La trasparenza delle informazioni deve essere attuata con forme di pubblicità ragionevolmente ed effettivamente connesse all'esercizio di un controllo, nel rispetto dei limiti di proporzionalità e pertinenza, non giustificandosi una totale ed indiscriminata ostensione dei dati personali.
Il Garante per la protezione dei dati personali ingiungeva ad una Regione il pagamento di una sanzione amministrativa pari ad 20.000,00 per aver realizzato, in violazione del Codice di protezione dei dati personali , con una deliberazione la diffusione di dati personali con modalità non previste dalla legge. In particolare, veniva contestato il fatto di aver, con siffatta delibera, rese pubbliche le ragioni della messa in mobilità di un dipendente . L'Ente regionale proponeva opposizione con cui domandava, previa sospensione dell'efficacia, l'annullamento oppure la revoca dell'ordinanza ovvero, in subordine, la riduzione o il contenimento della sanzione amministrativa, deducendo la manifesta contraddittorietà ed illogicità della motivazione dell'ordinanza-ingiunzione. Instaurato il contraddittorio, nella resistenza dell'Autorità garante per la protezione dei dati personali, il Tribunale competente confermava integralmente l'ordinanza-ingiunzione opposta, con condanna della Regione alla refusione delle spese processuali. A sostegno della decisione adottata, il Tribunale rilevava come la irrogazione della sanzione intimata era stata in specie preceduta da ampio dialogo e scambio di rilievi critici tra le parti, dapprima pervenuti al Garante per la protezione dei dati personali da parte di un dipendente della Regione il quale lamentava la persistente pubblicazione sul sito web istituzionale, nella sezione Deliberazioni , dei dati personali relativi a sé e contenuti in quella delibera avente ad oggetto la mobilità per esigenze organizzative di un dipendente nell'ambito organico della Giunta regionale . La delibera conteneva valutazioni esplicite sulla professionalità e sul contegno del soggetto segnalante. La deliberazione censurata, in effetti, dava atto di tensioni e rapporti conflittuali connessi alla presenza del dipendente, assegnato a posizione caratterizzata da estrema delicatezza, nell'ambiente lavorativo che incidevano negativamente sulla organizzazione e sulla funzionalità complessiva degli uffici nonché sul prestigio e sul decoro del dipartimento, con conseguenti difficoltà di funzionamento degli uffici in relazione alla presenza del dipendente, disponendone, infine, il trasferimento per accertata incompatibilità ambientale. La Regione dal proprio canto si difendeva allegando di aver provveduto alla pubblicazione in ottemperanza alle norme di attuazione dello Statuto speciale regionale secondo cui gli atti deliberativi degli organi regionali dovevano essere pubblicati ed assumendo, peraltro, che nell'atto pubblicato non ci fossero dati sensibili né dati giudiziari. Il giudice del gravame rilevava che l'Autorità garante aveva chiaramente ed esaurientemente replicato con provvedimento, mai impugnato, il quale recava la prescrizione di conformare la successiva pubblicazione di atti e documenti in Internet alle disposizioni del Codice per i dati personali e a quelle dettate con le linee guida diffuse in materia, rispettando, in particolare, il principio secondo cui la diffusione di dati personali è lecita quando prevista da una norma di legge o di regolamento del resto, la stessa normativa regionale - pure richiamata dalla Regione in risposta alla richiesta di giustificazioni dal Garante - non consentiva di legittimare la pubblicazione integrale del provvedimento censurato. Avverso la sentenza del Tribunale veniva proposto ricorso per Cassazione. La Suprema Corte, in via preliminare, precisa di dover fare applicazione al caso in esame ratione temporis le disposizioni del Codice della privacy , d. lgs. n. 196/2003 , nella stesura anteriore alle