La trasparenza delle informazioni deve essere attuata con forme di pubblicità ragionevolmente ed effettivamente connesse all'esercizio di un controllo, nel rispetto dei limiti di proporzionalità e pertinenza, non giustificandosi una totale ed indiscriminata ostensione dei dati personali.
Il Garante per la protezione dei dati personali ingiungeva ad una Regione il pagamento di una sanzione amministrativa pari ad € 20.000,00 per aver realizzato, in violazione del Codice di protezione dei dati personali , con una deliberazione la diffusione di dati personali con modalità non previste dalla legge. In particolare, veniva contestato il fatto di aver, con siffatta delibera, rese pubbliche le ragioni della messa in mobilità di un dipendente . L'Ente regionale proponeva opposizione con cui domandava, previa sospensione dell'efficacia, l'annullamento oppure la revoca dell'ordinanza ovvero, in subordine, la riduzione o il contenimento della sanzione amministrativa, deducendo la manifesta contraddittorietà ed illogicità della motivazione dell'ordinanza-ingiunzione. Instaurato il contraddittorio, nella resistenza dell'Autorità garante per la protezione dei dati personali, il Tribunale competente confermava integralmente l'ordinanza-ingiunzione opposta, con condanna della Regione alla refusione delle spese processuali. A sostegno della decisione adottata, il Tribunale rilevava come la irrogazione della sanzione intimata era stata in specie preceduta da ampio dialogo e scambio di rilievi critici tra le parti, dapprima pervenuti al Garante per la protezione dei dati personali da parte di un dipendente della Regione il quale lamentava la persistente pubblicazione sul sito web istituzionale, nella sezione “Deliberazioni”, dei dati personali relativi a sé e contenuti in quella delibera avente ad oggetto la “ mobilità per esigenze organizzative di un dipendente nell'ambito organico della Giunta regionale ”. La delibera conteneva valutazioni esplicite sulla professionalità e sul contegno del soggetto segnalante. La deliberazione censurata, in effetti, dava atto di tensioni e rapporti conflittuali connessi alla presenza del dipendente, assegnato a posizione caratterizzata da estrema delicatezza, nell'ambiente lavorativo che incidevano negativamente sulla organizzazione e sulla funzionalità complessiva degli uffici nonché sul prestigio e sul decoro del dipartimento, con conseguenti difficoltà di funzionamento degli uffici in relazione alla presenza del dipendente, disponendone, infine, il trasferimento per accertata incompatibilità ambientale. La Regione dal proprio canto si difendeva allegando di aver provveduto alla pubblicazione in ottemperanza alle norme di attuazione dello Statuto speciale regionale secondo cui gli atti deliberativi degli organi regionali dovevano essere pubblicati ed assumendo, peraltro, che nell'atto pubblicato non ci fossero dati sensibili né dati giudiziari. Il giudice del gravame rilevava che l'Autorità garante aveva chiaramente ed esaurientemente replicato con provvedimento, mai impugnato, il quale recava la prescrizione di conformare la successiva pubblicazione di atti e documenti in Internet alle disposizioni del Codice per i dati personali e a quelle dettate con le linee guida diffuse in materia, rispettando, in particolare, il principio secondo cui la diffusione di dati personali è lecita quando prevista da una norma di legge o di regolamento del resto, la stessa normativa regionale - pure richiamata dalla Regione in risposta alla richiesta di giustificazioni dal Garante - non consentiva di legittimare la pubblicazione integrale del provvedimento censurato. Avverso la sentenza del Tribunale veniva proposto ricorso per Cassazione. La Suprema Corte, in via preliminare, precisa di dover fare applicazione al caso in esame ratione temporis le disposizioni del Codice della privacy , d. lgs. numero 196/2003 , nella stesura anteriore alle modifiche introdotte con il d. lgs. numero 101/2018 di adeguamento dell'ordinamento