Cassazione n. 18370/2022

guente Rep. ORDINANZA sul ricorso iscritto al n. 25649/2019 R.G. proposto da: [OSCURATO:PERSONA] ([OSCURATO:CODICE_FISCALE_SOCIETA]), in persona del Sindaco pro tempore, rappresentato e difeso dall'Avv.to [OSCURATO:PERSONA] in virtù di procura in calce al ricorso, ed elettivamente domiciliato in Perugia alla [OSCURATO:PERSONA], 10, presso lo studio dell'Avv.to [OSCURATO:PERSONA] - ricorrente - contro [OSCURATO:PERSONA] PERSONALI ([OSCURATO:CODICE_FISCALE_SOCIETA]), in persona del legale rappresentante pro tempore, rappresentato e difeso dall'Avvocatura Generale dello Stato, e domiciliato in Roma alla Via dei Portoghesi, 12 - controricorrente e ricorrente incidentale - R.G. 25649/2019 Pagina nr. 2 di 10 avverso la sentenza del Tribunale di Spoleto, n. 416/2019, depositata in data 29 maggio 2019. Udita la relazione svolta nella camera di consiglio del giorno 16 marzo 2022 dal Consigliere [OSCURATO:PERSONA]. [OSCURATO:PERSONA]; [OSCURATO:PERSONA] 1. Il [OSCURATO:PERSONA] proponeva innanzi al Tribunale di Spoleto opposizione avverso l'ordinanza-ingiunzione n. 251 del 26 aprile 2018, con la quale il [OSCURATO:PERSONA] PERSONALI aveva intimato il pagamento della somma di C 10.000,00 a titolo di sanzione per la violazione dell'art. 19, comma 3, del D. Lgs. 196/2003 (c.d. Codice della Privacy), contestando al [OSCURATO:PERSONA] la comunicazione di dati personali di cittadini residenti alla società [OSCURATO:PERSONA] s.n.c. 2. Costituitosi il [OSCURATO:PERSONA] PERSONALI, il Tribunale di Spoleto, con sentenza del 29 maggio 2019 rigettava il ricorso, compensando nella misura del 40% le spese di lite, e condannando il [OSCURATO:PERSONA] alla rifusione del residuo 60%. Osservava il giudice di prime cure: • che infondata risultava la deduzione relativa alla violazione del termine di 360 giorni per la conclusione del procedimento, in quanto, sebbene fosse vero che il procedimento sanzionatorio aveva tratto origine da una iniziale segnalazione del 6 ottobre 2014, tuttavia detta segnalazione originaria riguardava un altro Comune, laddove l'accertamento ispettivo alla base della sanzione al [OSCURATO:PERSONA] risaliva al 27 maggio 2015, dovendosi individuare in tale data il dies a quo per la decorrenza del citato termine; • che parimenti infondate erano le deduzioni dell'opponente in ordine alla legittimità della comunicazione per essere la Leo R.G. 25649/2019 Pagina nr. 3 di 10 [OSCURATO:SOCIETA]. scuola accreditata per attività formative -e quindi soggetto incaricato di pubblico servizio parificabile a soggetto pubblico ai sensi dell'art. 73, comma 2, D. Lgs. 196/2003- in quanto, pur potendosi assimilare l'attività svolta da detta scuola ad un'attività di rilevante interesse pubblico ex art. 73, comma 2, lett. I), D. Lgs. 196/2003, la [OSCURATO:PERSONA] s.n.c. medesima doveva comunque essere qualificata come soggetto privato, risultando, quindi, non legittima la trasmissione degli elenchi dei residenti da parte del Comune, anche in considerazione del fatto che non vi era prova del fatto che la trasmissione stessa fosse effettivamente avvenuta nell'ambito delle attività di formazione e inserimento nel modo del lavoro; . che, pertanto, imponendosi un'interpretazione restrittiva dell'art. 19, comma 3, del D. Lgs. 196/2003 in virtù degli interessi tutelati dalla previsione, il solo fatto che la [OSCURATO:PERSONA] s.n.c. svolgesse attività di interesse pubblico non valeva ad elidere la sua natura privatistica, e non escludeva la necessità che la trasmissione di dati personali fosse preceduta da un'autorizzazione del Garante. 