1. Premessa: la dimensione costituzionale della privacy sanitaria

La sentenza n. 1399 del6 ottobre 2025 della Corte d’Appello di Palermo riafferma con rigore la centralità del diritto alla riservatezza nel trattamento dei dati personali, con particolare riferimento ai dati sensibili relativi alla salute del lavoratore pubblico.

L’occasione nasce da una vicenda di violazione della privacy da parte di un ente comunale che aveva pubblicato, sull’albo pretorio e sul sito istituzionale, delibere e determinazioni contenenti in chiaro i dati anagrafici, lo stato di malattia, le giornate di assenza, il grado di inabilità e il collocamento in pensione di una propria dipendente, unitamente ad altri atti relativi a contenziosi per mobbing e risarcimento danni.

La Corte siciliana, nel rigettare l’appello del Comune e confermare la condanna al risarcimento del danno morale, si inserisce nel solco della più recente giurisprudenza di legittimità (Cass., Sez. Un., n. 30981/2017; Cass. n. 18980/2013; Cass. n. 6/2024; Cass. n. 16402/2021), fornendo una lettura sistematica e coerente dei principi in materia di trattamento illecito dei dati personali ex d.lgs. n. 196/2003 e della loro evoluzione alla luce del Regolamento UE 2016/679 (GDPR).

2. I fatti di causa e la decisione di primo grado

La dipendente comunale, già coinvolta in un giudizio per mobbing conclusosi con la condanna dell’ente, aveva agito in sede civile chiedendo il risarcimento del danno biologico, morale ed esistenziale derivante dalla diffusione indebita di informazioni sensibili.
Nel dettaglio, tra il 2009 e il 2014, il Comune aveva pubblicato sull’albo pretorio e sul portale web istituzionale una serie di delibere (tra cui la n. 4/2009, la n. 410/2009, la n. 85/2009 e la n. 10/2010) che riportavano non solo le generalità dell’interessata, ma anche i dati sanitari e le informazioni relative al contenzioso con l’amministrazione.

Il Tribunale di primo grado (sent. n. 241/2019) accoglieva la domanda in parte qua, ritenendo l’ente responsabile per illecito trattamento di dati personali in violazione dell’art. 11 del d.lgs. n. 196/2003, e condannandolo al pagamento di € 7.000 a titolo di danno non patrimoniale, oltre interessi e spese.

Il giudice rilevava che il Comune aveva operato un trattamento dei dati eccedente rispetto alle finalità istituzionali di trasparenza, senza adottare alcuna forma di anonimizzazione, criptatura o oscuramento, come invece prescritto dal codice della privacy per la tutela dei dati sensibili.

3. I motivi d’appello del Comune

L’ente comunale impugnava la sentenza articolando quattro motivi:

1. Legittimità della pubblicazione – L’ente sosteneva di aver agito in adempimento agli obblighi di pubblicità e trasparenza di cui agli artt. 183 e 194 del T.U.E.L. (d.lgs. n. 267/2000) e all’art. 18 del d.lgs. n. 196/2003, ritenendo che la pubblicazione fosse giustificata da finalità di interesse pubblico e che non contenesse dati sensibili.
2. Difetto di motivazione sul danno – Si lamentava che il Tribunale avesse riconosciuto un risarcimento in assenza di prova del pregiudizio, fondando la decisione su una motivazione “apparente” e su valutazioni equitative non giustificate.
3. Eccessività e duplicazione del danno morale ed esistenziale, non richiesto dalla parte, e mancato rispetto dei principi di gravità e serietà del danno alla persona.
4. Erronea condanna alle spese, con richiesta di compensazione per reciproca soccombenza.

4. La decisione della Corte d’Appello

La Corte d’Appello di Palermo rigetta integralmente l’impugnazione, confermando la responsabilità del Comune e la correttezza della liquidazione equitativa del danno non patrimoniale.
La decisione si articola in tre passaggi fondamentali:
(1) la qualificazione del trattamento come illecito;
(2) la conferma della sussistenza del danno morale risarcibile;
(3) la legittimità della liquidazione equitativa e la proporzionalità della somma riconosciuta.

