Cassazione Civile, Ordinanza n. 18370/2022 del 08/06/2022

Esito

La controversia

Un comune aveva proposto opposizione avverso un'ordinanza-ingiunzione del Garante che gli irrogava una sanzione amministrativa di 10.000 euro per avere comunicato dati personali di residenti a una società privata operante nel settore della formazione. Il Tribunale aveva rigettato l'opposizione, ritenendo: a) tempestivo il procedimento sanzionatorio, perché il termine di conclusione decorreva non dalla prima segnalazione del 2014, riferita ad altro comune, ma dall'accesso ispettivo del 27 maggio 2015; b) illegittima la comunicazione dei dati, perché la società destinataria, pur svolgendo attività di interesse pubblico, restava soggetto privato e non ricorrevano i presupposti degli artt. 19 e 73 del d.lgs. 196/2003. In Cassazione il comune deduceva: con il primo motivo, la violazione della disciplina regolamentare sui termini del procedimento sanzionatorio, sostenendo che il dies a quo dovesse essere la segnalazione originaria del 6 ottobre 2014 e che mancasse l'indicazione della data di inizio dell'istruttoria preliminare; con il secondo motivo, la violazione degli artt. 19, commi 2 e 3, e 73, comma 2, lett. i), d.lgs. 196/2003, nonché dell'art. 358 c.p., sostenendo che la società destinataria dovesse essere assimilata a soggetto pubblico o incaricato di pubblico servizio e che la comunicazione fosse quindi lecita. Il Garante resisteva e proponeva ricorso incidentale condizionato, denunciando l'omessa pronuncia sull'eccezione di inammissibilità dell'opposizione per mancata tempestiva impugnazione della comunicazione di avvio del procedimento sanzionatorio ai sensi del d.lgs. 150/2011 e del regolamento del Garante.

La decisione

La Corte ha rigettato integralmente il ricorso principale del comune. Ha ritenuto infondato il primo motivo, affermando che il termine per contestare gli illeciti decorre dal momento in cui l'accertamento si traduce, o avrebbe potuto tradursi, in completa acquisizione degli elementi dell'infrazione: nel caso concreto, la segnalazione del 2014 non riguardava il comune ricorrente e costituiva solo l'avvio di più ampia attività istruttoria, culminata nell'accesso ispettivo del 27 maggio 2015; da lì decorreva correttamente il termine. Ha ritenuto infondato anche il secondo motivo, precisando che l'art. 73 d.lgs. 196/2003 riguarda il trattamento di dati sensibili e giudiziari, mentre qui veniva in rilievo l'art. 19 sui dati diversi da quelli sensibili e giudiziari; pertanto, la comunicazione a un soggetto privato era lecita solo se prevista da una norma di legge o di regolamento, oppure, nel diverso caso di comunicazione a soggetti pubblici, se necessaria per funzioni istituzionali e previa osservanza della disciplina speciale. Il comune non aveva dimostrato né che la società fosse un soggetto pubblico, né che la comunicazione fosse effettivamente necessaria per lo svolgimento di specifiche funzioni istituzionali, né che vi fosse una norma regolamentare o legislativa che autorizzasse quella comunicazione. Il ricorso incidentale del Garante è stato dichiarato assorbito. La Corte ha altresì condannato il comune alle spese del giudizio di cassazione e ha dato atto dell'obbligo di versare l'ulteriore contributo unificato.

Norme richiamate

• art. 19 d.lgs. 196/2003

  la comunicazione di dati personali da parte di un soggetto pubblico è ammessa verso altri soggetti pubblici nei limiti previsti dalla norma; verso privati è ammessa solo se prevista da una norma di legge o di regolamento. La disciplina invocata dal ricorrente non consentiva la comunicazione effettuata nel caso concreto.

• art. 73 d.lgs. 196/2003

  si riferisce al trattamento di dati sensibili e giudiziari nell'ambito di attività di rilevante interesse pubblico; non è la norma applicabile al trattamento di dati non sensibili e non giustifica la comunicazione contestata.

• art. 358 c.p.

  la qualificazione di un soggetto come incaricato di pubblico servizio non è stata ritenuta sufficiente, nel caso concreto, a mutarne la natura privatistica ai fini della disciplina sulla comunicazione dei dati.

• art. 39 d.lgs. 196/2003

  la comunicazione preventiva al Garante è richiesta per alcune comunicazioni di dati personali tra soggetti pubblici non previste da legge o regolamento; il decorso del termine speciale è rilevante ai fini della legittimità della comunicazione.

• art. 10 d.lgs. 150/2011

  richiamato dal Garante nel ricorso incidentale per sostenere l'inammissibilità dell'opposizione, ma l'incidentale è stato dichiarato assorbito.

• art. 11 Regolamento 1/2007 del Garante

  richiamato nel ricorso incidentale sul profilo dell'ammissibilità dell'opposizione, ma la Corte non vi ha statuito per assorbimento.

• tabella B allegata al Regolamento 2/2007

  invocata dal ricorrente per i termini del procedimento sanzionatorio; la Corte ha escluso la violazione perché il dies a quo decorreva dall'effettivo accertamento presso il soggetto destinatario.

• art. 14, comma 1, del Regolamento 1/2007 del Garante

  richiamato dal ricorrente per sostenere l'errore sulla decorrenza dei termini procedimentali; la censura è stata respinta.

• art. 13, comma 1-quater, D.P.R. 115/2002

  richiamato per l'obbligo della parte soccombente di versare l'ulteriore importo a titolo di contributo unificato.

• art. 360, n. 3, c.p.c.

  norma processuale posta a base dei motivi di ricorso per violazione o falsa applicazione di legge.

Massime di principio

• In materia di sanzioni amministrative del Garante per la protezione dei dati personali, il termine per la conclusione del procedimento e per la contestazione dell'illecito decorre dal momento in cui l'attività istruttoria abbia consentito l'acquisizione completa degli elementi necessari all'accertamento, e non dalla prima segnalazione in astratto collegata alla vicenda, se questa riguarda altro soggetto o costituisce solo un avvio generico delle indagini.
• La valutazione della tempestività dell'accertamento va compiuta ex ante, tenendo conto della complessità della materia, delle attività necessarie per raccogliere gli elementi di prova e dell'eventuale esigenza di approfondimenti ulteriori; è irrilevante, invece, che singoli atti si rivelino inutili solo ex post.
• Per la comunicazione di dati personali da parte di un soggetto pubblico, l'art. 19 d.lgs. 196/2003 distingue nettamente tra comunicazione ad altri soggetti pubblici e comunicazione a privati: nel secondo caso occorre una specifica previsione legislativa o regolamentare, non essendo sufficiente il mero perseguimento di finalità di pubblico interesse.
• La mera circostanza che un soggetto privato svolga attività di interesse pubblico o sia accreditato per servizi di formazione non ne trasforma la natura in soggetto pubblico ai fini della disciplina sulla comunicazione dei dati personali.
• Chi contesta una sanzione per illegittima comunicazione di dati deve allegare e provare in modo puntuale i presupposti che renderebbero lecita la comunicazione, compresa la natura del destinatario, la concreta finalità istituzionale perseguita e l'esistenza di una norma autorizzativa; in mancanza di tale prova, la comunicazione resta vietata.

Come è indicizzato