Cassazione n. 29323/2021

la seguente ORDINANZA sul ricorso 35364-2018 proposto da: [OSCURATO:PERSONA] D'[OSCURATO:PERSONA]'E D'AOSTE, elettivamente domiciliata in ROMA, [OSCURATO:PERSONA] 72, presso lo studio dell'avvocato [OSCURATO:PERSONA], che la rappresenta e difende; - ricorrente - contro [OSCURATO:PERSONA], elettivamente domiciliato in ROMA, [OSCURATO:PERSONA] 12, presso l'AVVOCATURA GENERALE DELLO STATO, che lo rappresenta e difende; - controricorrente - avverso la sentenza n. 127/2018 del TRIBUNALE di AOSTA, depositata il 03/05/2018; udita la relazione della causa svolta nella camera di consiglio del 11/06/2021 dal Consigliere [OSCURATO:PERSONA]. [OSCURATO:PERSONA] [OSCURATO:PERSONA] d'Aosta ha proposto ricorso articolato in quattro motivi avverso la sentenza n. 127/2018 del Tribunale di Aosta, pubblicata il 3 maggio 2018. Resiste con controricorso il Garante per la protezione dei dati personali. Con ricorso depositato in data 21 dicembre 2017, la [OSCURATO:PERSONA] d'Aosta propose opposizione ex art. 152 del d.lgs. n. 196 del 2003 avverso l'ordinanza ingiunzione emessa il 5 ottobre 2017 per il pagamento di sanzione amministrativa di C 100.000,00 relativa alla inosservanza del provvedimento di prescrizioni adottato dall'[OSCURATO:PERSONA] per la protezione dei dati personali il 26 marzo 2015, ai sensi dell'art. 162, comma 2-ter, del medesimo d.lgs. n. 196/2003. [OSCURATO:PERSONA], con nota del 18 settembre 2013, aveva portato a conoscenza della [OSCURATO:PERSONA] d'Aosta la segnalazione di un dipendente che lamentava la pubblicazione sul sito web istituzionale dell'Ente della delibera della [OSCURATO:PERSONA] n. 1016 del 7 giugno 2013, avente ad oggetto "mobilità per esigenze organizzative di un dipendente nell'ambito dell'organico della Giunta regionale", contenente menzione dei motivi che ne avevano determinato la messa in mobilità. A fronte delle osservazioni presentate dalla Regione, il Garante, con provvedimento n. 182 del 26 marzo 2015, ritenendo illecita la pubblicazione per violazione degli artt. 11, comma 1, lett. a), d) ed e), e 19, comma 3, del Codice in materia di protezione dei dati personali, aveva vietato l'ulteriore diffusione in Internet dei dati oggetto di Ric. 2018 n 35364 sez. 52 - ud. 11-06-2021 -2- segnalazione, prescrivendo altresì di conformare la pubblicazione di atti e documenti ai canoni del Codice, ed in particolare al principio che ritiene lecita la diffusione quando prevista da una norma di legge o di regolamento. Con il ricorso in opposizione la Regione Autonoma di Valle d'Aosta lamentò la contraddittorietà ed illogicità della motivazione del provvedimento opposto, nonché la violazione di legge per mancata applicazione del disposto dell'art. 19, comma 3, del d.lgs. n. 196/2003, avendo la Regione provveduto alle pubblicazioni censurate in ottemperanza dell'art. 13, comma 4, del Regolamento regionale n. 2/2008, che, per finalità di trasparenza dell'attività istituzionale dell'Amministrazione, impone la pubblicazione delle deliberazioni della [OSCURATO:PERSONA] in apposita sezione del sito internet dell'[OSCURATO:PERSONA] si doleva, inoltre, dell'eccesso di potere per ingiustizia manifesta e duplicazione della sanzione, alla luce di altra ordinanza ingiunzione emessa sempre il 5 ottobre 2017. Il Tribunale di Aosta ha invece sostenuto che l'art. 13, comma 4, del Regolamento regionale 28 febbraio 2008 n. 2 non legittimava la pubblicazione integrale del provvedimento censurato oltre il termine di quindici giorni ex art 10, comma 1, del d.lgs. n. 320/1994, recante norme di attuazione dello Statuto speciale regionale, senza previa adozione di necessarie cautele nel rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell'interessato, con particolare riferimento alla riservatezza, all'identità personale e al diritto alla protezione dei dati personali di cui all'art. 2 del Codice per la protezione dei dati personali. La persistenza in internet di pubblicazioni in violazione delle prescrizioni adottate dal Garante risultava documentalmente provata. Circa la sanzione Ric. 2018 n. 35364 sez. 52 - ud. 11-06-2021 -3- irrogata, la stessa, giacché determinata in misura poco