Valori ISEE delle famiglie pubblicati sul sito del Comune: la sanzione del Garante Privacy

Le finalità di consentire il controllo sull’agire dell’amministrazione mediante la trasparenza delle informazioni devono essere attuate mediante forme di pubblicità la cui conoscenza sia ragionevolmente ed effettivamente connessa all’esercizio di un controllo, nel rispetto dei limiti di proporzionalità e pertinenza, non giustificandosi una totale ed indiscriminata ostensione dei dati stessi.

Nel caso in esame, nell'ambito di una procedura per l'ammissione a sussidi scolastici per famiglie indigenti, l'Unione comunale pubblicava sul proprio sito web una graduatoria contenente i dati personali dei soggetti ammessi e non al beneficio, nello specifico, tra gli altri, gli indirizzi di residenza di alunni e genitori, le classi frequentate e i valori ISEE . L'Autorità garante per il trattamento dei dati personali, con ordinanza ingiunzione irrogava una sanzione pecuniaria pecuniaria per la pubblicazione illegittima. Il Tribunale, tuttavia, accoglieva l'opposizione dell'Unione comunale, ritenendo le informazioni pubblicate strettamente funzionali a garantire la trasparenza e attuata in ossequio alle indicazioni della Provincia nonché giustificate dalle prescrizioni del d. lgs. n. 33/2013 entrato in vigore dopo la consumazione delle violazioni . Avverso il provvedimento del Tribunale, ricorreva per Cassazione il Garante della privacy , sostenendo che fosse consentita solo la pubblicazione dei nominativi, degli importi attribuiti e delle norme di riferimento e non anche di ogni altra informazione resa nota sul sito web dell'Ente territoriale. A fondamento del ricorso, l'Autorità ritiene violato l' art. 19, comma 3, d. lgs. n. 196/2003 , il quale, con riferimento ai dati diversi da quelli sensibili e giudiziari, prevede che la diffusione da parte di un soggetto pubblico è ammessa solo quando prevista da una norma di legge o un regolamento. Con riferimento specifico alle procedure per il riconoscimento di sovvenzioni e sussidi, anche l' art. 1 d.p.r. n. 118/2000 disponeva che nel relativo albo tenuto presso le amministrazioni fossero indicati i soli nominativi e le norme in base alle quali i benefici sono attribuiti. La Suprema Corte ritiene fondate le prospettazioni del Garante e non ritiene giustificata da alcuna norma la pubblicazione di tutti i dati personali oggetto della contesa e sottolinea il necessario contemperamento tra esigenze di trasparenza e diritto alla riservatezza dell'interessato, alla sua identità personale e al diritto alla protezione dei dati. Non solo, ma le finalità di controllo sull'agire dell'amministrazione mediante la trasparenza dell'azione amministrativa devono essere attuate mediante forme di pubblicità che garantiscano il rispetto dei limiti di proporzionalità e pertinenza, non giustificandosi una totale e indiscriminata pubblicazione dei dati. La Corte censura altresì la decisione del Tribunale nella parte in cui escludeva alcuna colpa dell'Unione dei Comuni. La Suprema Corte accoglie il ricorso del Garante della privacy e rinvia la causa al Tribunale.

