Cassazione n. 26267/2023

e ha pronunciato la seguente O R D I N A N Z A sul ricorso 35357-2018 proposto da [OSCURATO:PERSONA] d'Aosta/Vallée d'Aoste (P. Iva e [OSCURATO:CODICE_FISCALE_SOCIETA]), con sede in Aosta, [OSCURATO:PERSONA], n. 1, in persona del Presidente e legale rappresentante pro tempore, rappresentata e difesa, con giusta procura speciale in calce al ricorso ed in virtù della delibera della Giunta regionale n. 710, del 4 giugno 2018, dall’Avv. [OSCURATO:PERSONA] (C.F.: [OSCURATO:CODICE_FISCALE]) ed elettivamente domiciliata in Roma, via [OSCURATO:PERSONA] n. 72, presso lo studio del difensore; -ricorrente - contro [OSCURATO:PERSONA] per la protezione dei dati personali, in persona del Presidente pro tempore ([OSCURATO:CODICE_FISCALE_SOCIETA]), rappresentato e difeso dall'Avvocatura Generale dello Stato ([OSCURATO:CODICE_FISCALE_SOCIETA]) e domiciliato presso i suoi uffici in Roma, via dei Portoghesi 12; -controricorrente – Avverso la sentenza del Tribunale di Aosta n. 126/2018 pubblicata in data 3 maggio 2018 e non notificata. Udita larelazione svolta nella camera di consiglio del 7 marzo 2023 dal [OSCURATO:PERSONA]. [OSCURATO:PERSONA] E IN DIRITTO Ritenuto che: -con ricorso depositato in data 21.12.2017, notificato all'[OSCURATO:PERSONA] per la protezione dei dati personali in data 17.01.2018, la [OSCURATO:PERSONA] d'Aosta proponeva opposizione ex art. 152 d.lgs. n. 196/2003 (Codice in materia di protezione dei dati personali) avverso l'ordinanza ingiunzione n. 397 del 5.10.2017 con la quale le veniva intimato il pagamento della sanzione amministrativa di euro 20.000,00 per violazione del disposto ex art. 162, comma 2-bis d.lgs. n. 196/03, per avere realizzato, in violazione del dettato ex art. 19, comma III, del Codice di protezione dei dati personali, con la deliberazione della [OSCURATO:PERSONA] n. 1016 del [OSCURATO:DATA_NASCITA], la diffusione di dati personali con modalità non previste dalla legge, in particolare per avere con siffatta delibera rese pubbliche le ragioni della messa in mobilità di un dipendente, opposizione con la quale domandava, previa sospensione dell'efficacia, l'annullamento e/o la revoca dell'ordinanza ovvero, in subordine, la riduzione ed il contenimento della sanzione amministrativa, deducendo la manifesta contraddittorietà ed illogicità della motivazione dell'ordinanza- ingiunzione per avere il [OSCURATO:PERSONA] addebitato alla ricorrente la violazione anche dell'art. 4, comma 3 d.lgs. 14 marzo 2013, n. 33, dopo aver negato, in via di principio, l'applicabilità alla procedura de qua del regime in tema di trasparenza dell'attività amministrativa, con violazione dell'art. 24 Cost., precludendo, in tal modo, il pieno esercizio del diritto di difesa; la violazione dell'art. 3 L. 7 agosto 1990, n. 241, per insufficiente motivazione, travisamento dei fatti ed erronea valutazione dei presupposti, oltre a non avere il [OSCURATO:PERSONA] tenuto conto, in sede di quantificazione della sanzione amministrativa, a norma dell'art. 11 l. 24 novembre 1981, n. 689, della tempestiva rimozione della delibera dal sito istituzionale; la violazione dell'art. 19, comma 3, d.lgs. 30 giugno 2003, n. 196, avendo il medesimo [OSCURATO:PERSONA] proceduto alla diffusione della delibera, alla stregua dell'art. 13, comma 4, Regolamento regionale 28 febbraio 2008, n. 2; l’eccesso di potere per ingiustizia manifesta e duplicazione della sanzione amministrativa, avuto riguardo a quella inflitta, con l’ordinanza- ingiunzione n. 398, anch'essa del 5 ottobre 2017, per i medesimi fatti oggetto di accertamento; - instaurato il contraddittorio, nella resistenza dell’[OSCURATO:PERSONA] per la protezione dei dati