inferiore al valore medio tra quello minimo e quello massimo previsto ex lege, apparve al Tribunale congrua per la reiterata inottemperanza della Regione alle prescrizioni impartite in più occasioni dal Garante per la protezione dei dati personali. La trattazione del ricorso è stata fissata in camera di consiglio, a norma degli artt. 375, comma 2, e 380 bis.1, c.p.c. La ricorrente ha depositato memoria. [OSCURATO:PERSONA] Deve dapprima rigettarsi la richiesta di riunione tra il presente giudizio di cassazione e quello contraddistinto come R.G. 35357/2018, avanzata dalla ricorrente [OSCURATO:PERSONA] d'Aosta con istanza del 1° giugno 2021. Si tratta di ricorsi proposti contro sentenze diverse pronunciate tra le medesime parti in separati giudizi, seppur attinenti ad identiche questioni di diritto. La riunione richiesta con istanza depositata dopo la notificazione del decreto di fissazione dell'adunanza ed ormai in prossimità della data stabilita per la stessa non garantisce l'economia ed il minor costo dei due giudizi, né favorirebbe la loro ragionevole durata. 1.11 primo motivo del ricorso della [OSCURATO:PERSONA] d'Aosta denuncia la violazione e/o falsa applicazione degli artt. 2 e 19, comma 3, del d.lgs. n. 196 del 30 giugno 2003, degli artt. 8, comma 3, e 13 del d.lgs. n. 33 del 14 marzo 2013, e dell'art. 13, comma 4, del Reg. reg. n. 2 del 28 febbraio 2008, per non avere il Tribunale di Aosta interpretato la disciplina di rango primario e secondario in materia di trasparenza dell'attività amministrativa, nel senso che la stessa fosse applicabile, anche in relazione ai limiti temporali ivi contemplati, agli "altri" provvedimenti della Giunta regionale - Ric. 2018 n. 35364 sez. 52 - ud. 11-06-2021 -4- oltre alla delibera n. 1016 del 7 giugno 2013 - pubblicati sul sito istituzionale, recanti dati personali dei soggetti interessati. Con il secondo motivo di ricorso si censura la violazione e/o falsa applicazione degli artt. 2, 11, comma 1, lett. d), e 65, comma 5, del d.lgs. n. 196 del 30 giugno 2003, e dell'art. 13, comma 4, del Reg. reg. n. 2 del 28 febbraio 2008, per non avere il Tribunale di Aosta interpretato sistematicamente l'art. 2 del d.lgs. n. 196 del 30 giugno 2003, combinandolo con l'art. 13, comma 4, Reg. reg. n. 2 del 28 febbraio 2008, che rinvia all'art. 65, comma 5, del d.lgs. n. 196 del 30 giugno 2003, ai fini del giudizio circa la rispondenza della diffusione degli "altri" provvedimenti della Giunta regionale - oltre alla delibera n. 1016 del 7 giugno 2013 - contenenti dati personali dei soggetti interessati, al principio di pertinenza e non eccedenza del trattamento di cui all'art. 11, comma 1, lett. d), del Codice in materia di protezione dei dati personali. Il terzo motivo di ricorso prospetta la violazione e/o falsa applicazione degli artt. 143, comma 1, lett. b), 154, comma 1, lett. c), e 162, comma 2-ter, del d.lgs. n. 196 del 30 giugno 2003, dell'art. 3 della I. n. 241 del 7 agosto 1990, dell'art. 18, comma 2, della I. n. 689 del 24 novembre del 1981, nonché omesso esame circa un fatto decisivo per il giudizio, per non avere il Tribunale di Aosta accolto la doglianza volta ad affermare la genericità della contestazione sollevata dal Garante per la protezione dei dati personali e non avere tenuto conto dei rilievi formulati sul punto dalla [OSCURATO:PERSONA] d'Aosta nel corso del procedimento conclusosi con l'ordinanza-ingiunzione n. 398 del 5 ottobre 2017. Con il quarto motivo di ricorso, in via subordinata, la [OSCURATO:PERSONA] d'Aosta lamenta la violazione e/o falsa applicazione dell'art. 11 della I. n. 681 del 24 novembre del Rtc. 2018 n. 35364 sez. 52 - ud. 11-06-2021 -5- 1981, nonché l'omesso esame circa un fatto decisivo del giudizio, per non avere il Tribunale valutato, ai fini della quantificazione della sanzione amministrativa, in base ai parametri enucleati dall'art. 11 della I. n. 681 del 24 novembre del 1981, che la [OSCURATO:PERSONA] d'Aosta aveva ripetutamente evidenziato, in sede di istruttoria procedimentale, la genericità della contestazione elevata dal Garante per la protezione dei dati personali. 2. I primi tre motivi di ricorso possono essere esaminati congiuntamente, per la loro connessione, e si rivelano infondati. 