nazionale al Regolamento UE numero 2016/679 noto come GDPR . Prosegue rammentando che la Pubblica amministrazione avrebbe dovuto , comunque, attenersi al principio imperativo ed inderogabile della minimizzazione e necessità della diffusione , privilegiando, se del caso, la pubblicazione di dati anonimi e osservando modalità che permettessero di identificare l'interessato solo in caso di necessità. Secondo i Giudici di legittimità, dunque, correttamente il Tribunale aveva ritenuto che la diffusione dei dati relativi al nominativo del dipendente in mobilità e l'indicazione del luogo di destinazione integrassero la violazione contestata, considerato che la delibera della medesima Autorità - con la quale era stata impartita alla Regione la prescrizione di conformare la successiva pubblicazione di atti e documenti in Internet alle disposizioni del Codice in materia di protezione dei dati personali - non ha formato oggetto di impugnazione, per cui l'Ente locale non poteva che ottemperare. Aggiunge la Suprema Corte, per completezza argomentativa, che, in realtà, già prima della consumazione delle violazioni de quibus la normativa disponeva che nei casi in cui norme di legge o di regolamento consentivano la pubblicazione di atti o documenti, le Pubbliche amministrazioni erano tenute a rendere non intelligibili i dati personali non pertinenti o, se trattasi di dati sensibili o giudiziari , non indispensabili rispetto alle specifiche finalità di trasparenza della pubblicazione. Le finalità di consentire il controllo sull'agire dell'Amministrazione mediante la trasparenza delle informazioni devono, infatti, essere attuate mediante forme di pubblicità la cui conoscenza sia ragionevolmente ed effettivamente connessa all'esercizio di un controllo, nel rispetto dei limiti di proporzionalità e pertinenza, non giustificandosi una totale ed indiscriminata ostensione dei dati stessi, nemmeno nel regime del d. lgs. numero 33/2013 . Per questi motivi la Corte rigetta il ricorso, condannando l'Ente ricorrente al pagamento delle spese del giudizio in favore del Garante per la protezione dei dati personali.
Presidente Bertuzzi – Relatore Falaschi Osservato in fatto e in diritto Ritenuto che - con ricorso depositato in data 21.12.2017, notificato all'Autorità Garante per la protezione dei dati personali in data 17.01.2018, la Regione Autonoma Omissis proponeva opposizione ex D.Lgs. numero 196 del 2003, articolo 152 Codice in materia di protezione dei dati personali avverso l'ordinanza ingiunzione numero 397 del 5.10.2017 con la quale le veniva intimato il pagamento della sanzione amministrativa di Euro 20.000,00 per violazione del disposto ex D.Lgs. numero 196 del 2003, articolo 162, comma 2-bis, per avere realizzato, in violazione del dettato ex articolo 19, comma III, del Codice di protezione dei dati personali, con la deliberazione della Giunta Regionale numero Omissis , la diffusione di dati personali con modalità non previste dalla legge, in particolare per avere con siffatta delibera rese pubbliche le ragioni della messa in mobilità di un dipendente, opposizione con la quale domandava, previa sospensione dell'efficacia, l'annullamento e/o la revoca dell'ordinanza ovvero, in subordine, la riduzione ed il contenimento della sanzione amministrativa, deducendo la manifesta contraddittorietà ed illogicità della motivazione dell'ordinanza ingiunzione per avere il Garante addebitato alla ricorrente la violazione anche del D.Lgs. numero 14 marzo 2013, numero 33, articolo 4, comma 3, dopo aver negato, in via di principio, l'applicabilità alla procedura de qua del regime in tema di trasparenza dell'attività amministrativa, con violazione della Cost., articolo 24, precludendo, in tal modo, il pieno esercizio del diritto di difesa la violazione della L. 7 agosto 1990, numero 241, articolo 3, per insufficiente motivazione, travisamento dei fatti ed erronea valutazione dei presupposti, oltre a non avere il Garante tenuto conto, in sede di