Albo pretorio: quando la pubblicazione dei dati personali è illecita

In sintesi. L’albo pretorio online è la sezione del sito istituzionale in cui il Comune, e gli altri enti obbligati, pubblicano gli atti per dar loro pubblicità legale: dal 2011 la pubblicazione cartacea non produce più questo effetto (art. 32 della legge 69/2009). Le deliberazioni vi restano per quindici giorni consecutivi, salvo diverse disposizioni di legge (art. 124 del d.lgs. 267/2000). Pubblicare un atto, però, non significa pubblicare tutto ciò che contiene. Il Comune ha una base giuridica per rendere conoscibile il provvedimento, ma deve oscurare i dati personali non pertinenti (art. 7-bis, comma 4, del d.lgs. 33/2013), non può mai diffondere i dati relativi alla salute (art. 2-septies, comma 8, del d.lgs. 196/2003) né i dati identificativi dei beneficiari da cui emerga una situazione di disagio economico-sociale (art. 26, comma 4, del d.lgs. 33/2013), e, secondo le Linee guida del Garante n. 243 del 15 maggio 2014, scaduto il periodo di pubblicazione deve rimuovere i dati o renderli anonimi. Quando uno di questi limiti viene superato, il trattamento è illecito. L’interessato può chiedere la cancellazione, proporre reclamo al Garante o agire davanti al giudice ordinario per il risarcimento; la Corte di giustizia dell’Unione europea, con la sentenza 14 dicembre 2023, causa C-456/22, ha escluso che la breve durata della pubblicazione basti a negare il danno, che resta comunque da provare.

Che cos’è l’albo pretorio online e a che cosa serve?

Risposta diretta. È lo spazio del sito istituzionale in cui le amministrazioni pubblicano gli atti che la legge vuole resi conoscibili a tutti. Dal 1° gennaio 2010 gli obblighi di pubblicazione di atti e provvedimenti amministrativi si assolvono con la pubblicazione sul sito, e dal 1° gennaio 2011 la pubblicazione in forma cartacea non ha più effetto di pubblicità legale (art. 32, commi 1 e 5, della legge 69/2009).

La bacheca fisica all’ingresso del municipio è stata sostituita da una pagina web. Il cambiamento sembra tecnico, ma ha trasformato la portata della pubblicazione: l’atto che un tempo poteva leggere chi entrava in Comune oggi è consultabile da chiunque, in qualunque luogo, e può essere copiato, salvato e indicizzato dai motori di ricerca. La stessa funzione giuridica – rendere conoscibile l’atto – produce effetti sulla riservatezza delle persone ben più ampi di quelli che produceva la carta.

Quali atti vengono pubblicati

All’albo compaiono atti molto diversi fra loro. Le deliberazioni della giunta e del consiglio comunale, che l’art. 124 del Testo unico degli enti locali vuole pubblicate per quindici giorni consecutivi; le determinazioni dei dirigenti; le ordinanze del sindaco; gli avvisi relativi a procedimenti che riguardano singole persone, come i depositi di atti presso la casa comunale; i bandi e gli esiti di procedure; le pubblicazioni di matrimonio, che le Linee guida del Garante ricordano essere soggette a un termine proprio di otto giorni.

Molti di questi atti riguardano persone identificate: il dipendente destinatario di un provvedimento, il cittadino con cui il Comune chiude una transazione, il creditore di un debito fuori bilancio, il beneficiario di un contributo, il destinatario di un’ordinanza. Ed è proprio lì che nasce il problema.

Pubblicità legale e trasparenza: due regimi diversi

Conviene distinguere subito due finalità che spesso si sovrappongono nello stesso sito. La pubblicità legale serve a produrre effetti giuridici – l’efficacia dell’atto, la sua conoscibilità ai fini dei termini di impugnazione, la notizia a terzi – e ha durate stabilite dalle singole norme di settore: quindici giorni per le deliberazioni, otto per le pubblicazioni matrimoniali, e così via.

La trasparenza amministrativa, disciplinata dal d.lgs. 33/2013, serve invece a rendere conoscibili l’organizzazione e l’attività dell’amministrazione, e si svolge nella sezione “Amministrazione trasparente”. Qui la durata è diversa: i dati oggetto di pubblicazione obbligatoria restano online per cinque anni decorrenti dal 1° gennaio dell’anno successivo a quello da cui decorre l’obbligo, e comunque fino a quando gli atti producono i loro effetti, fatti salvi i diversi termini previsti dalla normativa in materia di trattamento dei dati personali (art. 8, comma 3, del d.lgs. 33/2013).

