La Corte di Cassazione sull’illiceità del trattamento dei dati personali

La Corte di Cassazione torna a trattare la lesione dei dati personali, in una causa riguardante l’illiceità della diffusione di dati sensibili relativi alla condizione di salute di alcuni candidati alla procedura concorsuale indetta da una Regione italiana.

La Regione Abruzzo proponeva ricorso per Cassazione avverso la sentenza del Tribunale di L'Aquila, nella causa proposta dal Garante per la protezione dei dati personali , che aveva denunciato l' illiceità del trattamento dei dati personali da parte della ricorrente, per avere diffuso dati sensibili relativi alla condizione di salute di alcuni candidati alla procedura concorsuale indetta dall'ente, con il divieto per la Regione di uleteriore diffusione dei dati e con la prescrizione di misure idonee a garantire il rispetto di tale divieto. Il ricorso proposto dalla Regione Abruzzo, composto da cinque motivi di doglianza è stato rigettato dalla Corte di Cassazione. Con uno dei motivi principali del ricorso, la Regione sostiene che l'Autorità, nel contestare le censure spiegate dall'amministrazione regionale, non avrebbe mai denegato l'applicazione ai propri procedimenti della l. n. 241/1990 , ma che avrebbe chiarito di non condividere le obiezioni mosse sulla mancata comunicazione dell'avvio del procedimento, essendo giustificata da ragioni di celerità tali da non consentire la comunicazione preliminare all'amministrazione. A tale proposito, ricordano le Sezioni Unite che va ribadita la distinzione tra la l. n. 241/1990 , che concerne i procedimenti amministrativi in genere, e la l. n. 689/1982 che disciplina quei procedimenti finalizzati all'erogazione di sanzioni amministrative e, data la peculiarità della loro funzione, richiedono una distinta disciplina rispetto a quella generalmente prevista per i procedimenti amministrativi Cass. n. 9591/2006 . Ricorda infatti il Collegio che in tema di dati personali , il privato che impugni il provvedimento del Garante non può limitarsi a denunciare la mancata comunicazione di avvio del procedimento e la lesione della propria pretesa partecipativa, ma deve indicare o allegare gli elementi di fatto o valutativi che, se acquisiti, avrebbero potuto influire sulla decisione finale, poiché le garanzie procedimentali non costituiscono un mero rituale formalistico e il menzionato difetto di comunicazione è ininfluente ove risulti che il contenuto del provvedimento non avrebbe potuto essere diverso da quello in concreto adottato Cass. n. 29584/2020 . Anche le restanti doglianze sono prive di pregio e pertanto la Corte di Cassazione ha respinto il ricorso.

Presidente Manna - Relatore Falaschi Osserva in fatto e in diritto Ritenuto che - l'AUTORITA' GARANTE PER LA PROTEZIONE DEI DATI PERSONALI, accertata la illiceità del trattamento dei dati personali da parte della REGIONE ABRUZZO per illegittima diffusione di dati sensibili relativi alla condizione di salute di alcuni candidati della procedura concorsuale indetta dall'ente, con provvedimento n. 313/2014 vietava alla REGIONE l'ulteriore diffusione in internet di dati sensibili con prescrizione di misure idonee a garantire il rispetto di tale divieto, riservandosi di verificare, con autonomo procedimento, la sussistenza dei presupposti della violazione dell'art. 162 comma 2 bis del Codice privacy che si concludeva con l'emanazione dell'ordinanza ingiunzione di importo pari ad Euro 20.000,00 a titolo di sanzione amministrativa - sull'opposizione proposta dalla REGIONE ABRUZZO avverso l'ordinanza ingiunzione, il Tribunale di L'Aquila, nella resistenza dell'AUTORITÀ, con sentenza n. 355/2018, rigettava l'opposizione e, per l'effetto, confermava l'ingiunzione. Nel dettaglio, il giudice di merito, affermata l'irrilevanza delle censure inerenti il procedimento amministrativo per essere il giudizio ordinario un giudizio sul rapporto e non sull'atto, rilevava comunque che la L. n. 241 del 1990 art. 7 non prevedeva conseguenze di invalidità o illegittimità del provvedimento in caso di omessa comunicazione di avvio del procedimento amministrativo e che peraltro l'opponente aveva potuto sollevare le proprie controdeduzioni nel corso del procedimento, essendo anche stato ascoltato. Il Tribunale chiariva, inoltre, il diverso ambito applicativo della L. n. 241 del 1990 e della L. n. 689 del 1981 , con la conseguenza che la disciplina della sanzioni sul procedimento amministrativo non poteva avere alcuna incidenza sul sistema delle sanzioni amministrative. Quanto