La Corte dei Conti del Trentino-Alto Adige ribadisce che gli adempimenti privacy non sono formali e delle violazioni ne rispondono i dipendenti dell’ente anche con la nuova legge 1/2026 di limitazione della responsabilità contabile
Abstract: La sentenza n. 7/2026 della Corte dei conti, Sezione giurisdizionale per la Regione Trentino-Alto Adige/Südtirol, sede di Bolzano, affronta un tema di particolare rilievo per le amministrazioni pubbliche: la responsabilità erariale derivante dal pagamento di una sanzione del Garante per la protezione dei dati personali costituisce danno erariale a carico dei dipendenti che potevano disporre gli adeguamenti e non l’hanno fatto. Questo principio era già stato affermato da altri giudici contabili che avevano sanzionato pubblici funzionari. La decisione chiarisce che la protezione dei dati non può essere ridotta a funzione astratta dello staff privacy o del Data Protection Officer, ma richiede una concreta integrazione tra governance giuridica, misure organizzative, configurazione tecnica dei sistemi informativi e responsabilità dirigenziale. La Corte esclude la responsabilità della referente privacy e del dirigente tecnico privo di effettivi poteri decisionali, ma ravvisa la colpa grave in capo al Direttore della Ripartizione informatica, titolare di competenze organizzative e tecniche rimaste inerti. Il caso assume valore generale perché mostra come il danno erariale possa derivare non soltanto da spese illegittime o distrazioni di risorse, ma anche dall’inadeguata protezione di diritti fondamentali, quando la violazione della privacy produce una sanzione amministrativa pagata dall’ente pubblico.
Keywords: #SuicidiInDivisa #SuicidioPolizaLocale #PoliziaLocale #Ospitaletto #StressForzePolizia #SuicidiForzeDiPolizia #salutementale #disagiopsicologico #forzedellordine #stresslavorativo #benesserepsicologico #prevenzione #ascolto #MassimilianoMancini #ethicasocietas #ethicasocietasrivista #rivistascientifica #scienzeumane #scienzesociali #ethicasocietasupli #unionepolizialocaleitaliana
La privacy come responsabilità amministrativa e contabile dei pubblici dipendenti
La sentenza n. 7/2026 della Corte dei conti, Sezione giurisdizionale di Bolzano, merita attenzione perché colloca la protezione dei dati personali sanitari dentro il perimetro della responsabilità amministrativo-contabile, dimostrando che la violazione della privacy, quando genera una sanzione pecuniaria a carico di un ente pubblico, non resta confinata al rapporto tra autorità garante e amministrazione sanzionata, ma può trasformarsi in danno erariale imputabile ai soggetti che, per ruolo, competenza e poteri effettivi, avrebbero dovuto prevenire l’evento lesivo (Corte dei conti, Sez. giur. Bolzano, 2026).
La vicenda nasce dal provvedimento n. 97 del 22 febbraio 2024 con cui il Garante per la protezione dei dati personali ha sanzionato l’Azienda Sanitaria dell’Alto Adige per plurime violazioni relative al trattamento dei dati personali mediante il Dossier Sanitario Elettronico. Secondo l’impostazione del Garante, il sistema consentiva accessi al dossier anche da parte di personale sanitario autorizzato al trattamento, ma non coinvolto nel processo di cura dei pazienti interessati, in contrasto con i principi di liceità, minimizzazione, limitazione degli accessi e protezione dei dati fin dalla progettazione e per impostazione predefinita (Garante per la protezione dei dati personali, 2024; Regolamento UE 2016/679).
Il punto di maggiore interesse non è soltanto la sanzione in sé, ma il passaggio successivo: una volta pagata dall’ente pubblico, la sanzione diventa costo per la collettività e pone il problema della sua imputazione interna. In altri termini, la domanda della giurisdizione contabile non è se il Garante abbia correttamente sanzionato l’Azienda, ma se il pagamento della sanzione sia stato determinato da condotte omissive gravemente colpose di soggetti tenuti, per posizione funzionale, ad adottare misure idonee a impedire la violazione (Corte dei conti, Sez. giur. Bolzano, 2026).
Questa impostazione ha una conseguenza sistemica rilevante: la privacy non è più soltanto materia di compliance documentale, né può essere concepita come settore separato affidato a un ufficio specialistico interno, essa diventa una funzione trasversale dell’amministrazione, nella quale il presidio giuridico deve dialogare stabilmente con l’organizzazione, la tecnologia, la sicurezza informatica, la formazione del personale, la gestione degli accessi e la responsabilità dirigenziale, secondo una logica di accountability effettiva e non meramente dichiarativa (Parlamento europeo e Consiglio dell’Unione europea, 2016; Garante per la protezione dei dati personali, 2015).