3. Avverso la decisione del Tribunale di Spoleto il [OSCURATO:PERSONA] ha proposto ricorso. Resiste con controricorso e ricorso incidentale -condizionato all'accoglimento del ricorso principale- il [OSCURATO:PERSONA] PERSONALI. [OSCURATO:PERSONA] /. Il ricorso si articola in due motivi. /./. Con il primo motivo si deduce, in relazione all'art. 360, n. 3), c.p.c., la violazione e falsa applicazione sia della tabella B allegata al Regolamento 2/2007 sia dell'art. 14, comma 1, del Regolamento 1/2007 del Garante. R.G. 25649/2019 Pagina nr. 4 di 10 Lamenta il Comune ricorrente che erroneamente la decisione di prime cure abbia escluso che il duplice termine previsto dal Regolamento 2/2007 (180 giorni dalla chiusura dell'istruttoria preliminare come durata massima dell'istruttoria, e sei mesi complessivi dalla segnalazione come durata massima dell'istruttoria preliminare) decorresse dall'originaria segnalazione del 6 ottobre 2014, dal momento che comunque tale segnalazione era all'origine delle contestazioni mosse al Comune medesimo. Lamenta altresì che l'Autorità resistente abbia omesso di indicare, nel provvedimento opposto, la data di inizio dell'istruttoria preliminare 1.2. Con il secondo motivo si deduce, in relazione all'art. 360, n. 3), c.p.c., la violazione e falsa applicazione degli artt. 19, commi 2 e 3, e 73, comma 2, lett. i), D. Lgs. 196/2003 nonché dell'art. 358, secondo comma, c.p. Denuncia il Comune ricorrente un'erronea valutazione del Tribunale di Spoleto nell'affermare la natura privatistica della [OSCURATO:PERSONA] [OSCURATO:SOCIETA], invece, il ricorrente che la scuola, perseguendo fini di pubblico interesse, deve essere qualificata come incaricato di pubblico servizio ex art. 358 c.p., trovando quindi applicazione l'art. 73, comma 2, lett. i), D. Lgs. 196/2003. Deduce conseguentemente che la comunicazione degli elenchi dei residenti alla [OSCURATO:PERSONA] s.n.c. ha integrato una ipotesi di trasmissione ad altro soggetto pubblico, come tale legittima sia ex art. 19, comma 2, D. Lgs. 196/2003, sia in quanto effettuata dal ricorrente nell'ambito del perseguimento dei propri fini istituzionali. 2. Con il proprio ricorso incidentale condizionato il [OSCURATO:PERSONA] PERSONALI deduce, in relazione all'art. 360, n. 3), c.p.c., la violazione e falsa applicazione dell'art. 10 D. Lgs. 150/2011 e dell'art. 11, del Regolamento 1/2007. Lamenta l'Autorità che il Tribunale di Spoleto abbia omesso di pronunciarsi sull'eccezione preliminare di inammissibilità R.G. 25649/2019 Pagina nr. 5 di 10 dell'opposizione, per omessa tempestiva impugnazione della comunicazione dell'esito dell'istruttoria. Si deduce, infatti, che al [OSCURATO:PERSONA] in data 17 febbraio 2016 era stato comunicato da parte del [OSCURATO:PERSONA] e Sanità l'avvio del procedimento sanzionatorio, senza che tale provvedimento venisse tempestivamente impugnato ai sensi dell'art. 10 D. Lgs. 150/2011, da ciò derivando l'inammissibilità di tutte le eccezioni formulate dal [OSCURATO:PERSONA] con riferimento alla fase antecedente all'accertamento dell'illecito. 3. Il primo motivo è infondato. Deve trovare applicazione alla fattispecie il principio -già enunciato da questa Corte- per cui il termine di decadenza per la contestazione degli illeciti va individuato in quello in cui la constatazione si è tradotta, o si sarebbe potuta tradurre, in accertamento, dovendosi a tal fine tener conto, oltre che della complessità della materia, delle particolarità del caso concreto anche con riferimento al contenuto e alle date delle operazioni, dovendo il giudice del merito, limitarsi a rilevare se vi sia stata un'ingiustificata e protratta inerzia durante o dopo la raccolta dei dati di indagine, tenuto altresì conto della sussistenza di esigenze di economia che inducano a raccogliere ulteriori elementi a dimostrazione di altre violazioni rispetto a quelle accertate, mentre la valutazione della superfluità degli atti di indagine deve essere svolta con giudizio "ex ante", restando irrilevante la loro inutilità "ex post" (Cass. Sez. 2, Sentenza n. 21171 del 08/08/2019 - Rv. 655194 - 02). Come osservato da questa Corte -sempre in materia di opposizione ad ordinanza-ingiunzione adottata dal Garante per la Protezione dei [OSCURATO:PERSONA]- "L'accertamento non coincide, quindi, con la generica ed approssimativa percezione del fatto, ma con il compimento delle indagini necessarie per riscontrare, secondo le modalità previste dall'art. 13, l'esistenza di tutti gli elementi R.G. 25649/2019 