Cassazione Civile, Sentenza n. 15626/2026 del 21/05/2026

Esito

La controversia

Impugnazione della sanzione pecuniaria di euro 10.000 irrogata dal Garante per il trattamento illecito di dati personali: il Comune aveva inviato ai componenti del Corpo di Polizia Locale la nota del Comitato Unico di Garanzia con allegati il verbale della seduta e una lettera anonima contenente giudizi negativi su un dipendente, accompagnata da un questionario che chiedeva ai destinatari se condividessero tali giudizi. Contestazioni principali del Comune: assenza di idoneo presupposto normativo per il trattamento; violazione dei principi di liceità, correttezza, trasparenza e minimizzazione; omissione della comunicazione al Garante dei dati di contatto del DPO.

La decisione

La Corte di Cassazione ha respinto il ricorso del Comune e confermato la decisione del Tribunale di Ancona che aveva rigettato l'opposizione al provvedimento del Garante. La Corte ha ritenuto corretta l'applicazione dell'art. 6, comma 8, d.lgs. 150/2011 (termine non perentorio per deposito di documenti strettamente inerenti l'atto opposto), ha escluso che la tardiva costituzione del Garante dessero automatica prevalenza al Comune, e ha affermato che, anche se il datore di lavoro può svolgere indagini prodromiche al procedimento disciplinare, le modalità adottate nel caso di specie erano sproporzionate e violavano il principio di minimizzazione. Inoltre la mancata comunicazione al Garante dei dati di contatto del DPO è stata considerata una violazione sanzionabile (art. 83 Regolamento UE 2016/679), pur con incidenza possibile solo sulla gravità della sanzione quando non sia dimostrato un danno concreto. Il ricorrente è stato condannato alle spese del giudizio di legittimità.

Norme richiamate

• Regolamento UE 2016/679 - art. 5

  par. 1, lett. a) e c) (principi di liceità, correttezza, trasparenza e minimizzazione)

  I dati devono essere trattati secondo i principi di liceità, correttezza e trasparenza e limitati a quanto necessario; l'invio della lettera anonima con questionario è stato ritenuto contrario al principio di minimizzazione e sproporzionato rispetto alle finalità perseguite

• Regolamento UE 2016/679 - art. 6

  L'articolazione delle basi giuridiche rileva ma, anche se potesse sussistere una base normativa o un interesse legittimo del datore di lavoro per indagini preliminari, il trattamento deve comunque rispettare i principi di proporzionalità e minimizzazione; la Corte ha ribadito che la legittimità della base non giustifica modalità di trattamento eccedenti

• Regolamento UE 2016/679 - art. 37

  Prevede l'obbligo di comunicare all'autorità di controllo i dati di contatto del DPO; la Corte ha rilevato che la mera pubblicazione sul sito non esaurisce l'obbligo di comunicazione, e l'omissione è rilevante

• Regolamento UE 2016/679 - art. 83

  Stabilisce la possibilità di sanzioni per violazioni come la mancata comunicazione dei dati di contatto del DPO; la Corte ha confermato che la violazione formale è sanzionabile anche se non è dimostrato un danno concreto, rilevando però che l'assenza di danno incide sulla gravità della sanzione

• d.lgs. 150/2011 - art. 6

  Il termine per il deposito della documentazione strettamente inerente all'atto opposto non è perentorio; la norma è applicabile anche al procedimento in esame e la tardiva costituzione del Garante non ha impedito la valutazione documentale

• Codice civile - art. 2087

  L'obbligo generale del datore di lavoro di tutela della salute e dell'integrità dei dipendenti non legittima automaticamente qualsiasi trattamento di dati personali: tale obbligo va contemperato con i principi del Regolamento e con la proporzionalità

• Codice della privacy - art. 166

  richiami alla legge sanzionatoria

  Richiami normativi utilizzati per coordinare l'applicazione delle procedure sanzionatorie con il d.lgs. 150/2011; la Corte ha interpretato questi rinvii nel senso di rendere applicabile l'art. 6 del d.lgs. 150/2011

• Codice di procedura civile - art. 416

  richiami su termini di decadenza per costituzione

  La decadenza prevista dall'art. 416 c.p.c. si applica a certe preclusioni, ma non trasforma in automatiche le conseguenze della tardiva costituzione; il giudice può acquisire d'ufficio documenti necessari per la decisione

• Codice di procedura civile - art. 112

  richiamo relativo all'omessa pronuncia

  Richiesta di pronuncia specifica sulle eccezioni deve essere formulata e documentata; qui la Corte ha ritenuto che le questioni erano state comunque considerate implicitamente dal giudice di merito

Massime di principio

• La condotta del datore di lavoro di avviare indagini prodromiche al procedimento disciplinare può trovare una base giuridica diversa dal consenso (es. obbligo legale o interesse legittimo), ma il trattamento deve sempre rispettare i principi del GDPR, in particolare proporzionalità e minimizzazione
• La diffusione formale di allegati contenenti accuse anonime e la richiesta ai colleghi di esprimere giudizi può trasformare informazioni già informalmente note in un trattamento nuovo e più invasivo, aumentando il rischio di illecito trattamento
• La mancata comunicazione al Garante dei dati di contatto del DPO, anche se sostituita dalla pubblicazione sul sito, è un'omissione formale rilevante e sanzionabile; l'assenza di danno concreto può però influire sulla misura della sanzione
• La tardiva costituzione in giudizio dell'Autorità di controllo non esclude per sé la valutazione dei fatti a carico dell'ente: il giudice può acquisire documenti d'ufficio e valutare l'intero rapporto sanzionatorio
• Nelle controversie disciplinari e amministrative è fondamentale il contemperamento tra l'esigenza di buon andamento e tutela dell'ente e i diritti alla riservatezza del lavoratore; modalità investigative che non rispettano tale bilanciamento possono essere sanzionate anche se perseguono finalità legittime