Pubblicazione dati personali oltre i 15 giorni

Un’autorità per la protezione dei dati personali ha sanzionato un comune per la pubblicazione di dati personali sul proprio albo pretorio online oltre il termine di 15 giorni. La Corte di Cassazione ha confermato l’annullamento delle sanzioni, stabilendo che il termine previsto dalla legge non è perentorio e che la prolungata visibilità dei dati era dovuta a un meccanismo tecnico e non a una volontà dell’ente. La decisione sottolinea l’importanza del fondamento normativo della pubblicazione per fini istituzionali.

A cura di Carmine Paul Alexander TEDESCO - Avvocato

Prenota un appuntamento

Per una consulenza legale o per valutare una possibile strategia difensiva prenota un appuntamento.

La consultazione può avvenire in studio a Milano, Pesaro, Benevento, oppure in videoconferenza.

PRENOTA

02.37901052

8:00 – 20:00
(Lun - Sab)

Pubblicato il 18 febbraio 2026 in Diritto Civile, Giurisprudenza Civile, Procedura Civile

Pubblicazione dati personali oltre 15 giorni: non è violazione se il termine non è perentorio

La pubblicazione dati personali da parte delle pubbliche amministrazioni rappresenta un punto di delicato equilibrio tra le esigenze di trasparenza e il diritto alla riservatezza dei cittadini. Una recente ordinanza della Corte di Cassazione ha affrontato il caso di un Comune sanzionato per aver mantenuto online dati personali oltre il termine di 15 giorni previsto per l’albo pretorio. La Corte ha annullato le sanzioni, fornendo chiarimenti cruciali sulla natura non perentoria di tale termine e sui limiti della responsabilità dell’ente pubblico.

I Fatti di Causa

Nel 2017, l’Autorità Garante per la protezione dei dati personali emetteva due ordinanze ingiunzione da 20.000 euro ciascuna nei confronti di un Comune. La contestazione riguardava la violazione della normativa sulla privacy, poiché alcuni dati personali erano rimasti pubblicati sul sito internet dell’albo pretorio comunale ben oltre il periodo di quindici giorni stabilito dall’art. 124 del D.Lgs. 267/2000.

Il Comune si opponeva alle sanzioni dinanzi al Tribunale competente, sostenendo diverse ragioni, tra cui la tardività della notifica e, soprattutto, l’insussistenza della violazione. In particolare, l’ente locale affermava che il termine di quindici giorni non fosse perentorio e che, quindi, il suo superamento non costituisse di per sé un illecito. Il Tribunale accoglieva l’opposizione e annullava le sanzioni, ritenendo la violazione non sussistente. Di conseguenza, l’Autorità Garante ricorreva in Cassazione per far valere le proprie ragioni.

La Decisione della Corte: la legittima pubblicazione dati personali

La Corte di Cassazione, con l’ordinanza in esame, ha rigettato il ricorso dell’Autorità Garante, confermando la decisione del Tribunale e annullando definitivamente le sanzioni. Il fulcro della decisione risiede nell’interpretazione del termine di pubblicazione e nell’analisi della condotta concreta del Comune.

La Corte ha stabilito che la diffusione di dati personali da parte di un soggetto pubblico è lecita quando prevista da una norma di legge per il perseguimento di finalità istituzionali. In questo quadro, il termine di 15 giorni per la pubblicazione sull’albo pretorio non ha carattere perentorio, ma ordinatorio. Ciò significa che il suo superamento non determina automaticamente l’illiceità del trattamento dei dati.

Le Motivazioni

La Corte Suprema ha basato il proprio ragionamento su diversi punti chiave.

In primo luogo, ha richiamato un suo precedente (Cass. 20615/2016), che aveva già chiarito la natura non perentoria del termine di cui all’art. 124 del D.Lgs. 267/2000. La pubblicazione, anche se protratta, resta legittima se fondata su una base giuridica che ne giustifica le finalità, come la trasparenza e la conoscibilità dell’azione amministrativa.

In secondo luogo, la Corte ha dato peso a un elemento tecnico decisivo emerso durante il giudizio di merito. La visibilità residua dei dati dopo le segnalazioni non era dovuta a un’azione del Comune, ma all’utilizzo di un meccanismo informatico (la memorizzazione e il riutilizzo dell’indirizzo URL della pagina) da parte del soggetto che aveva effettuato la segnalazione. In pratica, era il segnalante stesso a “richiamare” la pagina archiviata, non il Comune a mantenerla attivamente visibile a tutti.

