Accertamento responsabilità disciplinare del dipendente pubblico, modalità e requisiti del trattamento dei dati sensibili

In tema di trattamento dei dati personali da parte di un soggetto pubblico per l’accertamento, nell’ambito di un rapporto di lavoro, di responsabilità disciplinari, l’espressa inclusione della riportata finalità tra quelle di pubblico interesse non è, di per sé, sufficiente ad escludere la necessità del consenso scritto dell’interessato e dell’autorizzazione del Garante, occorrendo, a tale scopo, anche l’indicazione dei tipi di dati sensibili che possono essere trattati e delle operazioni eseguibili sugli stessi, da parte del medesimo soggetto pubblico o, su sua richiesta, dell’Autorità garante, esigendo la particolare natura dei primi, e, segnatamente di quelli riguardanti la salute e la vita sessuale della persona, una protezione rafforzata in ragione dei valori costituzionali posti a loro presidio.

Sentenza Cassazione civile n. 21107 del 07 ottobre 2014

 

SVOLGIMENTO DEL PROCESSO

1.    — Con sentenza del omissis, il Tribunale di Omissis ha accolto il ricorso proposto dalla Omissis avverso il provvedimento emesso il omissis, n. omissis, con cui il Garante per la Protezione dei Dati personali aveva fatto divieto alla ricorrente di trattare ulteriormente le informazioni relative alla vita sessuale di Omissis.

Ha premesso il Tribunale che, a seguito di una comunicazione anonima con cui si segnalava l’esercizio dell’attività di escort da parte di un dipendente, l’Amministrazione aveva proceduto a verifica mediante accesso ai siti web indicati, promuovendo successivamente un procedimento disciplinare nei confronti del Omissis; tale procedimento si era concluso con determinazione del omissis, con cui il dirigente del settore aveva applicato al dipendente la sanzione della destituzione, per aver inserito su siti per escort annunci contenenti l’offerta di prestazioni sessuali a pagamento, in danno dell’immagine della Provincia.

Precisato che la sanzione si riferiva esclusivamente agli annunci pubblicati sui predetti siti, e non anche alle inserzioni pubblicate su siti di contenuto sociale rivolti prevalentemente a persone omosessuali e bisessuali, il Tribunale ha escluso che la raccolta delle informazioni in rete fosse avvenuta in difetto delle condizioni richieste dal d.lgs. 30 giugno 2003, n. 196 per il trattamento dei dati sensibili finalizzato alla gestione del rapporto di lavoro, osservando che nella specie non poteva trovare applicazione la disciplina in materia di tutela della privacy, in quanto, avuto riguardo alle finalità del provvedimento disciplinare, la raccolta dei dati era volta ad acquisire non già elementi relativi all’orientamento sessuale del dipendente, ma la prova della denunciata pubblicizzazione dell’attività di prostituzione, che, per le modalità prescelte, era stata ritenuta lesiva dell’immagine dell’Ente.

2. — Avverso la predetta sentenza il Garante ha proposto ricorso per cassazione, articolato in cinque motivi, illustrati anche con memoria. La Provincia ha resistito con controricorso, anch’esso illustrato con memoria. Il Omissis non ha svolto attività difensiva.