Pagina nr. 6 di 10 dell'infrazione e richiede la valutazione dei dati acquisiti ed afferenti agli elementi dell'infrazione e la fase finale di deliberazione, correlata alla complessità delle indagini tese a riscontrare la sussistenza dell'infrazione medesima e ad acquisire piena conoscenza della condotta illecita ed a valutarne la consistenza agli effetti della corretta formulazione della contestazione (Cass. n. 26734 del 2011; Cass. n. 25836 del 2011). (...) In tale ambito, assumono rilievo tutte le complesse attività finalizzate all'accertamento, tra cui rientrano non solo gli atti di indagine effettuati, ma anche il tempo necessario all'amministrazione per valutare e ponderare adeguatamente gli elementi già acquisiti, onde ritenerne l'incidenza e la sufficienza ai fini della completa disamina di tutti gli aspetti della fattispecie (Cass. n. 7681 del 2014, in motiv.)" (Cass. Sez. 2, Ordinanza n. 16286 del 2018). Nel caso in esame, il Tribunale di Spoleto ha correttamente osservato -richiamando anche un precedente di questa Corte- che la prima segnalazione del 6 ottobre 2014 da cui è poi scaturito il provvedimento impugnato riguardava in realtà un altro Comune, e non conteneva riferimento alcuno al Comune di Deruta. Ha quindi correttamente concluso il Tribunale che detta segnalazione poteva essere ritenuta unicamente punto di avvio di una più ampia attività di indagine che era approdata all'accesso ispettivo presso la sede dalla [OSCURATO:PERSONA] s.n.c. solo in data 27 maggio 2015, dovendosi pertanto individuare il tale data il momento in cui l'Amministrazione irrogante poteva aver acquisito tutti gli elementi per contestare l'illecito, e conseguentemente il dies a quo per la decorrenza del termine di conclusione del procedimento, compresa la "sub istruttoria", che risultava aperta in data 26 agosto 2015, e quindi entro il termine di novanta giorni. 4. Infondato è, altresì', il secondo motivo. R.G. 25649/2019 Pagina nr. 7 di 10 L'art. 19 D.Lgs. [OSCURATO:DATA_NASCITA], n. 196 -vigente all'epoca dei fatti- prevedeva, al suo comma 1, che "Il trattamento da parte di un soggetto pubblico riguardante dati diversi da quelli sensibili e giudiziari è consentito, fermo restando quanto previsto dall'articolo 18, comma 2, anche in mancanza di una norma di legge o di regolamento che lo preveda espressamente", con la puntualizzazione che l'art. 18, comma 2, ivi richiamato, stabiliva che "Qualunque trattamento di dati personali da parte di soggetti pubblici è consentito soltanto per lo svolgimento delle funzioni istituzionali". La regola del comma 1 in tema di trattamento era, poi, completata, in relazione alla comunicazione, nei successivi commi 2 e 3, i quali prevedevano: "(...) 2. La comunicazione da parte di un soggetto pubblico ad altri soggetti pubblici è ammessa quando è prevista da una norma di legge o di regolamento. In mancanza di tale norma la comunicazione è ammessa quando è comunque necessaria per lo svolgimento di funzioni istituzionali e può essere iniziata se è decorso il termine di cui all'articolo 39, comma 2, e non è stata adottata la diversa determinazione ivi indicata. 3. La comunicazione da parte di un soggetto pubblico a privati o a enti pubblici economici e la diffusione da parte di un soggetto pubblico sono ammesse unicamente quando sono previste da una norma di legge o di regolamento.". Ciò premesso, occorre subito chiarire che il successivo art. 73, comma 2, invocato dal Comune ricorrente ("(...) 