5. La qualificazione dell’illecito trattamento dei dati sanitari

La Corte fonda la propria decisione sul principio di necessità e proporzionalità del trattamento di cui all’art. 11 del d.lgs. n. 196/2003, interpretato alla luce delle pronunce della Cassazione e delle linee guida del Garante.

Richiama la sentenza delle Sezioni Unite n. 30981/2017, che impone ai soggetti pubblici di adottare sistemi di anonimizzazione, cifratura o criptatura per i dati idonei a rivelare lo stato di salute, anche quando il trattamento avvenga per finalità di pubblico interesse.
Richiama inoltre Cass. n. 18980/2013, la quale ha qualificato come “diffusione di dato sensibile” anche la semplice menzione dell’assenza per malattia di un dipendente, in quanto informazione idonea a rivelare lo stato di salute, indipendentemente dalla diagnosi.

Nel caso di specie, la pubblicazione delle delibere contenenti nome, cognome, giorni di malattia, periodo di inabilità e collocamento in pensione integrava un trattamento non solo privo di base giuridica specifica, ma eccedente e sproporzionato rispetto alle finalità di trasparenza.
L’ente avrebbe potuto – e dovuto – pubblicare i medesimi atti con l’oscuramento delle generalità, come avvenuto per altri dipendenti.

La Corte sottolinea che il diritto alla riservatezza in materia di salute costituisce un diritto fondamentale ai sensi dell’art. 2 Cost., dell’art. 8 CEDU e dell’art. 1 della Carta di Nizza, e che la pubblica amministrazione, anche quando agisce per finalità di interesse pubblico, è tenuta a rispettare il principio di minimizzazione del dato.

6. La responsabilità ex art. 2050 c.c. e l’onere della prova

Sul piano della responsabilità, la Corte aderisce alla qualificazione del trattamento illecito come attività pericolosa ai sensi dell’art. 2050 c.c., in coerenza con l’art. 15 del d.lgs. n. 196/2003 (oggi art. 82 del GDPR).

Richiamando Cass. n. 6/2024 e Cass. n. 2259/2022, afferma che spetta al danneggiato dimostrare il danno e il nesso causale, mentre grava sull’autore dell’illecito la prova liberatoria di aver adottato tutte le misure idonee a prevenire il danno.
Nel caso concreto, il Comune non ha fornito prova di aver implementato procedure di oscuramento o controlli preventivi idonei a impedire la pubblicazione dei dati sensibili.
L’argomento difensivo dell’“adempimento a un obbligo di legge” viene ritenuto infondato: l’obbligo di trasparenza non può mai prevalere sul diritto alla protezione dei dati personali, che trova copertura costituzionale e sovranazionale.

7. Il danno non patrimoniale e la sua natura

Sul piano risarcitorio, la Corte d’Appello ribadisce che il danno non patrimoniale da illecito trattamento dei dati non è “in re ipsa”, ma deve essere oggetto di prova, sia pure presuntiva.
Richiama Cass. n. 16402/2021 e Cass. n. 29323/2022, secondo cui la violazione della privacy dà luogo a un diritto al risarcimento solo se la lesione è grave e seria, e se incide effettivamente sulla sfera personale dell’interessato, secondo un criterio di “tolleranza della lesione minima” derivante dall’art. 2 Cost.

Nel caso in esame, la prova del danno emergeva sia dal contesto territoriale ristretto (piccolo comune, elevata riconoscibilità sociale della persona), sia dal contenuto delle delibere pubblicate, che avevano reso noti dati intimi e giudiziari.
La pubblicazione, osserva la Corte, aveva generato vergogna, mortificazione e ansia nella dipendente, già colpita da pregressi disturbi psichici, integrando una lesione “seria e apprezzabile” della dignità personale.

La Corte respinge l’argomento del Comune secondo cui l’esistenza di precedenti patologie avrebbe attenuato il danno: la preesistenza di fragilità, anzi, accresce la gravità del pregiudizio subito.

8. La liquidazione equitativa del danno e i criteri di valutazione

La Corte conferma la liquidazione operata dal Tribunale in via equitativa ex artt. 1226 e 2056 c.c., richiamando le tabelle milanesi del 2018 per la quantificazione del danno non patrimoniale da diffamazione.

