Svolgimento del processo

1. Con ordinanza ingiunzione n. 494/2016, l’Autorità garante per il trattamento dei dati personali ha ordinato all’Unione Comunale del C.F. il pagamento di € 10.000,00 ai sensi dell’art. 162, comma 2, del d.lgs. 196/2003, assumendo che l’ente aveva illegittimamente pubblicato sul proprio sito web la graduatoria pacchetto scuola 2010-2013 per l’ammissione a sussidi scolastici per famiglie indigenti, con i dati personali dei soggetti non ammessi al beneficio e informazioni non pertinenti riguardanti gli assegnatari, quale la residenza dell’alunno e del genitore, la tipologia di scuola e di classe frequentata, il valore ISEE di ciascun beneficiario.

L’unione Comunale ha proposto opposizione, sostenendo di essersi attenuta alle indicazioni della Provincia e alle disposizioni della L.R. Toscana 32/2002 (cd. Pacchetto Scuola), nonché di aver diffuso informazioni finalizzate a rendere trasparente l’assegnazione dei benefici e a consentire il controllo sull’operato dell’amministrazione. In contraddittorio con l’Autorità garante, il Tribunale di Firenze ha accolto integralmente l’opposizione, osservando che, nel procedere alla pubblicazione della graduatoria, l’Unione comunale si era adeguata alle indicazioni contenute nell’atto dirigenziale provinciale n. 3175/2012, diffondendo informazioni strettamente funzionali a garantire la trasparenza dell’azione amministrativa ai sensi del d.lgs. 33/2013, in conformità alle linee guida adottate dal Garante con provvedimento del 15.5.2014.

La pubblicazione era indispensabile – secondo la pronuncia - per consentire le verifiche sulla regolarità delle assegnazioni, non trattandosi di dati sensibili quali l’etnia, gli orientamenti religiosi, sessuali o informazioni giudiziarie etc..

La cassazione della sentenza è chiesta dall’Autorità garante per la protezione dei dati personali con ricorso in due motivi, cui resiste con controricorso l’Unione Comunale del C.F., che, in prossimità dell’adunanza camerale, ha depositato memoria illustrativa.

Motivi della decisione

1. Il primo motivo di ricorso denuncia la violazione degli artt. 4, comma 1, lettera d), 19, comma terzo, lettera d), d.lgs. 196/2003 e 1 D.P.R. 118/2000, ai sensi dell’art. 360, comma primo, n. 3 c.p.c.. Sostiene l’Autorità ricorrente che – in assenza di una diversa previsione di legge - era consentita la pubblicazione dei dati personali non di tutti i partecipanti alla gara per l’assegnazione dei sussidi scolastici, ma solo di coloro che avevano ottenuto i benefici e che, anche riguardo a questi ultimi, potevano essere resi noti esclusivamente il nominativo, gli importi attribuiti e le norme di riferimento, con esclusione di ogni altra informazione, eccedente e non pertinente anche rispetto allo scopo di garantire la trasparenza dell’azione amministrativa e le verifiche sulla regolarità delle assegnazioni.

Il motivo è fondato.

Il d.lgs. 1986/2006 contempla una diversificazione del trattamento dei dati a seconda che venga effettuato da soggetti privati o da soggetti pubblici (per i quali sono dettate le "regole ulteriori" riportate negli artt. 18-22); il livello di protezione è diversamente graduato in relazione agli specifici settori oggetto di disciplina.

Il trattamento dei dati personali, da parte di soggetti pubblici, è consentito soltanto per lo svolgimento delle funzioni istituzionali (art. 18).

Ai sensi dell’art. 19, comma primo, che fissa i principi applicabili al trattamento di dati diversi da quelli sensibili e giudiziari, il trattamento da parte di un soggetto pubblico è consentito anche in mancanza di una norma di legge o di regolamento che lo preveda espressamente.

Il terzo comma prevede invece che la comunicazione da parte di un soggetto pubblico a privati o a enti pubblici economici e la diffusione da parte di un soggetto pubblico sono ammesse unicamente quando previste da una norma di legge o di regolamento.