Infine, è stato valorizzato l’atteggiamento collaborativo del Comune che, una volta ricevuta la segnalazione, si era attivato per trovare una soluzione tecnica al problema, dimostrando di non voler violare la privacy dei cittadini ma di voler adempiere ai propri obblighi di trasparenza.

Le Conclusioni

Questa ordinanza offre importanti spunti per le pubbliche amministrazioni. La pubblicazione dati personali per finalità istituzionali è legittima, e il superamento del termine di 15 giorni sull’albo pretorio non comporta di per sé una sanzione, a condizione che la pubblicazione sia sempre giustificata da una base normativa. Tuttavia, emerge anche la responsabilità dell’ente nel gestire correttamente la visibilità dei dati online. La decisione sottolinea che non si può essere ritenuti responsabili per fenomeni tecnici esterni, come il caching degli URL, specialmente quando si dimostra un comportamento proattivo e collaborativo per proteggere la riservatezza delle persone coinvolte.

La pubblicazione di dati personali sull’albo pretorio online per più di 15 giorni è sempre una violazione della privacy?
No, secondo la Corte di Cassazione non lo è sempre. Il termine di 15 giorni previsto dall’art. 124 del D.Lgs. 267/2000 non è perentorio. La pubblicazione rimane lecita se è prevista da una norma di legge e persegue finalità istituzionali di trasparenza e controllo, bilanciando queste esigenze con il diritto alla riservatezza.

Perché la Corte di Cassazione ha dato ragione al Comune e non all’Autorità Garante?
La Corte ha ritenuto che la decisione del Tribunale fosse corretta nel considerare il termine di pubblicazione non perentorio, rifacendosi a un precedente giurisprudenziale. Inoltre, è stato decisivo l’accertamento che la prolungata visibilità dei dati non dipendeva da una volontà del Comune, ma da un meccanismo tecnico (memorizzazione dell’URL) utilizzato proprio dal segnalante, e che il Comune aveva mostrato un atteggiamento collaborativo per risolvere il problema.

Qual è la differenza tra un termine “perentorio” e uno “non perentorio” in questo contesto?
Un termine perentorio è una scadenza tassativa il cui mancato rispetto comporta la decadenza da un diritto o l’illegittimità di un atto. Un termine non perentorio (o ordinatorio), come quello di 15 giorni per la pubblicazione sull’albo pretorio, funge da indicazione standard, ma il suo superamento non rende automaticamente illegittima l’azione, a patto che sussistano ancora le ragioni legali e le finalità che la giustificano.

Testo del provvedimento

Ordinanza di Cassazione Civile Sez. 2 Num. 29438 Anno 2023

Civile Ord. Sez. 2 Num. 29438 Anno 2023

Presidente: COGNOME NOME

Relatore: COGNOME NOME

Data pubblicazione: 24/10/2023

Ordinanza

sul ricorso iscritto al n. 2287/2020 proposto da:

Garante per la protezione dei dati personali , difeso dall’Avvocatura generale dello Stato;

-ricorrente-

contro

Comune di Tarvisio, difeso dall’avvo cato NOME COGNOME ;

-controricorrente e ricorrente incidentale-

avverso la sentenza del Tribunale di Udine n. 586/2019 del 24/10/2019.

Ascoltata la relazione del consigliere NOME COGNOME nella camera di consiglio del 3/10/2023.

Fatti di causa

Nel dicembre 2017 l’RAGIONE_SOCIALE Garante per la protezione dei dati personali emanava nei confronti del Comune di Tarvisio due ordinanze ingiunzione di € 20.000 ciascuna, come sanzioni pecuniarie per la violazione ex art. 162 co. 2bis in relazione all’art. 19 co. 3 d.lgs. 196/2003 vigente al tempo. Infatti, una persona aveva segnalato (più

volte) il permanere pubblicati di dati personali sul sito internet dell’albo pretorio comunale oltre il periodo di quindici giorni previsto dall’art. 124 d.lgs. 267/2000.