Le Linee guida del Garante del 2014 insistono su questa distinzione perché è la fonte dell’errore più comune: applicare all’albo pretorio la logica della trasparenza, lasciando online per anni atti che dovevano restarvi per due settimane, oppure pubblicare integralmente in “Amministrazione trasparente” documenti per i quali la legge chiede solo alcuni elementi di sintesi.

Il Comune ha il diritto di pubblicare i dati personali?

Risposta diretta. Sì, ma solo nei limiti della norma che gli impone o gli consente di pubblicare. Per le amministrazioni la base giuridica del trattamento è costituita da una norma di legge, di regolamento o da un atto amministrativo generale (art. 2-ter, comma 1, del d.lgs. 196/2003), e la diffusione dei dati è ammessa solo quando è prevista da quelle fonti o è necessaria per il compito di interesse pubblico (art. 2-ter, comma 3).

Il regolamento (UE) 2016/679 consente il trattamento necessario per adempiere un obbligo legale o per eseguire un compito di interesse pubblico, ma rinvia al diritto degli Stati membri l’individuazione della base giuridica. Il legislatore italiano l’ha individuata nell’art. 2-ter del Codice in materia di protezione dei dati personali, e il comma 4 dello stesso articolo definisce la diffusione come il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione. La pubblicazione all’albo online è diffusione nel senso pieno del termine.

La base giuridica copre l’atto, non ogni dato

Il punto decisivo è che la norma che impone di pubblicare una deliberazione giustifica la conoscibilità dell’atto e della decisione, non la diffusione di ogni informazione personale che l’atto contiene. Una delibera che approva una transazione deve rendere conoscibile che il Comune ha transatto, per quale importo e per quale ragione; non ha bisogno, per raggiungere questo scopo, dell’indirizzo di residenza, del codice fiscale, delle coordinate bancarie o della storia personale della controparte.

È la ragione per cui la stessa pubblicazione può essere lecita nel suo nucleo e illecita nei suoi dettagli. Chi contesta una pubblicazione all’albo non deve dimostrare che l’atto non andava pubblicato: è sufficiente dimostrare che sono stati diffusi dati che, rispetto allo scopo, non servivano.

Quando la pubblicazione all’albo pretorio diventa illecita?

Risposta diretta. I profili di illiceità sono tre. Il contenuto: la pubblicazione di dati personali non pertinenti o eccedenti rispetto allo scopo. La categoria dei dati: la diffusione di dati sanitari, di dati da cui emerga il disagio economico-sociale, o di dati giudiziari non indispensabili. Il tempo: la permanenza dei dati online oltre il periodo previsto dalla legge. Ciascuno dei tre, da solo, basta a rendere illecito il trattamento.

Dati non pertinenti o eccedenti

Il principio di minimizzazione dell’art. 5, paragrafo 1, lettera c), del regolamento impone che i dati siano adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità. Per le pubblicazioni obbligatorie la regola è stata tradotta in una norma specifica: l’art. 7-bis, comma 4, del d.lgs. 33/2013 stabilisce che, nei casi in cui norme di legge o di regolamento prevedano la pubblicazione di atti o documenti, le pubbliche amministrazioni provvedono a rendere non intelligibili i dati personali non pertinenti o, se sensibili o giudiziari, non indispensabili rispetto alle specifiche finalità di trasparenza della pubblicazione.

L’obbligo grava sull’amministrazione, non sull’interessato: è il Comune che, prima di pubblicare, deve verificare quali dati servono e oscurare gli altri. Le Linee guida del Garante indicano esempi ricorrenti di dati da non diffondere: l’indirizzo di abitazione, il codice fiscale, le coordinate bancarie, la ripartizione degli assegnatari di un beneficio secondo le fasce dell’indicatore della situazione economica, le analitiche situazioni reddituali.

Un caso tipico è quello dell’atto che recepisce o allega un documento redatto per altri fini: la sentenza da cui nasce un debito fuori bilancio, la relazione di un ufficio, la corrispondenza con un privato. Il documento viene caricato integralmente, e con esso tutto ciò che contiene, anche quando lo scopo della pubblicazione richiederebbe soltanto l’indicazione della decisione presa e del suo importo.

