L’oscuramento dei dati personali è competenza della legge o dell’autorità giudiziaria (non in via generalizzata del gestore dei servizi informatici)

Massima

In tema di  divulgazione all'esterno, per scopi di informazione giuridica, delle pronunce giudiziarie, al fine di realizzare il necessario bilanciamento tra l'esigenza di riservatezza del singolo con il principio di generale conoscibilità dei provvedimenti giurisdizionali e del contenuto integrale delle sentenze, l'oscuramento dei dati personali delle parti, presenti in tutti i procedimenti civili pubblicati nella banca dati, non può essere effettuato in maniera generalizzata dell'amministrazione della giustizia, nella qualità di gestore dei servizi informatici.

Il caso

Il Ministero della Giustizia, nell'ambito di una milestone del piano nazionale di ripresa e resilienza (Pnrr), ha realizzato una nuova banca dati contenente tutte le pronunce dei tribunali di merito, a partire dall'anno 2016, articolata in una banca dati riservata, accessibile solamente ai magistrati e recante i provvedimenti in versione integrale, ed una banca dati pubblica accessibile a chiunque, tramite autenticazione col sistema pubblico d'identità digitale (Spid), ovvero analoghi mezzi (carta d'identità elettronica – Cie – o carta nazionale dei servizî – Cns), in cui i provvedimenti pubblicati risultano anonimizzati, ossia con i nomi delle parti e le date oscurati; i ricorrenti impugnano il provvedimento con cui è stata disposta la costituzione delle due banche dati con oscuramento dei dati nei provvedimenti accessibili agli avvocati e contestuale dismissione delle banche dati precedentemente attive, lamentando che la nuova banca dati, attesa la massiva anonimizzazione  dei nomi delle parti (persone fisiche e giuridiche) e delle date (ivi comprese quelle del provvedimento, ovvero quelle delle sentenze citate), risulterebbe di fatto inutilizzabile, non consentendo l'esatta definizione della vicenda fattuale su cui si fonda il ragionamento giuridico contenuto nel provvedimento giudiziario e, dunque, l'effettiva comprensione dell'atto.

Con la sentenza in commento il T.a.r. ha accolto in parte qua il ricorso, ritenendo contraria al disposto degli artt. 51 e 52 d.lgs. 196/2003 la decisione dell'amministrazione della giustizia di oscurare in maniera generalizzata i dati personali delle parti presenti in tutti i procedimenti civili pubblicati nella banca dati, a prescindere dalla sussistenza di un ordine di oscuramento adottato dall'Autorità giudiziaria.

La questione

Com'è noto, il Regolamento (UE) n. 679/2016 del 27 aprile 2016 (GDPR), direttamente applicabile in tutti gli Stati membri dal 25 maggio 2018, ha innalzato i livelli di protezione dei dati personali e responsabilizzato i titolari dei trattamenti, prevedendo nuovi obblighi e più severe sanzioni.

In particolare, l'art. 9 par. 1 del GDPR, ha sancito il generale divieto del trattamento dei dati che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l'appartenenza sindacale, nonché dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona, prevedendo, peraltro, espressamente, al par. 2, lett. f, che tale divieto non si applichi, qualora il trattamento di tali dati sia necessario, tra l'altro, «per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria».

Con particolare riferimento al trattamento dei dati per ragioni di giustizia, l'art. 51 del decreto legislativo 30 giugno 2003, n. 196, stabilisce a sua volta che «i dati identificativi delle questioni pendenti dinanzi all'autorità giudiziaria di ogni ordine e grado sono resi accessibili a chi vi abbia interesse anche mediante reti di comunicazione elettronica, ivi compreso il sito istituzionale della medesima autorità nella rete Internet» e che «le sentenze e le altre decisioni dell'autorità giudiziaria di ogni ordine e grado depositate in cancelleria o segreteria sono rese accessibili anche attraverso il sistema informativo e il sito istituzionale della medesima autorità nella rete Internet», sia pure osservando le cautele ed i limiti previsti nel successivo art. 52, e dunque salvi i casi in cui sia stata disposto o debba comunque procedersi all'oscuramento dei dati come per legge.