La distinzione delle responsabilità: privacy, informatica e poteri effettivi
Uno degli aspetti più significativi della sentenza è la distinzione operata dalla Corte tra i diversi soggetti convenuti. La Procura regionale aveva inizialmente agito nei confronti di più figure coinvolte, a vario titolo, nella governance privacy e informatica dell’Azienda Sanitaria dell’Alto Adige, sostenendo che il danno erariale derivante dal pagamento della sanzione fosse imputabile alla loro condotta omissiva, sorretta da colpa grave.
La Corte, tuttavia, non ha accolto una ricostruzione indistinta della responsabilità. Al contrario, separa con attenzione le posizioni, valorizzando il principio secondo cui la responsabilità amministrativa è personale e richiede un contributo causale specifico e non può essere affermata sulla sola base dell’appartenenza a un ufficio o della vicinanza funzionale alla materia trattata (Repubblica italiana, 1994; Corte dei conti, Sez. giur. Bolzano, 2026).
Questa distinzione è essenziale perché evita una lettura meramente nominalistica delle funzioni e quindi si afferma che non risponde necessariamente chi ha un titolo formale collegato alla privacy, né chi interviene sul piano tecnico in posizione subordinata, ma risponde, invece, chi dispone di effettivi poteri organizzativi, direttivi e di coordinamento, ed è quindi in grado di trasformare gli obblighi giuridici in misure tecniche e procedurali concrete. La responsabilità erariale, in questa chiave, non si fonda sull’etichetta dell’incarico, ma sulla concreta disponibilità di competenze, poteri e possibilità di intervento ed è quindi nella condizione di trasformare gli obblighi giuridici in misure tecniche, procedurali e organizzative concretamente operative (Corte dei conti, Sez. giur. Bolzano, 2026).
La Corte ravvisa tale posizione nel direttore della Ripartizione informatica, al quale erano riconducibili compiti di pianificazione, sviluppo e coordinamento del sistema informativo, nonché di implementazione delle misure necessarie a rendere conforme il Dossier Sanitario Elettronico. La responsabilità non deriva dunque dall’essere “informatico” in senso generico, ma dall’essere titolare di una funzione dirigenziale chiamata a tradurre in architettura tecnica le prescrizioni normative, i provvedimenti del Garante e i solleciti interni provenienti dalla struttura privacy (Corte dei conti, Sez. giur. Bolzano, 2026).
L’inerzia organizzativa come fonte di colpa grave
La sentenza è particolarmente rilevante anche perché qualifica l’inerzia come condotta causalmente rilevante poiché la responsabilità non nasce da un atto commissivo illegittimo, ma dalla mancata adozione di misure correttive nonostante la conoscibilità, e in parte la conoscenza effettiva, delle criticità del sistema. La Corte richiama, tra gli elementi significativi, i precedenti provvedimenti del Garante, le indicazioni interne, i solleciti della Data Protection Officer e la necessità di adottare misure tecniche idonee a impedire accessi non coerenti con il processo di cura (Garante per la protezione dei dati personali, 2014a; Garante per la protezione dei dati personali, 2015; Corte dei conti, Sez. giur. Bolzano, 2026).
La Corte valorizza la chiarezza degli atti organizzativi e la delimitazione degli obblighi di servizio del Direttore della Ripartizione informatica, ritenendo che la mancata attivazione abbia integrato una violazione manifesta e inescusabile dei doveri funzionali (Corte dei conti, Sez. giur. Bolzano, 2026).
Il richiamo alla legge 7 gennaio 2026, n. 1, che ha inciso sulla disciplina della responsabilità amministrativa e sulla definizione della colpa grave, conferisce alla pronuncia un ulteriore interesse sistematico. La Corte applica il nuovo parametro normativo e valuta se la condotta omissiva presenti i caratteri richiesti dalla disciplina riformata, giungendo ad affermare che, nel caso concreto, la gravità della colpa emerge dalla combinazione tra obblighi chiari, reiterati solleciti, posizione dirigenziale e mancata adozione delle misure necessarie (Repubblica italiana, 2026; Corte dei conti, Sez. giur. Bolzano, 2026).