modifiche introdotte con il d. lgs. n. 101/2018 di adeguamento dell'ordinamento nazionale al Regolamento UE n. 2016/679 noto come GDPR . Prosegue rammentando che la Pubblica amministrazione avrebbe dovuto , comunque, attenersi al principio imperativo ed inderogabile della minimizzazione e necessità della diffusione , privilegiando, se del caso, la pubblicazione di dati anonimi e osservando modalità che permettessero di identificare l'interessato solo in caso di necessità. Secondo i Giudici di legittimità, dunque, correttamente il Tribunale aveva ritenuto che la diffusione dei dati relativi al nominativo del dipendente in mobilità e l'indicazione del luogo di destinazione integrassero la violazione contestata, considerato che la delibera della medesima Autorità - con la quale era stata impartita alla Regione la prescrizione di conformare la successiva pubblicazione di atti e documenti in Internet alle disposizioni del Codice in materia di protezione dei dati personali - non ha formato oggetto di impugnazione, per cui l'Ente locale non poteva che ottemperare. Aggiunge la Suprema Corte, per completezza argomentativa, che, in realtà, già prima della consumazione delle violazioni de quibus la normativa disponeva che nei casi in cui norme di legge o di regolamento consentivano la pubblicazione di atti o documenti, le Pubbliche amministrazioni erano tenute a rendere non intelligibili i dati personali non pertinenti o, se trattasi di dati sensibili o giudiziari , non indispensabili rispetto alle specifiche finalità di trasparenza della pubblicazione. Le finalità di consentire il controllo sull'agire dell'Amministrazione mediante la trasparenza delle informazioni devono, infatti, essere attuate mediante forme di pubblicità la cui conoscenza sia ragionevolmente ed effettivamente connessa all'esercizio di un controllo, nel rispetto dei limiti di proporzionalità e pertinenza, non giustificandosi una totale ed indiscriminata ostensione dei dati stessi, nemmeno nel regime del d. lgs. n. 33/2013 . Per questi motivi la Corte rigetta il ricorso, condannando l'Ente ricorrente al pagamento delle spese del giudizio in favore del Garante per la protezione dei dati personali.
Presidente Bertuzzi Relatore Falaschi Osservato in fatto e in diritto Ritenuto che - con ricorso depositato in data 21.12.2017, notificato all'Autorità Garante per la protezione dei dati personali in data 17.01.2018, la Regione Autonoma Omissis proponeva opposizione ex D.Lgs. n. 196 del 2003, art. 152 Codice in materia di protezione dei dati personali avverso l'ordinanza ingiunzione n. 397 del 5.10.2017 con la quale le veniva intimato il pagamento della sanzione amministrativa di Euro 20.000,00 per violazione del disposto ex D.Lgs. n. 196 del 2003, art. 162, comma 2-bis, per avere realizzato, in violazione del dettato ex art. 19, comma III, del Codice di protezione dei dati personali, con la deliberazione della Giunta Regionale n. Omissis , la diffusione di dati personali con modalità non previste dalla legge, in particolare per avere con siffatta delibera rese pubbliche le ragioni della messa in mobilità di un dipendente, opposizione con la quale domandava, previa sospensione dell'efficacia, l'annullamento e/o la revoca dell'ordinanza ovvero, in subordine, la riduzione ed il contenimento della sanzione amministrativa, deducendo la manifesta contraddittorietà ed illogicità della motivazione dell'ordinanza ingiunzione per avere il Garante addebitato alla ricorrente la violazione anche del D.Lgs. n. 14 marzo 2013, n. 33, art. 4, comma 3, dopo aver negato, in via di principio, l'applicabilità alla procedura de qua del regime in tema di trasparenza dell'attività amministrativa, con violazione della Cost., art. 24, precludendo, in tal modo, il pieno esercizio del diritto di difesa la violazione della L. 7 agosto 1990, n. 241, art. 3, per insufficiente motivazione, travisamento dei fatti ed