Al fine di realizzare il necessario bilanciamento tra l'esigenza di riservatezza del singolo con il principio di generale conoscibilità dei provvedimenti giurisdizionali e del contenuto integrale delle sentenze, dunque, gli artt. 51 e 52 del d.lgs 196/2003 riconoscono la generale liceità e necessità della divulgazione all'esterno, anche per scopi di informazione giuridica, delle pronunce giudiziarie, sia pure osservando le cautele ed i limiti previsti nel menzionato art. 52; tale norma prevede in effetti due diverse ipotesi in cui si deve procedere all'oscuramento dei dati personali trattati nella sentenza, più precisamente un'ipotesi di oscuramento “obbligatorio”, previsto dai commi 5 e 2, e l'ipotesi residuale prevista dai commi 1 e ss della norma in questione, in cui l'interessato può chiedere per motivi legittimi, prima che sia definito il relativo grado di giudizio, che sia apposta a cura della cancelleria o segreteria, sull'originale della sentenza o del provvedimento, un'annotazione volta a precludere, in caso di riproduzione della sentenza o provvedimento in qualsiasi forma, l'indicazione delle generalità e di altri dati identificativi del medesimo interessato riportati sulla sentenza o provvedimento.

Tanto premesso, nella fattispecie in commento, si affronta la questione dei limiti entro i quali l'amministrazione incaricata della raccolta in una banca dati dei provvedimenti giudiziari, possa eventualmente sostituirsi all'autorità giudiziaria nella valutazione circa la necessità di anonimizzazione dei provvedimenti in essa pubblicati.

Le soluzioni giuridiche

Nella pronuncia in commento il T.a.r. evidenzia come la disciplina positiva prevede, in linea generale, la possibilità della pubblicazione delle pronunce e dell'accessibilità delle stesse a tutti mediante un sistema informativo istituzionale, purchè la diffusione -ivi compresa quindi anche la pubblicazione in una banca dati accessibile alla generalità dei cittadini-, avvenga con oscuramento dei dati personali nelle ipotesi previste dalla legge, ossia su richiesta della parte interessata per motivi legittimi (art. 52, comma 1 d.lgs. 196/2003), oppure d'ufficio allorquando ciò risulti necessario per tutelare i diritti e la dignità dell'interessato (secondo comma), ovvero per i procedimenti coinvolgenti rapporti di famiglia, di stato delle persone ovvero minorenni (quinto comma), ove è direttamente la legge a vietare la diffusione dei dati personali; nella sentenza in parola si afferma pertanto che, al di là delle ipotesi in cui è la legge stessa a vietare la diffusione dei dati personali, le norme rimettono alla sola autorità giudiziaria procedente la decisione sul disporre o meno l'oscuramento, ammettendo, per contro, espressamente la diffusione del contenuto integrale delle pronunce giurisdizionali (art. 51, comma 2 e art. 52, comma 7 d.lgs 196/2003), in assenza di determinazione del giudice.

Secondo il T.a.r., infatti, la corretta lettura del comma 7 dell'art. 52 citato non lascerebbe al gestore della banca dati alcun margine di valutazione in ordine alla concreta individuazione dello standard di tutela dei dati personali trattati negli atti giurisdizionali; a tale conclusione il Giudice perviene sulla base della considerazione per cui il principio di pubblicità espresso dall'art. 6 Cedu (e implicitamente affermato anche dall'art. 111 Cost.), debba operare anche oltre l'istante della celebrazione dell'udienza, involvendo anche (e soprattutto) la sentenza, la quale deve essere di regola resa disponibile in maniera integrale al pubblico, al fine di garantire quegli obiettivi indicati dalla Corte europea dei diritti dell'uomo quali la «la fiducia nelle corti e nei tribunali da parte della collettività», evitandosi una «una giustizia segreta, sottratta al controllo del pubblico».

Da ciò consegue che il concreto bilanciamento tra l'esigenza di riservatezza del singolo con il principio di generale conoscibilità dei provvedimenti giurisdizionali e del contenuto integrale delle sentenze debba essere operato in concreto, caso per caso, esclusivamente dall'autorità giudiziaria procedente e non anche in via generalizzata dal gestore della banca dati, considerato che il riconoscimento di una tale facoltà in capo al gestore della banca dati finirebbe anche per interferire in parte qua con una decisione attribuita all'autorità giudiziaria, a maggior ragione allorquando la massiva anonimizzazione  dei nomi delle parti (persone fisiche e giuridiche) e delle date (ivi comprese quelle del provvedimento, ovvero quelle delle sentenze citate), non consentendo l'esatta definizione della vicenda fattuale su cui si fonda il ragionamento giuridico e dunque l'effettiva comprensione dell'atto, finisca di fatto per impedire la fruizione dei contenuti della banca dati, rendendo, in tutto o in parte, inintellegibili i provvedimenti, vanificando così la funzione di pubblicità e di conoscenza dei provvedimenti giudiziari pubblicati.

