Cassazione Civile, Ordinanza n. 29323/2021 del 21/10/2021

Esito

La controversia

La vicenda nasce dalla pubblicazione sul sito istituzionale di una delibera della Giunta regionale recante dati personali di un dipendente, con indicazione del nominativo, di valutazioni sulla professionalità e delle ragioni della mobilità per esigenze organizzative. A seguito di segnalazione, il Garante aveva vietato l’ulteriore diffusione online di quei dati e aveva prescritto di conformare le pubblicazioni ai limiti del Codice privacy. Poiché la Regione aveva mantenuto online la pubblicazione, il Garante le aveva irrogato una sanzione amministrativa ex art. 162, comma 2-ter, d.lgs. 196/2003. In opposizione davanti al Tribunale, la Regione sosteneva che la pubblicazione fosse legittima perché imposta dalla normativa regionale sulla trasparenza, che il provvedimento del Garante fosse contraddittorio e illegittimo, che la contestazione fosse generica e che la sanzione fosse mal quantificata. In cassazione la Regione ha riproposto quattro motivi: 1) violazione della disciplina su protezione dei dati e trasparenza, per non aver considerato applicabile la normativa regionale e quella sul d.lgs. 33/2013; 2) errata lettura sistematica delle norme su diffusione dei dati e principio di pertinenza e non eccedenza; 3) violazione delle norme sul procedimento sanzionatorio e omesso esame, per asserita genericità della contestazione; 4) in subordine, errata quantificazione della sanzione amministrativa alla luce dei criteri dell’art. 11 l. 689/1981.

La decisione

La Corte ha rigettato il ricorso. Ha ritenuto infondati i primi tre motivi, affermando che la diffusione online dei dati personali del dipendente non era coperta da una norma di legge o di regolamento che la autorizzasse per quel tempo e per quel contenuto, che la disciplina sulla trasparenza invocata non giustificava la pubblicazione integrale della delibera oltre il termine previsto e che, in caso di eventuale pubblicazione per finalità di trasparenza, i dati avrebbero dovuto comunque essere anonimizzati. Ha quindi ritenuto legittimo il provvedimento del Garante e la conseguente sanzione ex art. 162, comma 2-ter, d.lgs. 196/2003. Il quarto motivo è stato dichiarato inammissibile, perché la censura sulla misura della sanzione non scalfiva il potere discrezionale del giudice di merito entro i limiti edittali e non evidenziava un vizio sindacabile in cassazione. La Regione è stata condannata alle spese e al pagamento dell’ulteriore contributo unificato.

Norme richiamate

• art. 152 d.lgs. 196/2003

  indica il rimedio oppositivo avverso l’ordinanza-ingiunzione del Garante

• art. 162, comma 2-ter, d.lgs. 196/2003

  costituisce il fondamento della sanzione per inosservanza del provvedimento prescrittivo del Garante

• art. 11, comma 1, lett. a), d) ed e), d.lgs. 196/2003

  i dati personali possono essere diffusi solo se leciti, pertinenti, non eccedenti e conservati per un tempo non superiore a quello necessario

• art. 19, comma 3, d.lgs. 196/2003

  la diffusione da parte di soggetti pubblici è ammessa solo se prevista da una norma di legge o di regolamento

• art. 143, comma 1, lett. b) e c), d.lgs. 196/2003

  richiamati come base dei poteri del Garante di prescrivere misure e vietare ulteriori diffusioni

• art. 154, comma 1, lett. c) e d), d.lgs. 196/2003

  richiamato come fondamento del potere del Garante di adottare prescrizioni e divieti

• art. 157 d.lgs. 196/2003

  consente di richiedere al destinatario comunicazione delle misure adottate per conformarsi

• art. 8, comma 3, d.lgs. 33/2013

  la Corte esclude la sua rilevanza perché riguarda documenti oggetto di pubblicazione obbligatoria ex lege

• art. 13, d.lgs. 33/2013

  richiamato dalla ricorrente in tema di trasparenza, ma non decisivo nel caso concreto

• art. 4, comma 3, d.lgs. 33/2013

  anche ove applicabile, richiede anonimizzazione dei dati personali

• art. 10, comma 1, d.lgs. 320/1994

  gli atti deliberativi regionali sono pubblicati per quindici giorni; il termine non è derogato dalla disciplina regionale invocata

• art. 13, comma 4, Reg. reg. Valle d'Aosta 28 febbraio 2008, n. 2

  prevede l’accessibilità delle deliberazioni nella sezione del sito, ma non introduce un termine diverso da quello statale né autorizza la diffusione integrale oltre i limiti di legge

• art. 3 l. 241/1990

  richiamato dalla ricorrente nel motivo sul procedimento sanzionatorio

• art. 18, comma 2, l. 689/1981

  richiamato dalla ricorrente nel motivo sul procedimento sanzionatorio

• art. 11 l. 689/1981

  criteri di commisurazione della sanzione amministrativa entro il minimo e il massimo edittale

• art. 13, comma 1-quater, d.P.R. 115/2002

  impone, in caso di rigetto dell’impugnazione, il versamento dell’ulteriore importo a titolo di contributo unificato

• art. 360 bis, n. 1, c.p.c.

  richiamato per escludere che il motivo sulla sanzione ponga questioni idonee a superare l’orientamento consolidato della Corte

Massime di principio

• Per i soggetti pubblici la diffusione di dati personali è lecita solo se trova una specifica base in una norma di legge o di regolamento; in mancanza, la pubblicazione è illecita anche quando sia invocata in termini generali la trasparenza amministrativa.
• La disciplina sulla trasparenza non consente di pubblicare integralmente online atti contenenti dati personali oltre i limiti temporali stabiliti dalla normativa di settore; se l’atto non rientra tra quelli soggetti a pubblicazione obbligatoria, occorre comunque verificare pertinenza, non eccedenza e, se del caso, anonimizzazione.
• Una disposizione regolamentare locale che preveda la pubblicazione delle deliberazioni sul sito istituzionale non può derogare, da sola, al termine di pubblicazione previsto dalla normativa statale applicabile né autorizzare una diffusione illimitata dei dati personali contenuti nell’atto.
• L’inosservanza di un provvedimento prescrittivo del Garante legittimamente adottato integra il presupposto della sanzione amministrativa prevista dal Codice privacy.
• Nella quantificazione della sanzione amministrativa entro un minimo e un massimo edittale, il giudice di merito esercita un potere discrezionale sindacabile in cassazione solo nei limiti del vizio di legge o di motivazione apparente, purché la sanzione resti entro i limiti normativi e la valutazione risulti complessivamente motivata.

Come è indicizzato