Dati relativi alla salute: il divieto è assoluto

L’art. 2-septies, comma 8, del d.lgs. 196/2003 dispone che i dati genetici, biometrici e relativi alla salute non possono essere diffusi. Non c’è bilanciamento da fare, né finalità di trasparenza che possa giustificare l’eccezione: per questi dati la diffusione è vietata in quanto tale.

Le Linee guida del Garante precisano che il divieto riguarda qualsiasi informazione da cui si possa desumere lo stato di malattia, compreso qualsiasi riferimento a condizioni di invalidità, disabilità o handicap. Rientrano quindi nel divieto non solo le diagnosi, ma anche le indicazioni indirette: il richiamo alla legge sull’assistenza alle persone con disabilità accanto al nome del beneficiario, la qualifica di “portatore di handicap”, l’indicazione di un ricovero, il contributo erogato per l’assistenza a una specifica condizione. Un’ordinanza sindacale in materia sanitaria, un provvedimento di concessione di un ausilio, un atto relativo a un permesso per assistenza possono essere pubblicati solo nella forma che non consenta di collegare la condizione sanitaria a una persona identificabile.

Disagio economico-sociale

Un divieto specifico riguarda i provvedimenti di concessione di sovvenzioni, contributi, sussidi e vantaggi economici. L’art. 26, comma 4, del d.lgs. 33/2013 stabilisce che è esclusa la pubblicazione dei dati identificativi delle persone fisiche destinatarie di quei provvedimenti qualora da tali dati sia possibile ricavare informazioni relative allo stato di salute ovvero alla situazione di disagio economico-sociale degli interessati.

La norma è importante perché tocca atti che i Comuni adottano ogni giorno: contributi per il canone di locazione, sostegni al reddito, esenzioni, assegnazioni di alloggi, agevolazioni per famiglie in difficoltà. La trasparenza sull’uso delle risorse pubbliche si ottiene rendendo conoscibili i criteri, gli importi complessivi, il numero dei beneficiari; non rendendo noto a tutto il paese chi si trova in condizione di bisogno.

Dati giudiziari

I dati relativi a condanne penali e reati possono essere trattati solo sotto il controllo dell’autorità pubblica o se il trattamento è autorizzato da una norma che preveda garanzie appropriate (art. 10 del regolamento). Per le pubblicazioni obbligatorie, l’art. 7-bis, comma 4, del d.lgs. 33/2013 impone di oscurarli quando non sono indispensabili rispetto alla finalità della pubblicazione: un criterio più severo della semplice pertinenza. La menzione di un procedimento penale a carico di una persona in una delibera che riguarda altro – per esempio un contenzioso civile o un rapporto di lavoro – è raramente indispensabile.

Oltre i quindici giorni

Il terzo profilo è temporale. Le deliberazioni del Comune restano all’albo per quindici giorni consecutivi, salvo specifiche disposizioni di legge (art. 124, comma 1, del d.lgs. 267/2000). Le Linee guida del Garante leggono questo termine come il limite temporale della diffusione dei dati personali contenuti nell’atto: scaduto il periodo, l’ente non può continuare a diffonderli e deve rimuoverli dal web o privarli degli elementi identificativi degli interessati, salvo che il documento sia soggetto a un distinto obbligo di trasparenza con una durata propria.

Il fondamento è il diritto all’oblio: la pubblicità legale ha una funzione che si esaurisce nel tempo previsto dalla legge, e oltre quel tempo la presenza del nome di una persona in un atto consultabile da chiunque non risponde più ad alcuna esigenza pubblica. L’archivio degli atti, naturalmente, può essere conservato; ma la consultazione, secondo le indicazioni del Garante, deve avvenire con modalità che non comportino la diffusione indiscriminata dei dati, oppure su documenti resi anonimi.

Nella pratica è il profilo che si verifica più spesso e che si prova più facilmente: molti siti conservano per anni, nella sezione “albo storico” o in archivi consultabili liberamente, gli atti a suo tempo pubblicati, con i dati personali integri.

L’indicizzazione nei motori di ricerca

Un aspetto connesso riguarda i motori di ricerca. Un atto pubblicato all’albo e indicizzato da un motore generalista diventa rintracciabile digitando il nome della persona, e può restare nei risultati anche dopo che la pagina originale è stata rimossa. Le Linee guida del Garante indicano, per i dati sensibili e giudiziari, l’adozione di accorgimenti tecnici che impediscano l’indicizzazione – i metatag noindex e noarchive o il file robots.txt – e, più in generale, invitano a evitare che la consultazione degli atti di pubblicità legale avvenga attraverso i motori di ricerca esterni.

