Cassazione. Comune condannato per pubblicazione all’albo di dati personali oltre il termine di 15 giorni
(SF) Un ente locale ricorre alla Corte suprema (sentenza in fondo alla pagina) contro un’ordinanza di ingiunzione del Garante per la protezione dei dati personali che aveva comminato una sanzione per la violazione commessa dal Comune diffondendo dati personali di una dipendente comunale per un periodo superiore ai quindici giorni.
Il Comune, infatti, aveva mantenuto visibili per oltre un anno sul proprio albo pretorio on line determinazioni dirigenziali dalle quali risultavano non soltanto il nome e il cognome di una dipendente e l’esistenza di un contenzioso tra la stessa e l’Amministrazione municipale, ma anche lo stato di famiglia dell’interessata e le circostanze che la medesima viveva da sola, che aveva avanzato una domanda di rateizzazione del dovuto e che tale domanda non era stata accolta.
La Corte di Cassazione precisa che “il Comune è stato sanzionato non per aver pubblicato sul proprio sito le determinazioni dirigenziali de quibus , ma per aver mantenuto la pubblicazione oltre il termine di quindici giorni previsto dall’articolo 124 TUEL”.
Le notizie relative alla vita privata dell’impiegata non riguardavano alcun “aspetto dell’organizzazione”, né costituivano “indicatori relativi agli andamenti gestionali e all’utilizzo delle risorse”, né rappresentano “risultati dell’attività di misurazione e valutazione svolta dagli organi competenti”; la pubblicazione di dette notizie non può dunque ritenersi legittimata dalle ragioni di trasparenza contenute nell’art. 11, primo comma, d.lgs. 150/09, come l’Ente aveva sostenuta a propria difesa.
Viene rigettata anche la giustificazione consistente nell’affidamento all’esterno dell’attività di pubblicazione. Al riguardo i giudici della Corte precisano che il titolare del trattamento è la persona giuridica, non il legale rappresentante o l’amministratore, e che il codice deroga al principio della imputabilità personale della sanzione di cui alla legge n. 689/1981, configurando, nello specifico regime sanzionatorio ivi dettato, autonoma responsabilità della persona giuridica. Tale responsabilità non può ritenersi oggettiva ma va configurata come “colpa di organizzazione”, da intendersi, in senso normativo, come rimprovero derivante dall’inottemperanza da parte dell’ente dell’obbligo di adottare le cautele, organizzative e gestionali, necessarie a prevenire la commissione degli illeciti. Correttamente, quindi, è stato negato efficacia esimente alla circostanza che il ritardo nella rimozione dal sito web dei dati personali della dipendente sia dipesa da una disfunzione degli applicativi informatici gestiti da un consulente esterno, rilevando che tale circostanza era «pienamente riconducibile alla sfera di signoria dell’Ente e de/suo apparato».
È bene precisare che la prassi contestata a quel Comune è ancora molto diffusa in diversi enti, nella convinzione, in buona fede, che la pubblicazione di informazioni e dati debba intendersi come un servizio alla trasparenza. In ogni caso è opportuno che venga rivista, alla luce delle considerazioni e degli esiti della sentenza
