosso al conducente: era nell’abitacolo, dove chiunque avesse avuto accesso a quell’auto avrebbe potuto lasciarla. Era un’arma clandestina e per noi l’arresto era obbligatorio; stabilire se quell’arma fosse davvero sua, però, non spettava a noi: spettava a un giudice. Mentre gestivamo l’intervento e valutavamo se estendere la perquisizione all’abitazione dell’arrestato, un maresciallo anziano mi mostrò l’orologio indicando l’ora. Non capii subito quel gesto. Lui sorrise e mi spiegò che, da quell’istante, erano iniziati a decorrere i termini entro i quali l’autorità giudiziaria avrebbe dovuto convalidare l’arresto. Io stavo guardando l’arma; lui stava guardando il tempo. Quell’orologio proteggeva innanzitutto la persona che avevamo appena privato della libertà, e che poteva essere innocente. Garantiva che un giudice avrebbe deciso entro un termine certo e che, trascorso quel termine, il nostro potere su di lei sarebbe finito.  Il potere di limitare la libertà era nostro; il potere di giudicare no; e il tempo era ciò che teneva separati i due poteri. Quel termine era, ed è, scritto, prima ancora che nel codice di procedura penale, nella Costituzione, all’articolo 13; ma una norma, da sola, non si rispetta: serve qualcuno che guardi l’orologio. Da quell’esperienza ho imparato una lezione importante: una garanzia esiste effettivamente soltanto quando la regola è scritta e l’organizzazione è costruita per rispettarla.  Occorre sapere quando iniziano i termini, seguirne il decorso e intervenire prima che vengano superati. Oggi ritrovo la stessa esigenza nell’attività del Garante per la protezione dei dati personali.

Il tempo è parte della tutela

Nel mondo della protezione dei dati il fattore tempo non è un elemento secondario. Chi si rivolge al Garante per fermare la diffusione illecita di dati sanitari ha bisogno di una risposta rapida, perché il danno aumenta giorno dopo giorno. Allo stesso modo, un’organizzazione destinataria di una contestazione deve poter preparare la propria difesa conoscendo con chiarezza le regole temporali del procedimento e sapendo fino a quando resta esposta. Anche gli uffici dell’Autorità hanno bisogno di tempi definiti, perché solo così possono programmare il lavoro, individuare i ritardi e adottare per tempo i correttivi. Per questa ragione il tempo non è soltanto una variabile organizzativa; è una componente della tutela stessa, e lo dice lo stesso GDPR, quando chiede che i poteri delle autorità di controllo siano esercitati «entro un termine ragionevole».^[1]

Un quadro ancora incerto

Negli ultimi mesi è stata soprattutto la giurisprudenza a dover ricostruire il sistema dei termini applicabili ai procedimenti del Garante. La Corte di cassazione ha chiarito alcuni punti importanti. Ha affermato che il procedimento di reclamo e quello sanzionatorio sono distinti e seguono regole differenti.^[2] Ha precisato che il termine di centoventi giorni fissato nella tabella del Regolamento n. 2/2019 è perentorio e decorre dal momento in cui l’Autorità ha effettivamente accertato la violazione, non da quando ne ha avuto una semplice notizia.^[3] Il Tribunale di Roma, nel noto caso Report, era andato oltre, dichiarando decadute le sanzioni per il superamento dei termini del reclamo: una lettura che la Cassazione ha poi superato, e che misura quanto il tema fosse, e sia, controverso.^[4] Resta infatti aperta una questione decisiva: una volta effettuata la contestazione, esiste un termine entro il quale il procedimento deve concludersi?

Su questo punto si confrontano due letture. 