Richiama, a sostegno, il principio espresso da Cass. pen. n. 44477/2024, secondo cui la liquidazione del danno morale, data la sua natura, può essere effettuata equitativamente, purché sia indicato il percorso logico che ha condotto alla quantificazione.

Il riconoscimento di € 7.000,00 è ritenuto congruo, in quanto proporzionato alla durata della violazione, all’ampiezza della diffusione (locale ma reiterata), alla posizione della vittima e all’assenza di condotte riparatorie da parte dell’ente.

La Corte sottolinea che la funzione del risarcimento in tali ipotesi non è reintegratrice di un danno patrimoniale, ma compensativa e satisfattiva di un pregiudizio morale legato alla violazione della dignità personale.

9. Le implicazioni sistemiche: pubblica amministrazione, trasparenza e privacy

Il caso offre spunti di riflessione più ampi sul rapporto tra trasparenza amministrativa e tutela dei dati personali.
Il principio di pubblicità degli atti della P.A., previsto dall’art. 1, co. 1, l. n. 241/1990 e dal d.lgs. n. 33/2013, incontra un limite espresso nell’art. 4 del medesimo decreto, che impone il rispetto del Regolamento europeo sulla protezione dei dati personali.
La sentenza in commento riafferma la necessità di un bilanciamento concreto tra interessi pubblici e diritti individuali: la trasparenza non può mai tradursi in esposizione indiscriminata dei dati sanitari, tanto più in ambito lavorativo, dove vige il principio di pertinenza e non eccedenza del trattamento (art. 5 GDPR).

La Corte si colloca nel solco della giurisprudenza amministrativa (Cons. Stato, Sez. VI, n. 4166/2020; n. 766/2022), che ha più volte affermato la prevalenza della tutela della privacy in presenza di dati sensibili o giudiziari, imponendo la tecnica dell’oscuramento selettivo o dell’accesso parziale.

10. La tutela del lavoratore pubblico e il ruolo dell’ente datore di lavoro

La decisione assume rilievo anche sotto il profilo del rapporto di lavoro pubblico.
Il datore di lavoro pubblico, titolare del trattamento, ha un obbligo rafforzato di diligenza, in quanto agisce come garante della correttezza amministrativa e della legalità costituzionale dell’azione pubblica.

L’omessa adozione di misure di prevenzione (anonimizzazione, controllo dei flussi informativi, formazione del personale) integra violazione non solo del GDPR, ma anche dell’art. 2087 c.c., in quanto omissione di cautele necessarie a proteggere la personalità morale del lavoratore.

La Corte d’Appello, richiamando implicitamente questo principio, riconduce la responsabilità dell’ente a una forma aggravata di colpa organizzativa: il Comune aveva adottato pratiche difformi, pubblicando i dati di alcuni dipendenti e oscurando quelli di altri, rivelando così un trattamento discriminatorio e disorganico.

D’altro canto, la giustizia amministrativa si è occupata della questione, in generale, statuendo che, nel caso specifico, ai fini del rapporto tra “accesso difensivo” e tutela della “riservatezza”, occorre distinguere tra dati e informazioni caratterizzati da una cd. riservatezza “semplice” (ad es. dati finanziari ed economici), in ordine ai quali l’interesse difensivo è ritenuto tendenzialmente prevalente, e dati e informazioni caratterizzati da una riservatezza “rafforzata” (dati “sensibili” e “supersensibili”), rispetto ai quali l’interesse difensivo deve di volta in volta essere bilanciato secondo criteri di necessarietà, indispensabilità e parità di rango ed in base ai principi di proporzionalità, pertinenza e non eccedenza (così Cons. Stato, sez. V, 4 aprile 2025, n. 2922).

