Cassation Court dismisses Data Protection Authority's appeal against fines for late publication of public notices on a municipal website.

ha pronunciato la seguente Ordinanza sul ricorso iscritto al n.2287/2020 proposto da : Garante per la protezione d e i d ati p ersonali , difeso dall' A vvoca- tura generale dello Stato; -ricorrente- contro Comune di Tarvisio, difeso dall'avvocato David D’Agostini; -controricorrentee ricorrente incidentale- avverso la sentenza del Tribunale di Udine n. 586/2019 del 24/10/2019. Ascoltata la relazione del consigliere Remo Caponi nella camera di consiglio del 3/10/2023. Fatti di causa Nel dicembre 2017 l'Autorità G arante per la protezione dei dati personaliemanava nei confronti del Comune di Tarvisio due ordinanze ingiunzione di € 20.000 ciascuna, come sanzioni pecuniarie per la violazione ex art. 162 co . 2bis in relazione all'art. 19 co . 3 d.lgs. 196/2003 vigenteal tempo.

Infatti, una persona aveva segnalato (più 2di 8 – 2287 /202 0 – 2 – 3/10/2023 ( 22 ) – Caponi Est. volte)il permanere pubblicati di dati personali su l sito internet dell’albo pretorio comunale oltre il periodo di quindici giorni previsto dall'art. 124 d.lgs. 267/2000. Il Comune proponeva dinanzi al Tribunale di Udine nei confronti dell’Autorità Garante opposizione avverso i due provvedimenti sanzio- natori, facendo valere: (a) la violazione dell'art. 14 co.2 l. 689/81 per notifica tardiva, cioè oltre il termine di novanta giorni dall'accertamento delle violazioni(quanto al primo provvedimento, n. 534/2017, la con- testazione era avvenuta il 26/10/2016, dopo che il 9/9/2015 era stato comunicato al segnalante che non sarebbero stati adottati provvedi- menti prescrittivi o inibitori; quanto al secondo provvedimento, n. 556/2017, la contestazione era avvenuta il 18/7/2016, dopo che il 24/4/2016 era stato comunicato al segnalante che non sarebbero stati adottati provvedimenti prescrittivi o inibitori); (b) la violazione del principio del ne bis in idem, poiché l’infrazione è unica; (c)la violazione dell'art. 8l. 689/81 , poiché si tratta d i una sola azione/omissione (la configurazione del software di pubblicazione on line dei provvedimenti del Comune); ( d) la violazione dell'art. 3 l. 689/81 , poiché il sito internet oggetto di segnalazione non era, né era mai stato,di titolarità del Comune, né gestito dal medesimo; ( e) l’ insussistenza della violazione contestata, posto che il termine di quindici giorni per la pubblicazione nell'Albo pretorio di cui all'art. 124 d.lgs. 267/2000 non è perentorio.

Il Tribunale ha accolto l’opposizione e annulla to le ordinanze - ingiunzione poiché la violazione non sussiste, con compensazionedelle spese legali. Ricorre l’Autorità Garante con due motivi di ricorso. Resiste il Co- mune di Tarvisio con controricorso e ricorso incidentale con sette mo- tivi, illustrati da memoria. 3di 8 – 2287 /202 0 – 2 – 3/10/2023 ( 22 ) – Caponi Est. Ragioni della decisione 1. -Il primo motivo censura ex artt. 152 co. 1bis d.lgs. 196/2003 e 10 d.lgs. 150/2011 che il Tribunale non abbia rilevato l’inammissibilità dei motivi di ricorso per omessa impugnazione dei provvedimenti diri- genziali di chiusura dell’istruttoria preliminare, che costituiscono ex art. 7 Regolamento 1/2007 provvedimenti amministrativi.

Il secondo motivo denuncia che la sentenza impugnata abbia violato le disposizioni del codice in materia di protezione dei dati personali, secondo cui la diffusione di dati personali da parte di un soggetto pub- blico è ammessa unicamente quando è prevista da una norma di legge o di regolamento, nel rispetto dei principi di pertinenza e non ecce- denza. Si deduce la violazione degli artt. 19 co. 3, 11 co. 1 lett.

d) d.lgs. 196/2003 (nella versione anteriore alla riforma ex d.lgs. 101/2018 di adeguamento alla nuova disciplina europea), in combinato disposto con l’art. 124 d.lgs. 267/2000 e art. 1 d.p.r. 118/2000. 2. –Il primo motivo è rigettato. Gli atti di cui si lamenta la mancata impugnazione tempestiva (cioè, i provvedimenti dirigenziali di chiusura dell’istruttoria preliminare) ri- vestono carattere preliminare, non lesivo della sfera dell’ente che sarà solo in seguito destinatario delle sanzioni amministrative.Pertanto, non vi è interesse adimpugnare. 3.