erronea valutazione dei presupposti, oltre a non avere il Garante tenuto conto, in sede di quantificazione della sanzione amministrativa, a norma della l. 24 novembre 1981, n. 689, art. 11, della tempestiva rimozione della delibera dal sito istituzionale la violazione del D.Lgs. n. 30 giugno 2003, n. 196, art. 19, comma 3, avendo il medesimo Garante proceduto alla diffusione della delibera, alla stregua dell' art. 13, comma 4, Regolamento regionale 28 febbraio 2008, n. 2 l'eccesso di potere per ingiustizia manifesta e duplicazione della sanzione amministrativa, avuto riguardo a quella inflitta, con l'ordinanza ingiunzione n. 398, anch'essa del 5 ottobre 2017, per i medesimi fatti oggetto di accertamento - instaurato il contraddittorio, nella resistenza dell'Autorità Garante per la protezione dei dati personali, il Tribunale d'Aosta adito rigettava l'opposizione e per l'effetto confermava integralmente l'ordinanza-ingiunzione opposta, con condanna della Regione alla rifusione delle spese processuali. A sostegno della decisione adottata il Tribunale rilevava come l'irrogazione della sanzione intimata dall'Autorità era stata in specie preceduta da ampio dialogo e scambio di rilievi critici fra le parti in esito a segnalazione dapprima pervenuta, nell'agosto 2013, al Garante per la protezione dei dati personali da parte di un dipendente della Regione opponente, che lamentava la persistente pubblicazione sul sito web istituzionale della Regione stessa, nella sezione deliberazioni , dei dati personali relativi a sé contenuti in delibera della Giunta Regionale n. Omissis in data Omissis avente ad oggetto la mobilità per esigenze organizzative di un dipendente nell'ambito dell'organico della giunta regionale e contenente valutazioni esplicite sulla professionalità e sul contegno del soggetto segnalante. Come rilevato dall'Autorità la deliberazione censurata, nell'ambito di procedimento per l'accertamento di incompatibilità ambientale del dipendente segnalante ex Legge regionale n. 22 del 2010, art. 43, dava atto in effetti di tensioni e rapporti conflittuali connessi alla presenza del dipendente, assegnato a posizione caratterizzata da estrema delicatezza, nell'ambiente lavorativo che incidevano negativamente sull'organizzazione e sulla funzionalità complessiva degli uffici, nonché sul prestigio e sul decoro del Dipartimento , con conseguenti difficoltà di funzionamento degli uffici in relazione alla presenza del dipendente disponendone infine il trasferimento per accertata incompatibilità ambientale . Risultava poi dall'esame della documentazione in atti che l'Autorità intimante aveva dapprima richiesto informative e giustificazioni in merito alla Regione con nota in data 18.09.2013, ricevendo tempestivo riscontro in data 2.10.2013, con il quale la Regione stessa allegava di avere provveduto alla pubblicazione in ottemperanza al dettato ex D.Lgs. n. 320 del 1994, art. 10, comma 1, recante norme di attuazione dello Statuto speciale Regionale, secondo cui gli atti deliberativi degli organi regionali dovevano essere pubblicati mediante affissione all'albo notiziario dell'amministrazione regionale, per quindici giorni consecutivi, salvo il più breve termine stabilito nell'atto stesso, assumendo peraltro che l'atto così pubblicato non contenesse dati sensibili né dati giudiziari, evidenziando, inoltre, come il dettato ex D.Lgs. n. 33 del 2013, art. 8 disponesse comunque che i dati, le informazioni e i documenti oggetto di pubblicazione obbligatoria ai sensi della normativa vigente dovevano essere pubblicati per un periodo di 5 anni, decorrenti dal 1 gennaio dell'anno successivo a quello da cui decorreva l'obbligo di pubblicazione, e comunque fino a che gli atti pubblicati producevano i loro effetti, fatti salvi i diversi termini previsti dalla normativa in materia di trattamento dei dati personali e quanto previsto dagli artt. 14, comma 2 e 