Per l’interessato ne derivano due conseguenze. La prima: il danno può essere amplificato dall’indicizzazione, perché il dato raggiunge chi cerca quella persona per ragioni del tutto estranee all’atto, come un potenziale datore di lavoro. La seconda: la rimozione dal sito del Comune può non bastare, e può essere necessario chiedere anche la deindicizzazione ai gestori dei motori di ricerca.

Quali sono i casi più frequenti?

Risposta diretta. Le situazioni che si incontrano più spesso sono le delibere con allegati integrali, gli atti di concessione di contributi con i nomi dei beneficiari, i provvedimenti che rivelano condizioni sanitarie e gli atti rimasti online per anni oltre il termine di pubblicazione. Gli esempi che seguono sono costruiti a scopo illustrativo.

La delibera che allega tutto

Una giunta comunale approva il riconoscimento di un debito fuori bilancio derivante da una sentenza di condanna ottenuta da un privato. La delibera richiama la sentenza e la allega integralmente: nel documento pubblicato compaiono il nome della persona, la sua residenza, la vicenda che l’ha portata in giudizio, magari dettagli sulla sua situazione familiare o lavorativa. La pubblicazione della delibera è dovuta; la pubblicazione dei dati eccedenti contenuti nell’allegato no.

Il contributo che rivela il bisogno

Un Comune approva l’elenco dei beneficiari di un contributo destinato a nuclei familiari in condizione di difficoltà economica e lo pubblica con nomi e cognomi. Chiunque consulti l’albo apprende chi, in quella comunità, ha chiesto e ottenuto un sostegno. È esattamente l’ipotesi che l’art. 26, comma 4, del d.lgs. 33/2013 esclude.

Il provvedimento che rivela la malattia

Un’ordinanza o una determinazione relativa a un intervento sanitario, all’assegnazione di un servizio di assistenza o a un permesso collegato a una disabilità viene pubblicata con i dati identificativi della persona. Anche se il provvedimento non indica la diagnosi, il solo riferimento alla condizione di invalidità basta a integrare la diffusione di un dato relativo alla salute, vietata dall’art. 2-septies, comma 8, del Codice.

L’atto che non scade mai

Una delibera di qualche anno prima, che riguardava una controversia fra il Comune e un cittadino, è ancora consultabile nell’archivio dell’albo e compare fra i primi risultati quando si cerca il nome di quella persona. Il periodo di pubblicità legale si è esaurito da tempo; la diffusione dei dati prosegue senza alcuna base giuridica.

Il dipendente e il procedimento disciplinare

Un atto relativo a un procedimento disciplinare, a una sospensione o a un contenzioso di lavoro con un dipendente viene pubblicato con i dettagli della contestazione. La decisione dell’ente può dover essere conoscibile; i fatti addebitati alla persona, i suoi dati sanitari eventualmente richiamati, le vicende che l’hanno coinvolta di regola no.

La breve durata della pubblicazione esclude il danno?

Risposta diretta. No. La Corte di giustizia dell’Unione europea, con la sentenza 14 dicembre 2023, causa C-456/22, VX e AT contro Gemeinde Ummendorf, ha stabilito che il risarcimento del danno immateriale non può essere subordinato al superamento di una soglia minima di gravità, in un caso in cui un Comune aveva pubblicato per pochi giorni sul proprio sito documenti contenenti nome, cognome e indirizzo di due persone.

Il caso è quanto di più vicino esista, nella giurisprudenza europea, alle vicende dell’albo pretorio. Un Comune tedesco aveva pubblicato sulla home page del proprio sito l’ordine del giorno di una seduta del consiglio comunale e una sentenza amministrativa in cui comparivano nominativamente i due interessati, con il loro indirizzo. I documenti erano rimasti accessibili per un periodo breve. La Corte ha affermato che l’art. 82 del regolamento osta a una giurisprudenza nazionale che neghi il risarcimento del danno immateriale per il solo fatto che la pubblicazione è durata poco o che il pregiudizio non raggiunge una certa gravità.