Per la prima, sostenuta dal Segretario generale dell’Autorità, i centoventi giorni servono a notificare la contestazione e, dopo, vale soltanto la prescrizione quinquennale.^[5]

Per la seconda, sostenuta da una parte della dottrina, i centoventi giorni decorrono dalla contestazione e vincolano la decisione finale.^[6]

La Corte costituzionale, già nel 2021 e in una vicenda che non riguardava il Garante, aveva avvertito che la sola prescrizione non basta a garantire la prevedibilità della durata di un procedimento sanzionatorio, rimettendo però al legislatore la scelta dei termini.^[7] La Cassazione, nelle pronunce del 31 agosto 2026, ha ricordato che non spetta ai giudici creare termini che il legislatore non ha previsto.^[8] Il Segretario generale del Garante, nell’articolo citato, ha spiegato che questo assetto è lo stesso delle sanzioni bancarie e finanziarie, dove dopo la contestazione vale solo la prescrizione, e ha concluso che, nelle sue parole, «non vi è, in questo schema, alcuna urgenza di natura regolamentare: le sentenze non impongono modifiche al Regolamento n. 2/2019, ma si limitano a interpretare, con validità generale, un quadro normativo che resta quello attuale e che governa, in modo del tutto fisiologico, anche le sanzioni delle altre Autorità indipendenti».^[9] Questo è vero ed è precisamente il motivo per cui la certezza non arriverà da una sentenza: chi la vuole deve scriverla. Il risultato è una situazione che il cittadino comune fatica a comprendere.

Alcuni tasselli esistono: la tabella dei termini, l’informazione al reclamante sullo stato del reclamo, la relazione annuale. Chi presenta un reclamo legge che la decisione dovrebbe arrivare entro nove mesi, estensibili a dodici nei casi più complessi.^[10] Chi riceve una contestazione sa che essa deve essere notificata entro centoventi giorni dall’accertamento. Eppure, nessuno può leggere in un solo luogo l’intera scansione temporale del procedimento, il momento esatto dal quale decorrono i termini e le conseguenze dei ritardi. Oggi queste risposte vengono cercate nelle sentenze. Ed è qui che nasce la domanda di fondo di questo articolo.  L’art. 156, comma 3, lettera a), del Codice affida al Garante il potere di disciplinare con propri regolamenti l’organizzazione e il funzionamento dell’Ufficio, anche ai fini dei compiti e dei poteri che il Codice e il GDPR gli attribuiscono; l’art. 166, comma 9, gli affida le modalità del procedimento sanzionatorio; l’art. 2, comma 5, della legge n. 241/1990 gli affida i termini dei propri procedimenti. Il Garante ha usato questi poteri nel 2019 e ha scritto i termini. Non ha scritto tre cose: che cosa sia l’accertamento da cui si contano, se siano vincolanti, che cosa accada, per ciascuno di essi, quando scadono. Quelle tre righe le stanno scrivendo i giudici, una sentenza alla volta: la Cassazione da oltre un anno, i tribunali di merito da prima. Perché? Non per colpa di nessuno: nel 2019 questo contenzioso non esisteva. Ma oggi esiste, il quadro è chiaro, e il potere di scrivere quelle tre righe è rimasto dov’era: nelle mani dell’Autorità.

La responsabilizzazione come modello di governo dei procedimenti del Garante

Il GDPR richiede a imprese e pubbliche amministrazioni di organizzare i trattamenti attraverso politiche, responsabilità, controlli e verifiche.^[11] Non basta rispettare le regole: occorre dimostrare di essere organizzati per rispettarle. È il principio di responsabilizzazione. Chi decide finalità e mezzi del trattamento definisce obiettivi, assegna responsabilità, mette a disposizione risorse e verifica i risultati. Questo metodo è insegnato, richiesto e controllato dal Garante ogni giorno. Se il GDPR insegna che la conformità non si esaurisce nell’adempimento, ma richiede la capacità di governare i processi, allora il medesimo approccio potrebbe trovare applicazione anche nell’organizzazione dell’Autorità.  Naturalmente le situazioni non sono identiche. I titolari del trattamento gestiscono dati personali, mentre il Garante esercita poteri pubblici, secondo le norme che ne disciplinano le funzioni. La logica organizzativa, però, è la stessa. Dove esiste una garanzia da rendere effettiva, servono obiettivi, responsabilità e verifiche. Se l’Autorità chiede tutto questo ai soggetti vigilati, può adottarlo anche per sé stessa.

