Per i trattamenti di diffusione dei dati personali all’Albo pretorio attraverso la pubblicazione di documenti amministrativi, il Servizio di protezione deve prendere atto di un'importante decisione della magistratura relativa all'applicazione dell’art. 124 d.lgs. 267/2000.

Si tratta di una recente Ordinanza della Suprema Corte di Cassazione e, più precisamente, dell’Ordinanza emessa dalla Sez. 2, Civile - Num. 29438 - Anno 2023, del 24/10/2023.

Il caso trattato dall’Ordinanza N. 29438/202 sulla pubblicazione dei dati personali all’Albo pretorio protratta per un periodo di tempo ulteriore a 15 giorni e, addirittura, pluriennale

Un Comune ha impugnato, davanti al Tribunale civile competente, due ordinanze ingiunzione emesse dal Garante per la protezione dei dati personali, dell’importo di € 20.000 ciascuna, a titolo di sanzioni pecuniarie amministrative per aver pubblicato all’Albo pretorio dati di una persona per un periodo superiore al termine di 15 giorni previsto dall'art. 124 d.lgs. 267/2000, con violazione della riservatezza della persona interessata dal trattamento (art. 162 co. 2bis in relazione all'art. 19 co. 3 d.lgs. 196/2003 vigente al tempo).

Contro le due ordinanze ingiunzione il Comune si è rivolto al Giudice, promuovendo ricorso davanti al Tribunale civile competente.

All’esito del giudizio, il Tribunale ha annullato le due ordinanze ingiunzione del Garante che, a sua volta, è ricorso in Cassazione contro la sentenza di primo grado

La Corte di Cassazione, massimo organo giurisdizionale civile, ha rigettato il ricorso del Garante con l’Ordinanza dello scorso ottobre 2023.

La pronuncia, tanto importante quanto impattante sui trattamenti di diffusione all'Albo pretorio e sulla gestione stessa dell’Albo, specie per quanto concerne l'Albo pretorio “storico” statuisce che:

• il termine di quindici giorni, previsto dall'art. 124 d.lgs. 267/2000 (pubblicazione delle delibere per quindici giorni) e dall’art. 32 co. 1 l. 69/2009 (sostituzione della pubblicazione cartacea con quella sui siti telematici),non ha carattereperentorio;
• per la pubblicazioneall'Albo pretorio, gli elementi rilevanti sono solo:

• il fondamento legislativo del potere di pubblicazione (norma di legge);
• la necessità della pubblicazione per perseguire il fine istituzionale dell’ente.

Stante il carattere non perentorio del termine ex art. 124 d.lgs. 267/2000, non sussiste la violazione della riservatezza dei dati personali per violazione del principio di non eccedenza del trattamento di diffusione online quando si verifica una protrazione temporale della pubblicazione e della conseguente esposizione al pubblico dei dati personali.

La conseguenza è che il permanere dei dati personali all'Albo Pretorio anche oltre il termine di 15 giorni non costituisce, per il Giudice civile, un trattamento illecito di dati personali.

Questa conclusione è molto importante per la gestione, da parte dei Comuni, dell'Albo pretorio con riferimento, in particolare, all'Albo pretorio "storico” dove è possibile accedere a documenti risalenti nel tempo contenenti dati personali.

Tale accessibilità ai dati personali protratta nel tempo, per anni o, addirittura, per decenni, ha sempre costituito un motivo di forte preoccupazione per la tutela della riservatezza e la protezione dei dati medesimi.

Individuare le misure da mettere in campo per evitare l'accesso ai dati personali contenuti nei documenti pubblicati all'Albo pretorio storico, tuttora presente in molti Enti locali, ha rappresentato un vero e proprio dilemma per la quantità dei documenti da anonimizzare e le ingenti risorse necessarie a tal fine.

Tale problema potrebbe ora beneficiare della decisione contenuta nell'Ordinanza in esame che ammette la pubblicazione all'Albo di dati personali oltre il termine di 15 giorni previsto dall'art. 124 d.lgs. 267/2000.

Se non chè, l’interpretazione del Giudice è antitetica a quella del Garante per il quale:

- pubblicare nell'Albo pretorio documenti contenenti dati personali oltre il termine di 15 giorni previsto dall'art. 124 d.lgs. 267/2000 o oltre il diverso termine indicato dalla legge che impone la pubblicazione per specifiche categorie di documenti, costituisce un trattamento illecito.

Due orientamenti differenziati: cosa fare in concreto?