quantificazione della sanzione amministrativa, a norma della l. 24 novembre 1981, numero 689, articolo 11, della tempestiva rimozione della delibera dal sito istituzionale la violazione del D.Lgs. numero 30 giugno 2003, numero 196, articolo 19, comma 3, avendo il medesimo Garante proceduto alla diffusione della delibera, alla stregua dell' articolo 13, comma 4, Regolamento regionale 28 febbraio 2008, numero 2 l'eccesso di potere per ingiustizia manifesta e duplicazione della sanzione amministrativa, avuto riguardo a quella inflitta, con l'ordinanza ingiunzione numero 398, anch'essa del 5 ottobre 2017, per i medesimi fatti oggetto di accertamento - instaurato il contraddittorio, nella resistenza dell'Autorità Garante per la protezione dei dati personali, il Tribunale d'Aosta adito rigettava l'opposizione e per l'effetto confermava integralmente l'ordinanza-ingiunzione opposta, con condanna della Regione alla rifusione delle spese processuali. A sostegno della decisione adottata il Tribunale rilevava come l'irrogazione della sanzione intimata dall'Autorità era stata in specie preceduta da ampio dialogo e scambio di rilievi critici fra le parti in esito a segnalazione dapprima pervenuta, nell'agosto 2013, al Garante per la protezione dei dati personali da parte di un dipendente della Regione opponente, che lamentava la persistente pubblicazione sul sito web istituzionale della Regione stessa, nella sezione deliberazioni , dei dati personali relativi a sé contenuti in delibera della Giunta Regionale numero Omissis in data Omissis avente ad oggetto la mobilità per esigenze organizzative di un dipendente nell'ambito dell'organico della giunta regionale e contenente valutazioni esplicite sulla professionalità e sul contegno del soggetto segnalante. Come rilevato dall'Autorità la deliberazione censurata, nell'ambito di procedimento per l'accertamento di incompatibilità ambientale del dipendente segnalante ex Legge regionale numero 22 del 2010, articolo 43, dava atto in effetti di tensioni e rapporti conflittuali connessi alla presenza del dipendente, assegnato a posizione caratterizzata da estrema delicatezza, nell'ambiente lavorativo che incidevano negativamente sull'organizzazione e sulla funzionalità complessiva degli uffici, nonché sul prestigio e sul decoro del Dipartimento , con conseguenti difficoltà di funzionamento degli uffici in relazione alla presenza del dipendente disponendone infine il trasferimento per accertata incompatibilità ambientale . Risultava poi dall'esame della documentazione in atti che l'Autorità intimante aveva dapprima richiesto informative e giustificazioni in merito alla Regione con nota in data 18.09.2013, ricevendo tempestivo riscontro in data 2.10.2013, con il quale la Regione stessa allegava di avere provveduto alla pubblicazione in ottemperanza al dettato ex D.Lgs. numero 320 del 1994, articolo 10, comma 1, recante norme di attuazione dello Statuto speciale Regionale, secondo cui gli atti deliberativi degli organi regionali dovevano essere pubblicati mediante affissione all'albo notiziario dell'amministrazione regionale, per quindici giorni consecutivi, salvo il più breve termine stabilito nell'atto stesso, assumendo peraltro che l'atto così pubblicato non contenesse dati sensibili né dati giudiziari, evidenziando, inoltre, come il dettato ex D.Lgs. numero 33 del 2013, articolo 8 disponesse comunque che i dati, le informazioni e i documenti oggetto di pubblicazione obbligatoria ai sensi della normativa vigente dovevano essere pubblicati per un periodo di 5 anni, decorrenti dal 1 gennaio dell'anno successivo a quello da cui decorreva l'obbligo di pubblicazione, e comunque fino a che gli atti pubblicati producevano i loro effetti, fatti salvi i diversi termini previsti dalla normativa in materia di trattamento dei dati personali e quanto previsto dagli articolo 14, comma 2 e 15, comma 4. Aggiungeva il giudice del gravame che l'Autorità Garante aveva chiaramente ed esaurientemente replicato con