Cassazione Civile, Ordinanza n. 26267/2023 del 11/09/2023

Esito

La controversia

La Regione impugnava per cassazione la sentenza del Tribunale di Aosta che aveva rigettato l’opposizione ex art. 152 d.lgs. 196/2003 proposta contro un’ordinanza-ingiunzione del Garante, con cui le era stata irrogata una sanzione amministrativa di euro 20.000 per la pubblicazione sul sito istituzionale di una deliberazione regionale contenente dati personali di un dipendente, tra cui le ragioni della sua mobilità per asserita incompatibilità ambientale. La Regione sosteneva che la pubblicazione fosse legittima perché imposta dalla normativa sulla trasparenza e dalle regole regionali di pubblicazione degli atti, richiamando artt. 19, comma 3, 8, comma 3, e 13 d.lgs. 196/2003, art. 13, comma 4, reg. reg. 2/2008 e d.lgs. 33/2013; lamentava inoltre contraddittorietà e difetto di motivazione dell’ordinanza e della sentenza, nonché omessa considerazione della tempestiva rimozione dell’atto dal sito. Con il secondo motivo deduceva che il Tribunale non avesse coordinato correttamente le norme sulla trasparenza con i principi di pertinenza e non eccedenza del trattamento, assumendo che la pubblicazione fosse comunque consentita dalla disciplina regionale e che non vi fosse colpa, essendosi l’ente attenuto a prescrizioni amministrative interne.

La decisione

La Corte ha ritenuto infondati entrambi i motivi. Ha affermato che, per i soggetti pubblici, la diffusione di dati personali è lecita solo se prevista da una norma di legge o di regolamento; la pubblicazione di ulteriori dati personali, non necessari o non pertinenti rispetto alle finalità di trasparenza, non può fondarsi su un mero atto amministrativo o su una lettura estensiva delle norme sulla pubblicità degli atti. Ha inoltre osservato che il principio di trasparenza non consente una ostensione totale e indiscriminata dei dati, dovendo essere rispettati i limiti di proporzionalità, pertinenza e minimizzazione, con eventuale anonimizzazione dei dati non indispensabili. Quanto al profilo soggettivo, la Corte ha richiamato la presunzione di colpa ex art. 3 l. 689/1981 e ha escluso che la conformazione a un provvedimento interno o dirigenziale bastasse di per sé a escludere la responsabilità sanzionatoria, mancando la prova dell’inevitabilità dell’errore e della diligenza massima esigibile. Il ricorso è stato quindi rigettato, con condanna della Regione alle spese e al pagamento dell’ulteriore contributo unificato se dovuto.

Norme richiamate

• art. 152 d.lgs. 196/2003

  indica il rimedio di opposizione avverso l’ordinanza-ingiunzione del Garante in materia di dati personali.

• art. 162, comma 2-bis, d.lgs. 196/2003

  base sanzionatoria per la violazione contestata.

• art. 19, comma 3, d.lgs. 196/2003

  la diffusione da parte di un soggetto pubblico è ammessa solo quando prevista da una norma di legge o di regolamento.

• art. 18 d.lgs. 196/2003

  per i soggetti pubblici il trattamento è consentito soltanto per lo svolgimento delle funzioni istituzionali.

• art. 3 d.lgs. 196/2003

  richiama il principio di necessità nel trattamento dei dati personali, imponendo cautele e minimizzazione.

• art. 11, comma 1, lett. d), d.lgs. 196/2003

  il trattamento deve essere pertinente, non eccedente e non eccessivo rispetto alle finalità perseguite.

• art. 2 d.lgs. 196/2003

  pone l’esigenza di tutela dei diritti, delle libertà fondamentali e della dignità dell’interessato.

• art. 8, comma 3, d.lgs. 33/2013

  la pubblicazione obbligatoria dura, in linea generale, cinque anni, ma restano salvi i diversi termini previsti dalla normativa privacy.

• art. 4, comma 3, d.lgs. 33/2013

  nei casi di pubblicazione consentita, vanno resi non intelligibili i dati personali non pertinenti o, se sensibili o giudiziari, non indispensabili.

• art. 4, comma 4, d.lgs. 33/2013

  ribadisce il dovere di anonimizzazione dei dati non pertinenti o non indispensabili rispetto alle finalità di trasparenza.

• art. 7-bis, comma 1, d.lgs. 33/2013

  conferma i limiti alla pubblicazione dei dati personali nell’ambito della trasparenza amministrativa.

• art. 10, comma 1, d.lgs. 320/1994

  prevede la pubblicazione degli atti deliberativi regionali all’albo notiziario per quindici giorni, salvo termine più breve previsto dall’atto.

• art. 13, comma 4, reg. reg. 28 febbraio 2008, n. 2

  richiamato dalla Regione come base della pubblicazione delle deliberazioni, ma ritenuto non sufficiente a legittimare la diffusione integrale di dati personali.

• art. 43 l.r. Valle d'Aosta n. 22/2010

  menzionato come base del procedimento di accertamento dell’incompatibilità ambientale del dipendente.

• art. 3 l. 241/1990

  richiamato dalla ricorrente per denunciare insufficiente motivazione e travisamento dei fatti.

• art. 11 l. 689/1981

  richiamato dalla ricorrente per la quantificazione della sanzione; nel testo si valorizza la tempestiva rimozione dell’atto come elemento invocato dalla Regione.

• art. 3 l. 689/1981

  pone una presunzione di colpa a carico dell’autore della violazione amministrativa, con onere del trasgressore di provare di aver agito senza colpa.

• art. 13, comma 1-quater, d.P.R. 115/2002

  consente il raddoppio dell’ulteriore contributo unificato in caso di rigetto del ricorso, se dovuto.

• art. 97 Cost.

  richiamato dalla ricorrente a sostegno del principio di legalità dell’azione amministrativa.

• art. 24 Cost.

  invocato dalla Regione per lamentare una pretesa lesione del diritto di difesa.

• art. 143 d.lgs. 196/2003

  richiamato con riferimento al provvedimento prescrittivo del Garante non impugnato.

Massime di principio

• Per i soggetti pubblici la diffusione di dati personali richiede una base normativa espressa: non basta un atto amministrativo interno o una generica previsione organizzativa dell’ente.
• Le regole sulla trasparenza amministrativa non legittimano una pubblicazione indiscriminata: anche quando l’atto sia pubblicabile, i dati personali non pertinenti o non indispensabili devono essere oscurati o resi non intelligibili.
• Il principio di necessità impone di privilegiare la pubblicazione di dati anonimi o comunque limitati a quanto strettamente necessario rispetto alla finalità di pubblicità perseguita.
• In materia di sanzioni amministrative, l’art. 3 l. 689/1981 configura una presunzione di colpa: incombe sul trasgressore dimostrare di avere agito senza colpa e di avere adottato tutta la diligenza esigibile per evitare la violazione.
• L’errore dell’amministrazione non è scusato dal mero adeguamento a prassi o disposizioni interne se manca un affidabile riscontro della liceità del trattamento dei dati personali.
• La quantificazione della sanzione può tener conto di elementi fattuali invocati dalla parte, ma la mera successiva rimozione del contenuto illecito non elimina di per sé la violazione già consumata.

Come è indicizzato