Osservazioni

I rapporti tra tutela della riservatezza e principio di pubblicità delle pronunce giudiziarie, con il connesso tema dell'oscuramento delle sentenze pubblicate nei siti istituzionali delle Autorità giudiziarie e nelle banche dati di informazione giuridica, è oggetto di continuo approfondimento da parte della giurisprudenza.

Di recente la Cassazione ha, ad esempio, ribadito come l'oscuramento ad istanza di parte dei dati personali ex art. 52, comma 1, d.lgs. n. 196 del 2003 costituisce eccezione alla regola della pubblicità dei provvedimenti giurisdizionali, sancita dall'art. 51, comma 2, dello stesso testo normativo, la quale trova a suo volta fondamento nei principi del giusto processo ex artt. 6 CEDU e 111 Cost., rappresentando la pubblicità sia un elemento organizzativo delle attività processuali a garanzia degli interessi fondamentali delle parti (soprattutto nel settore penale), sia un elemento di controllo esterno sull'operato delle corti a tutela di interessi di carattere meta-individuale, come la trasparenza e l'imparzialità delle procedure giudiziarie (nella specie, la S.C. ha rigettato l'istanza, proposta in un giudizio avente ad oggetto un contratto di affitto di azienda, non ravvisando, in ragione della natura della causa petendi e del tenore delle difese, la necessità di salvaguardare l'interesse alla riservatezza delle parti a scapito dell'interesse pubblicistico alla pubblicità delle decisioni giurisdizionali) (Cass. Civ. sez. III, 21 marzo 2025, n.7558); in un altro caso, sempre in tema di diritto all'anonimato nella riproduzione di provvedimenti giurisdizionali per finalità di informazione giuridica, la suprema Corte, nel rigettare l'istanza di oscuramento dei dati in quanto, in difetto di elementi in ricorso sulla natura della causa petendi , la materia della controversia non poteva, di per sé, definirsi sensibile, né caratterizzata in re ipsa da particolare delicatezza, ha osservato che i motivi legittimi, richiesti dall' art. 52, comma 1, del d.lgs. n. 196 del 2003 per l'accoglimento della domanda di oscuramento dei dati personali presentata dall'interessato, devono intendersi quali motivi opportuni. (Cass. Civ., sez. III , 23 gennaio 2025 , n. 1697).

L'innovatività della pronuncia oggetto del presente commento risiede nel fatto che il T.a.r. ha escluso espressamente qualsivoglia possibilità, per l'amministrazione giudiziaria, nella qualità di gestore dei servizi informatici, di operare oscuramenti generalizzati dei provvedimenti giudiziari presenti nella banca dati da essa gestita, oltre ed al di là dei casi in cui il medesimo è stato disposto dall'Autorità giudiziaria all'uopo competente.

Orbene, se la sentenza in commento è senz'altro condivisibile nella parte in cui esclude l'anonimizzazione massiva dei provvedimenti da pubblicare in banca dati da parte dell'amministrazione, nella qualità di gestore dei servizi informatici, potendo la stessa effettivamente vanificare la regola della pubblicità dei provvedimenti giurisdizionali, oltre a travalicare i limiti stessi entro cui la normativa nazionale e unionale impone la tutela dei dati personali, la stessa pronuncia merita una riflessione aggiuntiva ove la si interpretasse come applicabile anche alle residue ipotesi in cui l'Autorità giudiziaria procedente, per qualsiasi motivo, non abbia disposto l'oscuramento dei dati nei casi di oscuramento cd “obbligatorio”; ed invero, in tali ipotesi, ferma la responsabilità dei singoli magistrati per avere omesso di disporre l'oscuramento nei casi in cui lo stesso sia obbligatorio per legge, non può escludersi in assoluto alcuna residua responsabilità del titolare della banca dati per avere comunque consentito la diffusione del provvedimento in versione integrale, al di fuori dei casi in cui ciò è consentito dalla legge stessa.