all'operato della REGIONE, il giudice di prime cure rilevava che il trattamento dei dati personali poteva essere fatto in forma anonima o comunque con una modalità tale da evitare la diffusione di informazioni sullo stato di salute dei partecipanti alla selezione pubblica, così da contemperare le esigenze di pubblicità della procedura concorsuale con le esigenze di riservatezza dei candidati. Ancora, il Tribunale, nel respingere la doglianza relativa alla scusabilità dell'errore in cui era incorsa la REGIONE, accertava che nella specie era rintracciabile quantomeno l'elemento soggettivo della colpa in capo all'opponente, essendo quest'ultima ben consapevole della necessità di trattare con riservo i dati sensibili e dell'esigenza di dover operare mediante l'adozione di cautele idonee ad impedire l'evento, anche in considerazione del fatto che la REGIONE, prima dell'emissione dell'ordinanza ingiunzione, con provvedimento n. 313/2014, era stata informata della necessità di oscurare i dati sensibili. Infine, in riferimento all'entità della sanzione, il giudice del merito, richiamando D.Lgs. n. 196 del 2003 art. 162 comma 2 bis e art. 164 bis comma 3, accertava la legittimità dell'importo oggetto della sanzione pari al doppio del minimo edittale, coinvolgendo il trattamento illecito di dati personali più soggetti interessati - per la cassazione della sentenza del Tribunale di L'Aquila la REGIONE ABRUZZO propone ricorso per cassazione fondato su cinque motivi, cui resiste con controricorso l'AUTORITÀ GARANTE PER LA PROTEZIONE DEI DATI PERSONALI. Atteso che - con il primo motivo la REGIONE ABRUZZO lamenta, ex art. 360 c.p.c. , comma 1 n. 3, la violazione del L. n. 241 del 1990 art. 7, per aver il Tribunale mal interpretato l'eccezione sollevata dall'amministrazione ricorrente in merito alla mancata comunicazione dell'avvio del procedimento ritenendola diretta all'ordinanza n. 179/17 - adottata a conclusione dell'iter procedimentale - piuttosto che al provvedimento inziale n. 313/2014 nonché per non aver applicato ai procedimenti sanzionatori del Garante la legge sul processo amministrativo. Nel dettaglio, la ricorrente sostiene che la stessa AUTORITÀ, nel contestare le censure spiegate dall'amministrazione regionale, non avrebbe mai denegato l'applicazione ai propri procedimenti della L. n. 241 del 1990 , anzi avrebbe chiarito di non condividere le obiezioni mosse sulla mancata comunicazione dell'avvio del procedimento, essendo giustificata da ragioni di celerità tali da non consentire la comunicazione preliminare all'Amministrazione. Peraltro, secondo la ricorrente controparte non avrebbe nemmeno fornito la prova che il provvedimento sarebbe stato lo stesso anche in caso di intervento degli interessati previamente informati dell'avvio del procedimento. Il motivo va respinto. In linea con quanto enunciato dalle Sezioni Unite di questa Corte sent. n. 9591 del 2006 , va ribadita la distinzione tra la legge L. n. 241 del 1990 , che concerne i procedimenti amministrativi in genere, e la L. n. 689 del 1981 che disciplina quei procedimenti finalizzati all'irrogazione di sanzioni amministrative e, data la peculiarità della loro funzione, richiedono una distinta disciplina rispetto a quella generalmente prevista per i procedimenti amministrativi. Non impedisce di pervenire a questa conclusione l'universalità della L. n. 241 del 1990 - che per la prima volta ha regolamentato in materia uniforme i procedimenti amministrativi - in ragione del principio di specialità che prescinde dalla successione cronologica delle norme sicché anche quelle posteriori non comportano la caducazione di norme precedenti che disciplinano diversamente la stessa materia in un campo particolare, come nella specie la L. n. 689 del 1981 . D'altro canto, le disposizioni della L. n. 689 del 1981 costituiscono un sistema organico e compiuto nel quale non occorrono inserimenti dall'esterno necessità che, infatti, è stata costantemente esclusa con riferimento ad altre norme della legge generale sul procedimento amministrativo come quelle relative alla partecipazione dell'interessato Cass., Sez. Un., 9591/2006 cit. . In altri termini, il procedimento preordinato alla irrogazione di sanzioni amministrative sfugge all'ambito di applicazione della L. n. 241 del 1990 , in quanto, per la sua natura sanzionatoria e contenziosa, è compiutamente retto dai principi sanciti dalla L. n. 689 del 1981 da ultimo, Cass. n. 31239 del 2021 Cass. n. 28156 del 2018 Cass. n. 4363 del 2015 . Peraltro, il