2.1. La sanzione oggetto di lite trova fondamento nell'art. 162, comma 2-ter, del d.lgs. n. 196/2003, non avendo la [OSCURATO:PERSONA] d'Aosta prestato osservanza al provvedimento di prescrizione di misure necessarie del 26 marzo 2015 adottato dall'[OSCURATO:PERSONA] per la protezione dei dati personali. Tale provvedimento, ritenuta illecita per violazione degli artt. 11, comma 1, lett. a) e d), nonché 19, comma 3, del Codice in materia di protezione dei dati personali, la diffusione dei dati personali del dipendente sul sito web istituzionale della Regione (contenuti nella deliberazione della Giunta regionale n. 1016 del 7 giugno 2013, avente ad oggetto "Mobilità per esigenze organizzative di un dipendente nell'ambito dell'organico della giunta regionale", ove si riportano "valutazioni sulla professionalità" e sul contegno dell'interessato, espressamente identificato): 1) aveva vietato alla Regione, ai sensi degli artt. 143, comma 1, lett. c), 144 e 154, comma 1, lett. d), del Codice, di diffondere ulteriormente in Internet, mediante il proprio sito web istituzionale, i dati personali del dipendente contenuti nella delibera della Giunta regionale n. 1016 del 7 giugno 2013; 2) aveva prescritto, ai Ric. 2018 n. 35364 sez. 52 - ud. 11-06-2021 -6- sensi degli artt. 143, comma 1, lett. b), e 154, comma 1, lett. c), del Codice, di conformare la pubblicazione di atti e documenti in Internet alle disposizioni stabilite nel medesimo Codice, tenendo presente le indicazioni dettate nelle Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati, rispettando, in particolare, il principio in base al quale la diffusione di dati personali è lecita quando prevista da una norma di legge o di regolamento (artt. 11, comma 1, lett. a e 19, comma 3, del Codice); 3) aveva richiesto, ai sensi dell'art. 157 del Codice, di dare comunicazione al Garante, entro centottanta giorni, delle misure adottate per conformarsi alle prescrizioni impartite. 2.2. Deve premettersi che, stando alla disciplina contenuta nel Codice in materia di protezione dei dati personali qui applicabile ratione temporis, antecedente alle modifiche apportate dal d.lgs. 10 agosto 2018, n. 101, la comunicazione da parte di un soggetto pubblico a privati o a enti pubblici economici e la diffusione da parte di un soggetto pubblico di dati, anche diversi da quelli sensibili e giudiziari, sono ammesse unicamente quando sono previste da una norma di legge o di regolamento (art. 19, comma 3) e sempre che tali dati siano pertinenti, completi, non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati, nonché conservati in una forma che consenta l'identificazione dell'interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati (art. 11, comma 1, lettere d ed e). 2.3. L'art. 10, comma 1, del d.lgs. 22 aprile 1994, n. 320 stabilisce poi che gli atti deliberativi degli organi regionali sono Ric. 2018 n. 35364 sez. 52 - ud. 11-06-2021 -7- pubblicati mediante affissione all'albo notiziario dell'amministrazione regionale per quindici giorni consecutivi, salvo il più breve termine stabilito nell'atto stesso. L'art. 8, comma 3, del d.lgs. 14 marzo 2013, n. 33 (Riordino della disciplina riguardante il diritto di accesso civico e gli obblighi di pubblicità, trasparenza e diffusione di informazioni da parte delle pubbliche amministrazioni) non rileva nel caso in esame, riferendosi esso ai dati, alle informazioni ed ai documenti "oggetto di pubblicazione obbligatoria ai sensi della normativa vigente", i quali sono invece pubblicati per un periodo di 5 anni. La delibera regionale inerente alla mobilità di un dipendente per esigenze organizzative non rientra nell'ambito degli obblighi di pubblicazione online di dati per finalità di "trasparenza" indicati nel d. Igs. n. 33/2013 e nella normativa in materia avente a oggetto le informazioni concernenti l'organizzazione e l'attività delle pubbliche amministrazioni, allo scopo di favorire forme diffuse di controllo sul perseguimento delle funzioni istituzionali e sull'utilizzo delle risorse pubbliche. Ove la pubblicazione di tale delibera regionale sul sito istituzionale