Cassazione Civile, Sentenza n. 15625/2026 del 21/05/2026

Esito

La controversia

L'INPS aveva incrociato, avvalendosi di banche dati pubbliche (open data) delle Camere e del Ministero dell'interno e calcolando i codici fiscali secondo il d.m. 12.03.1974, i dati anagrafici con le domande per il "bonus Covid" per individuare parlamentari e amministratori pubblici che avessero richiesto il sussidio. Il Garante ritenne il trattamento illegittimo e violativo del GDPR (art. 5 lett. a, c, d; art. 25; art. 35; art. 5.2 e art. 24) e irrogò sanzione pecuniaria e altre misure. L'INPS aveva proposto opposizione davanti al Tribunale di Roma che, accogliendo il ricorso, annullò il provvedimento del Garante. Il Garante ha proposto ricorso per cassazione avverso tale sentenza.

La decisione

La Corte di Cassazione ha rigettato il ricorso del Garante e ha confermato la sentenza del Tribunale di Roma che aveva annullato il provvedimento sanzionatorio dell'Autorità. La Corte ha ritenuto che: il trattamento rientrasse in un compito di interesse pubblico esercitato dall'INPS (base giuridica conforme al quadro normativo emergenziale d.l. n. 18/2020 e agli artt. 6, par. 3, lett. b) del GDPR richiamati dal d.lgs. n.196/2003), i dati utilizzati fossero anagrafici di dominio pubblico (open data) e i codici fiscali fossero calcolati con procedimento normativamente previsto (d.m. 12.03.1974), non risultassero in concreto inesattezze rilevanti, il principio di minimizzazione fosse stato bilanciato con l'esigenza pubblica di celerità nei controlli in situazione emergenziale e che non ricorressero i presupposti per una valutazione di impatto (DPIA) vista l'assenza di rischi elevati ex ante. Per tali ragioni sono state escluse le violazioni contestate. La Corte ha condannato il ricorrente (il Garante) al pagamento delle spese di giudizio in favore dell'INPS.

Norme richiamate

• Regolamento (UE) 2016/679 (GDPR) - art. 5, par. 1, lett. a)

  i dati personali sono "trattati in modo lecito, corretto e trasparente nei confronti dell'interessato ("liceità, correttezza e trasparenza")"

  La Corte ha ritenuto che il trattamento svolto dall'INPS fosse fondato su una base giuridica di interesse pubblico (art. 6, par.3, lett. b) GDPR) richiamata dalla normativa emergenziale (d.l. n.18/2020) e quindi compatibile con il principio di liceità previsto dall'art. 5.

• Regolamento (UE) 2016/679 (GDPR) - art. 5, par. 1, lett. c)

  i dati personali sono "adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati ("minimizzazione dei dati")"

  La Corte ha applicato un bilanciamento tra tutela della riservatezza e interesse pubblico: il trattamento su larga scala di dati anagrafici pubblici è stato ritenuto proporzionato e necessario per garantire la celerità dei controlli in emergenza, perciò non ha violato il principio di minimizzazione.

• Regolamento (UE) 2016/679 (GDPR) - art. 5, par. 1, lett. d)

  i dati personali sono "esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati ("esattezza")"

  I dati anagrafici provenienti da banche dati istituzionali sono stati ritenuti presumibilmente esatti e il procedimento di calcolo del codice fiscale (d.m. 12.03.1974) adeguato; il rischio astratto di omocodie non ha prodotto errori concreti contestati.

• Regolamento (UE) 2016/679 (GDPR) - art. 25

  Il titolare del trattamento mette in atto trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento.

  La Corte ha escluso l'obbligo di impostazioni predefinite ulteriori rispetto alle prassi istituzionali, ritenendo che le misure adottate dall'INPS fossero adeguate nel contesto emergenziale e non sussistessero alternative lecite e tempestive che giustificassero l'accusa del Garante.

• Regolamento (UE) 2016/679 (GDPR) - art. 35

  quando un tipo di trattamento... può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell'impatto

  La Corte ha ritenuto che non fossero sussistenti, ex ante, rischi elevati tali da giustificare la DPIA: il trattamento non comportava divulgazione né rischi concreti elencati nel considerando 75, essendo l'unico rischio individuato la possibile perdita di un beneficio economico indebitamente ricevuto.