Ma il danno va comunque provato

La stessa sentenza, nel solco di quella del 4 maggio 2023, causa C-300/21, UI contro Osterreichische Post AG, ha ribadito che l’interessato deve dimostrare che la violazione gli ha causato un danno: la mera violazione del regolamento non è sufficiente a fondare il diritto al risarcimento. Occorrono tre elementi – la violazione, il danno, il nesso causale – e nessuno dei tre si presume.

È la trappola in cui cadono molte domande. Dimostrare che il Comune ha pubblicato dati che non doveva pubblicare è spesso semplice: basta la copia della pagina. Ma se la domanda si ferma lì, il giudice non ha elementi per liquidare nulla. La giurisprudenza interna era arrivata alla stessa conclusione per i diritti della personalità: secondo Cass. civ., sez. III, ord., 26 ottobre 2017, n. 25420, il danno non è in re ipsa, perché il danno risarcibile coincide con le conseguenze della lesione, che devono essere allegate e provate, anche per presunzioni.

Che cosa deve provare chi chiede il risarcimento?

Risposta diretta. Chi agisce deve provare la pubblicazione illecita, il danno subito e il collegamento fra i due. Non deve provare la colpa del Comune: l’art. 82, paragrafo 3, del regolamento esonera il titolare solo se dimostra che l’evento dannoso non gli è in alcun modo imputabile, prova che nel caso di una pubblicazione voluta è molto difficile da fornire.

La prova della pubblicazione

La prima cosa da fare, prima ancora di chiedere la rimozione, è documentare la pubblicazione: la pagina dell’albo con l’indirizzo web, la data e il numero di registro della pubblicazione, il documento scaricato, i risultati del motore di ricerca che rimandano all’atto. Una copia fatta in modo accurato – con data e ora visibili – e, nei casi più rilevanti, un’acquisizione certificata evitano che la successiva rimozione cancelli anche la prova. Il numero di registro dell’albo e le date di inizio e fine della pubblicazione, che i sistemi degli enti riportano di regola sull’atto, servono a dimostrare se la permanenza online è andata oltre il termine.

La prova del danno per presunzioni

Il danno immateriale da diffusione di dati si prova quasi sempre per presunzioni, e gli elementi da allegare sono quelli che rendono concreto il pregiudizio. La natura dei dati: un’informazione sanitaria o una condizione di bisogno economico pesano diversamente da un indirizzo. La platea: in un piccolo Comune l’albo è letto da persone che conoscono l’interessato, e la conoscenza del dato da parte dei vicini, dei colleghi, dei conoscenti ha un impatto particolare. La durata e l’indicizzazione: un atto rimasto per anni fra i risultati di ricerca del proprio nome ha avuto una diffusione molto maggiore di uno rimasto online per due settimane. Le conseguenze concrete: commenti, domande, mutamenti nei rapporti, disagio documentato, iniziative intraprese per limitare il danno.

La giurisprudenza di legittimità in materia di lesione della reputazione ha indicato criteri presuntivi che si adattano bene anche a queste vicende: la diffusione dello scritto, la rilevanza dell’offesa e la posizione della persona (Cass. civ., sez. III, ord., 26 ottobre 2017, n. 25420). Lo ha ribadito Cass. civ., sez. VI-3, ord., 31 marzo 2021, n. 8861: il pregiudizio all’onore e alla reputazione non è in re ipsa e va allegato e provato, anche per presunzioni, assumendo come parametri di riferimento la diffusione dello scritto, la rilevanza dell’offesa e la posizione sociale della vittima. Il principio è lo stesso: l’illecito accertato non si traduce da solo in un risarcimento, ma gli elementi da cui ricavare il danno per presunzioni vanno offerti al giudice.

Il ruolo del Garante nella prova

Un provvedimento del Garante che abbia accertato l’illiceità della pubblicazione non vincola il giudice civile, ma è un elemento di prova di grande peso sulla violazione. Anche la risposta del Comune alla richiesta di rimozione può essere utile: il riconoscimento dell’errore, la rimozione immediata, oppure, al contrario, il rifiuto o l’inerzia sono circostanze che il giudice valuta.

Chi risponde del danno?

Risposta diretta. Risponde il Comune come titolare del trattamento. Non il dipendente che ha caricato l’atto, né il fornitore del software dell’albo, salvo che quest’ultimo, come responsabile del trattamento, abbia violato gli obblighi a suo carico o le istruzioni ricevute (art. 82, paragrafo 2, del regolamento).