Tribunale ha accertato che l'opponente aveva comunque potuto sollevare le proprie controdeduzioni essendo stata anche ascoltata, con conseguente insussistenza della causa di invalidità del provvedimento per omessa comunicazione dell'avvio del procedimento amministrativo. Del resto, in tema di protezione dei dati personali, il privato che impugni il provvedimento del Garante non può limitarsi a denunciare la mancata comunicazione di avvio del procedimento e la lesione della propria pretesa partecipativa, ma deve indicare o allegare gli elementi di fatto o valutativi che, se acquisiti, avrebbero potuto influire sulla decisione finale, poiché le garanzie procedimentali non costituiscono un mero rituale formalistico e il menzionato difetto di comunicazione è ininfluente ove risulti che il contenuto del provvedimento non avrebbe potuto essere diverso da quello in concreto adottato Cass. n. 29584 del 2020 . Infine, la doglianza della REGIONE ABRUZZO nella parte in cui ritiene applicabile le deduzioni prospettate in sede di opposizione non già al provvedimento del GARANRTE n. 313/2014 ma all'ordinanza ingiunzione è irrilevante alla luce delle considerazioni appena svolte - con il secondo motivo la ricorrente denuncia, ex art. 360 comma 1 n. c.p.c. , la violazione dell' art. 3 della L. n. 689 del 1981 , nonché il difetto di motivazione in punto di scusabilità dell'errore quale causa escludente l'elemento soggettivo della responsabilità dell'illecito amministrativo contestato alla REGIONE. Secondo la ricorrente, il Tribunale avrebbe omesso di considerare che l'esimente della buona fede - applicabile all'illecito amministrativo di cui alla legge evocata - rileverebbe come causa di esclusione della responsabilità amministrativa in presenza di elementi positivi idonei ad ingenerare nell'autore della violazione il convincimento della liceità della sua condotta, nella specie costituiti da un quadro normativo che la avrebbe indotta a ritenere che l'obbligo di trasparenza imposto dal D.Lgs. n. 33 del 2013 dovesse trovare piena applicazione nella procedura concorsuale in questione. Con il terzo motivo la ricorrente denuncia, ex art. 360 c.p.c. , comma 1, n. 3., la violazione dell' art. 4 della L. n. 689 del 1981 , nonché l'erronea motivazione del giudice in punto di ritenuta insussistenza di causa di esclusione della responsabilità . I motivi, da trattare congiuntamente data la loro connessione argomentativa, vanno respinti. Osserva il Collegio che in tema di illecito amministrativo, l'error iuris, quale causa di esclusione della responsabilità in analogia a quanto previsto dall' art. 5 c.p. viene in rilievo soltanto a fronte della inevitabilità dell'ignoranza del precetto violato, il cui apprezzamento a effettuato alla luce della conoscenza e dell'obbligo di conoscenza delle leggi che grava sull'agente in relazione anche alla qualità professionale posseduta e al suo dovere di informazione sulle norme, e sull'interpretazione che di esse è data., che specificamente disciplinano l'attività che egli svolge Cass. n. 18471 del 2014 . Nella specie, si tratta di un'interpretazione di norma che per il brocardo ignorantia legis non excusat non è scusabile. Peraltro, in tema di illecito amministrativo, l'accertamento in ordine all'esistenza dell'ignoranza del precetto o l'errore scusabile sul fatto determinato dall'interpretazione di norme giuridiche la cui violazione comporti l'irrogazione di una sanzione amministrativa, così come le particolari positive circostanze di fatto idonee a rendere inevitabile detta violazione rientra nei poteri del giudice del merito, la cui valutazione può essere peraltro controllata in sede di legittimità sotto l'aspetto del vizio logico o giuridico di motivazione cfr. Cass. n. 20776 del 2004 Cass. n. 20866 del 2009 Cass. n. 12110 del 2018 . Nella specie, il Tribunale, con apprezzamento di merito non censurabile in questa sede in quanto esente da vizi logici, accertava la sussistenza dell'elemento soggettivo della colpa in capo all'amministrazione opponente, stante la consapevolezza di quest'ultima della necessità di trattare con riservo i dati sensibili e delle cautele idonei ad impedire l'evento e ciò era corroborato dal fatto che la REGIONE, prima dell'emissione dell'ordinanza ingiunzione, con provvedimento n. 313/2014, era stata informata di siffatta necessità di oscurare i dati sensibili - con il quarto motivo la ricorrente denuncia, ex art. 360 c.p.c. , comma 1, n. 5, l'omesso esame circa un fatto decisivo per il giudizio per non aver il