MOTIVI DELLA DECISIONE

— Con il primo motivo d’impugnazione, il Garante denuncia la contraddit­torietà della motivazione circa un punto decisivo della controversia, censurando la sentenza impugnata nella parte in cui ha negato la sussistenza di un trattamento di dati riguardanti la vita sessuale del dipendente, in contrasto con gli atti di causa, dai quali risultava pacificamente che la Provincia aveva raccolto in rete le infor­mazioni poi utilizzate nell’ambito del procedimento disciplinare.
— Con il secondo motivo, il ricorrente deduce la violazione e la falsa ap­plicazione dell’art. 4, comma primo, lett. a), del d.lgs. n. 196 del 2003, sostenendo che, nell’escludere l’applicabilità della disciplina in materia di tutela della privacy, il Tribunale non ha considerato che costituisce trattamento di dati personali qual­siasi operazione o complesso di operazioni concernenti la raccolta, la registrazio­ne, l’organizzazione, la conservazione, la consultazione e l’utilizzo di informazio­ni.
— Con il terzo motivo, il ricorrente lamenta l’insufficienza e la contraddit­torietà della motivazione circa un punto decisivo della controversia, osservando che, nonostante l’avvenuto accertamento della raccolta di informazioni inerenti al­la vita sessuale, in quanto riguardanti lo svolgimento dell’attività di prostituzione, la sentenza impugnata ha escluso la configurabilità di un trattamento di dati sensi­bili.
— Con il quarto motivo, il ricorrente denuncia la violazione e la falsa ap­plicazione dell’art. 4, comma primo, lett. d), del d.lgs. n. 196 del 2003, rilevando che l’esclusione della configurabilità di un trattamento di dati sensibili ha indotto il Tribunale a negare l’applicabilità della tutela rafforzata prevista dalla predetta disposizione in considerazione della particolare natura di tali dati, che investono la parte più intima della persona nella sua corporeità e nelle sue convinzioni psicolo­giche più riservate.
— Con il quinto motivo, il ricorrente deduce la violazione dell’art. 20, commi primo e secondo, del d.lgs. n. 196 del 2003, come integrato dal regolamen­to approvato con d.P.C. n. 78 del 2005 e modificato con d.P.C. n. 49 del 2006, so­stenendo che l’utilizzazione di dati personali per l’adozione di provvedimenti di­sciplinari nei confronti di un dipendente costituisce un accadimento tipico della gestione del rapporto di lavoro, tale da giustificare nella specie l’applicazione della disciplina regolamentare adottata dalla Provincia ai sensi dell’art. 20 cit., la quale consente il trattamento dei dati sensibili soltanto in caso di rettifica di attribuzione di sesso.
— In ordine all’ammissibilità delle predette censure, va disattesa l’eccezio­ne sollevata dalla difesa della Provincia, secondo cui l’osservanza dell’onere di specificazione dei motivi d’impugnazione avrebbe richiesto l’indicazione e la tra­scrizione nel ricorso dei documenti che costituiscono oggetto del contenzioso, e segnatamente degli estratti dei siti internet e delle comunicazioni in discussione, oltre che del regolamento adottato dalla Provincia a tutela dei dati sensibili, non­ché la formulazione dei quesiti di diritto sottesi alle singole censure.

Il ricorso ha infatti ad oggetto una sentenza pubblicata in data successiva al­l’entrata in vigore della legge 18 giugno 2009, n. 69, e pertanto, ai sensi dell’art. 58, comma quinto, ad esso si applica l’art. 47, comma primo, lett. d), della mede­sima legge, il quale, disponendo l’abrogazione dell’art. 366-bis cod. proc. civ., in­trodotto dall’art. 6 del d.lgs. 2 febbraio 2006, n. 40, ha escluso la necessità della formulazione del quesito di diritto, che la norma abrogata imponeva a corredo del­l’illustrazione di ciascun motivo d’impugnazione.

L’indicazione degli atti processuali e dei documenti sui quali si fonda il ricor­so è resa invece superflua dall’assenza di contestazioni in ordine alla ricostruzione dei fatti emergente dalla sentenza impugnata e dalla natura prettamente giuridica delle questioni sollevate dal ricorrente, che escludono la necessità di procedere al­l’esame degli atti, ai fini del riscontro dei relativi presupposti. La verifica della os­servanza di quanto prescritto dall’art. 366, primo comma, n. 6), cod. proc. civ. de­v’essere infatti compiuta con riguardo al contenuto dei motivi d’impugnazione, po­tendo condurre alla declaratoria di inammissibilità soltanto quando si tratti di cen­sure rispetto alle quali uno o più specifici atti o documenti ne costituiscano il fon­damento, nel senso che, senza l’esame di quell’atto o quel documento, risultereb­bero impossibili la comprensione del motivo di doglianza e degl’indispensabili presupposti fattuali sui quali esso si basa, nonché la valutazione della sua decisivi­tà (cfr. Cass., Sez. I, 5 luglio 2013, n. 16887).