personali, il Tribunale d’Aosta adito rigettava l'opposizione e per l'effetto confermava integralmente l'ordinanza-ingiunzione opposta, con condanna della Regione alla rifusione delle spese processuali. A sostegno della decisione adottata il Tribunale rilevava come l'irrogazione della sanzione intimata dall'Autorità era stata in specie preceduta da ampio dialogo e scambio di rilievi critici fra le parti in esito a segnalazione dapprima pervenuta, nell'agosto 2013, al [OSCURATO:PERSONA] per la protezione dei dati personali da parte di un dipendente della Regione opponente, che lamentava la persistente pubblicazione sul sito web istituzionale della Regione stessa, nella sezione "deliberazioni", dei dati personali relativi a sé contenuti in delibera della [OSCURATO:PERSONA] n. 1016 in data [OSCURATO:DATA_NASCITA] avente ad oggetto la "mobilità per esigenze organizzative di un dipendente nell'ambito dell'organico della giunta regionale" e contenente valutazioni esplicite sulla professionalità e sul contegno del soggetto segnalante. Come rilevato dall'Autorità la deliberazione censurata, nell'ambito di procedimento per l'accertamento di incompatibilità ambientale del dipendente segnalante ex art. 43 della Legge regionale n. 22/2010, dava atto in effetti di "tensioni e rapporti conflittuali" connessi alla presenza del dipendente, assegnato a posizione caratterizzata da estrema delicatezza, nell'ambiente lavorativo che incidevano negativamente sull'organizzazione e sulla funzionalità complessiva degli uffici, nonché "sul prestigio e sul decoro del Dipartimento", con conseguenti "difficoltà di funzionamento degli uffici in relazione alla presenza del dipendente" disponendone infine il trasferimento "per accertata incompatibilità ambientale". Risultava poi dall'esame della documentazione in atti che l'Autorità intimante aveva dapprima richiesto informative e giustificazioni in merito alla Regione con nota in data 18.09.2013, ricevendo tempestivo riscontro in data 2.10.2013, con il quale la Regione stessa allegava di avere provveduto alla pubblicazione in ottemperanza al dettato ex art. 10, comma 1 d.lgs. n. 320/1994, recante norme di attuazione dello Statuto speciale Regionale, secondo cui gli atti deliberativi degli organi regionali dovevano essere pubblicati mediante affissione all'albo notiziario dell'amministrazione regionale, per quindici giorni consecutivi, salvo il più breve termine stabilito nell'atto stesso, assumendo peraltro che l'atto così pubblicato non contenesse dati sensibili né dati giudiziari, evidenziando, inoltre, come il dettato ex art. 8 del D. Lgs. n. 33/2013 disponesse comunque che "i dati, le informazioni e i documenti oggetto di pubblicazione obbligatoria ai sensi della normativa vigente” dovevano essere pubblicati per un periodo di 5 anni, decorrenti dal 1° gennaio dell'anno successivo a quello da cui decorreva l'obbligo di pubblicazione, e comunque fino a che gli atti pubblicati producevano i loro effetti, fatti salvi i diversi termini previsti dalla normativa in materia di trattamento dei dati personali e quanto previsto dagli articoli 14, comma 2 e 15, comma 4. Aggiungeva il giudice del gravame che l’[OSCURATO:PERSONA] aveva chiaramente ed esaurientemente replicato con provvedimento interdittivo e prescrittivo n. 182 del 26.03.2015, mai impugnato, il quale recava la prescrizione di conformare la successiva pubblicazione di atti e documenti in internet alle disposizioni del predetto Codice ed a quelle dettate con le [OSCURATO:PERSONA] diffuse in materia, rispettando in particolare il principio secondo cui la diffusione di dati personali era lecita quando prevista da una norma di legge o di regolamento; del