15, comma 4. Aggiungeva il giudice del gravame che l'Autorità Garante aveva chiaramente ed esaurientemente replicato con provvedimento interdittivo e prescrittivo n. 182 del 26.03.2015, mai impugnato, il quale recava la prescrizione di conformare la successiva pubblicazione di atti e documenti in internet alle disposizioni del predetto Codice ed a quelle dettate con le Linee Guida diffuse in materia, rispettando in particolare il principio secondo cui la diffusione di dati personali era lecita quando prevista da una norma di legge o di regolamento del resto, la stessa normativa regionale pure richiamata dalla Regione in risposta alla richiesta di giustificazioni del Garante, non consentiva di legittimare la pubblicazione integrale del provvedimento censurato - avverso la sentenza del Tribunale d'Aosta ha proposto ricorso per cassazione la Regione Omissis , sulla base di due motivi, cui ha resistito con controricorso il Garante per la protezione dei dati personali. Diritto Considerato che - in via preliminare è opportuno precisare che, poiché si discute di una sanzione per violazione delle disposizioni sul trattamento di dati personali irrogata nel maggio 2015, al caso in esame ratione temporis si applica il codice della privacy D.Lgs. n. 196 del 30 giugno 2003 nella stesura anteriore alle modifiche introdotte con il D.Lgs. n. 101 del 10 agosto 2018 di adeguamento dell'ordinamento nazionale al regolamento UE 2016/679 del Parlamento Europeo e del Consiglio, del 27 aprile 2016, entrato in vigore il 25 maggio 2018 art. 99, comma 2, del Regolamento - ciò posto, con il primo motivo la ricorrente lamenta la violazione e/o la falsa applicazione del d. lgs. 30 giugno 2003, n. 196, artt. 19, comma 3, d. lgs. 14 marzo 2013, n. 33 , 8, comma 3, Reg. reg. 28 febbraio 2008 n. 2 , 13, 13, comma 4, ai sensi dell'art. 360 c.p.c., comma 1, n. 3 La pronuncia gravata sarebbe, ad avviso della Regione, radicalmente illegittima per non avere il Tribunale interpretato la disciplina di rango primario e secondario in materia di trasparenza dell'attività amministrativa, nel senso che fosse applicabile, anche in relazione ai limiti temporali ivi contemplati, alla delibera della Giunta regionale n. Omissis , del 7 giugno 2013. Sostiene la Regione, infatti, che nell'assumere la condotta contestata si sarebbe rigorosamente allineata allo schema normativo teste' descritto, in quanto, dopo aver divulgato la delibera di cui si discute nell'albo notiziario, in forza del D.Lgs. n. 22 aprile 1994, n. 320, art. 10, comma 1, aveva provveduto alla sua diffusione nella sezione deliberazioni del sito istituzionale, in adempimento agli obblighi pubblicitari derivanti dal Reg. reg. 28 febbraio 2008, n. 2, art. 13, comma 4, e dal D.Lgs. n. 14 marzo 2013 n. 33, art. 13 . Ciò sarebbe idoneo a fornire la necessaria base giuridica all'attività di pubblicazione compiuta dalla Regione, in ossequio al D.Lgs. n. 30 giugno 2003 n. 196, art. 19, comma 3, per cui del tutto illogicamente il giudice avrebbe dichiarato la responsabilità della Regione, la quale, piuttosto, aveva dato puntuale e doverosa esecuzione a specifiche disposizioni di livello primario e secondario, nel rispetto del principio di legalità dell'azione amministrativa, il cui essenziale ancoraggio risiede nella Cost., art. 97 . Ne', contrariamente a quanto statuito dal Tribunale, alcuna portata risolutiva avrebbe potuto essere riconosciuta all'intervenuto decorso del termine di quindici giorni stabilito dal D.Lgs. n. 22 aprile 1994, n. 320, art. 10, comma 1, giacché a differenza di quest'ultimo l' art. 13, comma 4, Reg. reg. 28 febbraio 2008 n. 2 , non subordina l'attività di pubblicazione ad alcun limite temporale, per cui l'eventuale decisione, da parte della Regione, di interrompere la divulgazione del provvedimento de quo, sarebbe stata sprovvista di giustificazione, integrando un atto del tutto arbitrario ed illegittimo, alla