Cassazione Civile, Ordinanza n. 33257/2022 del 11/11/2022

Esito

La controversia

La controversia nasce da un'ordinanza-ingiunzione con cui l'Autorità garante aveva irrogato a un'unione comunale una sanzione amministrativa ex art. 162, comma 2, d.lgs. 196/2003 per avere pubblicato sul proprio sito una graduatoria relativa al c.d. "Pacchetto scuola", contenente non solo i nominativi dei beneficiari, ma anche dati ulteriori e non pertinenti, quali residenza dell'alunno e del genitore, scuola e classe frequentata, valore ISEE, nonché dati dei non ammessi. L'ente aveva proposto opposizione sostenendo di essersi attenuto alle indicazioni provinciali e alla disciplina regionale sul beneficio, e che la pubblicazione fosse necessaria per la trasparenza e i controlli sull'azione amministrativa. Il Tribunale di Firenze aveva accolto l'opposizione, ritenendo la pubblicazione conforme alle linee guida del Garante e al d.lgs. 33/2013. In Cassazione l'Autorità ricorrente ha dedotto, con due motivi, la violazione delle norme privacy sulla diffusione dei dati da parte di soggetti pubblici, sostenendo: (1) che, in mancanza di una specifica previsione normativa, erano pubblicabili solo i dati espressamente consentiti dalla disciplina applicabile, con esclusione di ogni informazione eccedente o non pertinente; (2) che la violazione non poteva dirsi incolpevole, poiché l'ente non aveva dimostrato di aver adottato ogni cautela per verificare la liceità della diffusione e la mera conformità a un atto amministrativo non escludeva la colpa ai fini sanzionatori.

La decisione

La Corte ha accolto entrambi i motivi del ricorso. Ha ritenuto illegittima la diffusione di dati ulteriori rispetto a quelli consentiti dalla normativa applicabile, osservando che la pubblicazione di dati personali da parte di soggetti pubblici richiede una base normativa espressa e che, comunque, vale il principio di minimizzazione/necessità, con obbligo di rendere non intelligibili i dati non pertinenti o non indispensabili. Ha inoltre escluso che la conformità a un provvedimento dirigenziale provinciale potesse di per sé escludere la colpa dell'amministrazione, richiamando il principio per cui l'art. 3 l. 689/1981 pone una presunzione di colpa e l'esimente opera solo se la violazione è inevitabile e il trasgressore ha fatto tutto il possibile per conformarsi alla legge. La sentenza impugnata è stata quindi cassata con rinvio al Tribunale di Firenze, in persona di altro giudice, anche per le spese.

Norme richiamate

• art. 162, comma 2, d.lgs. 196/2003

  base sanzionatoria dell'ordinanza-ingiunzione irrogata per la diffusione illecita di dati personali.

• art. 4, comma 1, lettera d), d.lgs. 196/2003

  richiamato per delimitare il concetto di diffusione dei dati personali.

• art. 19, comma 3, lettera d), d.lgs. 196/2003

  la diffusione da parte di soggetti pubblici è ammessa solo quando prevista da norma di legge o di regolamento.

• art. 1 D.P.R. 118/2000

  consentiva l'indicazione nell'albo dei soli nominativi degli assegnatari e delle disposizioni di legge sulla base delle quali il beneficio era stato concesso.

• art. 18 d.lgs. 196/2003

  per i soggetti pubblici il trattamento dei dati personali è consentito soltanto per lo svolgimento delle funzioni istituzionali.

• art. 19 d.lgs. 196/2003

  per i dati non sensibili e non giudiziari, il trattamento da parte della PA è consentito anche senza norma espressa, ma la diffusione richiede una specifica base normativa.

• art. 3 d.lgs. 196/2003

  impone il principio di necessità nel trattamento dei dati personali, privilegiando la minimizzazione e, se del caso, l'anonimizzazione.

• art. 11, lettera d), d.lgs. 196/2003

  richiamato per il dovere di attenersi ai principi di pertinenza, non eccedenza e necessità nella diffusione.

• art. 43 d.lgs. 97/2016

  ha abrogato il D.P.R. 118/2000 e altre disposizioni del d.lgs. 33/2013, ma non rilevava per la violazione già consumata.

• art. 4, comma 4, d.lgs. 33/2013

  anche nei casi di pubblicazione consentita, le PA devono rendere non intelligibili i dati personali non pertinenti o non indispensabili.

• art. 7-bis, comma 1, d.lgs. 33/2013

  ribadisce i limiti alla pubblicazione dei dati personali non pertinenti o non indispensabili.

• art. 26, comma 4, d.lgs. 33/2013

  vieta la diffusione di dati identificativi idonei a ricavare informazioni sul disagio economico-sociale degli interessati.

• art. 27 d.lgs. 33/2013

  indica in modo tassativo le informazioni da pubblicare per sovvenzioni e vantaggi economici, senza includere dati ulteriori.

• art. 5 d.lgs. 33/2013

  ricorda che l'accesso civico è strumento concorrente di trasparenza, ma non giustifica la pubblicazione indiscriminata di dati personali.

• art. 2 d.lgs. 196/2003

  impone il contemperamento tra pubblicità/trasparenza e diritti della persona, in particolare riservatezza e protezione dei dati.

• art. 28 d.lgs. 196/2003

  richiamato nel motivo di ricorso sulla responsabilità dell'ente pubblico per il trattamento illecito.

• art. 162, comma 2-bis, d.lgs. 196/2003

  richiamato nel motivo di ricorso in relazione al regime sanzionatorio.

• art. 3 l. 689/1981

  pone una presunzione di colpa a carico dell'autore dell'illecito amministrativo, salvo prova della non colpevolezza.

• art. 360, comma 1, n. 3 c.p.c.

  costituisce il vizio di violazione di legge dedotto in cassazione.

Massime di principio

• La pubblicazione da parte di una pubblica amministrazione di dati personali relativi a procedure di concessione di sussidi o benefici economici è lecita solo nei limiti espressamente previsti dalla legge o dal regolamento; non è consentita la diffusione di dati ulteriori, eccedenti o non pertinenti rispetto alla finalità di trasparenza.
• Anche quando la pubblicazione sia funzionale al controllo sull'azione amministrativa, devono essere rispettati i principi di pertinenza, non eccedenza, minimizzazione e, ove possibile, anonimizzazione; la trasparenza non legittima una ostensione totale e indiscriminata dei dati.
• Per i soggetti pubblici, la comunicazione/diffusione di dati personali richiede una specifica base normativa, mentre la mera esecuzione di indicazioni contenute in atti amministrativi interni o sovraordinati non basta a fondare la liceità della pubblicazione.
• In materia di sanzioni amministrative, l'art. 3 l. 689/1981 configura una presunzione di colpa del trasgressore: l'esimente opera solo se l'illecito era inevitabile e l'autore dimostra di aver adottato ogni cautela esigibile per conformarsi alla legge.
• La conformità a un provvedimento amministrativo non esclude automaticamente la colpa dell'ente quando l'atto non possa sostituire la necessaria previsione normativa che autorizza la diffusione di dati personali.

Come è indicizzato