Quanto al regolamento per il trattamento dei dati sensibili e giudiziari, adotta­to dall’Amministrazione provinciale con deliberazione consiliare del omissis, n. omissis e modificato con deliberazione consiliare del omissis, n. omissis, il suo richiamo dev’essere ritenuto sufficiente ai fini dell’applicazione delle relative disposizioni, nonostante la mancata trascrizione delle relative disposizioni nel ri­corso, trattandosi di un atto normativo secondario integrativo della disciplina lega­le, e quindi conoscibile anche d’ufficio da parte del giudice, che può fame appli­cazione indipendentemente dalle prospettazioni delle parti, in ossequio al princi­pio jura novit curia (cfr. ex plurimis, Cass., Sez. II, 15 giugno 2010, n. 1446; 2 febbraio 2009, n. 2563).
— I cinque motivi devono essere trattati congiuntamente, avendo ad ogget­to profili diversi della medesima questione.

Il trattamento di dati personali da parte dei soggetti pubblici è disciplinato dall’art. 18 del d.lgs. n. 196 del 2003 (c.d. codice in materia di protezione dei dati personali), il quale stabilisce, al comma secondo, il principio generale secondo cui tale trattamento è consentito soltanto per lo svolgimento delle funzioni istituziona­li dell’ente, precisando al comma terzo che nel trattare i dati il soggetto pubblico deve rispettare i presupposti e i limiti stabiliti dal medesimo codice, anche in rela­zione alla diversa natura dei dati, nonché dalla legge e dai regolamenti. Con parti­colare riferimento ai dati sensibili, comprendenti tra l’altro quelli idonei a rivelare lo stato di salute e la vita sessuale dell’interessato (art. 4, comma primo, lett. e), i predetti limiti sono stabiliti dall’art. 20, il quale consente il trattamento solo se au­torizzato da un’espressa disposizione di legge, in cui devono essere specificati i tipi di dati che possono essere trattati ed i tipi di operazioni eseguibili, nonché le finalità di rilevante interesse pubblico perseguite. Tra le predette finalità l’art. 112, comma primo, annovera specificamente quelle inerenti all’instaurazione ed alla gestione di rapporti di lavoro di qualunque tipo da parte di soggetti pubblici, in re­lazione alle quali il comma secondo della medesima disposizione elenca, a titolo meramente esemplificativo, i tipi di trattamenti consentiti, includendovi, tra l’altro, lo svolgimento di attività dirette all’accertamento della responsabilità civile, disci­plinare e contabile e l’esame dei ricorsi amministrativi, in conformità alle norme che regolano le rispettive materie (lett. g). Poiché quest’ultima disposizione si li­mita ad indicare genericamente le finalità del trattamento, senza specificare i dati che possono essere trattati e le operazioni che possono essere eseguite, trova ap­plicazione il comma secondo dell’art. 20, il quale stabilisce che in siffatti casi il trattamento è consentito solo in riferimento ai tipi di dati e di operazioni identifi­cati e resi pubblici a cura dei soggetti che ne effettuano il trattamento, in relazione alle specifiche finalità perseguite nei singoli casi e nel rispetto dei principi di cui all’art. 22, con atto di natura regolamentare adottato in conformità al parere e- spresso dal Garante ai sensi dell’art. 154, comma primo, lett. g), anche su schemi tipo.

La predetta disciplina riproduce fedelmente quella dettata dall’abrogata legge 31 dicembre 1996, n. 675, come modificata dal d.lgs. 11 maggio 1999, n. 135, in relazione alla quale questa Corte ha affermato il principio secondo cui il tratta­mento dei dati sensibili, la cui legittimità è ancorata in linea generale alla conte­stuale presenza del consenso scritto dell’interessato ed all’autorizzazione del Ga­rante per la protezione dei dati personali, è consentito, da parte dei soggetti pub­blici, anche in difetto del predetto consenso e della predetta autorizzazione, a con­dizione che sussistano a) una rilevante finalità d’interesse pubblico, b) un’espressa disposizione di legge autorizzatoria e c) una specificazione legislativa dei tipi di dati trattabili e delle operazioni eseguibili. Con particolare riguardo al trattamento di dati effettuato nell’ambito di un rapporto di lavoro per l’accertamento della re­sponsabilità disciplinare, si è quindi precisato che l’espressa inclusione di tale fi­nalità tra quelle d’interesse pubblico non è di per sé sufficiente ad escludere la ne­cessità del consenso e dell’autorizzazione, occorrendo a tal fine anche l’indicazio­ne dei tipi di dati sensibili che possono essere trattati e delle operazioni eseguibili sugli stessi, da parte dello stesso soggetto pubblico o, su sua richiesta, della Auto­rità garante. Si è infatti osservato che la particolare natura dei dati sensibili, e se­gnatamente di quelli riguardanti la salute e la vita sessuale delle persone (che ap­partengono alla categoria dei dati c.d. supersensibili, i quali investono la parte più intima della persona, nella sua corporeità e nelle sue convinzioni psicologiche più riservate), esige, in ragione dei valori costituzionali posti a loro presidio (artt. 2 e 3 Cost.), una protezione rafforzata, la quale trova espressione anche nelle garanzie previste per il trattamento effettuato dai soggetti pubblici, che può quindi aver luogo soltanto nel rispetto del modulo procedimentale previsto dalla legge (cfr. Cass., Sez. I, 8 luglio 2005, n. 14390).

