In ogni ipotesi in cui l'amministrazione proceda alla pubblicazione di dati, informazioni e documenti che comporti un trattamento di dati personali, devono essere opportunamente contemperate le esigenze di pubblicità e trasparenza con i diritti e con la dignità dell'interessato, con particolare riferimento alla riservatezza, all'identità personale e al diritto alla protezione dei dati personali (d.lgs. n. 196 del 2003 art. 2). Le finalità di consentire il controllo sull'agire dell'amministrazione mediante la trasparenza delle informazioni devono essere attuate mediante forme di pubblicità la cui conoscenza sia ragionevolmente ed effettivamente connessa all'esercizio di un controllo, nei rispetto dei limiti di proporzionalità e pertinenza, non giustificandosi una totale ed indiscriminata ostensione dei dati stessi.

Nella specie, la Cassazione ha ritenuto legittima la sanzione emessa dal Garante Privacy nei confronti di una Unione Comunale che aveva illegittimamente pubblicato sul proprio sito web la graduatoria pacchetto scuola 2010 -2013 per l'ammissione a sussidi scolastici per famiglie indigenti, con i dati personali dei soggetti non ammessi al beneficio e informazioni non pertinenti riguardanti gli assegnatari, quale la residenza dell'alunno e del genitore, la tipologia di scuola e di classe frequentata, il valore ISEE di ciascun beneficiario.

Ad ogni modo preme ricordare che il D.Lgs. n. 33 del 2013 era entrato in vigore il 20.4.2014, dopo la consumazione delle violazioni, che risale al 2012, tanto che la prima richiesta di chiarimenti da parte dell'Autorità garante è datata 7.1.2013. Peraltro, D.Lgs. n. 33 del 2013 l'art. 4, comma 4, (poi abrogato dal D.Lgs. n. 97 del 2016 art. 43), dispone che nei casi in cui norme di legge o di regolamento consentano la pubblicazione di atti o documenti, le pubbliche amministrazioni sono tenute a rendere non intelligibili i dati personali non pertinenti o, se trattasi di dati sensibili o giudiziari, non indispensabili rispetto alle specifiche finalità di trasparenza della pubblicazione (con prescrizione ribadita dall'art. 7 bis, comma 1).

Con riferimento agli obblighi di pubblicazione degli atti di concessione di sovvenzioni, contributi, sussidi e attribuzione di vantaggi economici a persone fisiche ed enti pubblici e privati, l'art. 26 contempla espressamente - al comma 4 - il divieto di diffondere dati identificativi che consentano di ricavare informazioni relative alla situazione di disagio economico-sociale degli interessati.  Il successivo art. 27 individua le informazioni che devono necessariamente avere diffusione, senza includervi dati ulteriori rispetto a quelli concernenti: a) il nome del beneficiario; b) l'importo del vantaggio economico corrisposto; c) la norma o il titolo a base dell'attribuzione; d) l'ufficio e il funzionario o dirigente responsabile del relativo procedimento amministrativo; e) la modalità seguita per l'individuazione del beneficiario; f) il link al progetto selezionato e al curriculum del soggetto incaricato, ossia informazioni, che, secondo una valutazione legale non sindacabile, appaiono imprescindibili per le finalità di trasparenza dell'amministrazione.

Non era consentita la diffusione dati ulteriori, rispetto a quelli elencati nell'art. 27, senza procedere all'anonimizzazione (D.Lgs. n. 33 del 2013 art. 4, comma 3). In definitiva, la diffusione di dati diversi da quelli espressamente previsti dal D.P.R. n. 118 del 2000, non beneficiava di fondamento normativo ai sensi dell'art. 19, comma 3, del codice sulla privacy, né era invocabile la L.R. Toscana 32 del 2002 (Pacchetto scuola), che fissava le condizioni di accesso ai sussidi, indicando le informazioni che il singolo aspirante era tenuto a comunicare ai fini della gara, senza autorizzarne affatto la diffusione.

Le disposizioni del D.Lgs. n. 33 del 2013 non erano in vigore al momento della violazione e non contemplavano - in ogni caso - la facoltà di pubblicare tutti i dati personali dei soggetti interessati dalla procedura di assegnazione dei benefici (inclusi coloro che non avevano ottenuto alcuna sovvenzione). In ogni ipotesi in cui l'amministrazione proceda alla pubblicazione di dati, informazioni e documenti che comporti un trattamento di dati personali, devono essere opportunamente contemperate le esigenze di pubblicità e trasparenza con i diritti e con la dignità dell'interessato, con particolare riferimento alla riservatezza, all'identità personale e al diritto alla protezione dei dati personali (D.Lgs. n. 196 del 2003 art. 2).