stregua del richiamato principio di legalità. La Regione non si sarebbe potuta, comunque, sottrarre dal prestare obbedienza all' art. 13, comma 4, Reg. reg. 28 febbraio 2008 n. 2 dal quale il giudice di primo grado ha inteso erroneamente desumere l'illiceità del trattamento svolto dall'odierna ricorrente - dalla mera scadenza del periodo di quindici giorni individuato dal D.Lgs. n. 22 aprile 1994 n. 320, art. 10, comma 1, prescindendo dal diverso - e più ampio - limite di cinque anni enunciato dal d. lgs. 14 marzo 2013 n. 33, art. 8, comma 3. Detto altrimenti, il Tribunale non si è avveduto dell'obbligatorietà della seconda e distinta pubblicazione, ai sensi del Reg. reg. 28 febbraio 2008 n. 2, artt. 13, comma 4 e D.Lgs. n. 14 marzo 2013 n. 33 , 13 , e, dunque, dell'operatività - in ogni caso - del termine quinquennale di cui all'art. 8, comma 3, del decreto legislativo medesimo, inferendo l'illiceità della condotta della Regione, dal semplice superamento della soglia temporale di quindici giorni fissata dal d. lgs. 22 febbraio 1994, n. 320, art. 10, comma 1, per la sola e distinta divulgazione notiziale. Il motivo è manifestamente infondato. Il D.Lgs. n. 196 del 2003 contempla una diversificazione del trattamento dei dati a seconda che venga effettuato da soggetti privati o da soggetti pubblici per i quali sono dettate le regole ulteriori riportate negli artt. 18-22 il livello di protezione è diversamente graduato in relazione agli specifici settori oggetto di disciplina. Il trattamento dei dati personali, da parte di soggetti pubblici, è consentito soltanto per lo svolgimento delle funzioni istituzionali art. 18 . Ai sensi dell'art. 19, comma 1, che fissa i principi applicabili al trattamento di dati diversi da quelli sensibili e giudiziari, il trattamento da parte di un soggetto pubblico è consentito anche in mancanza di una norma di legge o di regolamento che lo preveda espressamente. Il comma 3 prevede invece che la comunicazione da parte di un soggetto pubblico a privati o a enti pubblici economici e la diffusione da parte di un soggetto pubblico sono ammesse unicamente quando previste da una norma di legge o di regolamento. L'amministrazione, in ossequio al disposto del D.Lgs. n. 196 del 2003, artt. 3 e 11, lettera d , doveva comunque attenersi al principio imperativo ed inderogabile della minimizzazione e necessità della diffusione, privilegiando, se del caso, la pubblicazione di dati anonimi e osservando modalità che permettessero di identificare l'interessato solo in caso di necessità. Correttamente il Tribunale ha ritenuto che la diffusione dei dati relativi al nominativo del dipendente in mobilità e l'indicazione del luogo di destinazione integrassero la violazione contestata, considerato che la delibera della medesima autorità, n. 182 del 26.03.2015, con la quale era stata impartita alla Regione la prescrizione di conformare la successiva pubblicazione di atti e documenti in internet alle disposizioni del codice in materia di protezione dei dati personali, come previsto dall'art. 143 del medesimo codice, non ha formato oggetto di impugnazione, per cui l'Ente locale non poteva che ottemperare. Occorre aggiungere per completezza argomentativa che in realtà il D.Lgs. n. 33 del 2013 , entrato in vigore il 20.4.2014, quindi prima della consumazione delle violazioni de quibus, che risalgono al 2015, in particolare il D.Lgs. n. 33 del 2013, art. 4, comma 4 poi abrogato dal D.Lgs. n. 97 del 2016, art. 43 , dispone che nei casi in cui norme di legge o di regolamento consentano la pubblicazione di atti o documenti, le pubbliche amministrazioni sono tenute a rendere non intelligibili i dati personali non pertinenti o, se trattasi di dati sensibili o giudiziari, non indispensabili rispetto alle specifiche finalità di trasparenza della pubblicazione con prescrizione ribadita dall'art. 7 bis, comma 1 . Pertanto, non era