–Quanto al secondo motivo, esso si rivela parimenti in fondato. Censurata è la seguente parte della sentenza impugnata. Il Tribunale ha rilevato che si tratta di dati personali, ha osservato che la pubblica- zione sull’albo pretorio è avvenuta sul fondamento dell’art. 124 co. 1 d.lgs. 267/2000 (pubblicazione delle delibere per quindici giorni) e dell’art. 32 co. 1 l. 69/2009 (sostituzione della pubblicazione cartacea con quella sui siti telematici), ha considerato che le finalità di traspa- renza, conoscibilità e controllo dell’attività amministrativa sono da 4di 8 – 2287 /202 0 – 2 – 3/10/2023 ( 22 ) – Caponi Est. bilanciare con la tutela della riservatezza, che implica la necessità, la pertinenza e la non eccedenza del riferimento alla persona ex art. 11 co. 1 lett.

d) elett.

e) d.lgs. 196/2003. Quanto all’asserita violazione del termine di quindici giorni, il Tribunale ha invocato a sostegno Cass.20615/2016, che ha accertato il carattere non perentorio di tale ter- mine. La censura è argomentata essenzialmente in questi termini. Il Ga- rante ha richiamato indicazioni di carattere generale sul trattamento di dati personali da parte di soggetti pubblici per finalità di pubblicazione e diffusione sul web (cfr. le linee guida del 15/05/2014). Ha considerato che, quanto ai dati personali, in tali elenchi possono essere riportati solo quelli necessari ad individuare i soggetti interessati (nominativi e data di nascita).

Il Garante osserva che non è giustificato diffondere ulteriori dati non pertinenti. Ne deduce che la sentenza è incorsa in errore nel ritenere che al caso di specie fossero estensibili i principi espressi da Cass. 20615/2016. Il punto decisivo– rimarca infine il Ga- rante - è la sproporzionata esposizione della sfera personale dell'inte- ressato, che deriva dalla pluriennale pubblicazione dei dati personali, a fronte di un termine di legge di due settimane. 4. – L’argomentazione della sentenza impugnata resiste bene alle critiche del Garante.

Nel rifarsi allelinee guida, la prima censura non coglie il bersaglio. È irrilevante sottolineare che i soggetti pubblici abilitati a pubblica re e diffonderesul web i dati devono riportare solo i dati necessari ad indi- viduare i soggetti interessati, se non si allega specificamente che nel casodi specie il novero dei dati pubblicati abbia ecceduto quelli neces- sari al perseguimento del fine istituzionale. In secondo luogo, il Tribunale ha correttamente richiamato a soste- gno della propria decisione il precedente di Cass. 20615/2016. Nel caso 5di 8 – 2287 /202 0 – 2 – 3/10/2023 ( 22 ) – Caponi Est. sotteso a talepronuncia, alcune persone avevano convenuto in un pre- cedente giudizio un’amministrazione comunale, la quale si era costi- tuita in giudizio sulla base di due delibere di giunta pubblicate sul sito internet istituzionale.

Ad avviso degli attori il contenuto delle delibere violava il loro diritto alla riservatezza e pertanto convenivano di nuovo in giudizio il Comune con una correlativa domanda risarcitoria, accolta dal giudice di merito. Nell’annullare la sentenza, Cass. 20615/2016 ha osservato che la pubblicazione e la divulgazione di atti che determinino una diffusione di dati personali deve ritenersi lecita qualora prevista da una norma di legge o di regolamento, quindi per le finalità istituzionali dell’ente - mentre non ha carattere perentorio il termine previsto dall'art. 124 d.lgs. 267/2000 («Tutte le deliberazioni del comune e della provincia sono pubblicate mediante pubblicazione all'albo pretorio, nella sede dell'ente, per quindici giorni consecutivi, salvo specifiche di- sposizioni di legge»).

Ad abundantiam, a sostegno del carattere non perentorio del termine, Cass. 20615/2016 richiama il termine di cinque anni di durata della pubblicazione, previsto dall’art. 8 d.lgs. 33/2013, di riordino della disciplina riguardante il diritto di accesso civico e gli obblighi di pubblicità, trasparenza e diffusione di informazioni da parte delle pubbliche amministrazioni. Il Garante mostra di ritenere che Cass. 20615/2016non si attaglia, ma per dimostrarlo seleziona esattamente la parte della motivazione che è misurata sul caso sotteso a quel precedente e che è qui irrile- vante.