Gli strumenti esistono già

La buona notizia è che non servono nuove leggi. L’ordinamento attribuisce già al Garante gli strumenti necessari per organizzare i propri procedimenti. Il Collegio definisce gli indirizzi, individua le priorità e verifica i risultati.^[12] Il regolamento di organizzazione prevede che l’Ufficio lavori per programmazione e che ogni anno il Collegio, nel documento programmatico, definisca le linee strategiche a cui l’Ufficio deve uniformarsi, con le finalità da perseguire e le risorse necessarie.^[13] Il Segretario generale attua i programmi, segnala i correttivi e riferisce al Collegio; i dirigenti rispondono dei risultati conseguiti.^[14] L’Autorità dispone inoltre del potere di regolamentare da sola la durata dei propri procedimenti, come ha già fatto con il Regolamento n. 2/2019, e le modalità dell’attività sanzionatoria.^[15] Ogni procedimento ha già un responsabile individuato per nome e cognome.^[16] In altre parole, tutti gli elementi sono già presenti: un vertice che determina gli obiettivi, una struttura che li realizza, responsabilità definite, poteri regolamentari, un responsabile per ogni pratica. Il documento programmatico esiste e viene approvato ogni anno: è lì che la certezza dei tempi può diventare una linea strategica dell’Ufficio, con obiettivi misurabili.

Un auspicio in 4 punti

Certamente, non spetta a chi scrive spiegare al Garante come organizzarsi. Chi opera quotidianamente al fianco di cittadini, imprese e professionisti può però constatare quanto l’incertezza dei tempi produca costi e sfiducia, prima di tutto per la persona che aspetta una risposta. Per questo motivo, formulo un auspicio articolato in quattro punti.

1. Un orologio leggibile

Le regole temporali dovrebbero essere raccolte in modo chiaro e accessibile. Ogni fase del procedimento, il momento iniziale del termine, la sua durata, le possibili sospensioni e proroghe e le relative conseguenze dovrebbero essere individuabili in un unico quadro. Quando questi elementi incidono sui diritti delle persone, lo strumento appropriato è il regolamento, che il Garante può adottare e modificare da solo.^[17]

La strada è già stata percorsa. La Cassazione ha riconosciuto natura perentoria al termine di centoventi giorni che il Garante si è dato con il Regolamento n. 2/2019, e il Consiglio di Stato, pur con un orientamento contrario, ha in più occasioni ritenuto perentori i termini dei procedimenti sanzionatori di AGCM e ARERA per la natura afflittiva delle sanzioni.^[18]

Un dubbio resta, ed è giusto dirlo: la Cassazione ha escluso che un giudice possa ricavare dal sistema un termine di decadenza per la decisione finale; ma questo è un limite del giudice, non dell’Autorità. Una regola che l’Autorità scrive e rispetta non ha bisogno di un giudice per valere: la certezza nasce nel momento in cui il regolamento dice che cos’è l’accertamento, quanto dura ogni fase e che cosa accade alla scadenza, e l’Ufficio lavora su quell’orologio. Il giudice torna in scena soltanto se l’Autorità viola la regola che si è data; e a quel punto la lite non è più su quale sia la regola, come accade oggi, ma solo sul fatto di averla rispettata. Anche in quel caso il terreno è favorevole: la Cassazione ha già riconosciuto natura perentoria al termine che l’Autorità si è data per la contestazione, il Consiglio di Stato ha fatto lo stesso per i termini sanzionatori di altre autorità, e la decadenza legata a un termine della fase sanzionatoria è il modello che la legge n. 689/1981 applica alle sanzioni amministrative in generale. La lezione è che i termini vanno scritti dentro il procedimento sanzionatorio, fase per fase. Le durate spettano all’Autorità; il Regolamento (UE) 2025/2518, che assegna quindici mesi alle indagini transfrontaliere, mostra che un riferimento realistico esiste.^[19] La strategia decide dove si vuole arrivare; il regolamento lo rende vincolante; l’autore è lo stesso.