Il Comune proponeva dinanzi al Tribunale di Udine nei confronti dell’RAGIONE_SOCIALE Garante opposizione avverso i due provvedimenti sanzionatori, facendo valere: (a) la violazione dell’art. 14 co. 2 l. 689/81 per notifica tardiva, cioè oltre il termine di novanta giorni dall’accertamento delle violazioni (quanto al primo provvedimento, n. 534/2017, la contestazione era avvenuta il 26/10/2016, dopo che il 9/9/2015 era stato comunicato al segnalante che non sarebbero stati adottati provvedimenti prescrittivi o inibitori; quanto al secondo provvedimento, n. 556/2017, la contestazione era avvenuta il 18/7/2016, dopo che il 24/4/2016 era stato comunicato al segnalante che non sarebbero stati adottati provvedimenti prescrittivi o inibitori); (b) la violazione del principio del ne bis in idem, poiché l ‘infrazione è unica; (c) la violazione dell’art. 8 l. 689/81, poiché si tratta di una sola azione/omissione (la configurazione del software di pubblicazione on line dei provvedimenti del Comune); (d) la violazione dell’art. 3 l. 689/81, poiché il sito internet oggetto di segnalazione non era, né era mai stato, di titolarità del Comune, né gestito dal medesimo; (e) l’ insussistenza della violazione contestata, posto che il termine di quindici giorni per la pubblicazione nell’Albo pretorio di cui all’art. 124 d.lgs. 267/2000 non è perentorio.
Il Tribunale ha acco lto l’opposizione e annullato le ordinanzeingiunzione poiché la violazione non sussiste, con compensazione delle spese legali.

Ricorre l’RAGIONE_SOCIALE Garante con due motivi di ricorso. Resiste il Comune di Tarvisio con controricorso e ricorso incidentale con sette motivi, illustrati da memoria.

Ragioni della decisione

1. Il primo motivo censura ex artt. 152 co. 1bis d.lgs. 196/2003 e 10 d.lgs. 150/2011 che il Tribunale non abbia rilevato l’inammissibilità dei motivi di ricorso per omessa impugnazione dei provvedimenti dirigenziali di chiusura dell’istruttoria preliminare, che costituiscono ex art. 7 Regolamento 1/2007 provvedimenti amministrativi.

Il secondo motivo denuncia che la sentenza impugnata abbia violato le disposizioni del codice in materia di protezione dei dati personali, secondo cui la diffusione di dati personali da parte di un soggetto pubblico è ammessa unicamente quando è prevista da una norma di legge o di regolamento, nel rispetto dei principi di pertinenza e non eccedenza. Si deduce la violazione degli artt. 19 co. 3, 11 co. 1 lett. d) d.lgs. 196/2003 (nella versione anteriore alla riforma ex d.lgs. 101/2018 di adeguamento alla nuova disciplina europea), in combinato disposto con l’art. 124 d.lgs. 267/2000 e art. 1 d.p.r. 118/2000.
2. -Il primo motivo è rigettato.

Gli atti di cui si lamenta la mancata impugnazione tempestiva (cioè, i provvedimenti dirigenziali di chiusura dell’istruttoria preliminare) rivestono carattere preliminare, non lesivo della sfera dell’ente che sar à solo in seguito destinatario delle sanzioni amministrative. Pertanto, non vi è interesse ad impugnare.

3. -Quanto al secondo motivo, esso si rivela parimenti infondato.

Censurata è la seguente parte della sentenza impugnata. Il Tribunale ha rilevato che si tratta di dati personali, ha osservato che la pubblicazione sull’albo pretorio è avvenuta sul fondamento dell’ art. 124 co. 1 d.lgs. 267/2000 (pubblicazione delle delibere per quindici giorni) e dell’ art. 32 co. 1 l. 69/2009 (sostituzione della pubblicazione cartacea con quella sui siti telematici), ha considerato che le finalità di trasparenza, conoscibilità e controllo dell’attività amministrativa sono da
bilanciare con la tutela della riservatezza, che implica la necessità, la pertinenza e la non eccedenza del riferimento alla persona ex art. 11 co. 1 lett. d) e lett. e) d.lgs. 196/2003. Quanto all’asserita violazione del termine di quindici giorni, il Tribunale ha invocato a sostegno Cass. 20615/2016, che ha accertato il carattere non perentorio di tale termine.

La censura è argomentata essenzialmente in questi termini. Il Garante ha richiamato indicazioni di carattere generale sul trattamento di dati personali da parte di soggetti pubblici per finalità di pubblicazione e diffusione sul web (cfr. le linee guida del 15/05/2014). Ha considerato che, quanto ai dati personali, in tali elenchi possono essere riportati solo quelli necessari ad individuare i soggetti interessati (nominativi e data di nascita). Il Garante osserva che non è giustificato diffondere ulteriori dati non pertinenti. Ne deduce che la sentenza è incorsa in errore nel ritenere che al caso di specie fossero estensibili i principi espressi da Cass. 20615/2016. Il punto decisivo -rimarca infine il Garante – è la sproporzionata esposizione della sfera personale dell’interessato, che deriva dalla pluriennale pubblicazione dei dati personali, a fronte di un termine di legge di due settimane.
-L’argomentazione della sentenza impugnata resiste bene alle critiche del Garante.