Il titolare è il soggetto che determina finalità e mezzi del trattamento: per l’albo pretorio è l’ente che pubblica. Le scelte organizzative – chi controlla gli atti prima della pubblicazione, quali accorgimenti tecnici si adottano per la scadenza e per l’indicizzazione – sono sue, e ne risponde verso l’interessato. Se più soggetti hanno concorso al danno, ciascuno risponde per l’intero, salvo il regresso interno (art. 82, paragrafi 4 e 5).

Ogni ente pubblico è tenuto a designare un responsabile della protezione dei dati, i cui contatti devono essere pubblicati, e gli interessati possono rivolgersi a lui per tutte le questioni relative al trattamento dei loro dati (artt. 37 e 38 del regolamento). È spesso l’interlocutore più rapido per ottenere la rimozione.

Come si chiede la rimozione dei dati dall’albo pretorio?

Risposta diretta. Con una richiesta scritta di cancellazione ai sensi dell’art. 17 del regolamento, indirizzata al Comune come titolare del trattamento e, per conoscenza, al responsabile della protezione dei dati. Il Comune deve fornire riscontro senza ingiustificato ritardo e comunque entro un mese dal ricevimento, termine prorogabile di due mesi nei casi complessi, dandone comunicazione (art. 12, paragrafo 3, del regolamento).

Che cosa scrivere

La richiesta è tanto più efficace quanto più è precisa. Deve individuare l’atto (tipo, numero, data, numero di registro dell’albo, indirizzo della pagina), indicare i dati personali di cui si chiede la rimozione o l’oscuramento, spiegare perché la loro diffusione è illecita – dati eccedenti, dati sanitari, disagio economico, pubblicazione oltre il termine – e chiedere che l’ente adotti anche gli accorgimenti per evitare l’indicizzazione. Conviene inviarla con un mezzo che ne documenti la ricezione, come la posta elettronica certificata, e riservare espressamente ogni ulteriore iniziativa, compresa la domanda di risarcimento.

Non sempre occorre chiedere la rimozione dell’intero atto. Quando la pubblicazione è ancora nel termine e l’atto deve restare conoscibile, la richiesta corretta è l’oscuramento dei soli dati eccedenti o vietati, con la sostituzione del documento pubblicato. Quando il termine è scaduto, la richiesta riguarda la rimozione dei dati dal web o la loro anonimizzazione.

La deindicizzazione dai motori di ricerca

Se l’atto compare nei risultati dei motori di ricerca, la rimozione dal sito del Comune e l’adozione dei metatag di esclusione portano, con i tempi di aggiornamento dei motori, alla scomparsa dei risultati. Quando il risultato persiste, l’interessato può rivolgersi direttamente al gestore del motore di ricerca con la richiesta di deindicizzazione, attraverso le procedure che i principali motori mettono a disposizione, e, in caso di rifiuto, al Garante.

Prima la prova, poi la rimozione

L’ordine delle operazioni conta. La richiesta di rimozione, se accolta rapidamente, fa sparire la pagina: chi non l’ha documentata prima rischia di non poter più dimostrare né il contenuto, né la durata della pubblicazione. La sequenza prudente è sempre la stessa: acquisire la prova, inviare la richiesta, conservare la risposta del Comune.

Reclamo al Garante o giudice ordinario?

Risposta diretta. Sono due strade alternative per lo stesso oggetto e tra le stesse parti (artt. 140-bis e 152 del d.lgs. 196/2003). Il reclamo al Garante (art. 77 del regolamento) porta all’accertamento dell’illecito, all’ordine di rimozione e, se del caso, a una sanzione a carico dell’ente, ma non al risarcimento. Il ricorso al tribunale ordinario è l’unica sede in cui si ottiene la liquidazione del danno.

Il reclamo al Garante

Il reclamo è gratuito, non richiede l’assistenza di un avvocato ed è lo strumento adatto quando l’obiettivo principale è far cessare la diffusione e far accertare la violazione. Il Garante dispone di poteri correttivi – può ordinare di conformare il trattamento, di limitarlo, di cancellare i dati – e sanzionatori; nei confronti degli enti locali che hanno pubblicato dati eccedenti o oltre i termini è intervenuto a più riprese.