2. Una fila governata da criteri trasparenti

Le pratiche non hanno tutte la stessa urgenza. Una violazione ancora in corso può richiedere un intervento prioritario rispetto a una vicenda ormai conclusa. Le priorità sono quindi legittime. Ciò che conta è che siano dichiarate e comprensibili: chiunque dovrebbe poter sapere perché il proprio caso si trova in una determinata posizione e quando ragionevolmente sarà esaminato. La priorità di alcuni non dovrebbe trasformarsi nell’attesa indefinita di altri, e dichiarare i criteri non indebolisce il controllo: lo fanno da decenni la Commissione europea e, dal 2008, l’autorità britannica della concorrenza.^[20] Vale anche per la scelta dello strumento. La Corte di giustizia ha chiarito che l’Autorità può anche non sanzionare, quando la sanzione non serve a rimediare alla violazione: è legittimo, purché sia una decisione spiegata e non un effetto del tempo trascorso.^[21]

3. Sapere sempre dove si trova il proprio procedimento

Chi presenta un reclamo dovrebbe conoscere l’ufficio competente, le fasi previste, i tempi di lavorazione, le eventuali proroghe e le ragioni che le giustificano, nel rispetto della riservatezza dell’istruttoria. Chi riceve una contestazione dovrebbe trovare già nell’atto iniziale l’indicazione dei termini applicabili e della data dalla quale essi decorrono.^[22] In fondo è la stessa trasparenza che il Garante pretende da chi tratta dati personali.

4. Misurare il tempo delle persone

Le statistiche sui procedimenti conclusi sono utili ma non sufficienti. Un’organizzazione può migliorare i propri numeri chiudendo rapidamente le pratiche semplici mentre quelle più complesse continuano ad accumulare ritardi. 

Per questo motivo, sarebbe importante pubblicare la durata effettiva delle diverse fasi, i tempi di giacenza dei procedimenti ancora aperti, il numero delle proroghe concesse e le misure adottate per ridurre i ritardi. 

Non è un’utopia: l‘autorità britannica per la protezione dei dati (ICO), fuori dall’Unione ma con lo stesso mestiere, pubblica ogni trimestre un quadro dei risultati in cui misura, tra l’altro, la quota di reclami ai quali risponde entro novanta giorni, con obiettivo dell’ottanta per cento, quella ai quali risponde entro sei mesi, con obiettivo del novanta per cento, e la quota di pratiche aperte da più di dodici mesi, che deve restare sotto l’uno per cento.^[23] Il Garante denuncia da anni la carenza di risorse: l’auspicio è che quel fabbisogno venga collegato a obiettivi di tempo misurabili, perché chi è chiamato a raggiungere un obiettivo deve essere posto nelle condizioni di raggiungerlo.^[24]

Perché dipende dal Garante

L’esperienza degli ultimi mesi suggerisce una conclusione precisa. I giudici hanno chiarito di non poter introdurre termini che l’ordinamento non prevede.^[25] Il legislatore, pur sollecitato dalla Corte costituzionale a dare termini certi ai procedimenti sanzionatori, non è intervenuto su quelli del Garante, e ha già affidato all’Autorità la disciplina del procedimento sanzionatorio e dei suoi termini.^[26] L’Unione europea ha imposto termini vincolanti soltanto per i procedimenti transfrontalieri, lasciando agli ordinamenti nazionali la disciplina dei casi interni.^[27] Rimane dunque un soggetto che può agire subito, senza attendere nessuno: il Garante stesso. È la risposta alla domanda da cui siamo partiti: le regole del tempo le stanno scrivendo i giudici perché chi può scriverle non lo ha ancora fatto, non perché non possa. Attraverso le competenze organizzative e regolamentari che già possiede, l’Autorità può introdurre maggiore certezza senza aspettare nuove leggi o nuove sentenze. Non è un limite della sua indipendenza. Al contrario, è una responsabilità che nasce proprio da essa.