Presidente Manna Relatore Fortunato Ragioni in fatto e in diritto della decisione 1. Con ordinanza ingiunzione n. 494/2016, l'Autorità garante per il trattamento dei dati personali ha ordinato all'Unione Comunale del omissis il pagamento di Euro 10.000,00 ai sensi del D.Lgs. n. 196 del 2003 art. 162, comma 2, assumendo che l'ente aveva illegittimamente pubblicato sul proprio sito web la graduatoria pacchetto scuola 2010-2013 per l'ammissione a sussidi scolastici per famiglie indigenti, con i dati personali dei soggetti non ammessi al beneficio e informazioni non pertinenti riguardanti gli assegnatari, quale la residenza dell'alunno e del genitore, la tipologia di scuola e di classe frequentata, il valore ISEE di ciascun beneficiario. L'unione Comunale ha proposto opposizione, sostenendo di essersi attenuta alle indicazioni della Provincia e alle disposizioni della L.R. Toscana 32 del 2002 cd. Pacchetto Scuola , nonché di aver diffuso informazioni finalizzate a rendere trasparente l'assegnazione dei benefici e a consentire il controllo sull'operato dell'amministrazione. In contraddittorio con l'Autorità garante, il Tribunale di Firenze ha accolto integralmente l'opposizione, osservando che, nel procedere alla pubblicazione della graduatoria, l'Unione comunale si era adeguata alle indicazioni contenute nell'atto dirigenziale provinciale n. 3175/2012, diffondendo informazioni strettamente funzionali a garantire la trasparenza dell'azione amministrativa ai sensi del D.Lgs. n. 33 del 2013 , in conformità alle linee guida adottate dal Garante con provvedimento del 15.5.2014. La pubblicazione era indispensabile - secondo la pronuncia - per consentire le verifiche sulla regolarità delle assegnazioni, non trattandosi di dati sensibili quali l'etnia, gli orientamenti religiosi, sessuali o informazioni giudiziarie etc La cassazione della sentenza è chiesta dall'Autorità garante per la protezione dei dati personali con ricorso in due motivi, cui resiste con controricorso l'Unione Comunale del omissis , che, in prossimità dell'adunanza camerale, ha depositato memoria illustrativa. Ragioni della decisione 1. Il primo motivo di ricorso denuncia la violazione del D.Lgs. n. 196 del 2003 art. 4, comma 1, lettera d , art. 19, comma 3, lettera d , e D.P.R. n. 118 del 2000 art. 1, ai sensi dell'art. 360 c.p.c. , comma 1, n. 3. Sostiene l'Autorità ricorrente che - in assenza di una diversa previsione di legge - era consentita la pubblicazione dei dati personali non di tutti i partecipanti alla gara per l'assegnazione dei sussidi scolastici, ma solo di coloro che avevano ottenuto i benefici e che, anche riguardo a questi ultimi, potevano essere resi noti esclusivamente il nominativo, gli importi attribuiti e le norme di riferimento, con esclusione di ogni altra informazione, eccedente e non pertinente anche rispetto allo scopo di garantire la trasparenza dell'azione amministrativa e le verifiche sulla regolarità delle assegnazioni. Il motivo è fondato. Il D.Lgs. n. 1986 del 2006 contempla una diversificazione del trattamento dei dati a seconda che venga effettuato da soggetti privati o da soggetti pubblici per i quali sono dettate le regole ulteriori riportate negli artt. 18-22 il livello di protezione è diversamente graduato in relazione agli specifici settori oggetto di disciplina. Il trattamento dei dati personali, da parte di soggetti pubblici, è consentito soltanto per lo svolgimento delle funzioni istituzionali art. 18 . Ai sensi dell'art. 19, comma 1, che fissa i principi applicabili al trattamento di dati diversi da quelli sensibili e giudiziari, il trattamento da parte di un soggetto pubblico è consentito anche in mancanza di una norma di legge o di regolamento che lo preveda espressamente. Il comma 3 prevede invece che la comunicazione da parte di un soggetto pubblico a privati o a enti pubblici economici eia diffusione da parte di un soggetto pubblico sono ammesse unicamente quando previste da una norma di legge o di regolamento. Per quanto direttamente concerne le informazioni relative alle procedure di assegnazione di sovvenzioni e sussidi, il D.P.R. n. 118 del 2000 art. 1 - Regolamento recante norme per la semplificazione del procedimento per la disciplina degli albi dei beneficiari di provvidenze