In riferimento alla fattispecie in esame, tale modulo procedimentale ha trova­to espressione nel regolamento adottato dall’Amministrazione provinciale con le citate deliberazioni consiliari, il quale, nel disciplinare il trattamento dei dati sen­sibili e giudiziari, individua alla scheda n. 1 i tipi di dati trattabili e le operazioni eseguibili ai fini dell’instaurazione e della gestione del rapporto di lavoro, ed alla scheda n. 7 quelli consentiti ai fini della gestione del contenzioso, prevedendo un regime differenziato dei dati riguardanti la vita sessuale, il cui trattamento è con­sentito senza limitazioni nella seconda ipotesi, mentre nella prima ipotesi è per­messo soltanto in caso di eventuale rettificazione di attribuzione di sesso.

Alla stregua di tali indicazioni, non possono condividersi le conclusioni cui è pervenuta la sentenza impugnata, la quale ha escluso l’applicabilità della discipli­na in esame, in virtù dell’osservazione che l’attività posta in essere dall’Ammini­strazione non era finalizzata alla raccolta di dati inerenti alla vita sessuale del di­pendente, ma alla verifica dell’avvenuta pubblicizzazione dell’attività di meretricio da quest’ultimo svolta, attraverso l’acquisizione dei documenti informatici atte­stanti gli annunci da lui pubblicati sul web per l’offerta di prestazioni sessuali a pagamento. Nella parte in cui fa leva sulle finalità della ricerca ai fini dell’esclu­sione della configurabilità di un trattamento di dati, tale affermazione si pone in contrasto con l’ampia definizione risultante dall’art. 4, comma primo, lett. a), del d.lgs. n. 196 del 2003, che include nella predetta nozione «qualunque operazione o complesso di operazioni, effettuati anche senza l’ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, la consultazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il raf­fronto, l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca di da­ti», conferendo pertanto rilievo alla natura dell’operazione, oggettivamente consi­derata, senza fare alcun riferimento alle motivazioni o ai fini della stessa, che ven­gono in considerazione esclusivamente per l’individuazione delle modalità e dei limiti del trattamento. Portata decisiva, in quest’ottica, deve riconoscersi al dato oggettivo dell’acquisizione d’informazioni attinenti alla vita sessuale del dipenden­te, di per sé sufficiente a rendere configurabile un trattamento di dati sensibili, le cui modalità ed i cui limiti devono essere ricostruiti avendo riguardo alla gestione del rapporto di lavoro, cui è indiscutibilmente preordinata l’adozione di provvedi­menti disciplinari: e poiché, come emerge dalla scheda n. 1 allegata al regolamen­to provinciale, il trattamento di dati relativi alla vita sessuale è consentito soltanto in caso di rettificazione di attribuzione di sesso, deve concludersi per l’illegittimità dell’operazione posta in essere dall’Amministrazione attraverso l’acquisizione dei documenti informatici.