resto, la stessa normativa regionale pure richiamata dalla Regione in risposta alla richiesta di giustificazioni del [OSCURATO:PERSONA], non consentiva di legittimare la pubblicazione integrale del provvedimento censurato; - avverso la sentenza del Tribunale d’Aosta ha proposto ricorso per cassazione la Regione Valle d’Aosta, sulla base di due motivi, cui ha resistito con controricorso il [OSCURATO:PERSONA] per la protezione dei dati personali. Considerato che: - in via preliminare è opportuno precisare che, poiché si discute di una sanzione per violazione delle disposizioni sul trattamento di dati personali irrogata nel maggio 2015, al caso in esame ratione temporis si applica il codice della privacy (d.lgs. n.196 del 30 giugno 2003) nella stesura anteriore alle modifiche introdotte con il d.lgs. n.101 del 10 agosto 2018 di adeguamento dell'ordinamento nazionale al regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, entrato in vigore il 25 maggio 2018 (art.99, comma 2, del Regolamento); - ciò posto, con il primo motivo la ric orrente lamenta la violazione e/o la falsa applicazione degli artt. 19, comma 3, d. lgs. 30 giugno 2003, n. 196, 8, comma 3, 13 d. lgs. 14 marzo 2013, n. 33, 13, comma 4, Reg. reg. 28 febbraio 2008 n. 2, ai sensi dell’art. 360, comma 1 n. 3 c.p.c. La pronuncia gravata sarebbe, ad avviso della Regione, radicalmente illegittima per non avere il Tribunale interpretato la disciplina di rango primario e secondario in materia di trasparenza dell'attività amministrativa, nel senso che fosse applicabile, anche in relazione ai limiti temporali ivi contemplati, alla delibera della Giunta regionale n. 1016, del 7 giugno 2013. Sostiene la Regione, infatti, che nell’assumere la condotta contestata si sarebbe rigorosamente allineata allo schema normativo testé descritto, in quanto, dopo aver divulgato la delibera di cui si discute nell'albo notiziario, in forza dell'art. 10, comma 1 d.lgs. 22 aprile 1994, n. 320, aveva provveduto alla sua diffusione nella sezione "deliberazioni" del sito istituzionale, in adempimento agli obblighi pubblicitari derivanti dall’art. 13, comma 4 Reg. reg. 28 febbraio 2008, n. 2, e dall’art. 13 d.lgs. 14 marzo 2013 n. 33. Ciò sarebbe idoneo a fornire la necessaria base giuridica all'attività di pubblicazione compiuta dalla Regione, in ossequio all'art. 19, comma 3 d.lgs. 30 giugno 2003 n. 196, per cui del tutto illogicamente il giudice avrebbe dichiarato la responsabilità della Regione, la quale, piuttosto, aveva dato puntuale e doverosa esecuzione a specifiche disposizioni di livello primario e secondario, nel rispetto del principio di legalità dell'azione amministrativa, il cui essenziale ancoraggio risiede nell'art. 97 Cost. Né, contrariamente a quanto statuito dal Tribunale, alcuna portata risolutiva avrebbe potuto essere riconosciuta all'intervenuto decorso del termine di quindici giorni stabilito dall'art. 10, comma 1 d.lgs. 22 aprile 1994, n. 320, giacchéa differenza di quest'ultimo l'art. 13, comma 4, Reg. reg. 28 febbraio 2008 n. 2, non subordina l'attività di pubblicazione ad alcun limite temporale, per cui l'eventuale decisione, da parte della Regione, di interrompere la divulgazione del provvedimento de quo, sarebbe stata sprovvista di giustificazione, integrando un atto del tutto arbitrario ed illegittimo, alla stregua del richiamato principio di legalità. La Regione non si sarebbe potuta, comunque, sottrarre dal prestare obbedienza all'art. 13, comma 4, Reg. reg. 28 febbraio 2008 n. 2 –dal quale il giudice di primo grado ha inteso erroneamente desumere l'illiceità del trattamento svolto dall'odierna ricorrente -dalla mera scadenza del periodo di quindici giorni individuato