fosse altrimenti avvenuta ai sensi dell'art. 4, comma 3, del d. Igs. n. 33/2013, vigente ratione temporis, occorreva procedere alla anonimizzazione dei dati personali presenti. Circa l'art. 13, comma 4, del Regolamento regionale 28 febbraio 2008, n. 2 (anch'esso vigente ratione temporis), tale norma si limitava a prevedere l'accessibilità delle deliberazioni della Giunta regionale mediante pubblicazione in un'apposita sezione del sito internet della Regione, al fine di garantire la più ampia trasparenza dell'attività istituzionale dell'Amministrazione, non dettando dunque un termine derogatorio rispetto alla Ric, 2018 n. 35364 sez. 52 - ud. 11-06-2021 -8- previsione generale della norma statale contenuta nell'art. 10, comma 1, del d.lgs. n. 320 del 1994. 2.4. E' perciò legittimo il provvedimento di prescrizione di misure adottato dall'[OSCURATO:PERSONA] il 26 marzo 2015, la cui inosservanza è stata sanzionata alla stregua dell'art. 162, comma 2-ter, del d.lgs. n. 196/2003, in quanto la persistente pubblicazione online dei dati personali del dipendente contenuti nella deliberazione della Giunta regionale (riguardanti il nominativo dello stesso, le valutazioni in merito all'operato nell'esecuzione della propria prestazione lavorativa e le specifiche ragioni poste a fondamento del trasferimento ad altro ufficio), è avvenuta oltre il limite temporale dettato dall'art. 10, comma 1, del d.lgs. 22 aprile 1994, n. 320, senza che operasse né lo speciale regime di conoscibilità stabilito dalla normativa sulla trasparenza, né altro obbligo di legge o di regolamento da adempiere, ed in modo difforme dal principio di pertinenza e non eccedenza. 3. Il quarto motivo di ricorso è inammissibile. [OSCURATO:PERSONA] d'Aosta lamenta la violazione e/o falsa applicazione dell'art. 11 della I. n. 681 del 24 novembre del 1981, nonché l'omesso esame circa un fatto decisivo del giudizio, quanto alla determinazione della sanzione amministrativa. Il Tribunale di Aosta ha ritenuto congrua la sanzione irrogata, giacché determinata in misura poco inferiore al valore medio tra quello minimo e quello massimo previsto ex lege, tenuto conto della reiterata inottemperanza della Regione alle prescrizioni impartite in più occasioni dal Garante per la protezione dei dati personali. L'esame del motivo non offre elementi per confermare o mutare l'orientamento consolidato di questa Corte, ex art. 360 Ric. 2018 n. 35364 sez. 52 - ud. 11-06-2021 -9- bis, n. 1, c.p.c., secondo cui, in relazione alle sanzioni amministrative pecuniarie, ove la norma indichi un minimo e un massimo della sanzione, spetta al potere discrezionale del giudice determinarne l'entità entro tali limiti tenendo conto dei parametri previsti dall'art. 11 della I. n. 689 del 1981, allo scopo di commisurarla alla gravità del fatto concreto, globalmente desunta dai suoi elementi oggettivi e soggettivi. Peraltro, il giudice non è tenuto nemmeno a specificare nella sentenza i criteri adottati nel procedere a detta determinazione, né la Corte di cassazione può censurare la statuizione adottata ove tali limiti siano stati rispettati e dal complesso della motivazione risulti che quella valutazione è stata compiuta. (ex multis, Cass. Sez. 5, 17/04/2013, n. 9255; Cass. Sez. 1, 08/02/2016, n. 2406). 4. Il ricorso principale deve, pertanto, essere rigettato, regolandosi le spese processuali secondo soccombenza nell'ammontare indicato in dispositivo. Sussistono i presupposti processuali per il versamento - ai sensi dell'art. 13, comma 1-quater, del d.P.R. 30 maggio 2002, n. 115 -, da parte della ricorrente, di un ulteriore importo a titolo di contributo unificato pari a quello previsto per l'impugnazione, se dovuto. P.Q.M. La Corte rigetta il ricorso e condanna la ricorrente al pagamento in favore del controricorrente delle spese del giudizio di cassazione, che liquida in C 5.600,00 per compensi, oltre alle spese prenotate a debito. Ai sensi dell'art. 13, comma 1-quater del d.P.R. 115 del 2002, dà atto della sussistenza dei presupposti processuali per il versamento, da parte della ricorrente, di un ulteriore importo a titolo di contributo unificato pari a quello previsto per il ricorso Ric