Il maresciallo e l’orologio

Continuo a ricordare quel maresciallo che guardava l’orologio mentre io osservavo l’arma sequestrata. Mi stava insegnando una verità profonda: le garanzie vivono nelle norme e nel modo in cui il tempo viene organizzato per rispettarle; e il tempo è ciò che tiene in equilibrio due poteri, quello di chi indaga e sanziona e quello di chi giudica. Il Garante ha il primo; il giudice ha l’ultima parola sui suoi atti; organizzare il tempo che sta in mezzo spetta a chi esercita il primo. Il Garante conosce bene questa logica. Ogni giorno chiede a imprese e amministrazioni di trasformare gli obblighi giuridici in procedure, responsabilità e controlli verificabili. Potrebbe applicare lo stesso principio ai propri procedimenti. Una strategia sui tempi non riguarda il contenuto dei diritti delle persone né l’ampiezza dei poteri dell’Autorità, ma le modalità del loro esercizio e la disciplina temporale che i regolamenti contribuiscono a definire. Inoltre, rende prevedibile ciò che oggi è incerto ed evita che cittadini e organizzazioni siano costretti a rivolgersi ai giudici per capire quali siano le regole temporali che li riguardano. Infine, rafforza ciò che rappresenta il patrimonio più importante di ogni autorità indipendente: la fiducia.

^[1]Regolamento (UE) 2016/679 (GDPR), considerando 129, secondo cui i poteri delle autorità di controllo vanno esercitati «in modo imparziale, equo ed entro un termine ragionevole»; art. 57, par. 1, lett. f); art. 78, par. 2.

^[2]Cass. civ., Sez. I, 6 luglio 2026, n. 22791; Cass. civ., Sez. I, 31 agosto 2026, n. 24861.

^[3]Cass. civ., Sez. I, 8 luglio 2025, n. 18583 (Enel Energia); Cass. civ., Sez. I, 17 gennaio 2026, n. 984 (caso RAI); Cass. civ., Sez. I, 31 agosto 2026, n. 24862 (K-City); Cass. civ., Sez. I, ord. 4 settembre 2026, n. 24998. Il termine è previsto dalla tabella B allegata al Regolamento del Garante n. 2/2019, in coerenza con l’art. 14 della legge 24 novembre 1981, n. 689, richiamato dall’art. 166, comma 5, del d.lgs. 30 giugno 2003, n. 196 (di seguito, Codice).

^[4]Trib. Roma, Sez. diritti della persona e immigrazione civile, 22 gennaio 2026, R.G. n. 54031/2025. Nel senso che il superamento del termine di decisione del reclamo non determina la decadenza dal potere sanzionatorio: Cass. n. 22791/2026 e n. 24861/2026, cit.

^[5]L. Montuori, Sanzioni privacy, la Cassazione chiarisce la regola dei 120 giorni, Agenda Digitale, 8 settembre 2026, https://www.agendadigitale.eu/sicurezza/privacy/sanzioni-privacy-la-cassazione-chiarisce-la-regola-dei-120-giorni/; ripubblicato sul sito del Garante (www.gpdp.it, doc. web n. 10294426) e ripreso nella newsletter dell’Autorità.

^[6]G. Fiordalisi, A. Bettiol, Garante Privacy: un’interpretazione differente sul termine dei 120 giorni per le sanzioni, Istituto Italiano per la Privacy, 11 settembre 2026, https://www.istitutoitalianoprivacy.it/2026/09/11/garante-privacy-uninterpretazione-differente-sul-termine-dei-120-giorni-per-le-sanzioni/.

^[7]Corte cost., sentenza n. 151/2021, come richiamata da Cass. n. 24861/2026 e n. 24862/2026.

^[8]Cass. n. 24861/2026 e n. 24862/2026, nei passaggi in cui richiamano Corte cost. n. 151/2021 ed escludono che l’interprete possa costruire un termine di decadenza non previsto dalla legge; i passaggi sono riportati da L. Montuori, cit.

