Corte di Cassazione, sezione I, sentenza 7 ottobre 2014, n. 21107. La pubblica amministrazione non può raccogliere su internet informazioni sulla vita sessuale di un proprio dipendente per verificare se la sua condotta sia o meno compatibile con l'«immagine» dell'ente. Lo ha stabilito la Corte di cassazione, sentenza 21107/2014, accogliendo il ricorso del Garante della privacy ed annullando il licenziamento di un dipendente «destituito» perché trovato a prostituirsi sul web mediante annunci a pagamento.

REPUBBLICA ITALIANA

1. – Con sentenza del 13 giugno 2012, il Tribunale di Verbania ha accolto il ricorso proposto dalla Provincia del Verbano Cusio Ossola avverso il provvedimento emesso il 6 dicembre 2011, n. 468, con cui il Garante per la Protezione dei Dati personali aveva fatto divieto alla ricorrente di trattare ulteriormente le informazioni relative alla vita sessuale di (OMISSIS).
Ha premesso il Tribunale che, a seguito di una comunicazione anonima con cui si segnalava l’esercizio dell’attivita’ di escort da parte di un dipendente, l’Amministrazione aveva proceduto a verifica mediante accesso ai siti web indicati, promuovendo successivamente un procedimento disciplinare nei confronti del (OMISSIS); tale procedimento si era concluso con determinazione del 28 settembre 2011, con cui il dirigente del settore aveva applicato al dipendente la sanzione della destituzione, per aver inserito su siti per escort annunci contenenti l’offerta di prestazioni sessuali a pagamento, in danno dell’immagine della Provincia.
Precisato che la sanzione si riferiva esclusivamente agli annunci pubblicati sui predetti siti, e non anche alle inserzioni pubblicate su siti di contenuto sociale rivolti prevalentemente a persone omosessuali e bisessuali, il Tribunale ha escluso che la raccolta delle informazioni in rete fosse avvenuta in difetto delle condizioni richieste dal Decreto Legislativo 30 giugno 2003, n. 196, per il trattamento dei dati sensibili finalizzato alla gestione del rapporto di lavoro, osservando che nella specie non poteva trovare applicazione la disciplina in materia di tutela della privacy, in quanto, avuto riguardo alle finalita’ del provvedimento disciplinare, la raccolta dei dati era volta ad acquisire non gia’ elementi relativi all’orientamento sessuale del dipendente, ma la prova della denunciata pubblicizzazione dell’attivita’ di prostituzione, che, per le modalita’ prescelte, era stata ritenuta lesiva dell’immagine dell’Ente.
2. – Avverso la predetta sentenza il Garante ha proposto ricorso per cassazione, articolato in cinque motivi, illustrati anche con memoria. La Provincia ha resistito con controricorso, anch’esso illustrato con memoria. Il (OMISSIS) non ha svolto attivita’ difensiva.

1. – Con il primo motivo d’impugnazione, il Garante denuncia la contraddittorieta’ della motivazione circa un punto decisivo della controversia, censurando la sentenza impugnata nella parte in cui ha negato la sussistenza di un trattamento di dati riguardanti la vita sessuale del dipendente, in contrasto con gli atti di causa, dai quali risultava pacificamente che la Provincia aveva raccolto in rete le informazioni poi utilizzate nell’ambito del procedimento disciplinare.
2. – Con il secondo motivo, il ricorrente deduce la violazione e la falsa applicazione del Decreto Legislativo n. 196 del 2003, articolo 4, comma 1, lettera a), sostenendo che, nell’escludere l’applicabilita’ della disciplina in materia di tutela della privacy, il Tribunale non ha considerato che costituisce trattamento di dati personali qualsiasi operazione o complesso di operazioni concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, la consultazione e l’utilizzo di informazioni.
3. – Con il terzo motivo, il ricorrente lamenta l’insufficienza e la contraddittorieta’ della motivazione circa un punto decisivo della controversia, osservando che, nonostante l’avvenuto accertamento della raccolta di informazioni inerenti alla vita sessuale, in quanto riguardanti lo svolgimento dell’attivita’ di prostituzione, la sentenza impugnata ha escluso la configurabilita’ di un trattamento di dati sensibili.