provvedimento interdittivo e prescrittivo numero 182 del 26.03.2015, mai impugnato, il quale recava la prescrizione di conformare la successiva pubblicazione di atti e documenti in internet alle disposizioni del predetto Codice ed a quelle dettate con le Linee Guida diffuse in materia, rispettando in particolare il principio secondo cui la diffusione di dati personali era lecita quando prevista da una norma di legge o di regolamento del resto, la stessa normativa regionale pure richiamata dalla Regione in risposta alla richiesta di giustificazioni del Garante, non consentiva di legittimare la pubblicazione integrale del provvedimento censurato - avverso la sentenza del Tribunale d'Aosta ha proposto ricorso per cassazione la Regione Omissis , sulla base di due motivi, cui ha resistito con controricorso il Garante per la protezione dei dati personali. Diritto Considerato che - in via preliminare è opportuno precisare che, poiché si discute di una sanzione per violazione delle disposizioni sul trattamento di dati personali irrogata nel maggio 2015, al caso in esame ratione temporis si applica il codice della privacy D.Lgs. numero 196 del 30 giugno 2003 nella stesura anteriore alle modifiche introdotte con il D.Lgs. numero 101 del 10 agosto 2018 di adeguamento dell'ordinamento nazionale al regolamento UE 2016/679 del Parlamento Europeo e del Consiglio, del 27 aprile 2016, entrato in vigore il 25 maggio 2018 articolo 99, comma 2, del Regolamento - ciò posto, con il primo motivo la ricorrente lamenta la violazione e/o la falsa applicazione del d. lgs. 30 giugno 2003, numero 196, articolo 19, comma 3, d. lgs. 14 marzo 2013, numero 33 , 8, comma 3, Reg. reg. 28 febbraio 2008 numero 2 , 13, 13, comma 4, ai sensi dell'articolo 360 c.p.c., comma 1, numero 3 La pronuncia gravata sarebbe, ad avviso della Regione, radicalmente illegittima per non avere il Tribunale interpretato la disciplina di rango primario e secondario in materia di trasparenza dell'attività amministrativa, nel senso che fosse applicabile, anche in relazione ai limiti temporali ivi contemplati, alla delibera della Giunta regionale numero Omissis , del 7 giugno 2013. Sostiene la Regione, infatti, che nell'assumere la condotta contestata si sarebbe rigorosamente allineata allo schema normativo teste' descritto, in quanto, dopo aver divulgato la delibera di cui si discute nell'albo notiziario, in forza del D.Lgs. numero 22 aprile 1994, numero 320, articolo 10, comma 1, aveva provveduto alla sua diffusione nella sezione deliberazioni del sito istituzionale, in adempimento agli obblighi pubblicitari derivanti dal Reg. reg. 28 febbraio 2008, numero 2, articolo 13, comma 4, e dal D.Lgs. numero 14 marzo 2013 numero 33, articolo 13 . Ciò sarebbe idoneo a fornire la necessaria base giuridica all'attività di pubblicazione compiuta dalla Regione, in ossequio al D.Lgs. numero 30 giugno 2003 numero 196, articolo 19, comma 3, per cui del tutto illogicamente il giudice avrebbe dichiarato la responsabilità della Regione, la quale, piuttosto, aveva dato puntuale e doverosa esecuzione a specifiche disposizioni di livello primario e secondario, nel rispetto del principio di legalità dell'azione amministrativa, il cui essenziale ancoraggio risiede nella Cost., articolo 97 . Ne', contrariamente a quanto statuito dal Tribunale, alcuna portata risolutiva avrebbe potuto essere riconosciuta all'intervenuto decorso del termine di quindici giorni stabilito dal D.Lgs. numero 22 aprile 1994, numero 320, articolo 10, comma 1, giacché a differenza di quest'ultimo l' articolo 13, comma 4, Reg. reg. 28 febbraio 2008 numero 2 , non subordina l'attività di pubblicazione ad alcun limite temporale, per cui l'eventuale decisione, da parte della Regione, di interrompere la divulgazione del provvedimento de quo, sarebbe stata sprovvista di giustificazione, integrando un atto del tutto arbitrario ed illegittimo, alla stregua del richiamato principio di legalità. La Regione non si sarebbe potuta, comunque, sottrarre