Tenuto conto dei due diversi orientamenti, la soluzione da seguire in concreto, suggerita dalla necessaria cautela e dalla necessità di garantire ai dati personali un elevato grado di protezione, è quella di:

- continuare a limitare la diffusione dei dati personali comuni, contenuti nei documenti pubblicati all'albo Pretorio on-line, come è avvenuto fino ad ora, ai soli 15 giorni previsti dall'art. 124 d.lgs. 267/2000.

Soltanto per la sezione storica dell'Albo può essere eventualmente valutato di applicare l'orientamento del Giudice civile in presenza di documenti contenenti dati personali, laddove non risulti possibile al Comune adottare altre misure adeguate per rendere non accessibili al pubblico i dati personali medesimi.

Per avvalersi dell'orientamento civilistico, che legittima la permanente pubblicazione di dati personali all’Albo storico, è necessario approfondire la decisione della Suprema Corte ricostruendo, nel contempo, l'opposto orientamento del Garante e gli effetti concreti prodotti da tale orientamento, ritenuto non condivisibile dal Giudice civilistico, sul trattamento dei dati personali all'Albo pretorio.

In particolare, occorre chiarire:

• cosa succede se un Comune pubblica un documento contenente dati personali all’Albo pretorio per un periodo superiore a 15 giorni?
• per il tempo eccedente la scadenza dei 15 giorni, il trattamento di diffusione derivante dalla pubblicazione effettuata dal Comune è sanzionabile?

L’orientamento consolidato del Garante: segnalazioni, controlli d'ufficio e sanzioni per le pubblicazioni di dati personali all'Albo Pretorio oltre il termine di 15 giorni previsto dall'art. 124 d.lgs. 267/2000.

Le risposte alle domande che precedono, fondate sulle Linee guida e i provvedimenti adottati dal Garante nel corso degli anni, confermano che si tratta di un trattamento illecito e che il permanere di dati personali all'Albo pretorio oltre il termine di 15 giorni è sanzionabile dall'Autorità di controllo, da identificarsi nel Garante, con una sanzione pecuniaria amministrativa di importo variabile.

Nel caso di specie, l'importo della sanzione è stato in concreto quantificato nell'importo di € 20.000 e la sanzione è stata irrogata mediante ordinanza-ingiunzione conformemente alle "Linee guida in materia di trattamento di dati personali contenuti anche in atti e documenti amministrativi effettuato da soggetti pubblici per finalità di pubblicazione e diffusione sul web" e ai provvedimenti adottati daI Garante. Nell'adottare il provvedimento sanzionatorio Il tribunale ha tenuto presente che il Comune ha dimostrato, nell’arco del procedimento amministrativo, sollecitato dalla segnalazione al Garante, un atteggiamento collaborativo nell'ambito della vicenda esaminata e di seguito riepilogata.

In particolare, è accaduto che nel dicembre 2017, il Garante è intervenuto a sanzionare il Comune dopo che la persona interessata dal trattamento di pubblicazione all'Albo pretorio dei suoi dati personali, a seguito di plurime segnalazioni, ha chiesto l'intervento dell’Autorità Garante denunciando il permanere di dati personali pubblicati sul sito internet, all’Albo pretorio comunale, oltre il periodo di quindici giorni di cui all’art. 124 d.lgs. 267/2000. Dopo le due sanzioni irrogate dal Garante è seguita la complessa vicenda giudiziaria, prima davanti al Tribunale e poi davanti alla Corte di Cassazione.

L’orientamento del Giudice civile e, in particolare, della Suprema Corte di Cassazione

​​Il Comune sanzionato ha proposto, dinanzi al Tribunale e nei confronti dell’Autorità, opposizione contro i due provvedimenti sanzionatori, facendo valere, tra le altre motivazioni, l’insussistenza della violazione contestata, facendo leva anche sul presupposto che il termine di quindici giorni per la pubblicazione nell'Albo pretorio non è perentorio.

Il Tribunale ha accolto l’opposizione e ha annullato le ordinanze ingiunzione del Garante con la motivazione che:

• “la violazionenon sussiste”.