Per quanto direttamente concerne le informazioni relative alle procedure di assegnazione di sovvenzioni e sussidi, l’art. 1 D.P.R. 118/2000 - Regolamento recante norme per la semplificazione del procedimento per la disciplina degli albi dei beneficiari di provvidenze di natura economica - abrogato dall’art. 43, comma 1, D.LGS. 97/2016, e tuttavia ancora in vigore alla data di pubblicazione delle graduatorie - disponeva che nell’albo, che le amministrazione erano tenute ad istituire, fossero indicati i soli nominativi degli assegnatari e le disposizioni di legge in base alle quali era stata accordato il beneficio, prescrizione in relazione alla quale la stessa Autorità garante, con provvedimento 88/2011, aveva evidenziato che non era giustificato diffondere ulteriori dati personali non pertinenti, quali l´indirizzo di abitazione, il codice fiscale, le coordinate bancarie per l’accredito delle somme, la ripartizione degli assegnatari secondo le fasce dell´Indicatore della situazione economica equivalente - Isee ovvero informazioni che descrivessero le condizioni di indigenza in cui versasse l´interessato.

L’amministrazione, in ossequio al disposto degli artt. 3 e 11, lettera d), dlgs. 196/2003, dovevano comunque attenersi al principio imperativo ed inderogabile della minimizzazione e necessità della diffusione, privilegiando, se del caso, la pubblicazione di dati anonimi e osservando modalità che permettessero di identificare l'interessato solo in caso di necessità. Infondatamente il tribunale ha ritenuto che la diffusione dei dati relativi al nominativo dei genitori degli alunni, all’indicazione del luogo di residenza, della classe e della scuola frequentate oltre ai dati reddituali si giustificassero per l’esigenza di consentire il controllo sulla regolarità delle assegnazioni dei benefici, secondo le prescrizioni del d.lgs. 33/2013.

In realtà il d.lgs. 33/2013 è entrato in vigore il 20.4.2014, dopo la consumazione delle violazioni, che risale al 2012, tanto che la prima richiesta di chiarimenti da parte dell’Autorità garante è datata 7.1.2013.

Peraltro, l’art. 4, comma 4, d.lgs. 33/2013 (poi abrogato dall’art. 43 d.lgs. 97/2016), dispone che nei casi in cui norme di legge o di regolamento consentano la pubblicazione di atti o documenti, le pubbliche amministrazioni sono tenute a rendere non intelligibili i dati personali non pertinenti o, se trattasi di dati sensibili o giudiziari, non indispensabili rispetto alle specifiche finalità di trasparenza della pubblicazione (con prescrizione ribadita dall’art. 7 bis, comma primo).

Con riferimento agli obblighi di pubblicazione degli atti di concessione di sovvenzioni, contributi, sussidi e attribuzione di vantaggi economici a persone fisiche ed enti pubblici e privati, l’art. 26 contempla espressamente - al comma quarto - il divieto di diffondere dati identificativi che consentano di ricavare informazioni relative alla situazione di disagio economico-sociale degli interessati.

Il successivo art. 27 individua le informazioni che devono necessariamente avere diffusione, senza includervi dati ulteriori rispetto a quelli concernenti: a) il nome del beneficiario; b) l'importo del vantaggio economico corrisposto; c) la norma o il titolo a base dell'attribuzione; d) l'ufficio e il funzionario o dirigente responsabile del relativo procedimento amministrativo; e) la modalità seguita per l'individuazione del beneficiario; f) il link al progetto selezionato e al curriculum del soggetto incaricato, ossia informazioni, che, secondo una valutazione legale non sindacabile, appaiono imprescindibili per le finalità di trasparenza dell’amministrazione.

Non era consentita la diffusione dati ulteriori, rispetto a quelli elencati nell’art. 27, senza procedere all’anonimizzazione (art. 4, comma 3, d. lgs. n. 33/2013).

In definitiva, la diffusione di dati diversi da quelli espressamente previsti dal D.P.R. 118/2000, non beneficiava di fondamento normativo ai sensi dell’art. 19, comma terzo, del codice sulla privacy, né era invocabile la L.R. Toscana 32/2002 (Pacchetto scuola), che fissava le condizioni di accesso ai sussidi, indicando le informazioni che il singolo aspirante era tenuto a comunicare ai fini della gara, senza autorizzarne affatto la diffusione.

Le disposizioni del d.lgs. 33/2013 non erano in vigore al momento della violazione e non contemplavano – in ogni caso - la facoltà di pubblicare tutti i dati personali dei soggetti interessati dalla procedura di assegnazione dei benefici (inclusi coloro che non avevano ottenuto alcuna sovvenzione).