4. – Con il quarto motivo, il ricorrente denuncia la violazione e la falsa applicazione del Decreto Legislativo n. 196 del 2003, articolo 4, comma 1, lettera d), rilevando che l’esclusione della configurabilita’ di un trattamento di dati sensibili ha indotto il Tribunale a negare l’applicabilita’ della tutela rafforzata prevista dalla predetta disposizione in considerazione della particolare natura di tali dati, che investono la parte piu’ intima della persona nella sua corporeita’ e nelle sue convinzioni psicologiche piu’ riservate.
5. – Con il quinto motivo, il ricorrente deduce la violazione del Decreto Legislativo n. 196 del 2003, articolo 20, commi 1 e 2, come integrato dal regolamento approvato con D.P.C. n. 78 del 2005, e modificato con D.P.C. n. 49 del 2006, sostenendo che l’utilizzazione di dati personali per l’adozione di provvedimenti disciplinari nei confronti di un dipendente costituisce un accadimento tipico della gestione del rapporto di lavoro, tale da giustificare nella specie l’applicazione della disciplina regolamentare adottata dalla Provincia ai sensi dell’articolo 20 cit., la quale consente il trattamento dei dati sensibili soltanto in caso di rettifica di attribuzione di sesso.
6. – In ordine all’ammissibilita’ delle predette censure, va disattesa l’eccezione sollevata dalla difesa della Provincia, secondo cui l’osservanza dell’onere di specificazione dei motivi d’impugnazione avrebbe richiesto l’indicazione e la trascrizione nel ricorso dei documenti che costituiscono oggetto del contenzioso, e segnatamente degli estratti dei siti internet e delle comunicazioni in discussione, oltre che del regolamento adottato dalla Provincia a tutela dei dati sensibili, nonche’ la formulazione dei quesiti di diritto sottesi alle singole censure.
Il ricorso ha infatti ad oggetto una sentenza pubblicata in data successiva all’entrata in vigore della Legge 18 giugno 2009, n. 69, e pertanto, ai sensi dell’articolo 58, comma 5, ad esso si applica l’articolo 47, comma 1, lettera d), della medesima legge, il quale, disponendo l’abrogazione dell’articolo 366 bis c.p.c., introdotto dal Decreto Legislativo 2 febbraio 2006, n. 40, articolo 6, ha escluso la necessita’ della formulazione del quesito di diritto, che la norma abrogata imponeva a corredo dell’illustrazione di ciascun motivo d’impugnazione.
L’indicazione degli atti processuali e dei documenti sui quali si fonda il ricorso e’ resa invece superflua dall’assenza di contestazioni in ordine alla ricostruzione dei fatti emergente dalla sentenza impugnata e dalla natura prettamente giuridica delle questioni sollevate dal ricorrente, che escludono la necessita’ di procedere all’esame degli atti, ai fini del riscontro dei relativi presupposti. La verifica della osservanza di quanto prescritto dall’articolo 366 c.p.c., comma 1, n. 6), dev’essere infatti compiuta con riguardo al contenuto dei motivi d’impugnazione, potendo condurre alla declaratoria di inammissibilita’ soltanto quando si tratti di censure rispetto alle quali uno o piu’ specifici atti o documenti ne costituiscano il fondamento, nel senso che, senza l’esame di quell’atto o quel documento, risulterebbero impossibili la comprensione del motivo di doglianza e degl’indispensabili presupposti fattuali sui quali esso si basa, nonche’ la valutazione della sua decisivita’ (cfr. Cass., Sez. 1 , 5 luglio 2013, n. 16887).
Quanto al regolamento per il trattamento dei dati sensibili e giudiziari, adottato dall’Amministrazione provinciale con deliberazione consiliare del 22 dicembre 2005, n. 78 e modificato con deliberazione consiliare del 31 luglio 2006, n. 49, il suo richiamo dev’essere ritenuto sufficiente ai fini dell’applicazione delle relative disposizioni, nonostante la mancata trascrizione delle relative disposizioni nel ricorso, trattandosi di un atto normativo secondario integrativo della disciplina legale, e quindi conoscibile anche d’ufficio da parte del giudice, che puo’ farne applicazione indipendentemente dalle prospettazioni delle parti, in ossequio al principio jura novit curia (cfr. ex plurimis, Cass., Sez. 2 , 15 giugno 2010, n. 1446; 2 febbraio 2009, n. 2563).