dal prestare obbedienza all' articolo 13, comma 4, Reg. reg. 28 febbraio 2008 numero 2 dal quale il giudice di primo grado ha inteso erroneamente desumere l'illiceità del trattamento svolto dall'odierna ricorrente - dalla mera scadenza del periodo di quindici giorni individuato dal D.Lgs. numero 22 aprile 1994 numero 320, articolo 10, comma 1, prescindendo dal diverso - e più ampio - limite di cinque anni enunciato dal d. lgs. 14 marzo 2013 numero 33, articolo 8, comma 3. Detto altrimenti, il Tribunale non si è avveduto dell'obbligatorietà della seconda e distinta pubblicazione, ai sensi del Reg. reg. 28 febbraio 2008 numero 2, articolo 13, comma 4 e D.Lgs. numero 14 marzo 2013 numero 33 , 13 , e, dunque, dell'operatività - in ogni caso - del termine quinquennale di cui all'articolo 8, comma 3, del decreto legislativo medesimo, inferendo l'illiceità della condotta della Regione, dal semplice superamento della soglia temporale di quindici giorni fissata dal d. lgs. 22 febbraio 1994, numero 320, articolo 10, comma 1, per la sola e distinta divulgazione notiziale. Il motivo è manifestamente infondato. Il D.Lgs. numero 196 del 2003 contempla una diversificazione del trattamento dei dati a seconda che venga effettuato da soggetti privati o da soggetti pubblici per i quali sono dettate le regole ulteriori riportate negli articolo 18-22 il livello di protezione è diversamente graduato in relazione agli specifici settori oggetto di disciplina. Il trattamento dei dati personali, da parte di soggetti pubblici, è consentito soltanto per lo svolgimento delle funzioni istituzionali articolo 18 . Ai sensi dell'articolo 19, comma 1, che fissa i principi applicabili al trattamento di dati diversi da quelli sensibili e giudiziari, il trattamento da parte di un soggetto pubblico è consentito anche in mancanza di una norma di legge o di regolamento che lo preveda espressamente. Il comma 3 prevede invece che la comunicazione da parte di un soggetto pubblico a privati o a enti pubblici economici e la diffusione da parte di un soggetto pubblico sono ammesse unicamente quando previste da una norma di legge o di regolamento. L'amministrazione, in ossequio al disposto del D.Lgs. numero 196 del 2003, articolo 3 e 11, lettera d , doveva comunque attenersi al principio imperativo ed inderogabile della minimizzazione e necessità della diffusione, privilegiando, se del caso, la pubblicazione di dati anonimi e osservando modalità che permettessero di identificare l'interessato solo in caso di necessità. Correttamente il Tribunale ha ritenuto che la diffusione dei dati relativi al nominativo del dipendente in mobilità e l'indicazione del luogo di destinazione integrassero la violazione contestata, considerato che la delibera della medesima autorità, numero 182 del 26.03.2015, con la quale era stata impartita alla Regione la prescrizione di conformare la successiva pubblicazione di atti e documenti in internet alle disposizioni del codice in materia di protezione dei dati personali, come previsto dall'articolo 143 del medesimo codice, non ha formato oggetto di impugnazione, per cui l'Ente locale non poteva che ottemperare. Occorre aggiungere per completezza argomentativa che in realtà il D.Lgs. numero 33 del 2013 , entrato in vigore il 20.4.2014, quindi prima della consumazione delle violazioni de quibus, che risalgono al 2015, in particolare il D.Lgs. numero 33 del 2013, articolo 4, comma 4 poi abrogato dal D.Lgs. numero 97 del 2016, articolo 43 , dispone che nei casi in cui norme di legge o di regolamento consentano la pubblicazione di atti o documenti, le pubbliche amministrazioni sono tenute a rendere non intelligibili i dati personali non pertinenti o, se trattasi di dati sensibili o giudiziari, non indispensabili rispetto alle specifiche finalità di trasparenza della pubblicazione con prescrizione ribadita dall'articolo 7 bis, comma 1 . Pertanto, non era consentita la diffusione dei dati ulteriori, rispetto a quelli elencati nell'articolo 