dall'art. 10, comma 1 d. 1gs. 22 aprile 1994 n. 320, prescindendo dal diverso - e più ampio - limite di cinque anni enunciato dall'art. 8, comma 3, d. lgs. 14 marzo2013 n. 33. Detto altrimenti, il Tribunale non si è avveduto dell'obbligatorietà della seconda (e distinta) pubblicazione, ai sensi degli artt. 13, comma 4 Reg. reg. 28 febbraio 2008 n. 2 e 13 d.lgs. 14 marzo 2013 n. 33, e, dunque, dell'operatività - in o gni caso - del termine quinquennale di cui all'art. 8, comma 3, del decreto legislativo medesimo, inferendo l'illiceità della condotta della Regione, dal semplice superamento della soglia temporale di quindici giorni fissata dall'art. 10, comma 1, d. lgs. 22 febbraio 1994, n. 320, per la sola (e distinta) divulgazione notiziale. Il motivo è manifestamente infondato. Il d.lgs. n. 196/2003 contempla una diversificazione del trattamento dei dati a seconda che venga effettuato da soggetti privati o da soggetti pubblici (per i quali sono dettate le "regole ulteriori" riportate negli artt. 18-22); il livello di protezione è diversamente graduato in relazione agli specifici settori oggetto di disciplina. Il trattamento dei dati personali, da parte di soggetti pubblici, è consentito soltanto per lo svolgimento delle funzioni istituzionali (art. 18). Ai sensi dell’art. 19, comma primo, che fissa i principi applicabili al trattamento di dati diversi da quelli sensibili e giudiziari, il trattamento da parte di un soggetto pubblico è consentito anche in mancanza di una norma di legge o di regolamento che lo preveda espressamente. Il terzo comma prevede invece che la comunicazione da parte di un soggetto pubblico a privati o a enti pubblici economici e la diffusione da parte di un soggetto pubblico sono ammesse unicamente quando previste da una norma di legge o di regolamento. L’amministrazione, in ossequio al disposto degli artt. 3 e 11, lettera d) d.lgs. n. 196/2003, doveva comunque attenersi al principio imperativo ed inderogabile della minimizzazione e necessità della diffusione, privilegiando, se del caso, la pubblicazione di dati anonimi e osservando modalità che permettessero di identificare l'interessato solo in caso di necessità. Correttamente il Tribunale ha ritenuto che la diffusione dei dati relativi al nominativo del dipendente in mobilità e l’indicazione del luogo di destinazione integrassero la violazione contestata, considerato che la delibera della medesima autorità, n. 182 del 26.03.2015, con la quale era stata impartita alla Regione la prescrizione di conformare la successiva pubblicazione di atti e documenti in internet alle disposizioni del codice in materia di protezione dei dati personali, come previsto dall’art. 143 del medesimo codice, non ha formato oggetto di impugnazione, per cui l’Ente locale non poteva che ottemperare. Occorre aggiungere per completezza argomentativa che in realtà il d.lgs. n. 33/2013, entrato in vigore il 20.4.2014, quindi prima della consumazione delle violazioni de quibus, che risalgono al 2015, in particolare l’art. 4, comma 4 d.lgs. n. 33/2013 (poi abrogato dall’art. 43 d.lgs. n. 97/2016), dispone che nei casi in cui norme di legge o di regolamento consentano la pubblicazione di atti o documenti, le pubbliche amministrazioni sono tenute a rendere non intelligibili i dati personali non pertinenti o, se trattasi di dati sensibili o giudiziari, non indispensabili rispetto alle specifiche finalità di trasparenza della pubblicazione (con prescrizione ribadita dall’art. 7 bis, comma primo). Pertanto, non era consentita la diffusione dei dati ulteriori, rispetto a quelli elencati nell’art. 27, senza procedere all’anonimizzazione (art. 4, comma 3, d. lgs. n. 33/2013). In definitiva, la