30/08/2026
TRATTAMENTO DEI DATI NEL RAPPORTO DI LAVORO PUBBLICO, PRINCIPIO DI MINIMIZZAZIONE E SANZIONABILITÀ DELLE VIOLAZIONI FORMALI DEL GDPR Nota a Cass. Civ., Sez. II, 21 maggio 2026, n. 15626 A cura della Dott.ssa Anna Grasso 1.
Premessa e inquadramento della vicenda Con la sentenza n. 15626 del 21 maggio 2026, la Seconda Sezione Civile della Corte di Cassazione si è pronunciata su un'articolata vicenda inerente ai limiti di liceità del trattamento dei dati personali svolto dalla Pubblica Amministrazione nell'ambito dell'attività ispettiva e pre-disciplinare condotta sui propri dipendenti.
La controversia trae origine dal ricorso proposto da un Comune marchigiano avverso il provvedimento del Garante per la protezione dei dati personali (n. 23/2021). L'Autorità Controllo aveva irrogato all'Ente locale una sanzione amministrativa pecuniaria di 10.000 euro per la violazione degli artt. 5, par. 1, lett. a) e c), 6 e 37, par. 7, del Regolamento (UE) 2016/679 (GDPR).
La condotta contestata consisteva nella diffusione — effettuata mediante e-mail inviata dal Comandante del Corpo di Polizia Locale a tutto il personale dipendente dello stesso ufficio — di una nota del Comitato Unico di Garanzia (CUG) contenente:
Il verbale di una seduta del Comitato; Copia di una lettera anonima recante addebiti e giudizi negativi sul comportamento lavorativo di un determinato agente; Un questionario a risposte multiple indirizzato ai colleghi, volta a verificare la condivisione o meno dei giudizi contenuti nello scritto anonimo.
A ciò si aggiungeva l'omessa comunicazione al Garante dei dati di contatto del Responsabile della Protezione dei Dati (DPO).
A fronte del rigetto dell'opposizione da parte del Tribunale competente, il Comune adiva la Suprema Corte articolando nove motivi di ricorso, incentrati principalmente su profili processuali (disciplina dei termini d'esordio e poteri officiosi nel rito del lavoro), sulla presunta copertura normativa dell'attività d'indagine (art. 2087 c.c. e d.lgs. 165/2001), sul principio di minimizzazione dei dati e sulla rilevanza delle violazioni meramente formali del Regolamento UE.
2. Le questioni di diritto processuale: la tempestività costitutiva del Garante e i poteri istruttori officiosi Un primo profilo d'interesse analizzato dalla Corte riguarda il coordinamento tra il rito speciale in materia di protezione dei dati personali ex art. 10 d.lgs. 150/2011 e le disposizioni generali sulle sanzioni amministrative.
Il Comune ricorrente lamentava la tardiva costituzione del Garante nel giudizio di primo grado, sostenendo che tale decadenza avrebbe dovuto comportare l'accoglimento dell'opposizione per difetto di prova circa i presupposti dell'illecito.
La Cassazione ha rigettato la tesi argomentando su due direttrici:
Inapplicabilità della decadenza per la documentazione dell'accertamento: L'art. 10 del d.lgs. 150/2011 va letto in combinato disposto con l'art. 166 del Codice Privacy (d.lgs. 196/2003) e con gli artt. 6 e 22 della L. 689/1981. Il termine stabilito dall'art. 6, comma 8, d.lgs. 150/2011 per il deposito degli atti d'accertamento non ha natura perentoria (a differenza del termine generale ex art. 416 c.p.c.).
Natura del giudizio e poteri del giudice: Il giudizio di opposizione a sanzione amministrativa non è un mero sindacato di legittimità dell'atto, bensì un giudizio sul rapporto sanzionatorio. Nel rito del lavoro, l'inerzia dell'Amministrazione non determina l'automatica soccombenza, potendo il giudice integrare la prova ex officio (artt. 421 e 437 c.p.c.) qualora i documenti risultino indispensabili per la decisione.
3. Indagini pre-disciplinari, art. 2087 c.c. e proporzionalità del trattamento Nel merito, l'Ente locale ha sostenuto che l'invio del questionario e della lettera fosse legittimato dalla necessità di svolgere indagini preliminari trasparenti ai sensi degli artt. 55 e ss. d.lgs. 165/2001, nonché dall'obbligo ex art. 2087 c.c. di garantire la salute psico-fisica e un ambiente di lavoro esente da stress per gli altri dipendenti.