27, senza procedere all'anonimizzazione d. lgs. numero 33 del 2013, articolo 4, comma 3 . In definitiva, la diffusione di dati diversi da quelli espressamente previsti non beneficiava di fondamento normativo ai sensi dell'articolo 19, comma 3 del codice sulla privacy, né era invocabile il regolamento regionale 28 febbraio 2008 numero 2 , recante norme di attuazione dello Statuto speciale regionale a fini di trasparenza amministrativa, il quale comunque prevede all'articolo 13 l'adozione di necessarie cautele. Le finalità di consentire il controllo sull'agire dell'amministrazione mediante la trasparenza delle informazioni devono, infatti, essere attuate mediante forme di pubblicità la cui conoscenza sia ragionevolmente ed effettivamente connessa all'esercizio di un controllo, nel rispetto dei limiti di proporzionalità e pertinenza, non giustificandosi una totale ed indiscriminata ostensione dei dati stessi cfr. Corte Cost. numero 20 del 2019 , nemmeno nel regime del D.Lgs. numero 33 del 2013 che peraltro contempla, all'articolo 5, quale concorrente garanzia di trasparenza amministrativa a completamento del sistema, il diritto di accesso civico, non soggetto a particolari condizioni limitative dal punto di vista soggettivo o oggettivo - con il secondo motivo la Regione ricorrente evidenzia la violazione e/o la falsa applicazione del D.Lgs. numero 30 giugno 2003, articolo 2, 11, comma I, lett. d , 65, comma 5, numero 196, 13, comma 4 Reg. reg. 28 febbraio 2008, numero 2 ai sensi dell'articolo 360, comma 1 numero 3, c.p.c. La sentenza impugnata sarebbe illegittima nella parte in cui il Tribunale non ha interpretato sistematicamente il D.Lgs. numero 30 giugno 2003, numero 196, articolo 2, combinandolo con l' articolo 13, comma 4 Reg. reg. 28 febbraio 2008 numero 2 , che rinvia al D.Lgs. numero 30 giugno 2003 numero 196, articolo 65, comma 5, ai fini del giudizio circa la rispondenza della pubblicazione della delibera al principio di pertinenza e non eccedenza del trattamento di cui all'articolo 11, comma 1, lett. d , del decreto legislativo stesso. Il giudice, infatti, ha rimproverato alla Regione di aver agito senza previa adozione di necessarie cautele nel rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell'interessato, con particolare riferimento alla riservatezza, all'identità personale e al diritto alla protezione dei dati personali di cui all'articolo 2 del Codice di protezione dei dati personali, secondo le prescrizioni in effetti già dettate dal Garante con il provvedimento numero 182 in data 26.03.2015 sub numero 2 del dispositivo pp. 4-5 della sentenza . Ad avviso della ricorrente, l'asserzione del Tribunale risulta tanto più eccentrica ove si ponga mente alla circostanza che, nella vicenda in parola, il parametro di valutazione della coerenza del trattamento con il principio di pertinenza e non eccedenza sancito dal D.Lgs. numero 30 giugno 2003, numero 196, articolo 11, comma 1 lett. d , nonché, di riflesso, con l'articolo 2 che, nel testo applicabile ratione temporis, identifica, programmaticamente, gli obiettivi al cui raggiungimento gli standard suddetti sono intrinsecamente orientati - si trova normativamente predefinito nell' articolo 13, comma 4 Reg. reg. 28 febbraio 2008, numero 2 , il quale, come visto, ordina la pubblicazione delle delibere della Giunta regionale. La Regione, pertanto, non si sarebbe potuta discostare dallo scrutinio di pertinenza e non eccedenza del trattamento insito nel reg. 28 febbraio 2008 numero 2, articolo 13, comma 4 Reg., allorché espunge dal novero delle delibere soggette agli obblighi di pubblicità dettati in punto di trasparenza dell'attività amministrativa, soltanto quelle recanti e non è questo il caso del provvedimento regionale censurato dal Garante dati sensibili e/o giudiziari, ai quali, per l'appunto, si rivolgono come già rimarcato nel paragrafo numero 1 le limitazioni discendenti dal D.Lgs. numero 30 giugno 2003, numero 196, articolo 65, comma 5. In ultima