• Regolamento (UE) 2016/679 (GDPR) - art. 5, par. 2 e art. 24

  il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo ("responsabilizzazione")

  La Corte ha ritenuto che, dato l'esito negativo delle altre censure e le misure adottate e comunicate dall'INPS (es. figura del responsabile della protezione dati, Direzione Centrale Antifrode), non risulti violato l'obbligo di accountability.

• Regolamento (UE) 2016/679 (GDPR) - art. 6, par. 3, lett. b) (richiamato)

  quando il trattamento avviene... per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri

  Il trattamento è stato qualificato come eseguito nell'esercizio di un compito di interesse pubblico dell'INPS (controlli su erogazione benefici), quindi munito di base giuridica compatibile con il GDPR.

• D.L. n. 18/2020 (normativa emergenziale)

  La Corte ha ritenuto che la disciplina emergenziale fosse norma chiara e precisa idonea a costituire la base giuridica del trattamento finalizzato ai controlli sui benefici previsti dal decreto.

• D.Lgs. n. 196/2003 - art. 2-ter e art. 2-sexies (richiamati)

  Il richiamo alla normativa nazionale ha chiarito che, per i trattamenti effettuati da pubbliche amministrazioni, la base giuridica deve essere norma di legge o regolamento; la Corte ha escluso che un parere ministeriale potesse sostituire tale base.

• D.M. 12.03.1974 n. 2227 (procedura di calcolo del codice fiscale)

  La procedura regolamentare per il calcolo del codice fiscale è stata ritenuta valida e idonea a fornire codici fiscali utilizzabili per l'incrocio, con meccanismi previsti per il caso di omocodia.

• Considerando 41 del GDPR

  "tale base giuridica o misura legislativa dovrebbe essere chiara e precisa, e la sua applicazione prevedibile"

  La Corte ha applicato il principio della prevedibilità della base giuridica per ritenere adeguata la normativa emergenziale come riferimento normativo.

• Considerando 39 del GDPR

  "adottare tutte le misure ragionevoli affinché i dati personali inesatti siano rettificati o cancellati"

  Usato per valutare le misure di accuratezza; la Corte ha ritenuto che l'uso di banche dati ufficiali e del d.m. costituisse una misura ragionevole.

• Considerando 75 del GDPR

  "I rischi per i diritti e le libertà... possono derivare da trattamenti di dati personali suscettibili di cagionare un danno..."

  La Corte ha ritenuto che i rischi concreti menzionati nel considerando non fossero presenti nel caso concreto, con la conseguenza che la DPIA non risultava obbligatoria.

Massime di principio

• Un trattamento effettuato da un'autorità pubblica per controlli su benefici può trovare base di liceità nell'esecuzione di un compito di interesse pubblico (art. 6 GDPR) se previsto da norma di legge chiara e prevedibile; pareri amministrativi successivi non sostituiscono la base normativa.
• L'uso di dati anagrafici pubblici (open data) e procedure ufficiali per identificatori (es. calcolo codice fiscale) rende più solida la valutazione di esattezza e ragionevolezza delle misure adottate.
• Il principio di minimizzazione va bilanciato con l'interesse pubblico e le esigenze contestuali (es. emergenza sanitaria e necessità di rapidità dei controlli); non è assoluto e la valutazione spetta al giudice del merito.
• La DPIA (art. 35 GDPR) è richiesta quando, ex ante, emergono indicatori multipli di rischio elevato (es. dati sensibili, profilazione su larga scala, creazione di corrispondenze che superano le aspettative degli interessati); la mera estensione del controllo su larga scala non basta se non si combinano altri fattori di rischio rilevanti.
• Il rischio teorico (astratto) di errori tecnici come l'omocodia non implica automaticamente violazione se sono previste procedure normative per gestirlo e non risultano errori concreti.
• L'obbligo di accountability si valuta in concreto: la presenza di figure responsabili, misure organizzative comunicate e l'assenza di violazioni effettive rafforzano la posizione del titolare nei confronti di contestazioni generiche.