giudice considerato l'eccezione relativa all'esistenza e all'applicabilità nel caso di specie della vigente disciplina declaratoria per i dati sensibili contenuti in un curriculum rimesso alla PA in vista della possibile instaurazione di un rapporto di lavoro nonché la violazione dell' art. 24 del D.Lgs. n. 196 del 2003 ex art. 360 c.p.c. , comma 1, n. 3. Il motivo è inammissibile per difetto di specificità soprattutto perché involge accertamenti di merito che non risultano formulati dinanzi al Tribunale. Inoltre, il controllo previsto dal nuovo n. 5 dell' art. 360 c.p.c. riformulato dall' art. 54, D.L. 22 giugno 2012, n. 83 , convertito con modificazioni, dalla L. 7 agosto 2012, N. 134 concerne l'omesso esame di un fatto storico, principale o secondario, la cui esistenza risulti dal testo della sentenza rilevanza del dato testuale o dagli atti processuali rilevanza anche del dato extratestuale , che abbia costituito oggetto di discussione e abbia carattere decisivo vale a dire che se esaminato avrebbe determinato un esito diverso della controversia Cass., Sez. Un., n. 8053 del 2014 . Ne segue che l'amministrazione ricorrente avrebbe dovuto indicare -nel rigoroso rispetto delle previsioni di cui agli artt. 366, comma 1, n. 6 c.p.c. e 369, comma 2, n. 4 c.p.c. - il fatto storico , il cui esame sia stato omesso, il dato testuale o extratestuale, da cui esso risulti esistente, il come e il quando tale fatto sia stato oggetto di discussione tra le parti e la sua decisività , fermo restando che l'omesso esame di elementi istruttori non integra, di per sé, il vizio di omesso esame di un fatto decisivo qualora il fatto storico, rilevante in casa, sia stato comunque preso in considerazione dal giudice, ancorché la sentenza non abbia dato conto di tutte le risultanze probatorie ancora Cass., Sez. Un., n. 8053/2014 cit. . - con il quinto motivo la ricorrente contesta, ex art. 360 c.p.c. , comma 1, n. 3., la violazione degli artt. 162 comma 2 bis e 164 bis del Codice privacy per aver il Tribunale mal interpretato le norme evocate, con conseguente necessità di ridimensionare l'ammontare della sanzione comminata all'Amministrazione. Il ricorrente contesta l'importo della sanzione, raddoppiato nel minimo edittale per essere coinvolti più interessati, in quanto la segnalazione circa la violazione del proprio diritto alla riservatezza sarebbe intervenuta solo da uno dei tanti candidati alla procedura di selezione, con il conseguente venir meno del presupposto richiesto dalla norma di riferimento ai fini dell'applicazione del raddoppio dell'importo della sanzione, tenuto altresì conto del motivo del trattamento dei dati, giustificato da finalità sociali connesse al collocamento delle categorie protette. Il motivo va respinto. La circostanza per cui la violazione dell'ente sia stata contestata a seguito della denuncia presentata da un solo candidato, non esclude che il trattamento illecito di dati personali non coinvolga una pluralità di soggetti, come del resto accertato dal giudice di merito nella specie, e ciò non fa venir meno la gravità dell'illecito, la cui valutazione è peraltro rimessa al potere discrezionale del giudice di merito e come tale non è censurabile in questa sede. Conclusivamente, il ricorso va respinto. Le spese processuali, liquidate come in dispositivo, seguono la soccombenza. Poiché il ricorso è stato proposto successivamente al 30 gennaio 2013 ed è rigettato, sussistono le condizioni per dare atto - ai sensi della L. n. 228 del 24 dicembre 2012, art. 1, comma 17 Disposizioni per la formazione del bilancio annuale e pluriennale dello Stato - Legge di stabilità 2013 , che ha aggiunto il comma 1-quater dell'art. 13 del testo unico di cui al D.P.R. n. 115 del 30 maggio 2002 , - della sussistenza dell'obbligo di versamento, da parte della ricorrente, dell'ulteriore importo a titolo di contributo unificato pari a quello previsto per la stessa impugnazione, se dovuto. P.Q.M. La Corte, rigetta il ricorso condanna la ricorrente al pagamento delle spese del giudizio in cassazione, liquidate in complessivi Euro 2.500,00, di cui Euro 200,00 per esborsi, oltre a spese generali e ad accessori di legge. Ai sensi del D.P.R. n. 115 del 2002, art. 13 , comma 1 quater, inserito dall 'art. 1, comma 17, della L. n. 228 del 201 2, dichiara la sussistenza dei presupposti per il versamento, da parte della ricorrente, dell'ulteriore importo a titolo di contributo unificato pari a quello previsto per il ricorso, a norma del comma 1-bis dello stesso art. 13, se dovuto.