2. Si considerano, altresì, di rilevante interesse pubblico, ai sensi degli articoli 20 e 21, nell'ambito delle attività che la legge demanda ad un soggetto pubblico, le finalità: (....) i) di supporto al collocamento e all'avviamento al lavoro, in particolare a cura di centri di iniziativa locale per l'occupazione e di sportelli-lavoro; (...)n trovava applicazione con riferimento al trattamento dei dati sensibili e giudiziari di cui agli artt. 20 e 21 (cfr. comma 1: "1. Si considerano di R.G. 25649/2019 Pagina nr. 8 di 10 rilevante interesse pubblico, ai sensi degli articoli 20 e 21 (...)"), laddove nella fattispecie viene pacificamente in rilievo il citato art. 19, dedicato al "trattamento di dati diversi da quelli sensibili e giudiziari", come indicato dalla rubrica della previsione. Così delimitato il dato normativo di riferimento al solo art. 19, si deve rilevare - che, nell'ipotesi di cui al comma 2, non essendo stata invocata una norma di legge o di regolamento che contemplasse la comunicazione dei dati, la comunicazione medesima (sempre a condizione che risultasse necessaria per lo svolgimento delle funzioni istituzionali) avrebbe comunque potuto essere effettuata solo una volta decorso il termine di quarantacinque giorni dal ricevimento della comunicazione contemplata dall'art. 39, comma 1 ("1. Il titolare del trattamento è tenuto a comunicare previamente al Garante le seguenti circostanze: a) comunicazione di dati personali da parte di un soggetto pubblico ad altro soggetto pubblico non prevista da una norma di legge o di regolamento, effettuata in qualunque forma anche mediante convenzione"), e subordinatamente al fatto che fosse effettuata ad un "soggetto pubblico"; - che nell'ipotesi di cui al comma 3, la comunicazione dei dati sarebbe stata possibile solo in presenza di una norma di legge o di regolamento che contemplasse la comunicazione medesima. Alla luce di detta disciplina, quindi, appare corretta la valutazione adottata dal Tribunale di Spoleto, nel momento in cui ha escluso la possibilità di dare applicazione al menzionato comma 2, negando il carattere di ente pubblico della [OSCURATO:PERSONA] s.n.c., anche se ha ritenuto di riconoscere alla stessa scuola la finalità di perseguimento di interessi pubblici. Occorre, infatti, considerare che nella decisione del Tribunale è stata evidenziata l'assenza di prova sia del fatto che tali interessi R.G. 25649/2019 Pagina nr. 9 di 10 pubblici venissero perseguiti dalla [OSCURATO:PERSONA] s.n.c. in forma esclusiva, sia del fatto che la trasmissione degli elenchi fosse avvenuta effettivamente con la finalità di svolgimento dei corsi di formazione accreditati presso la Regione Umbria. A fronte di tali rilievi, il ricorso del [OSCURATO:PERSONA] ha omesso di indicare se tali profili fossero stati specificamente dedotti nel giudizio di opposizione, e se in relazione ad essi fossero stati offerti elementi probatori non valorizzati nella decisione impugnata. Correttamente, quindi, in assenza della prova di tali elementi fattuali, il Tribunale ha escluso l'applicabilità dell'art. 19, comma 2, così come correttamente ha escluso l'applicabilità dell'art. 19, comma 3, D.Lgs. 196/2003, in assenza di una norma di legge o di regolamento che contemplasse la comunicazione dei dati, tale non potendosi considerare lo Statuto del [OSCURATO:PERSONA], nella parte in cui si limita ad individuare in via generale le finalità perseguite dal medesimo Ente. Quanto alle deduzioni del ricorrente in ordine all'applicabilità dell'art. 6, § 1, lett. e) del Reg. (UE) 2016/679 del 27 aprile 2016, si deve osservare che le stesse concernono una disciplina non vigente all'epoca dei fatti, dal momento che l'ordinanza ingiunzione opposta concerne fatti risalenti all'anno 2015.[-Lu, Lt M'' 21 5. Il ricorso deve quindi essere integralmente rigettato, mentre il ricorso incidentale condizionato deve essere dichiarato assorbito. 6. Le spese seguono la soccombenza e vengono liquidate nel dispositivo, dandosi altresì atto che sussistono le condizioni per dichiarare che il ricorrente è tenuto a versare un ulteriore importo a titolo di contributo unificato pari a quello dovuto per l'impugnazione, ai sensi dell'art. 13, comma 1-quater, D.P.R. 115/2002. P. Q. M. La Corte rigetta il ricorso, e dichiara assorbito il ricorso incidentale. R.G. 25649/2019 Pagina nr. 10 di 10 Condanna il ricorrente a rifondere ai controricorrenti le spese del giudizio di Cassazione, che liquida in C 2.000,00, di cui C 200,00 per esborsi, oltre accessori di legge. Dà atto che sussistono le condizioni per dichiarare che il ricorrente è tenuto a versare un ulteriore