diffusione di dati diversi da quelli espressamente previsti non beneficiava di fondamento normativo ai sensi dell’art. 19, comma terzo del codice sulla privacy, né era invocabile il regolamento regionale 28 febbraio 2008 n. 2, recante norme di attuazione dello Statuto speciale regionale a fini di trasparenza amministrativa, il quale comunque prevede all’art. 13 l’adozione di necessarie cautele. Le finalità di consentire il controllo sull’agire dell’amministrazione mediante la trasparenza delle informazioni devono, infatti, essere attuate mediante forme di pubblicità la cui conoscenza sia ragionevolmente ed effettivamente connessa all'esercizio di un controllo, nel rispetto dei limiti di proporzionalità e pertinenza, non giustificandosi una totale ed indiscriminata ostensione dei dati stessi (cfr. Corte cost. n. 20 del 2019), nemmeno nel regime del d.lgs. n. 33/2013 (che peraltro contempla, all’art. 5, quale concorrente garanzia di trasparenza amministrativa a completamento del sistema, il diritto di accesso civico, non soggetto a particolari condizioni limitative dal punto di vista soggettivo o oggettivo); -con il secondo motivo la Regione ricorrente evidenzia la violazione e/o la falsa applicazione degli artt. 2, 11, comma I, lett. d), 65, comma 5, d.lgs. 30 giugno 2003, n. 196, 13, comma 4 Reg. reg. 28 febbraio 2008, n. 2 ai sensi dell’art. 360, comma 1 n. 3, c.p.c. La sentenza impugnata sarebbe illegittima nella parte in cui il Tribunale non ha interpretato sistematicamente l'art. 2 d.lgs. 30 giugno 2003, n. 196, combinandolo con l'art. 13, comma 4 Reg. reg. 28 febbraio 2008 n. 2, che rinvia all'art. 65, comma 5 d.lgs. 30 giugno 2003 n. 196, ai fini del giudizio circa la rispondenza della pubblicazione della delibera al principio di pertinenza e non eccedenza del trattamento di cui all'art. 11, comma 1, lett. d), del decreto legislativo stesso. Il giudice, infatti, ha rimproverato alla Regione di aver agito "senza previa adozione di necessarie cautele" nel rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell'interessato, con particolare riferimento alla riservatezza, all'identità personale e al diritto alla protezione dei dati personali" di cui all'art. 2 del Codice di protezione dei dati personali, secondo le prescrizioni in effetti già dettate dal [OSCURATO:PERSONA] con il provvedimento n. 182 in data 26.03.2015 sub n. 2 del dispositivo" (pp. 4-5 della sentenza). Ad avviso della ricorrente, l'asserzione del Tribunale risulta tanto più eccentrica ove si ponga mente alla circostanza che, nella vicenda in parola, il parametro di valutazione della coerenza del trattamento con il principio di pertinenza e non eccedenza sancito dall'art. 11, comma 1 lett. d) d.lgs. 30 giugno 2003, n. 196, nonché, di riflesso, con l'art. 2 - che, nel testo applicabile ratione temporis , identifica, programmaticamente, gli obiettivi al cui raggiungimento gli standard suddetti sono intrinsecamente orientati - si trova normativamente predefinito nell'art. 13, comma 4 Reg. reg. 28 febbraio 2008, n. 2, il quale, come visto, ordina la pubblicazione delle delibere della Giunta regionale. La Regione, pertanto, non si sarebbe potuta discostare dallo scrutinio di pertinenza e non eccedenza del trattamento insito nell'art. 13, comma 4 Reg. reg. 28 febbraio 2008 n.2, allorché espunge dal novero delle delibere soggette agli obblighi di pubblicità dettati in punto di trasparenza dell'attività amministrativa, soltanto quelle recanti - e non è questo il caso del provvedimento regionale censurato dal [OSCURATO:PERSONA] - dati sensibili e/o giudiziari, ai quali, per l'appunto, si rivolgono - come già rimarcato nel paragrafo n. 1 - le limitazioni