Il giudice competente non è il TAR

Quando si chiede il risarcimento a un Comune, l’istinto è pensare al giudice amministrativo. È un errore. L’art. 152 del Codice attribuisce all’autorità giudiziaria ordinaria tutte le controversie che riguardano l’applicazione della normativa sulla protezione dei dati personali, compreso il diritto al risarcimento del danno ai sensi dell’art. 82 del regolamento, anche quando il titolare è una pubblica amministrazione.

La causa si introduce con ricorso e segue il rito del lavoro (art. 10 del d.lgs. 150/2011). È competente, a scelta, il tribunale del luogo in cui il titolare ha sede o quello del luogo di residenza dell’interessato. La sentenza può prescrivere le misure necessarie anche in deroga al divieto per il giudice ordinario di annullare o modificare gli atti amministrativi, e disporre il risarcimento del danno. Non è appellabile: resta il ricorso per cassazione. Poiché nel rito del lavoro le prove vanno indicate fin dall’atto introduttivo, la documentazione della pubblicazione e gli elementi presuntivi del danno vanno raccolti prima di depositare il ricorso.

Una sequenza frequente

Le due strade non si possono percorrere contemporaneamente per lo stesso oggetto, ma possono susseguirsi in modo ragionato: la richiesta di rimozione al Comune, l’eventuale reclamo al Garante per ottenere l’accertamento e la cessazione del trattamento e, una volta concluso quel procedimento, la valutazione dell’azione risarcitoria davanti al giudice, con il provvedimento del Garante come elemento di prova. La scelta va fatta caso per caso, tenendo conto dell’obiettivo e del rapporto fra gli oggetti delle due iniziative.

Come si liquida il danno?

Risposta diretta. In via equitativa e con funzione esclusivamente compensativa. La Corte di giustizia, con la sentenza 25 gennaio 2024, causa C-687/21, ha chiarito che il risarcimento dell’art. 82 non ha funzione punitiva o dissuasiva: deve ristorare integralmente il danno subito, senza che la gravità della violazione commessa dall’ente ne aumenti l’importo.

Nel diritto interno il danno non patrimoniale si liquida secondo equità (artt. 1226 e 2056 del codice civile), sulla base degli stessi elementi che ne fondano la prova: natura dei dati, ampiezza e qualità della platea, durata della diffusione e indicizzazione, conseguenze documentate, condotta dell’ente dopo la segnalazione. Per orientare la valutazione i giudici ricorrono a parametri tabellari, che secondo Cass. civ., sez. III, ord., 2 dicembre 2021, n. 38077 costituiscono per il giudice di merito un riferimento o un criterio di riscontro della liquidazione, dal quale può discostarsi solo motivando.

Non esistono importi predeterminati, e sarebbe scorretto indicarne. Le somme riconosciute nella casistica dipendono interamente dagli elementi del caso concreto e da come sono stati provati. Le regole generali sono illustrate nella guida sul risarcimento del danno alla reputazione, che apre questo percorso.

Quali termini vanno rispettati?

Risposta diretta. Il diritto al risarcimento del danno si prescrive, di regola, in cinque anni (art. 2947 del codice civile). La richiesta di cancellazione e il reclamo al Garante non sono soggetti a un termine di decadenza, ma il tempo che passa rende più difficile la prova e prolunga il pregiudizio.

Quando l’atto è ancora online la diffusione illecita è in corso, e la richiesta di rimozione può essere presentata in ogni momento. Il problema pratico, come in tutta la materia, non è tanto la prescrizione quanto la dispersione della prova: le pagine vengono aggiornate, gli archivi riorganizzati, i testimoni ricordano meno. Chi scopre che i propri dati compaiono in un atto dell’albo fa bene a documentarlo subito, anche se decide di valutare con calma le iniziative successive.

Gli errori da evitare

Risposta diretta. Gli errori più frequenti sono tre: contestare la pubblicazione dell’atto in sé, quando il problema sono i dati eccedenti; chiedere la rimozione prima di averla documentata; considerare il danno automatico e trascurarne la prova.

Il primo errore porta a contestazioni destinate a essere respinte. Il Comune ha l’obbligo di pubblicare le proprie deliberazioni, e la presenza di un nome in un atto non è di per sé illecita: quando la persona è parte del rapporto che l’atto regola, la sua identificazione può essere necessaria. La contestazione efficace individua con precisione quale dato non doveva comparire, o da quando non doveva più comparire.

Il secondo errore è di ordine pratico, e si commette in buona fede: la rimozione ottenuta in pochi giorni cancella la pagina e con essa la prova della sua esistenza, del suo contenuto e della sua durata.