Nel rifarsi alle linee guida, la prima censura non coglie il bersaglio. È irrilevante sottolineare che i soggetti pubblici abilitati a pubblicare e diffondere sul web i dati devono riportare solo i dati necessari ad individuare i soggetti interessati, se non si allega specificamente che nel caso di specie il novero dei dati pubblicati abbia ecceduto quelli necessari al perseguimento del fine istituzionale.

In secondo luogo, il Tribunale ha correttamente richiamato a sostegno della propria decisione il precedente di Cass. 20615/2016. Nel caso

sotteso a tale pronuncia, alcune persone avevano convenuto in un precedente giudizio un’amministrazione comunale, la quale si era costituita in giudizio sulla base di due delibere di giunta pubblicate sul sito internet istituzionale. Ad avviso degli attori il contenuto delle delibere violava il loro diritto alla riservatezza e pertanto convenivano di nuovo in giudizio il Comune con una correlativa domanda risarcitoria, accolta dal giudice di merito . Nell’annullare la sentenza, Cass. 20615/2016 ha osservato che la pubblicazione e la divulgazione di atti che determinino una diffusione di dati personali deve ritenersi lecita qualora prevista da una norma di legge o di regolamento, quindi per le finalità istituzionali dell’ente – mentre non ha carattere perentorio il termine previsto dall’art. 124 d.lgs. 267/2000 («Tutte le deliberazioni del comune e della provincia sono pubblicate mediante pubblicazione all’albo pretorio, nella sede dell’ente, per quindici giorni consecutivi, salvo specifiche disposizioni di legge»). Ad abundantiam, a sostegno del carattere non perentorio del termine, Cass. 20615/2016 richiama il termine di cinque anni di durata della pubblicazione, previsto dall’art. 8 d.lgs. 33/2013, di riordino della disciplina riguardante il diritto di accesso civico e gli obblighi di pubblicità, trasparenza e diffusione di informazioni da parte delle pubbliche amministrazioni.
Il Garante mostra di ritenere che Cass. 20615/2016 non si attaglia, ma per dimostrarlo seleziona esattamente la parte della motivazione che è misurata sul caso sotteso a quel precedente e che è qui irrilevante. Viceversa, gli elementi rilevanti sono il fondamento legislativo del potere di pubblicazione, la necessità della pubblicazione per perseguire il fine istituzionale dell’ente, il carattere non perentorio del termine ex art. 124 d.lgs. 267/2000. Non si attaglia piuttosto Cass. 30981/2017 richiamata dal Garante. Tale pronuncia riguarda i dati
sensibili, ma il Garante non argomenta se i dati della cui pubblicazione si tratta nel caso di specie siano sensibili.

Quanto alla doglianza relativa alla violazione del principio di non eccedenza sotto il profilo della protrazione temporale della esposizione al pubblico dei dati personali (art. 11 lett. d d.lgs. 196/2003 vigente al tempo) il Garante non si confronta con il punto a tal riguardo centrale della motivazione: il Tribunale ha concluso il proprio ragionamento facendo proprio il dato emerso dalla relazione tecnica resa dal gestore del software che ha spiegato che la visibilità residua dei dati riguardanti la persona, anche dopo le segnalazioni del Garante e gli interventi eseguiti sulla piattaforma informatica (interventi sollecitati dal Comune, che attestano un atteggiamento collaborativo), fosse riferibile all’utilizzo di un meccanismo informatico, cioè la memorizzazione e l’utilizzo reiterato dell’indirizzo web (URL) della pagina pubblicata, utilizzato non da chiunque ma dal diretto interessato motivato a controllare il persistere della pubblicazione.
Né infine aiuta il Garante il finale richiamo dottrinario al fatto che «l’identità più che come dato preesistente viene vista come processo, costantemente in atto, aperto ad una pluralità di esiti e continuamente esposto all’interferenza capillare e pervasiva, delle varie forme di potere sociale». È superfluo ricordare che in tale dialettica tra la sfera della libertà e dell’ autonomia del s é e l’incidenza del potere altrui -tratto di fondo dell’evo moderno -quest’ultimo può esercitare a seconda dei casi non solo un ruolo oppressivo o limitativo, ma anche cooperativo e proattivo. Tale è il profilo che entra specificamente in gioco nel caso di specie, in cui -ferma la necessità della pubblicazione per il fine istituzionale -il Comune ha dimostrato, nell’arco del procedimento amministrativo sollecitato dalla segnalazione al Garante, un
atteggiamento cooperativo nell’adottare rimedi diretti a venire incontro al bisogno di tutela mostrato dal segnalante.