Il ragionamento alla base della decisione del Tribunale è il seguente:

• si tratta di dati personali;
• la pubblicazione sull’Albo pretorio è avvenuta sul fondamento dell’art. 124 co. 1 d.lgs. 267/2000 (pubblicazione delle delibere per quindici giorni) e dell’art. 32 co. 1 l. 69/2009 (sostituzione della pubblicazione cartacea con quella sui siti telematici);
• le finalità di trasparenza, conoscibilità e controllo dell’attività amministrativa sono da bilanciare con la tutela della riservatezza, che implica la necessità, la pertinenza e la non eccedenza del riferimento alla persona ex art. 11 co. 1 lett. d) e lett. e) d.lgs. 196/2003;

In presenza dei presupposti per la diffusione (fondamento legislativo del potere di pubblicazione - norma di legge - e necessità della pubblicazione per perseguire il fine istituzionale dell’ente), non c’è violazione della riservatezza dei dati personali quando gli stessi risultano accessibili all’Albo anche dopo il termine di quindici giorni in quanto il termine in esame non ha carattere perentorio.

Nel caso di specie, il Tribunale ha inoltre basato il proprio ragionamento sul dato emerso dalla relazione tecnica resa dal gestore del software secondo cui “la visibilità residua dei dati riguardanti la persona, anche dopo le segnalazioni del Garante e gli interventi eseguiti sulla piattaforma informatica (interventi sollecitati dal Comune, che attestano un atteggiamento collaborativo), fosse riferibile all'utilizzo di un meccanismo informatico, cioè la memorizzazione e l'utilizzo reiterato dell'indirizzo web (URL) della pagina pubblicata, utilizzato non da chiunque ma dal diretto interessato motivato a controllare il persistere della pubblicazione”.

Contro la sentenza del Tribunale, l’Autorità Garante ha promosso ricorso in Cassazione denunciando, con il secondo motivo di gravame, che la sentenza del Tribunale ha violato le disposizioni del codice in materia di protezione dei dati personali, secondo cui la diffusione di dati personali da parte di un soggetto pubblico è ammessa unicamente quando è prevista da una norma di legge o di regolamento, nel rispetto dei principi di pertinenza e non eccedenza in violazione degli artt. 19 co. 3, 11 co. 1 lett. d) d.lgs. 196/2003 (nella versione anteriore alla riforma ex d.lgs. 101/2018 di adeguamento alla nuova disciplina europea), dell’art. 124 d.lgs. 267/2000 e dell’art. 1 d.p.r. 118/2000.

Dal testo dell’Ordinanza emerge che il Garante:

- ha richiamato indicazioni di carattere generale sul trattamento di dati personali da parte di soggetti pubblici per finalità di pubblicazione e diffusione sul web (cfr. le linee guida del 15/05/2014);

- ha considerato che, quanto ai dati personali, possono essere riportati solo quelli necessari ad individuare i soggetti interessati (nel caso di specie, nominativi e data di nascita);

- ha ribadito che non è giustificato diffondere ulteriori dati non pertinenti.

Il punto decisivo comunque, a giudizio del Garante è, testualmente:

• la sproporzionata esposizione della sfera personale dell'interessato, che deriva dalla pluriennale pubblicazione dei dati personali, a fronte di un termine di legge di due settimane.

I citati richiami del Garante non sono stati, tuttavia, ritenuti sufficienti dalla Corte di Cassazione per ritenere fondata la tesi dell'illiceità del trattamento di diffusione protratto oltre il termine di 15 giorni. La Corte ha quindi confermato la propria decisione richiamando anche un precedente del 2016 e il regime di pubblicazione previsto dall’art. 8 d.lgs. 33/2013.

Il precedente pronunciamento della Corte del 2016

Risale, infatti, al 2016 un precedente conforme al caso in esame (Cass. 20615/2016),

L’ordinanza N. 29438/2023, richiamando tale precedente, ha osservato che anche con riferimento al caso esaminato nel 2016, è stato affermato testualmente che :

- la pubblicazione e la divulgazione di atti che determinino una diffusione di dati personali deve ritenersi lecita qualora prevista da una norma di legge o di regolamento, quindi per le finalità istituzionali dell’ente - mentre non ha carattere perentorio il termine previsto dall'art. 124 d.lgs. 267/2000 («Tutte le deliberazioni del comune e della provincia sono pubblicate mediante pubblicazione all'albo pretorio, nella sede dell'ente, per quindici giorni consecutivi, salvo specifiche disposizioni di legge»). Ad abundantiam, a sostegno del carattere non perentorio del termine, la Cass. 20615/2016 richiama il termine di cinque anni di durata della pubblicazione, previsto dall’art. 8 d.lgs. 33/2013, di riordino della disciplina riguardante il diritto di accesso civico e gli obblighi di pubblicità, trasparenza e diffusione di informazioni da parte delle pubbliche amministrazioni.