^[9]L. Montuori, cit., che richiama Cass. civ., Sez. II, 17 aprile 2024, n. 10348, e Cass. civ., Sez. II, 8 maggio 2026, n. 13317, in materia di sanzioni finanziarie e bancarie.

^[10]Art. 143 del Codice; tabelle allegate al Regolamento del Garante n. 2/2019. Sull’informazione al reclamante: GDPR, art. 77, par. 2, e art. 78, par. 2.

^[11]GDPR, considerando 78; art. 5, par. 2 (principio di responsabilizzazione); art. 24, par. 2.

^[12]Artt. 155 e 156, comma 3, lett. a), del Codice; Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’Ufficio, art. 2, comma 1, lett. a), c) e d).

^[13]Regolamento n. 1/2000, art. 6, comma 1.

^[14]Regolamento n. 1/2000, art. 7, commi 2 e 3 (Segretario generale); art. 6, comma 1, ultimo periodo, e art. 9, comma 4, lett. e) (responsabilità dei dirigenti per i risultati e relazioni semestrali).

^[15]Regolamento n. 1/2000, art. 13, comma 2; legge 7 agosto 1990, n. 241, art. 2, comma 5; Regolamento del Garante n. 2/2019; art. 166, comma 9, del Codice.

^[16]Regolamento n. 1/2000, art. 14, comma 2.

^[17]Art. 166, comma 9, del Codice; legge n. 241/1990, art. 2, comma 5; Regolamento n. 1/2000, art. 13, comma 2.

^[18]Cass. n. 984/2026 e n. 24862/2026, cit. Cons. Stato, Sez. VI, 25 maggio 2020, n. 3307 (AGCM); Cons. Stato, Sez. VI, 19 gennaio 2021, n. 584 (ARERA); in senso contrario Cons. Stato, Sez. VI, 9 novembre 2020, n. 6891 (ARERA), tutte richiamate da Cass. n. 24861/2026 come riportata da L. Montuori, cit. Sul termine del reclamo: Cass. n. 22791/2026 e n. 24861/2026, cit.

^[19]Regolamento (UE) 2025/2518, pubblicato nella Gazzetta ufficiale dell’Unione europea del 12 dicembre 2025 e applicabile dal 2 aprile 2027, che fissa termini vincolanti per le indagini nei casi transfrontalieri.

^[20]Trib. primo grado CE, 18 settembre 1992, T-24/90, Automec c. Commissione, sulla facoltà della Commissione di stabilire priorità con decisione motivata e sindacabile; Competition and Markets Authority (Regno Unito), CMA Prioritisation Principles (CMA16), 30 ottobre 2023, www.gov.uk, che aggiornano i principi di priorità pubblicati dall’Office of Fair Trading a partire dal 2008.

^[21]Corte di giustizia UE, 26 settembre 2024, C-768/21, Land Hessen.

^[22]GDPR, art. 57, par. 1, lett. f), e art. 77, par. 2; Regolamento n. 1/2000, art. 14, comma 2; art. 166, comma 5, del Codice (trenta giorni per gli scritti difensivi dalla notifica della contestazione).

^[23]Information Commissioner’s Office (Regno Unito), standard di servizio della Charter e quadro trimestrale dei risultati (ico.org.uk): rispondere all’80% dei reclami in materia di protezione dei dati entro 90 giorni e al 90% entro sei mesi; meno dell’1% delle pratiche aperte da oltre dodici mesi.

^[24]Cfr. le relazioni annuali dell’Autorità, che danno conto del rapporto tra compiti e risorse. Sull’obbligo dello Stato di assicurare le risorse: GDPR, art. 52, par. 4.

^[25]Cass. n. 24861/2026 e n. 24862/2026, cit.; v. note 7 e 8.

^[26]Art. 166, comma 9, del Codice; legge n. 241/1990, art. 2, comma 5; v. nota 17.

^[27]Regolamento (UE) 2025/2518, cit.; v. nota 19.