7. – I cinque motivi devono essere trattati congiuntamente, avendo ad oggetto profili diversi della medesima questione.
Il trattamento di dati personali da parte dei soggetti pubblici e’ disciplinato dal Decreto Legislativo n. 196 del 2003, articolo 18, (c.d. codice in materia di protezione dei dati personali), il quale stabilisce, al comma secondo, il principio generale secondo cui tale trattamento e’ consentito soltanto per lo svolgimento delle funzioni istituzionali dell’ente, precisando al comma terzo che nel trattare i dati il soggetto pubblico deve rispettare i presupposti e i limiti stabiliti dal medesimo codice, anche in relazione alla diversa natura dei dati, nonche’ dalla legge e dai regolamenti. Con particolare riferimento ai dati sensibili, comprendenti tra l’altro quelli idonei a rivelare lo stato di salute e la vita sessuale dell’interessato (articolo 4, comma 1, lettera e), i predetti limiti sono stabiliti dall’articolo 20, il quale consente il trattamento solo se autorizzato da un’espressa disposizione di legge, in cui devono essere specificati i tipi di dati che possono essere trattati ed i tipi di operazioni eseguibili, nonche’ le finalita’ di rilevante interesse pubblico perseguite. Tra le predette finalita’ l’articolo 112, comma 1, annovera specificamente quelle inerenti all’instaurazione ed alla gestione di rapporti di lavoro di qualunque tipo da parte di soggetti pubblici, in relazione alle quali il comma secondo della medesima disposizione elenca, a titolo meramente esemplificativo, i tipi di trattamenti consentiti, includendovi, tra l’altro, lo svolgimento di attivita’ dirette all’accertamento della responsabilita’ civile, disciplinare e contabile e l’esame dei ricorsi amministrativi, in conformita’ alle norme che regolano le rispettive materie (lett. g). Poiche’ quest’ultima disposizione si limita ad indicare genericamente le finalita’ del trattamento, senza specificare i dati che possono essere trattati e le operazioni che possono essere eseguite, trova applicazione il comma secondo dell’articolo 20, il quale stabilisce che in siffatti casi il trattamento e’ consentito solo in riferimento ai tipi di dati e di operazioni identificati e resi pubblici a cura dei soggetti che ne effettuano il trattamento, in relazione alle specifiche finalita’ perseguite nei singoli casi e nel rispetto dei principi di cui all’articolo 22, con atto di natura regolamentare adottato in conformita’ al parere e-spresso dal Garante ai sensi dell’articolo 154, comma 1, lettera g), anche su schemi tipo.
La predetta disciplina riproduce fedelmente quella dettata dall’abrogata Legge 31 dicembre 1996, n. 675, come modificata dal Decreto Legislativo 11 maggio 1999, n. 135, in relazione alla quale questa Corte ha affermato il principio secondo cui il trattamento dei dati sensibili, la cui legittimita’ e’ ancorata in linea generale alla contestuale presenza del consenso scritto dell’interessato ed all’autorizzazione del Garante per la protezione dei dati personali, e’ consentito, da parte dei soggetti pubblici, anche in difetto del predetto consenso e della predetta autorizzazione, a condizione che sussistano a) una rilevante finalita’ d’interesse pubblico, b) un’espressa disposizione di legge autorizzatoria e c) una specificazione legislativa dei tipi di dati trattabili e delle operazioni eseguibili. Con particolare riguardo al trattamento di dati effettuato nell’ambito di un rapporto di lavoro per l’accertamento della responsabilita’ disciplinare, si e’ quindi precisato che l’espressa inclusione di tale finalita’ tra quelle d’interesse pubblico non e’ di per se’ sufficiente ad escludere la necessita’ del consenso e dell’autorizzazione, occorrendo a tal fine anche l’indicazione dei tipi di dati sensibili che possono essere trattati e delle operazioni eseguibili sugli stessi, da parte dello stesso soggetto pubblico o, su sua richiesta, della Autorita’ garante. Si e’ infatti osservato che la particolare natura dei dati sensibili, e segnatamente di quelli riguardanti la salute e la vita sessuale delle persone (che appartengono alla categoria dei dati c.d. supersensibili, i quali investono la parte piu’ intima della persona, nella sua corporeita’ e nelle sue convinzioni psicologiche piu’ riservate), esige, in ragione dei valori costituzionali posti a loro presidio (articoli 2 e 3 Cost.), una protezione rafforzata, la quale trova espressione anche nelle garanzie previste per il trattamento effettuato dai soggetti pubblici, che puo’ quindi aver luogo soltanto nel rispetto del modulo procedimentale previsto dalla legge (cfr. Cass., Sez. 1 , 8 luglio 2005, n. 14390).