analisi, la pronuncia impugnata è illegittima, in quanto il Tribunale, nel vagliare la conformità del trattamento al principio di pertinenza e non eccedenza ex d. lgs. 30 giugno 2003 numero 196, articolo 11, comma 1 lett. d , e, con esso, all'articolo 2, del decreto legislativo stesso, non ha considerato, in un'ottica sistematica e di coordinamento normativo, l' articolo 13, comma 4 Reg. reg. 28 febbraio 2008, numero 2 , che rimanda al d. leg. 30 giugno 2003, numero 196, articolo 65, comma 5, il quale inibisce la divulgazione dei soli dati sensibili e/o giudiziari, a nulla rilevando, tra l'altro, il vincolo di anonimizzazione, che il d. lgs. 14 marzo 2013 numero 33, articolo 4, comma 3, circoscrive alle ipotesi di diffusione facoltativa. Anche il secondo mezzo non può trovare ingresso. Premesso che la Regione, per quanto sopra esposto, non ha impugnato la prima delibera adottata dall'Autorità Garante nella vicenda che ci occupa, la numero 182 del 26.03.2015, e salvo quanto esposto con riferimento alla disciplina regolamentare regionale, occorre sottolineare come la conformità della pubblicazione alle prescrizioni dirigenziali dirette a fissare il contenuto del provvedimento di mobilità del dipendente non escludeva - automaticamente - la colpa dell'amministrazione e la sanzionabilità della condotta. Costituisce principio consolidato nella giurisprudenza di questa Corte che la L. numero 689 del 1981, articolo 3 pone una presunzione di colpa a carico dell'autore del fatto vietato, gravando sul trasgressore l'onere di provare di aver agito senza colpa Cass. numero 13610 del 2007 Cass. numero 20219 del 2019 Cass. numero 11777 del 2020 . L'esimente della non colpevolezza può configurarsi, al pari di quanto avviene per la responsabilità penale in materia di contravvenzioni, solo quando detta violazione appaia inevitabile, occorrendo a tal fine, da un lato, la sussistenza di elementi positivi, estranei all'autore dell'infrazione, idonei ad ingenerare la convinzione della liceità della condotta e, dall'altro, che l'autore dell'infrazione abbia fatto il possibile per osservare la legge, onde nessun rimprovero possa essergli mosso, neppure sotto il profilo della negligenza omissiva Cass. numero 33441 del 2019 Cass. numero 24081 del 2019 Cass. numero 19759 del 2015 . L'essersi la Regione conformata ad un provvedimento dirigenziale concernente aspetti non riguardanti la pubblicazione dei dati personali, e ciò pur essendo necessario che la pubblicazione fosse consentita da una previsione di legge e non da un atto meramente amministrativo, non poteva condurre ad escludere la colpa e la responsabilità dell'Amministrazione, non risultando che la ricorrente si fosse in qualche modo resa parte diligente in modo da ricevere un affidabile riscontro della liceità della pubblicazione, facendo il possibile per evitare le violazioni contestate. Sono, per tali ragioni, da respingere entrambi i motivi di ricorso, con la conseguente condanna della Regione al pagamento delle spese del presente giudizio, che si liquidano nei sensi di cui in dispositivo. Ai sensi del D.P.R. numero 115 del 2002, articolo 13, comma 1 quater, occorre dare atto della sussistenza dei presupposti processuali per il versamento, da parte della ricorrente, di un ulteriore importo a titolo di contributo unificato pari a quello previsto per il ricorso, a norma del comma 1-bis dello stesso articolo 13, se dovuto. P.Q.M. La Corte rigetta il ricorso condanna la ricorrente al pagamento delle spese del presente giudizio in favore del Garante protezione dati personali che si liquidano in complessivi Euro 2.300,00, oltre a spese prenotate e prenotande a debito. Ai sensi del D.P.R. numero 115 del 2002, articolo 13 , comma 1 quater dà atto della sussistenza dei presupposti processuali per il versamento, da parte della ricorrente, di un ulteriore importo a titolo di contributo unificato pari a quello previsto per il ricorso, a norma del comma 1-bis dello stesso articolo 13, se dovuto.