di natura economica - abrogato dal D.Lgs. n 97 del 2016 art. 43, comma 1, e tuttavia ancora in vigore alla data di pubblicazione delle graduatorie - disponeva che nell'albo, che le amministrazione erano tenute ad istituire, fossero indicati i soli nominativi degli assegnatari e le disposizioni di legge in base alle quali era stata accordato il beneficio, prescrizione in relazione alla quale la stessa Autorità garante, con provvedimento 88/2011, aveva evidenziato che non era giustificato diffondere ulteriori dati personali non pertinenti, quali l'indirizzo di abitazione, il codice fiscale, le coordinate bancarie per l'accredito delle somme, la ripartizione degli assegnatari secondo le fasce dell'Indicatore della situazione economica equivalente - Isee ovvero informazioni che descrivessero le condizioni di indigenza in cui versasse l'interessato. L'amministrazione, in ossequio al disposto degli D.Lgs. n 196 del 2003 artt. 3 e 11, lettera d , dovevano comunque attenersi al principio imperativo ed inderogabile della minimizzazione e necessità della diffusione, privilegiando, se del caso, la pubblicazione di dati anonimi e osservando modalità che permettessero di identificare l'interessato solo in caso di necessità. Infondatamente il tribunale ha ritenuto che la diffusione dei dati relativi al nominativo dei genitori degli alunni, all'indicazione del luogo di residenza, della classe e della scuola frequentate oltre ai dati reddituali si giustificassero per l'esigenza di consentire il controllo sulla regolarità delle assegnazioni dei benefici, secondo le prescrizioni del D.Lgs. n. 33 del 2013 . In realtà il D.Lgs. n. 33 del 2013 è entrato in vigore il 20.4.2014, dopo la consumazione delle violazioni, che risale al 2012, tanto che la prima richiesta di chiarimenti da parte dell'Autorità garante è datata 7.1.2013. Peraltro, D.Lgs. n. 33 del 2013 l'art. 4, comma 4, poi abrogato dal D.Lgs. n. 97 del 2016 art. 43 , dispone che nei casi in cui norme di legge o di regolamento consentano la pubblicazione di atti o documenti, le pubbliche amministrazioni sono tenute a rendere non intelligibili i dati personali non pertinenti o, se trattasi di dati sensibili o giudiziari, non indispensabili rispetto alle specifiche finalità di trasparenza della pubblicazione con prescrizione ribadita dall'art. 7 bis, comma 1 . Con riferimento agli obblighi di pubblicazione degli atti di concessione di sovvenzioni, contributi, sussidi e attribuzione di vantaggi economici a persone fisiche ed enti pubblici e privati, l'art. 26 contempla espressamente - al comma 4 - il divieto di diffondere dati identificativi che consentano di ricavare informazioni relative alla situazione di disagio economico-sociale degli interessati. Il successivo art. 27 individua le informazioni che devono necessariamente avere diffusione, senza includervi dati ulteriori rispetto a quelli concernenti a il nome del beneficiario b l'importo del vantaggio economico corrisposto c la norma o il titolo a base dell'attribuzione d l'ufficio e il funzionario o dirigente responsabile del relativo procedimento amministrativo e la modalità seguita per l'individuazione del beneficiario f il link al progetto selezionato e al curriculum del soggetto incaricato, ossia informazioni, che, secondo una valutazione legale non sindacabile, appaiono imprescindibili per le finalità di trasparenza dell'amministrazione. Non era consentita la diffusione dati ulteriori, rispetto a quelli elencati nell'art. 27, senza procedere all'anonimizzazione D.Lgs. n. 33 del 2013 art. 4, comma 3 . In definitiva, la diffusione di dati diversi da quelli espressamente previsti dal D.P.R. n. 118 del 2000 , non beneficiava di fondamento normativo ai sensi dell'art. 19, comma 3, del codice sulla privacy, nè era invocabile la L.R. Toscana 32 del 2002 Pacchetto scuola , che fissava le condizioni di accesso ai sussidi, indicando le informazioni che il singolo aspirante era tenuto a comunicare ai fini della gara, senza autorizzarne affatto la diffusione. Le disposizioni del D.Lgs. n. 33 del 2013 non erano in vigore al momento della violazione e non contemplavano - in ogni caso - la facoltà di pubblicare tutti i dati personali dei soggetti interessati dalla procedura di assegnazione dei benefici inclusi