consentita la diffusione dei dati ulteriori, rispetto a quelli elencati nell'art. 27, senza procedere all'anonimizzazione d. lgs. n. 33 del 2013, art. 4, comma 3 . In definitiva, la diffusione di dati diversi da quelli espressamente previsti non beneficiava di fondamento normativo ai sensi dell'art. 19, comma 3 del codice sulla privacy, né era invocabile il regolamento regionale 28 febbraio 2008 n. 2 , recante norme di attuazione dello Statuto speciale regionale a fini di trasparenza amministrativa, il quale comunque prevede all'art. 13 l'adozione di necessarie cautele. Le finalità di consentire il controllo sull'agire dell'amministrazione mediante la trasparenza delle informazioni devono, infatti, essere attuate mediante forme di pubblicità la cui conoscenza sia ragionevolmente ed effettivamente connessa all'esercizio di un controllo, nel rispetto dei limiti di proporzionalità e pertinenza, non giustificandosi una totale ed indiscriminata ostensione dei dati stessi cfr. Corte Cost. n. 20 del 2019 , nemmeno nel regime del D.Lgs. n. 33 del 2013 che peraltro contempla, all'art. 5, quale concorrente garanzia di trasparenza amministrativa a completamento del sistema, il diritto di accesso civico, non soggetto a particolari condizioni limitative dal punto di vista soggettivo o oggettivo - con il secondo motivo la Regione ricorrente evidenzia la violazione e/o la falsa applicazione del D.Lgs. n. 30 giugno 2003, artt. 2, 11, comma I, lett. d , 65, comma 5, n. 196, 13, comma 4 Reg. reg. 28 febbraio 2008, n. 2 ai sensi dell'art. 360, comma 1 n. 3, c.p.c. La sentenza impugnata sarebbe illegittima nella parte in cui il Tribunale non ha interpretato sistematicamente il D.Lgs. n. 30 giugno 2003, n. 196, art. 2, combinandolo con l' art. 13, comma 4 Reg. reg. 28 febbraio 2008 n. 2 , che rinvia al D.Lgs. n. 30 giugno 2003 n. 196, art. 65, comma 5, ai fini del giudizio circa la rispondenza della pubblicazione della delibera al principio di pertinenza e non eccedenza del trattamento di cui all'art. 11, comma 1, lett. d , del decreto legislativo stesso. Il giudice, infatti, ha rimproverato alla Regione di aver agito senza previa adozione di necessarie cautele nel rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell'interessato, con particolare riferimento alla riservatezza, all'identità personale e al diritto alla protezione dei dati personali di cui all'art. 2 del Codice di protezione dei dati personali, secondo le prescrizioni in effetti già dettate dal Garante con il provvedimento n. 182 in data 26.03.2015 sub n. 2 del dispositivo pp. 4-5 della sentenza . Ad avviso della ricorrente, l'asserzione del Tribunale risulta tanto più eccentrica ove si ponga mente alla circostanza che, nella vicenda in parola, il parametro di valutazione della coerenza del trattamento con il principio di pertinenza e non eccedenza sancito dal D.Lgs. n. 30 giugno 2003, n. 196, art. 11, comma 1 lett. d , nonché, di riflesso, con l'art. 2 che, nel testo applicabile ratione temporis, identifica, programmaticamente, gli obiettivi al cui raggiungimento gli standard suddetti sono intrinsecamente orientati - si trova normativamente predefinito nell' art. 13, comma 4 Reg. reg. 28 febbraio 2008, n. 2 , il quale, come visto, ordina la pubblicazione delle delibere della Giunta regionale. La Regione, pertanto, non si sarebbe potuta discostare dallo scrutinio di pertinenza e non eccedenza del trattamento insito nel reg. 28 febbraio 2008 n. 2, art. 13, comma 4 Reg., allorché espunge dal novero delle delibere soggette agli obblighi di pubblicità dettati in punto di trasparenza dell'attività amministrativa, soltanto quelle recanti e non è questo il caso del provvedimento regionale censurato dal Garante dati sensibili e/o giudiziari, ai quali, per l'appunto, si rivolgono come già rimarcato nel paragrafo n. 1 le limitazioni discendenti dal D.Lgs. n. 30 giugno 2003, n. 196, art. 65, comma 