Cassazione Civile, Ordinanza n. 29438/2023 del 24/10/2023

Esito

La controversia

La controversia nasce da due ordinanze-ingiunzione emesse dal Garante nei confronti di un comune, per violazione della disciplina sulla protezione dei dati personali in relazione alla permanenza sul sito dell'albo pretorio di dati personali oltre il periodo di quindici giorni previsto per la pubblicazione degli atti. Il comune ha opposto i provvedimenti sanzionatori davanti al Tribunale, deducendo: tardiva contestazione ai sensi dell'art. 14 l. 689/1981; violazione del ne bis in idem; unicità dell'azione o omissione ex art. 8 l. 689/1981; insussistenza della propria responsabilità perché il sito non era di sua titolarità o gestione; in ogni caso, non perentorietà del termine di quindici giorni di cui all'art. 124 d.lgs. 267/2000. Il Tribunale ha accolto l'opposizione e annullato le sanzioni. Il Garante ha proposto ricorso per cassazione con due motivi: 1) erronea mancata declaratoria di inammissibilità dell'opposizione per omessa tempestiva impugnazione di atti preliminari dell'istruttoria; 2) violazione della normativa privacy, sostenendo che la pubblicazione di dati personali sul web era consentita solo nei limiti di legge e comunque non poteva protrarsi per anni, invocando anche le linee guida del Garante e contestando l'applicazione del precedente di Cass. 20615/2016. Il comune ha resistito con controricorso e proposto ricorso incidentale con sette motivi, ma esso è rimasto assorbito.

La decisione

La Corte ha rigettato il ricorso principale del Garante. Ha ritenuto infondato il primo motivo perché gli atti interni di chiusura dell'istruttoria avevano natura preliminare e non lesiva, sicché il comune non aveva interesse a impugnarli. Ha ritenuto infondato anche il secondo motivo, confermando la decisione di merito: la pubblicazione dei dati era sorretta da base legislativa per finalità istituzionali dell'ente; il termine di quindici giorni previsto dall'art. 124 d.lgs. 267/2000 non ha natura perentoria; non era specificamente dimostrato che fossero stati diffusi dati eccedenti quelli necessari; la protrazione della visibilità residua appariva riconducibile a meccanismi informatici e a consultazioni dell'URL da parte dell'interessato, non a una ulteriore divulgazione imputabile al comune. Conseguentemente il ricorso incidentale del comune è stato dichiarato assorbito. Le spese sono state poste a carico del ricorrente principale.

Norme richiamate

• art. 162, comma 2-bis, d.lgs. 196/2003

  richiamato quale base sanzionatoria delle ordinanze-ingiunzione contestate.

• art. 19, comma 3, d.lgs. 196/2003

  richiamato come norma che consente la diffusione di dati personali da parte di soggetti pubblici solo nei limiti di legge e regolamento.

• art. 14, comma 2, l. 689/1981

  invocato per la dedotta tardività della contestazione; la Corte non affronta nel merito la questione perché il primo motivo del Garante riguarda atti preliminari non lesivi e il ricorso principale è comunque rigettato.

• art. 8, l. 689/1981

  richiamato nel ricorso incidentale per sostenere l'unicità dell'azione/omissione e il regime della violazione più grave; il motivo è assorbito.

• art. 3, l. 689/1981

  richiamato nel ricorso incidentale per contestare la riferibilità soggettiva della condotta al comune; motivo assorbito.

• art. 11, comma 1, lett. d), d.lgs. 196/2003

  richiamato per il principio di non eccedenza dei dati trattati rispetto alle finalità perseguite.

• art. 11, comma 1, lett. e), d.lgs. 196/2003

  richiamato insieme al principio di non eccedenza e pertinenza del trattamento.

• art. 124 d.lgs. 267/2000

  "per quindici giorni consecutivi"

  la Corte conferma che il termine di pubblicazione all'albo pretorio non ha carattere perentorio.

• art. 32, comma 1, l. 69/2009

  richiamato quale base della pubblicazione telematica in sostituzione di quella cartacea.

• art. 1 d.P.R. 118/2000

  richiamato dal ricorrente come parte del quadro normativo sulla pubblicazione e diffusione degli atti.

• art. 152, comma 1-bis, d.lgs. 196/2003

  richiamato nel primo motivo del Garante in tema di rito e impugnazione.

• art. 10 d.lgs. 150/2011

  richiamato nel primo motivo del Garante in tema di opposizione a sanzioni amministrative.

• art. 7 Regolamento 1/2007

  richiamato per qualificare come provvedimenti amministrativi gli atti di chiusura dell'istruttoria preliminare.

• art. 416 c.p.c.

  richiamato nel ricorso incidentale per la pretesa decadenza da domande ed eccezioni per tardiva costituzione.

• art. 92 c.p.c.

  richiamato nel ricorso incidentale in tema di compensazione delle spese.

• art. 8 d.lgs. 33/2013

  citato ad abundantiam nel precedente richiamato dalla Corte per corroborare la non perentorietà del termine di pubblicazione.

Massime di principio

• Gli atti amministrativi endoprocedimentali e meramente preliminari, se non immediatamente lesivi della sfera giuridica del destinatario, non devono essere impugnati autonomamente, perché manca l'interesse ad agire in via immediata.
• La pubblicazione telematica di atti dell'ente locale contenenti dati personali è lecita quando è espressamente prevista dalla legge per finalità istituzionali; il controllo di liceità va condotto verificando base normativa, pertinenza dei dati e assenza di eccedenze specificamente allegate.
• Il termine di quindici giorni previsto per la pubblicazione all'albo pretorio non è, di per sé, perentorio: la sua eventuale protrazione non comporta automaticamente illiceità della diffusione se la pubblicazione era originariamente dovuta e non vi è prova di ulteriore divulgazione eccedente.
• Ai fini della responsabilità per trattamento illecito di dati, non basta denunciare in astratto una eccedenza o una durata eccessiva della pubblicazione: occorre confrontarsi con la concreta motivazione del giudice di merito e dimostrare in modo specifico quale dato sia stato diffuso oltre quanto necessario e per quale condotta imputabile al soggetto pubblico.
• Quando la persistenza della visibilità dei dati dipende da meccanismi informatici o da accessi reiterati a un URL già pubblicato, non è automaticamente configurabile una nuova condotta illecita dell'ente se la pubblicazione iniziale era sorretta da base normativa e l'ente ha cooperato agli interventi correttivi.

Come è indicizzato