In riferimento alla fattispecie in esame, tale modulo procedimentale ha trovato espressione nel regolamento adottato dall’Amministrazione provinciale con le citate deliberazioni consiliari, il quale, nel disciplinare il trattamento dei dati sensibili e giudiziari, individua alla scheda n. 1 i tipi di dati trattabili e le operazioni eseguibili ai fini dell’instaurazione e della gestione del rapporto di lavoro, ed alla scheda n. 7 quelli consentiti ai fini della gestione del contenzioso, prevedendo un regime differenziato dei dati riguardanti la vita sessuale, il cui trattamento e’ consentito senza limitazioni nella seconda ipotesi, mentre nella prima ipotesi e’ permesso soltanto in caso di eventuale rettificazione di attribuzione di sesso.
Alla stregua di tali indicazioni, non possono condividersi le conclusioni cui e’ pervenuta la sentenza impugnata, la quale ha escluso l’applicabilita’ della disciplina in esame, in virtu’ dell’osservazione che l’attivita’ posta in essere dall’Amministrazione non era finalizzata alla raccolta di dati inerenti alla vita sessuale del dipendente, ma alla verifica dell’avvenuta pubblicizzazione dell’attivita’ di meretricio da quest’ultimo svolta, attraverso l’acquisizione dei documenti informatici attestanti gli annunci da lui pubblicati sul web per l’offerta di prestazioni sessuali a pagamento. Nella parte in cui fa leva sulle finalita’ della ricerca ai fini dell’esclusione della configurabilita’ di un trattamento di dati, tale affermazione si pone in contrasto con l’ampia definizione risultante dal Decreto Legislativo n. 196 del 2003, articolo 4, comma 1, lettera a), che include nella predetta nozione “qualunque operazione o complesso di operazioni, effettuati anche senza l’ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, la consultazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il raffronto, l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca di dati)), conferendo pertanto rilievo alla natura dell’operazione, oggettivamente considerata, senza fare alcun riferimento alle motivazioni o ai fini della stessa, che vengono in considerazione esclusivamente per l’individuazione delle modalita’ e dei limiti del trattamento. Portata decisiva, in quest’ottica, deve riconoscersi al dato oggettivo dell’acquisizione d’informazioni attinenti alla vita sessuale del dipendente, di per se’ sufficiente a rendere configurabile un trattamento di dati sensibili, le cui modalita’ ed i cui limiti devono essere ricostruiti avendo riguardo alla gestione del rapporto di lavoro, cui e’ indiscutibilmente preordinata l’adozione di provvedimenti disciplinari: e poiche’, come emerge dalla scheda n. 1 allegata al regolamento provinciale, il trattamento di dati relativi alla vita sessuale e’ consentito soltanto in caso di rettificazione di attribuzione di sesso, deve concludersi per l’illegittimita’ dell’operazione posta in essere dall’Amministrazione attraverso l’acquisizione dei documenti informatici.