Non merita consenso, al riguardo, la tesi sostenuta dall’Amministrazione, se­condo cui il trattamento in questione, in quanto volto all’adozione di un provve­dimento suscettibile di dare origine ad un contenzioso, dev’essere ricondotto alle indicazioni contenute nella scheda n. 7 del regolamento, che esclude qualsiasi li­mitazione all’acquisizione ed all’utilizzazione dei dati relativi alla vita sessuale. Nel definire la gestione del contenzioso come insieme delle attività relative alla consulenza giuridica, al patrocinio ed alla difesa in giudizio dell’Amministrazione, la predetta scheda attribuisce ai trattamenti ivi contemplati la finalità di consentire l’esercizio del diritto di difesa in sede amministrativa e/o giudiziaria, in tal modo postulando una diretta connessione dell’operazione con una controversia in atto, non ancora configurabile nella fase amministrativa che conduce all’adozione del provvedimento concernente la gestione del rapporto di lavoro. Se è vero, peraltro, che la difesa dell’Amministrazione in sede amministrativa o giurisdizionale può richiedere il trattamento di dati sensibili, soprattutto (ma non solo) nel caso in cui la controversia riguardi la legittimità di un provvedimento che ne presuppone l’uti­lizzazione, è anche vero, però, che da tale esigenza difensiva non può farsi di­scendere la legittimità di qualsiasi trattamento dei predetti dati, risultando altri­menti elusi i principi generali di proporzionalità, necessità, pertinenza e non ecce­denza allo scopo della raccolta e del trattamento, stabiliti dall’art. 11 del d.lgs. n. 196 del 2003, e dei quali costituiscono espressione le limitazioni imposte dalla di­sciplina in esame.

Quanto al rilievo conclusivo della sentenza impugnata, secondo cui il ricono­scimento della tutela assicurata dal codice della privacy deve ritenersi precluso per effetto dello stesso ricorso dell’interessato all’uso della rete, il quale implica la vo­lontà di rivolgersi ad un pubblico potenzialmente indeterminato, con la conse­guente impossibilità di garantire la limitata diffusività degli annunci, è sufficiente osservare che l’immissione di alcuni dei propri dati personali in rete, pur lasciando presumere la volontà dell’interessato di permetterne l’utilizzazione in vista degli obiettivi per cui gli stessi sono stati posti a disposizione del pubblico, non consen­te tuttavia di ritenere che quel consenso sia stato implicitamente prestato anche in funzione di qualsiasi altro trattamento. L’utilizzazione dei dati diffusi per finalità diverse da quella per cui ne è stata consentita la divulgazione costituisce d’altron­de un’eventualità già presa in considerazione da questa Corte, la quale ha afferma­to in proposito che la tutela apprestata dal d.lgs. n. 196 del 2003 si estende anche ai dati già pubblici o pubblicati, dal momento che colui che compie operazioni di trattamento di tali informazioni può ricavare dal loro accostamento, comparazio­ne, esame, analisi, congiunzione, rapporto od incrocio ulteriori informazioni, e quindi un «valore aggiunto informativo», non estraibile dai dati isolatamente con­siderati, potenzialmente lesivo della dignità dell’interessato, valore sommo (tutela­to dall’art. 3, primo comma, prima parte, e dell’art. 2 Cost.) a cui si ispira la legi­slazione in materia di trattamento dei dati personali (cfr. Cass., Sez. I, 8 agosto 2013, n. 18981; 25 giugno 2004, n. 11864).
— Il ricorso va pertanto accolto, con la conseguente cassazione della sen­tenza impugnata, e, non risultando necessari ulteriori accertamenti di fatto, la cau­sa può essere decisa nel merito, ai sensi dell’art. 384, secondo comma, cod. proc. civ., con il rigetto della domanda proposta dalla Provincia.
— La novità della questione trattata giustifica la dichiarazione dell’integra­le compensazione delle spese dei due gradi di giudizio.
P.Q.M.

La Corte accoglie il ricorso, cassa la sentenza impugnata, e, decidendo nel merito, la domanda proposta dalla Omissis, dichiara interamente compensate tra le parti le spese processuali.

Ai sensi dell’art. 52 del d.lgs. 30 giugno 2003, n. 196, dispone che, in caso di diffusione della presente sentenza, siano omessi le generalità e gli altri dati identi­ficativi delle parti.

Precedente Accertamento imposte, cancellata presunzione che somme prelevate da conto corrente di lavoratori autonomi siano compensi assoggettati a tassazione Successivo Provvedimenti disciplinari autoferrotramvieri, giurisdizione del giudice ordinario