Ancora, in un caso di divulgazione di dati, sensibili e non, la S.C. ha avuto occasione di statuire che In tema di diritto all’anonimato nella riproduzione di provvedimenti giurisdizionali per finalità di informazione giuridica, i “motivi legittimi”, richiesti dall’art. 52, comma 1, del d.lgs. n. 196/2003 per l’accoglimento della domanda di oscuramento dei dati personali desumibili dalla sensibilità o particolare delicatezza, in re ipsa, della materia, devono intendersi quali “motivi opportuni”. (Nella specie, la S.C. ha rigettato l’istanza di oscuramento dei dati relativa ad un giudizio di opposizione all’esecuzione avverso cartelle di pagamento emesse dall’Agenzia delle entrate, in quanto, in difetto di elementi in ricorso sulla natura della causa petendi, la materia della controversia non poteva, di per sé, definirsi sensibile, né caratterizzata in re ipsa da particolare delicatezza) (Cass. civ., sez. III, ordinanza, 24 giugno 2025, n. 16998).

Sempre in tema di dati sensibili sullo stato di malattia, valga l’insegnamento della Cassazione, laddove statuisce che (con riferimento allo stato di salute/malattia) in materia di protezione dei dati personali in ambito sanitario le informazioni sullo stato di salute del paziente possono essere trasmesse esclusivamente all’interessato, essendo richiesta per la comunicazione a terzi una specifica indicazione da parte di quest’ultimo, da esprimersi tramite delega scritta; in particolare, l’informazione circa l’esigenza di un trattamento sanitario e, quindi, l’esistenza di una potenziale condizione di malattia in senso lato costituisce di per sé dato sulla salute, senza la necessità che, ai fini della qualificazione dell’informazione e dell’applicazione della disciplina in materia dei dati personali, sia specificato di quale trattamento o di quale malattia si tratti (Cass. civ., sez. I, ordinanza, n. 28417/2023).

In dottrina, si segnala S. Iacobucci, Il caso dei questionari somministrati ai dipendenti e la delicata gestione delle assenze per malattia, in www.rivistalabor.it, 18 agosto 2025; S. Faillace, I diritti dell’interessato nell’uso primario dei dati sanitari elettronici secondo il nuovo Regolamento EHDS, in Contratto e Impresa, 2025, 2, 379.

11. Le conseguenze applicative: prevenzione, compliance e danno reputazionale

La sentenza di Palermo offre indicazioni operative di rilievo per le pubbliche amministrazioni:

– l’obbligo di formazione del personale addetto alla pubblicazione degli atti;
– l’adozione di policy interne di gestione dei dati sensibili;
– la verifica della compatibilità tra obblighi di trasparenza e riservatezza, con procedure di controllo preventivo da parte del responsabile della protezione dei dati (RPD/DPO).

La mancata conformità a tali standard può generare non solo responsabilità civile, ma anche danno reputazionale, oggi rilevante ai fini della responsabilità erariale e disciplinare.

12. Considerazioni conclusive

La sentenza n. 1399/2025 si distingue per coerenza argomentativa e profondità di analisi.
Essa ribadisce che la pubblicazione dei dati sanitari del dipendente costituisce un trattamento illecito, anche se avviene nell’ambito di atti formalmente pubblici, e che la violazione del diritto alla riservatezza può generare un danno morale risarcibile, purché grave e provato.

Il principio che emerge è di grande chiarezza:

Il diritto alla protezione dei dati personali prevale sulle esigenze di trasparenza amministrativa ogniqualvolta la pubblicità degli atti comporti la rivelazione, diretta o indiretta, dello stato di salute o di altre informazioni sensibili dell’interessato.

La Corte d’Appello di Palermo, collocandosi nella scia delle Sezioni Unite del 2017 e delle pronunce più recenti della Cassazione, consolida una visione moderna del diritto alla privacy come espressione della dignità umana e della libertà individuale nella sfera digitale.
Una pronuncia che si impone come riferimento per l’amministrazione pubblica e per gli operatori del diritto, chiamati a garantire un bilanciamento effettivo tra esigenze di trasparenza e rispetto della persona.

Pasquale Dui, avvocato in Milano, professore a contratto nell’Università di Milano-Bicocca

Visualizza il documento: App. Palermo, 6 ottobre 2025, n. 1399

Scarica il commento in PDF

L'articolo Divulgazione dei dati sanitari, responsabilità dell’amministrazione comunale e tutela effettiva del diritto alla riservatezza sembra essere il primo su Rivista Labor - Pacini Giuridica.