Non merita consenso, al riguardo, la tesi sostenuta dall’Amministrazione, secondo cui il trattamento in questione, in quanto volto all’adozione di un provvedimento suscettibile di dare origine ad un contenzioso, dev’essere ricondotto alle indicazioni contenute nella scheda n. 7 del regolamento, che esclude qualsiasi limitazione all’acquisizione ed all’utilizzazione dei dati relativi alla vita sessuale. Nel definire la gestione del contenzioso come insieme delle attivita’ relative alla consulenza giuridica, al patrocinio ed alla difesa in giudizio dell’Amministrazione, la predetta scheda attribuisce ai trattamenti ivi contemplati la finalita’ di consentire l’esercizio del diritto di difesa in sede amministrativa e/o giudiziaria, in tal modo postulando una diretta connessione dell’operazione con una controversia in atto, non ancora configurabile nella fase amministrativa che conduce all’adozione del provvedimento concernente la gestione del rapporto di lavoro. Se e’ vero, peraltro, che la difesa dell’Amministrazione in sede amministrativa o giurisdizionale puo’ richiedere il trattamento di dati sensibili, soprattutto (ma non solo) nel caso in cui la controversia riguardi la legittimita’ di un provvedimento che ne presuppone l’utilizzazione, e’ anche vero, pero’, che da tale esigenza difensiva non puo’ farsi discendere la legittimita’ di qualsiasi trattamento dei predetti dati, risultando altrimenti elusi i principi generali di proporzionalita’, necessita’, pertinenza e non eccedenza allo scopo della raccolta e del trattamento, stabiliti dal Decreto Legislativo n. 196 del 2003, articolo 11, e dei quali costituiscono espressione le limitazioni imposte dalla disciplina in esame.
Quanto al rilievo conclusivo della sentenza impugnata, secondo cui il riconoscimento della tutela assicurata dal codice della privacy deve ritenersi precluso per effetto dello stesso ricorso dell’interessato all’uso della rete, il quale implica la volonta’ di rivolgersi ad un pubblico potenzialmente indeterminato, con la conseguente impossibilita’ di garantire la limitata diffusivita’ degli annunci, e’ sufficiente osservare che l’immissione di alcuni dei propri dati personali in rete, pur lasciando presumere la volonta’ dell’interessato di permetterne l’utilizzazione in vista degli obiettivi per cui gli stessi sono stati posti a disposizione del pubblico, non consente tuttavia di ritenere che quel consenso sia stato implicitamente prestato anche in funzione di qualsiasi altro trattamento. L’utilizzazione dei dati diffusi per finalita’ diverse da quella per cui ne e’ stata consentita la divulgazione costituisce d’altronde un’eventualita’ gia’ presa in considerazione da questa Corte, la quale ha affermato in proposito che la tutela apprestata dal Decreto Legislativo n. 196 del 2003, si estende anche ai dati gia’ pubblici o pubblicati, dal momento che colui che compie operazioni di trattamento di tali informazioni puo’ ricavare dal loro accostamento, comparazione, esame, analisi, congiunzione, rapporto od incrocio ulteriori informazioni, e quindi un “valore aggiunto informativo”, non estraibile dai dati isolatamente considerati, potenzialmente lesivo della dignita’ dell’interessato, valore sommo (tutelato dall’articolo 3, comma 1, prima parte, e dell’articolo 2 Cost.) a cui si ispira la legislazione in materia di trattamento dei dati personali (cfr. Cass., Sez. 1 , 8 agosto 2013, n. 18981; 25 giugno 2004, n. 11864).
8. – Il ricorso va pertanto accolto, con la conseguente cassazione della sentenza impugnata, e, non risultando necessari ulteriori accertamenti di fatto, la causa puo’ essere decisa nel merito, ai sensi dell’articolo 384 c.p.c., comma 2, con il rigetto della domanda proposta dalla Provincia.
9. – La novita’ della questione trattata giustifica la dichiarazione dell’integrale compensazione delle spese dei due gradi di giudizio.

La Corte accoglie il ricorso, cassa la sentenza impugnata, e, decidendo nel merito, rigetta la domanda proposta dalla Provincia del Verbano Cusio Ossola; dichiara interamente compensate tra le parti le spese processuali.
Ai sensi del Decreto Legislativo 30 giugno 2003, n. 196, articolo 52, dispone che, in caso di diffusione della presente sentenza, siano omessi le generalita’ e gli altri dati identificativi delle parti.