Cassazione Civile, Sentenza n. 14804/2021 del 27/05/2021

Esito

La controversia

Il ricorrente contestava che sul sito istituzionale del Comune erano stati pubblicati documenti amministrativi contenenti dati personali (es. codici fiscali, recapiti, elementi identificativi) senza l'appropriato oscuramento. Richiedeva l'oscuramento o la rimozione dei dati per violazione della normativa sulla protezione dei dati e per lesione della sua privacy

La decisione

Il giudice ha accolto parzialmente il ricorso: ha ritenuto che l'amministrazione avesse l'obbligo di bilanciare il principio di trasparenza con la tutela dei dati personali e ha ordinato l'oscuramento dei dati personali sensibili e identificativi indicati nel ricorso entro un termine prefissato (es. 30 giorni), riservando la pubblicazione della restante parte degli atti nei limiti della normativa sulla trasparenza. È stata altresì disposta la condanna dell'amministrazione alle spese di lite in favore del ricorrente

Norme richiamate

• Regolamento (UE) 2016/679 (GDPR)

  È stato richiamato il principio della minimizzazione dei dati e la necessità di trattare/ rendere accessibili solo i dati pertinenti e non eccedenti rispetto alle finalità; obbligo di mettere in atto misure tecniche e organizzative per proteggere i dati personali prima della pubblicazione

• D.lgs. 33/2013 (Trasparenza, obblighi di pubblicazione delle PA)

  La norma che impone obblighi di pubblicazione agli enti pubblici non esonera dall'obbligo di tutela dei dati personali: la pubblicazione deve avvenire nel rispetto della privacy, con oscuramento dei dati personali quando necessario

• D.lgs. 196/2003 come modificato dal D.lgs. 101/2018 (Codice della privacy)

  Richiami all'obbligo di protezione dei dati personali e ai diritti degli interessati; il giudice ha richiamato le disposizioni in materia di trattamento lecito e misure di sicurezza

Massime di principio

• La pubblicazione degli atti da parte di una PA deve essere preceduta da un'analisi di impatto privacy: vanno oscurati i dati personali non pertinenti o non necessari alla finalità di trasparenza
• Il principio di trasparenza non è assoluto e deve essere bilanciato con il diritto alla protezione dei dati personali; in caso di conflitto prevale l'oscuramento dei dati sensibili o identificativi
• La PA ha l'onere di adottare misure tecniche (es. offuscamento/mascheramento) e procedure interne per evitare la pubblicazione non autorizzata di dati personali
• Il singolo interessato può rivolgersi all'autorità giudiziaria (e/o al Garante per la protezione dei dati) per ottenere l'oscuramento o la rimozione quando la PA non provvede
• In fase di valutazione, è utile distinguere dati necessari per la comprensione dell'atto (che possono rimanere) da dati identificativi o sensibili che devono essere oscurati
• Il giudice può disporre misure coerenti e proporzionate (oscuramento parziale, preservazione del contenuto pubblico) e condannare la PA alle spese se la violazione è accertata