Viceversa, gli elementi rilevanti sono il fondamento legislativo del potere di pubblicazione, la necessità della pubblicazione per perse- guire il fine istituzionale dell’ente, il carattere non perentorio del ter- mine ex art. 124 d.lgs. 267/2000. Non si attaglia piuttosto Cass.30981/2017 richiamata dal Garante. Tale pronuncia riguarda i dati 6di 8 – 2287 /202 0 – 2 – 3/10/2023 ( 22 ) – Caponi Est. sensibili, ma il Garante nonargomenta se i dati d ella cui pubblicazione si tratta nel caso di specie siano sensibili. Quanto alla doglianza relativa alla violazione del principio di non ec- cedenzasotto il profilo della protrazione temporale della esposizione al pubblico dei dati personali(art. 11 lett. d d.lgs. 196/2003 vigente al tempo)il Garante non si confronta con il punto a tal riguardo centrale della motivazione: il Tribunale ha conclusoil proprio ragionamento fa- cendo proprio il dato emerso dalla relazione tecnica resa dal gestore del software che ha spiegato che la visibilità residua dei dati riguardanti la persona, anche dopo le segnalazioni del Garante e gli interventi ese- guiti sulla piattaforma informatica (interventi sollecitati dal Comune, che attestano un atteggiamento collaborativo), fosse riferibile all'uti- lizzo di un meccanismo informatico, cioè la memorizzazione e l'utilizzo reiterato dell'indirizzo web (URL) della pagina pubblicata, utilizzato non da chiunque ma dal diretto interessato motivato a controllare il persi- stere della pubblicazione.

Né infine aiuta il Garante il finale richiamo dottrinario al fatto che «l'identità più che come dato preesistente viene vista come processo, costantemente in atto,aperto ad una pluralità di esiti e continuamente esposto all'interferenza capillaree pervasiva, delle varie forme di po- tere sociale». È superfluo ricordare che in tale dialettica tra la sfera della libertà e dell’autonomia del sé e l’incidenza del potere altrui – tratto di fondo dell’evo moderno - quest’ultimo può esercitare a se- conda dei casi non solo un ruolo oppressivo o limitativo, ma anche cooperativo e proattivo .

Tale è il profilo che entra specificamente in gioco nel caso di specie, in cui –ferma la necessità della pubblicazione per il fine istituzionale– il Comune ha dimostrato , nell’arco del proce- dimento amministrativo sollecitato dalla segnalazione al Garante, un 7di 8 – 2287 /202 0 – 2 – 3/10/2023 ( 22 ) – Caponi Est. atteggiamento cooperativo nell’adottare rimedi diretti a venire incontro al bisogno di tutelamostrato dal segnalante. Il secondo motivo è rigettato e con ciò è rigettato il ricorso principale nel suo complesso. 5.

–Quanto al ricorso incidentale, il primo motivo denuncia la man- cata dichiarazione di decadenza dalle domande e dalle eccezioni ex art.416 c.p.c. per tardività della costituzione in giudizio.Il secondo motivo denuncia, sotto il profilo dell’omesso esame circa un fatto decisivo , la determinazione del momento di accertamento della violazione quale dies a quo per il computo del termine ex art. 14 co. 2 l. 689/1981. In particolare, si censura che, pur essendo da tempo a conoscenza di tutti gli elementi necessari e utili alla valutazione, l'autorità abbia tardato notificare i provvedimenti di contestazione (siinvoca Cass. 7681/2014 ove si soppesa anche l’interesse dell’autore della condotta a vedere concluso l’accertamento in tempi brevi).Il terzo motivo denuncia l’inos- servanza del termine ex art. 14 co. 2 l. 689/1981.

Il quarto motivo denuncia l’omesso esame circa fatto decisivo in relazione all’inosser- vanza del ne bis in idem nella contestazione di tante violazioni quanti sono stati i documenti pubblicati ovvero in numero pari alle segnala- zioni ricevute. Il quinto motivo denuncia l’omesso esame circa fatto decisivo in relazione all’art. 8 co. 1 l. 689/1981 («[…] chi con un'azione od omissione viola diverse disposizioni […] o commette più violazioni della stessa disposizione, soggiace alla sanzione […] per la violazione più grave, aumentata sino al triplo»).

In particolare, si fa valere che a monte vi è un’unica azione: la configurazione del software di pubblica- zione on line dei provvedimenti del Comune.Il sesto motivo denuncia l’omesso esame circa fatto decisivo in relazione all’art. 3 l. 689/1981 («[…] ciascuno è responsabile della propria azione od omissione, co- sciente e volontaria, sia essa dolosa o colposa»), poiché il sito internet 8di 8 – 2287 /202 0 – 2 – 3/10/2023 ( 22 ) – Caponi Est. oggetto di segnalazione non era, né era mai stato, di titolarità del Co- mune, né gestito dal medesimo.Il settimo motivo censura ex art. 92 la compensazione delle spese disposta per la complessità della que- stione.

Il ricorso incidentale riveste carattere sostanzialmente condizionato all’accoglimento del ricorsoprincipale e rimane pertanto assorbito . 6. –È rigettato il ricorso principale, è assorbito il ricorso incidentale . Le spese secondola soccombenza sono liquida te nel dispositivo.

P.Q.M.

La Corte rigetta il ricorsoprincipale, dichiara assorbito il ricorso inci- dentalee condanna la parte ricorrente in via principale al rimborso de