Sul punto, la Suprema Corte convalida il ragionamento del Giudice di merito, precisando il rapporto tra potere datoriale d'indagine e tutela della riservatezza:
Sebbene il datore di lavoro possa effettuare trattamenti di dati nella fase prodromica all'avvio di un procedimento disciplinare anche senza il consenso dell'interessato (ex art. 6, par. 1, lett. c ed f, GDPR), l'esistenza di una base giuridica non esime dal rispetto dei principi generali del trattamento.
La condotta del Comune è risultata manifestamente sproporzionata ed eccedente rispetto al fine. Somministrare un questionario a risposta multipla volto a sondare lo "stato d'animo" o la condivisione di giudizi denigratori anonimi da parte dei colleghi non costituisce un mezzo idoneo né ad accertare addebiti specifici (che per loro natura devono essere contestati in modo puntuale) né a tutelare l'ambiente di lavoro ex art. 2087 c.c..
4. Il principio di minimizzazione dei dati (art. 5, par. 1, lett. c, GDPR) Particolarmente significativa è la statuizione relativa al principio di minimizzazione dei dati. Il Comune sosteneva che la divulgazione non avesse violato la riservatezza, in quanto la vicenda e la lettera anonima erano già ufficiosamente note a tutto il personale.
La Corte di Cassazione chiarisce che:
La pregressa conoscenza informale di un fatto da parte dei terzi non esclude la violazione del principio di minimizzazione. L'acquisizione o la trasmissione del dato attraverso un canale formale od ufficiale (quale la mail di servizio del Comandante) conferisce al dato stesso una connotazione di ufficialità che costituisce un quid pluris rispetto alla mera notizia informale.
Inoltre, il concetto di "dato personale" ex art. 4, n. 1, GDPR include qualsiasi informazione idonea a rendere identificabile una persona. Diffondere non solo il nome, ma l'intero contenuto di giudizi valutativi negativi legati alla persona del lavoratore valica indiscutibilmente il perimetro di quanto è "adeguato, pertinente e limitato a quanto necessario".
5. Omessa comunicazione del DPO: irrilevanza del danno e natura dell'illecito formale Infine, la pronuncia affronta la censura relativa alla sanzione irrogata per la mancata comunicazione al Garante dei dati di contatto del DPO (art. 37, par. 7, GDPR). Il Comune eccepiva la natura meramente formale della violazione, evidenziando come i dati fossero comunque stati pubblicati all'albo pretorio e sul sito istituzionale.
La Suprema Corte respinge nettamente l'impostazione formalistica dell'Ente:
Doppio adempimento concorrente: L'art. 37, par. 7, del GDPR impone sia la pubblicazione dei dati di contatto del DPO sia la loro comunicazione diretta all'Autorità di controllo. L'assolvimento di un obbligo non sanifica l'omissione dell'altro.
Illecito di pericolo e assenza di danno: La violazione dell'art. 37 del Regolamento è sanzionata ed edotta dall'art. 83, par. 4, lett. a), GDPR. Essa prescinde dalla dimostrazione di un danno concreto o di un effettivo pregiudizio alle attività ispettive dell'Autorità.
Effetti sul quantum sanzionatorio: L'assenza di nocumento effettivo rileva unicamente sul piano della gradazione della sanzione (ai fini della quantificazione ex art. 83, par. 2, GDPR), ma non ne esclude l'illegittimità né la sanzionabilità in radice.
6. Considerazioni conclusive
La sentenza n. 15626/2026 si inserisce in un solco di rigorosa applicazione del GDPR all'interno delle Pubbliche Amministrazioni.
Il messaggio che emerge dalla pronuncia è duplice: da un lato, le esigenze d'indagine datoriale ed organizzativa non costituiscono una "carta bianca" idonea a travalicare i principi essenziali di proporzionalità e minimizzazione dei dati personali dei dipendenti; dall'altro, nel sistema delineato dal Regolamento Europeo, le garanzie procedurali ed organizzative (quali i flussi informativi verso il Garante circa il DPO) rivestono una funzione prescrittiva autonoma, la cui inosservanza integra un illecito sanzionabile a prescindere dall'insorgenza di un danno materiale.
a cura Dott.ssa (LM) Anna Grasso Pres. Regionale ANVU MARCHE