coloro che non avevano ottenuto alcuna sovvenzione . In ogni ipotesi in cui l'amministrazione proceda alla pubblicazione di dati, informazioni e documenti che comporti un trattamento di dati personali, devono essere opportunamente contemperate le esigenze di pubblicità e trasparenza con i diritti e con la dignità dell'interessato, con particolare riferimento alla riservatezza, all'identità personale e al diritto alla protezione dei dati personali D.Lgs. n. 196 del 2003 art. 2 . Le finalità di consentire il controllo sull'agire dell'amministrazione mediante la trasparenza delle informazioni devono essere attuate mediante forme di pubblicità la cui conoscenza sia ragionevolmente ed effettivamente connessa all'esercizio di un controllo, nei rispetto dei limiti di proporzionalità e pertinenza, non giustificandosi una totale ed indiscriminata ostensione dei dati stessi cfr. Corte Cost. 20/2019 , nemmeno nel regime del D.Lgs. n. 33 del 2013 che peraltro contempla, all'art. 5, quale concorrente garanzia di trasparenza amministrativa a completamento del sistema, il diritto di accesso civico, non soggetto a particolari condizioni limitative dal punto di vista soggettivo o oggettivo . 2. Il secondo motivo denuncia la violazione degli D.Lgs. n. 196 del 2003 artt. 28 e 162, comma 2 bis, e L. n. 689 del 1981 art. 3, sostenendo che la violazione contestata non poteva ritenersi incolpevole per il fatto che l'amministrazione aveva ottemperato alle prescrizione del bando e del provvedimento provinciale che dettava il contenuto delle graduatorie, non essendosi l'amministrazione diligentemente attivata per individuare le informazioni e i dati personali suscettibili di diffusione. Il motivo è fondato. La censura è anzitutto ammissibile, avendo la pronuncia dichiarato l'assenza di colpa dell'Unione dei Comuni, per essersi attenuta ad un modulo dirigenziale che individuava il contenuto delle graduatorie di assegnazione dei sussidi, con statuizione che esprime un'autonoma ratio decidendi che l'Autorità era tenuta a censurare per evitare che sul punto si consolidasse il giudicato. La conformità della pubblicazione alle prescrizioni dirigenziali dirette a fissare il contenuto delle graduatorie non escludeva automaticamente - la colpa dell'amministrazione e la sanzionabilità della condotta. È principio costante nella giurisprudenza di questa Corte che L. n. 689 del 1981 articolo pone una presunzione di colpa a carico dell'autore del fatto vietato, gravando sul trasgressore l'onere di provare di aver agito senza colpa Cass. 13610/2007 Cass. 20219/2019 Cass. 11777/2020 . L'esimente della non colpevolezza può configurarsi, al pari di quanto avviene per la responsabilità penale in materia di contravvenzioni, solo quando detta violazione appaia inevitabile, occorrendo a tal fine, da un lato, la sussistenza di elementi positivi, estranei all'autore dell'infrazione, idonei ad ingenerare la convinzione della liceità della condotta e, dall'altro, che l'autore dell'infrazione abbia fatto il possibile per osservare la legge, onde nessun rimprovero possa essergli mosso, neppure sotto il profilo della negligenza omissiva Cass. 33441/2019 Cass. n. 24081/2019 Cass. 19759/2015 . L'essersi l'Unione Comunale conformata ad un provvedimento dirigenziale provinciale concernente aspetti non riguardanti la pubblicazione dei dati personali, e ciò pur essendo necessario che la pubblicazione fosse consentita da una previsione di legge e non da un atto meramente amministrativo, non poteva condurre ad escludere la colpa e la responsabilità dell'amministrazione, non risultando che l'Unione dei Comuni si fosse in qualche modo resa parte diligente in modo da ricevere un affidabile riscontro della liceità della pubblicazione, facendo il possibile per evitare le violazioni contestate. Sono, per tali ragioni, accolti entrambi i motivi di ricorso. La sentenza è cassata in relazione ai motivi accolti, con rinvio della causa al tribunale di Firenze, in persona di altro giudice, anche per la regolazione delle spese di legittimità. P.Q.M. accoglie entrambi i motivi di ricorso, cassa la sentenza impugnata in relazione ai motivi accolti e rinvia la causa al Tribunale di Firenze, in persona di altro Magistrato, anche per la pronuncia sulle spese di legittimità.