5. In ultima analisi, la pronuncia impugnata è illegittima, in quanto il Tribunale, nel vagliare la conformità del trattamento al principio di pertinenza e non eccedenza ex d. lgs. 30 giugno 2003 n. 196, art. 11, comma 1 lett. d , e, con esso, all'art. 2, del decreto legislativo stesso, non ha considerato, in un'ottica sistematica e di coordinamento normativo, l' art. 13, comma 4 Reg. reg. 28 febbraio 2008, n. 2 , che rimanda al d. leg. 30 giugno 2003, n. 196, art. 65, comma 5, il quale inibisce la divulgazione dei soli dati sensibili e/o giudiziari, a nulla rilevando, tra l'altro, il vincolo di anonimizzazione, che il d. lgs. 14 marzo 2013 n. 33, art. 4, comma 3, circoscrive alle ipotesi di diffusione facoltativa. Anche il secondo mezzo non può trovare ingresso. Premesso che la Regione, per quanto sopra esposto, non ha impugnato la prima delibera adottata dall'Autorità Garante nella vicenda che ci occupa, la n. 182 del 26.03.2015, e salvo quanto esposto con riferimento alla disciplina regolamentare regionale, occorre sottolineare come la conformità della pubblicazione alle prescrizioni dirigenziali dirette a fissare il contenuto del provvedimento di mobilità del dipendente non escludeva - automaticamente - la colpa dell'amministrazione e la sanzionabilità della condotta. Costituisce principio consolidato nella giurisprudenza di questa Corte che la L. n. 689 del 1981, art. 3 pone una presunzione di colpa a carico dell'autore del fatto vietato, gravando sul trasgressore l'onere di provare di aver agito senza colpa Cass. n. 13610 del 2007 Cass. n. 20219 del 2019 Cass. n. 11777 del 2020 . L'esimente della non colpevolezza può configurarsi, al pari di quanto avviene per la responsabilità penale in materia di contravvenzioni, solo quando detta violazione appaia inevitabile, occorrendo a tal fine, da un lato, la sussistenza di elementi positivi, estranei all'autore dell'infrazione, idonei ad ingenerare la convinzione della liceità della condotta e, dall'altro, che l'autore dell'infrazione abbia fatto il possibile per osservare la legge, onde nessun rimprovero possa essergli mosso, neppure sotto il profilo della negligenza omissiva Cass. n. 33441 del 2019 Cass. n. 24081 del 2019 Cass. n. 19759 del 2015 . L'essersi la Regione conformata ad un provvedimento dirigenziale concernente aspetti non riguardanti la pubblicazione dei dati personali, e ciò pur essendo necessario che la pubblicazione fosse consentita da una previsione di legge e non da un atto meramente amministrativo, non poteva condurre ad escludere la colpa e la responsabilità dell'Amministrazione, non risultando che la ricorrente si fosse in qualche modo resa parte diligente in modo da ricevere un affidabile riscontro della liceità della pubblicazione, facendo il possibile per evitare le violazioni contestate. Sono, per tali ragioni, da respingere entrambi i motivi di ricorso, con la conseguente condanna della Regione al pagamento delle spese del presente giudizio, che si liquidano nei sensi di cui in dispositivo. Ai sensi del D.P.R. n. 115 del 2002, art. 13, comma 1 quater, occorre dare atto della sussistenza dei presupposti processuali per il versamento, da parte della ricorrente, di un ulteriore importo a titolo di contributo unificato pari a quello previsto per il ricorso, a norma del comma 1-bis dello stesso art. 13, se dovuto. P.Q.M. La Corte rigetta il ricorso condanna la ricorrente al pagamento delle spese del presente giudizio in favore del Garante protezione dati personali che si liquidano in complessivi Euro 2.300,00, oltre a spese prenotate e prenotande a debito. Ai sensi del D.P.R. n. 115 del 2002, art. 13 , comma 1 quater dà atto della sussistenza dei presupposti processuali per il versamento, da parte della ricorrente, di un ulteriore importo a titolo di contributo unificato pari a quello previsto per il ricorso, a norma del comma 1-bis dello stesso art. 13, se dovuto.