Non a caso, con riferimento alla Giustizia Amministrativa, già da tempo la FAQ n. 7 pubblicata sul sito istituzionale in tema di “Adempimenti in materia di Privacy e pubblicazione delle sentenze online”, prevede la residuale competenza del Segretario Generale della Giustizia amministrativa, responsabile del sito istituzionale, e per esso delle Segreterie, ad effettuare l'oscuramento, per tutte le ipotesi di “oscuramento obbligatorio”, ( dunque senza operare alcuna distinzione tra i casi di oscuramento d'ufficio e quelli di oscuramento ex lege), anche nelle ipotesi in cui, per qualsiasi ragione, l'oscuramento stesso non sia stato disposto in sentenza. Tale previsione si spiega proprio in virtù del fatto che, nei casi di oscuramento obbligatorio non espressamente disposto dal Giudice che procede, la competenza  a disporre comunque l'oscuramento torna in capo al Segretario Generale responsabile del sito istituzionale in quanto soggetto amministrativo che detiene il dato e pone in essere il trattamento ed al quale pertanto, in tal caso, può essere presentata anche la c.d. “istanza di oscuramento postuma”, ossia successiva alla pubblicazione sul sito. Oltre a ciò, sempre con specifico riguardo alle sentenze ed agli altri provvedimenti pubblicati sul sito istituzionale della Giustizia Amministrativa per cui non è stato disposto (né richiesto anche in via postuma) l'oscuramento da parte dell'Autorità giudiziaria, si è altresì da tempo affermato (Parere dell'Ufficio Studi della Giustizia Amministrativa in tema di adempimenti in materia di privacy e pubblicazione delle sentenze on-line del 2017, in www. giustizia amministrativa.it) che interrompere la diffusione di dati sensibili (il cui oscuramento è obbligatorio per legge) costituisce un obbligo che grava sul soggetto responsabile della diffusione, che a tale obbligo deve adempiere ex lege, anche a prescindere dall'istanza di parte.

C'è da chiedersi, allora, se analoga considerazione non debba valere a legittimare la residua possibilità per l'amministrazione della giustizia, nella qualità di gestore dei servizi informatici, di effettuare comunque, a prescindere da una richiesta dell'interessato e di propria iniziativa, in applicazione del principio cd di accountability di cui all'art. 5 GDPR, gli oscuramenti dei dati personali contenuti nel provvedimento giudiziario, almeno nei casi di oscuramento obbligatorio per legge, quando non vi abbia già proceduto l'Autorità giudiziaria.

Va da se che tutte le precedenti considerazioni valgono solo nei casi di oscuramento obbligatorio per legge, limitatamente ai soli dati personali come definiti nell'art. 4 GDPR (e non così, ad esempio, ai dati riferibili alle persone giuridiche come del resto espressamente previsto per effetto delle modifiche apportate dall'art. 40 d.l. n. 201 del 2011, conv. in l. n. 214 del 2011) e alla diffusione di sentenze o altri provvedimenti giurisdizionali in qualsiasi forma, per finalità di informazione giuridica ovvero di documentazione, studio e ricerca in campo giuridico, essendo tutti gli altri tipi di diffusione dei dati personali contenuti in pronunce giudiziarie ed effettuata per scopi diversi da quelli menzionati, assoggettati agli ordinari e generali limiti stabiliti dal GDPR (oltre che, ovviamente, ai principi Costituzionali in primis all'art. 21 Cost.) e dal Codice della privacy ((cfr. Cass pen. sez. III, 2 febbraio 2022 n. 3702 a norma della quale integra il reato di cui all'art. 167 comma 2 d.lgs. 196/2003 il trattamento illecito di dati personali relativi a condanne penali e reati, consistente nella diffusione non autorizzata di sentenze penali e provvedimenti amministrativi connessi, in quanto l'art. 52 d.lgs. 196/2003, che consente la libera diffusione di provvedimenti giurisdizionali, si riferisce esclusivamente all'attività di informazione giuridica svolta per finalità di documentazione, studio e ricerca in campo giuridico).   

Guida all'approfondimento

In dottrina si segnala:

Gianluca Grasso, Il trattamento dei dati di carattere personale e la riproduzione dei provvedimenti giudiziari, in Foro it. 2018, V, 349;

Federica Resta, La Direttiva sulla protezione dei dati personali in ambito giudiziario penale e di polizia e la tutela dei terzi, in Quaderno 5 SSM, 2021 Il trattamento dei dati personali in ambito giudiziario;

Giusella Finocchiaro, Identità personale su Internet: il diritto alla contestualizzazione dell'informazione, in D INF, 3, 2012,

Finocchiaro, Il diritto all'oblio nel quadro dei diritti della personalità, in D INF, 4-5, 2014, pp. 591- 604.