discendenti dall'art. 65, comma 5, d.lgs. 30 giugno 2003, n. 196. In ultima analisi, la pronuncia impugnata è illegittima, in quanto il Tribunale, nel vagliare la conformità del trattamento al principio di pertinenza e non eccedenza ex art. 11, comma 1 lett. d) d. lgs. 30 giugno 2003 n. 196, e, con esso, all'art. 2, del decreto legislativo stesso, non ha considerato, in un'ottica sistematica e di coordinamento normativo, l'art. 13, comma 4 Reg. reg. 28 febbraio 2008, n. 2, che rimanda all'art. 65, comma 5, d. leg. 30 giugno 2003, n. 196 -il quale inibisce la divulgazione dei soli dati sensibili e/o giudiziari - , a nulla rilevando, tra l'altro, il vincolo di anonimizzazione, che l'art. 4, comma 3 d. lgs. 14 marzo 2013 n. 33, circoscrive alle ipotesi di diffusione facoltativa. Anche il secondo mezzo non può trovare ingresso. Premesso che la Regione, per quanto sopra esposto, non ha impugnato la prima delibera adottata dall’[OSCURATO:PERSONA] nella vicenda che ci occupa, la n. 182 del 26.03.2015, e salvo quanto esposto con riferimento alla disciplina regolamentare regionale, occorre sottolineare come la conformità della pubblicazione alle prescrizioni dirigenziali dirette a fissare il contenuto del provvedimento di mobilità del dipendente non escludeva – automaticamente –la colpa dell’amministrazione e la sanzionabilità della condotta. Costituisce principio consolidato nella giurisprudenza di questa Corte che l'art. 3 legge n. 689/1981 pone una presunzione di colpa a carico dell'autore del fatto vietato, gravando sul trasgressore l'onere di provare di aver agito senza colpa (Cass. n. 13610 del 2007; Cass. n. 20219 del 2019; Cass. n. 11777 del 2020). L’esimente della non colpevolezza può configurarsi, al pari di quanto avviene per la responsabilità penale in materia di contravvenzioni, solo quando detta violazione appaia inevitabile, occorrendo a tal fine, da un lato, la sussistenza di elementi positivi, estranei all'autore dell'infrazione, idonei ad ingenerare la convinzione della liceità della condotta e, dall'altro, che l'autore dell'infrazione abbia fatto il possibile per osservare la legge, onde nessun rimprovero possa essergli mosso, neppure sotto il profilo della negligenza omissiva (Cass. n. 33441 del 2019; Cass. n. 24081 del 2019; Cass. n. 19759 del 2015). L’essersi la Regione conformata ad un provvedimento dirigenziale concernente aspetti non riguardanti la pubblicazione dei dati personali, e ciò pur essendo necessario che la pubblicazione fosse consentita da una previsione di legge e non da un atto meramente amministrativo, non poteva condurre ad escludere la colpa e la responsabilità dell’Amministrazione, non risultando che la ricorrente si fosse in qualche modo resa parte diligente in modo da ricevere un affidabile riscontro della liceità della pubblicazione, facendo il possibile per evitare le violazioni contestate. Sono, per tali ragioni, da respingere entrambi i motivi di ricorso, con la conseguente condanna della Regione al pagamento delle spese del presente giudizio, che si liquidano nei sensi di cui in dispositivo. Ai sensi dell’art. 13, comma 1-quater del d.P.R. n. 115 del 2002, occorre dare atto della sussistenza dei presupposti processuali per il versamento, da parte della ricorrente, di un ulteriore importo a titolo di contributo unificato pari a quello previsto per il ricorso, a norma del comma 1-bis dello stesso articolo 13, se dovuto. P.Q.M. La Corte rigetta il ricorso; condanna la ricorrente al pagamento delle spese del presente giudizio in favore del [OSCURATO:PERSONA] protezione dati personali che si liquidano in complessivi euro 2.300,00, oltre a spese prenotate e prenotande a debito. Ai sensi dell’art.