Il terzo errore è il più costoso. Dopo le sentenze della Corte di giustizia e l’orientamento della Cassazione sul danno non patrimoniale, una domanda che descrive con cura la violazione e dedica una riga al danno non supera il vaglio del giudice. La violazione apre la strada; è la prova delle conseguenze che la percorre.

Domande frequenti (FAQ)

Per quanto tempo una delibera resta pubblicata all’albo pretorio? Per quindici giorni consecutivi, salvo specifiche disposizioni di legge (art. 124 del d.lgs. 267/2000). Secondo le Linee guida del Garante n. 243 del 15 maggio 2014, scaduto il termine l’ente non può continuare a diffondere i dati personali contenuti nell’atto: deve rimuoverli o renderli anonimi, salvo che il documento sia soggetto a un distinto obbligo di trasparenza.

Il Comune può pubblicare tutto quello che c’è in una delibera? No. Anche quando la pubblicazione è obbligatoria, l’art. 7-bis, comma 4, del d.lgs. 33/2013 impone di rendere non intelligibili i dati personali non pertinenti o, se sensibili o giudiziari, non indispensabili rispetto alle finalità della pubblicazione. Vale il principio di minimizzazione dell’art. 5 del regolamento (UE) 2016/679.

All’albo pretorio possono comparire dati sulla salute? No. L’art. 2-septies, comma 8, del d.lgs. 196/2003 vieta la diffusione dei dati relativi alla salute, e l’art. 26, comma 4, del d.lgs. 33/2013 esclude la pubblicazione dei dati identificativi dei beneficiari di contributi quando se ne possano ricavare informazioni sullo stato di salute o sul disagio economico-sociale.

Se la pubblicazione è durata pochi giorni c’è comunque un danno risarcibile? Può esserci. Con la sentenza 14 dicembre 2023, causa C-456/22, la Corte di giustizia ha escluso che il risarcimento del danno immateriale possa essere subordinato a una soglia minima di gravità, in un caso di dati pubblicati per pochi giorni sul sito di un Comune. Il danno però non è automatico: va allegato e provato, anche per presunzioni.

Come si chiede al Comune di togliere i dati dall’albo pretorio? Con una richiesta scritta di cancellazione ai sensi dell’art. 17 del regolamento, rivolta al Comune e, per conoscenza, al suo responsabile della protezione dei dati. Il Comune deve rispondere senza ingiustificato ritardo e comunque entro un mese (art. 12, paragrafo 3). Prima della richiesta conviene conservare copia della pagina pubblicata.

Per il risarcimento contro il Comune si va al TAR? No. Le controversie sulla protezione dei dati personali, compreso il risarcimento, spettano al giudice ordinario anche quando il titolare è una pubblica amministrazione (art. 152 del d.lgs. 196/2003) e seguono il rito del lavoro (art. 10 del d.lgs. 150/2011). In alternativa, per la cessazione del trattamento e l’accertamento dell’illecito, si può proporre reclamo al Garante.

Letture consigliate

• Risarcimento del danno alla reputazione: quando spetta, come si prova e come si calcola – la guida generale del percorso: diffamazione, trattamento illecito dei dati e regole di liquidazione.
• Diffusione illecita dei dati personali: quando la violazione della privacy si risarcisce – lo schema comune a tutte le ipotesi: comunicazione e diffusione, prova del danno, Garante o giudice.
• Moroso additato: l’esposizione in condominio e la segnalazione al datore di lavoro – la situazione debitoria resa nota a chi non doveva conoscerla, nel condominio e sul posto di lavoro.
• Commenti diffamatori e recensioni denigranti online: rimozione, diffida e risarcimento – quando la diffusione online si accompagna all’offesa, e come si chiede la rimozione dei contenuti.
• Annullamento della graduatoria in autotutela: che effetti ha su vincitori e idonei – gli atti delle procedure pubbliche che riguardano singole persone e le loro conseguenze.

Ultimo aggiornamento: settembre 2026. Guida aggiornata a settembre 2026.

Questo articolo ha finalità informativa e non costituisce parere legale. Ogni situazione va valutata nel caso concreto. Per una valutazione del proprio caso è possibile richiedere un appuntamento presso lo Studio.

Questo articolo è stato redatto con l’ausilio di un sistema di intelligenza artificiale. Segnalazioni: info@studiolegalemondello.it