In ogni ipotesi in cui l’amministrazione proceda alla pubblicazione di dati, informazioni e documenti che comporti un trattamento di dati personali, devono essere opportunamente contemperate le esigenze di pubblicità e trasparenza con i diritti e con la dignità dell’interessato, con particolare riferimento alla riservatezza, all’identità personale e al diritto alla protezione dei dati personali (art. 2 d.lgs. 196/2003).

Le finalità di consentire il controllo sull’agire dell’amministrazione mediante la trasparenza delle informazioni devono essere attuate mediante forme di pubblicità la cui conoscenza sia ragionevolmente ed effettivamente connessa all'esercizio di un controllo, nel rispetto dei limiti di proporzionalità e pertinenza, non giustificandosi una totale ed indiscriminata ostensione dei dati stessi (cfr. Corte cost. 20/2019), nemmeno nel regime del d.lgs. 33/2013 (che peraltro contempla, all’art. 5, quale concorrente garanzia di trasparenza amministrativa a completamento del sistema, il diritto di accesso civico, non soggetto a particolari condizioni limitative dal punto di vista soggettivo o oggettivo).

2. Il secondo motivo denuncia la violazione degli artt. 28, 162, comma 2 bis, d.lgs. 196/2003 e 3 L. 689/1981, sostenendo che la violazione contestata non poteva ritenersi incolpevole per il fatto che l’amministrazione aveva ottemperato alle prescrizioni del bando e del provvedimento provinciale che dettava il contenuto delle graduatorie, non essendosi l’amministrazione diligentemente attivata per individuare le informazioni e i dati personali suscettibili di diffusione.

Il motivo è fondato.

La censura è anzitutto ammissibile, avendo la pronuncia dichiarato l’assenza di colpa dell’Unione dei Comuni, per essersi attenuta ad un modulo dirigenziale che individuava il contenuto delle graduatorie di assegnazione dei sussidi, con statuizione che esprime un’autonoma ratio decidendi che l’Autorità era tenuta a censurare per evitare che sul punto si consolidasse il giudicato.

La conformità della pubblicazione alle prescrizioni dirigenziali dirette a fissare il contenuto delle graduatorie non escludeva – automaticamente – la colpa dell’amministrazione e la sanzionabilità della condotta.

E’ principio costante nella giurisprudenza di questa Corte che l'art. 3 L. 689/1981 pone una presunzione di colpa a carico dell'autore del fatto vietato, gravando sul trasgressore l'onere di provare di aver agito senza colpa (Cass. 13610/2007; Cass. 20219/2019; Cass. 11777/2020).

L’esimente della non colpevolezza può configurarsi, al pari di quanto avviene per la responsabilità penale in materia di contravvenzioni, solo quando detta violazione appaia inevitabile, occorrendo a tal fine, da un lato, la sussistenza di elementi positivi, estranei all'autore dell'infrazione, idonei ad ingenerare la convinzione della liceità della condotta e, dall'altro, che l'autore dell'infrazione abbia fatto il possibile per osservare la legge, onde nessun rimprovero possa essergli mosso, neppure sotto il profilo della negligenza omissiva (Cass. 33441/2019; Cass. n. 24081/2019; Cass. 19759/2015).

L’essersi l’Unione Comunale conformata ad un provvedimento dirigenziale provinciale concernente aspetti non riguardanti la pubblicazione dei dati personali, e ciò pur essendo necessario che la pubblicazione fosse consentita da una previsione di legge e non da un atto meramente amministrativo, non poteva condurre ad escludere la colpa e la responsabilità dell’amministrazione, non risultando che l’Unione dei Comuni si fosse in qualche modo resa parte diligente in modo da ricevere un affidabile riscontro della liceità della pubblicazione, facendo il possibile per evitare le violazioni contestate.

Sono, per tali ragioni, accolti entrambi i motivi di ricorso.

La sentenza è cassata in relazione ai motivi accolti, con rinvio della causa al tribunale di Firenze, in persona di altro giudice, anche per la regolazione delle spese di legittimità.

P.Q.M.

accoglie entrambi i motivi di ricorso, cassa la sentenza impugnata in relazione ai motivi accolti e rinvia la causa al Tribunale di Firenze, in persona di altro Magistrato, anche per la pronuncia sulle spese di legittimità