Il secondo motivo è rigettato e con ciò è rigettato il ricorso principale nel suo complesso.

5. -Quanto al ricorso incidentale, il primo motivo denuncia la mancata dichiarazione di decadenza dalle domande e dalle eccezioni ex art. 416 c.p.c. per tardività della costituzione in giudizio. Il secondo motivo denuncia, sotto il profilo dell’omesso esame circa un fatto decisivo , la determinazione del momento di accertamento della violazione quale dies a quo per il computo del termine ex art. 14 co. 2 l. 689/1981. In particolare, si censura che, pur essendo da tempo a conoscenza di tutti gli elementi necessari e utili alla valutazione, l’autorità abbia tardato notificare i provvedimenti di contestazione (si invoca Cass. 7681/2014 ove si soppesa anche l’interesse dell’autore della condotta a vedere concluso l’accertamento in tempi brevi). Il terzo motivo denuncia l’inosservanza del termine ex art. 14 co. 2 l. 689/1981. Il quarto motivo denuncia l’omesso esame circa fatto decisivo in relazione all’inosservanza del ne bis in idem nella contestazione di tante violazioni quanti sono stati i documenti pubblicati ovvero in numero pari alle segnalazioni ricevute. Il quinto motivo denuncia l’omesso esame circa fatto decisivo in relazione all’art. 8 co. 1 l. 689/1981 (« chi con un’azione od omissione viola diverse disposizioni o commette più violazioni della stessa disposizione, soggiace alla sanzione per la violazione più grave, aumentata sino al triplo»). In particolare, si fa valere che a monte vi è un’unica azione: la configurazione del software di pubblicazione on line dei provvedimenti del Comune. Il sesto motivo denuncia l’omesso esame circa fatto decisivo in relazione all’art. 3 l. 689/19 81 (« ciascuno è responsabile della propria azione od omissione, cosciente e volontaria, sia essa dolosa o colposa»), poiché il sito internet
oggetto di segnalazione non era, né era mai stato, di titolarità del Comune, né gestito dal medesimo. Il settimo motivo censura ex art. 92 la compensazione delle spese disposta per la complessità della questione.

Il ricorso incidentale riveste carattere sostanzialmente condizionato all’accoglimento del r icorso principale e rimane pertanto assorbito.

6. -È rigettato il ricorso principale, è assorbito il ricorso incidentale. Le spese secondo la soccombenza sono liquidate nel dispositivo.

P.Q.M.

La Corte rigetta il ricorso principale, dichiara assorbito il ricorso incidentale e condanna la parte ricorrente in via principale al rimborso delle spese del presente giudizio in favore della parte controricorrente, che liquida in € 4.500 , oltre a € 200 per esborsi, alle spese generali, pari al 15% sui compensi e agli accessori di legge.

Così deciso a Roma, il 3/10/2023.

La selezione delle sentenze e la raccolta delle massime di giurisprudenza è a cura di Carmine Paul Alexander TEDESCO, Avvocato a Milano, Pesaro e Benevento.

Desideri approfondire l'argomento ed avere una consulenza legale?

Prenota un appuntamento. La consultazione può avvenire in studio a Milano, Pesaro, Benevento, oppure in videoconferenza / conerence call e si svolge in tre fasi.

Prima dell'appuntamento: analisi del caso prospettato. Si tratta della fase più delicata, perché dalla esatta comprensione del caso sottoposto dipendono il corretto inquadramento giuridico dello stesso, la ricerca del materiale e la soluzione finale.

Durante l’appuntamento: disponibilità all’ascolto e capacità a tenere distinti i dati essenziali del caso dalle componenti psicologiche ed emozionali.

Al termine dell’appuntamento: ti verranno forniti gli elementi di valutazione necessari e i suggerimenti opportuni al fine di porre in essere azioni consapevoli a seguito di un apprezzamento riflessivo di rischi e vantaggi. Il contenuto della prestazione di consulenza stragiudiziale comprende, difatti, il preciso dovere di informare compiutamente il cliente di ogni rischio di causa. A detto obbligo di informazione, si accompagnano specifici doveri di dissuasione e di sollecitazione.

Il costo della consulenza legale è di € 150,00.