La decisione quindi costituisce un precedente fondamentale che sancisce che la riforma della responsabilità erariale non sterilizza la responsabilità del funzionario o del dirigente pubblico, ma impone un accertamento più rigoroso e personalizzato. Non ogni errore genera responsabilità, non ogni ritardo è colpa grave, non ogni inefficienza è danno erariale ma quando l’amministrazione dispone di segnali chiari, obblighi definiti e competenze interne idonee, l’omissione prolungata può superare la soglia della mera disfunzione organizzativa e diventare illecito contabile (Repubblica italiana, 1994; Repubblica italiana, 2026; Corte dei conti, Sez. giur. Bolzano, 2026).
Il danno erariale da sanzione privacy
Il danno contestato corrisponde alla somma effettivamente pagata dall’Azienda Sanitaria dell’Alto Adige a seguito della sanzione del Garante, ridotta in ragione del pagamento tempestivo. La Procura aveva quantificato il pregiudizio complessivo in euro 37.500, pari al 50% della sanzione amministrativa originaria di euro 75.000, e aveva ripartito la pretesa risarcitoria tra i soggetti ritenuti responsabili in proporzione al rispettivo contributo causale (Garante per la protezione dei dati personali, 2024; Corte dei conti, Sez. giur. Bolzano, 2026).
La Corte, dopo aver escluso alcune posizioni, ha condannato il direttore della Ripartizione informatica al pagamento di euro 5.625, oltre rivalutazione e interessi, facendo applicazione del potere riduttivo. La quantificazione assume particolare rilievo perché mostra come la giurisdizione contabile non operi in modo automaticamente corrispondente all’importo della sanzione, ma proceda attraverso una valutazione del contributo causale, dell’elemento soggettivo, del contesto organizzativo e dei criteri di riduzione del danno imputabile (Corte dei conti, Sez. giur. Bolzano, 2026).
Questa impostazione rafforza il principio di accountability pubblica, poiché l’inosservanza degli obblighi privacy non danneggia soltanto gli interessati, ma può produrre un costo economico per l’amministrazione e, indirettamente, per la collettività e quindi le amministrazioni non sono chiamate soltanto a evitare sanzioni, ma a costruire sistemi organizzativi capaci di prevenire violazioni, proteggere diritti fondamentali e documentare le scelte compiute.
La compliance non è più una difesa successiva, ma una forma di buona amministrazione preventiva (Parlamento europeo e Consiglio dell’Unione europea, 2016; Garante per la protezione dei dati personali, 2015; Corte dei conti, Sez. giur. Bolzano, 2026).
Il ruolo del DPO e il limite della delega alla funzione privacy
Un ulteriore insegnamento della sentenza riguarda il ruolo del Data Protection Officer e delle strutture privacy interne. La presenza di un DPO, di una cabina di regia privacy o di referenti aziendali non esonera le strutture operative e informatiche dall’adozione delle misure di loro competenza poiché il DPO può segnalare, consigliare, monitorare, sollecitare e contribuire alla costruzione della cultura organizzativa della protezione dei dati, ma non può sostituirsi ai dirigenti responsabili dell’implementazione tecnica dei sistemi (Parlamento europeo e Consiglio dell’Unione europea, 2016; Corte dei conti, Sez. giur. Bolzano, 2026).
La sentenza contribuisce così a chiarire un equivoco frequente nelle amministrazioni pubbliche, che credono che la protezione dei dati sia compito solo di alcuni, il provvedimento invece stabilisce che è una funzione distribuita, nella quale l’ufficio privacy individua il quadro giuridico e i presidi di conformità, la dirigenza informatica realizza le misure tecniche, la direzione aziendale assicura risorse e indirizzi, gli operatori rispettano le regole di accesso e l’organizzazione nel suo complesso verifica che le procedure funzionino realmente.
Quando questa catena si spezza, il rischio non è solo teorico: un sollecito non seguito da attuazione, una procedura lasciata in sospeso, un regolamento non tradotto in configurazione tecnica, un sistema di alert non implementato o un accesso consentito per impostazione predefinita a categorie troppo ampie di utenti possono diventare fattori causali di violazioni, sanzioni e responsabilità. La protezione dei dati richiede quindi una cooperazione effettiva tra presidio giuridico, governo tecnico e responsabilità manageriale (Garante per la protezione dei dati personali, 2015; Garante per la protezione dei dati personali, 2024; Corte dei conti, Sez. giur. Bolzano, 2026).
Una lezione per tutte le pubbliche amministrazioni
La portata della sentenza supera ovviamente il caso di specie del settore sanitario. Ogni pubblica amministrazione che tratta dati personali, soprattutto quando si tratta di categorie particolari (art. 9 Reg. UE 2016/679 GDPR), dati relativi alla salute, dati giudiziari, dati sociali o informazioni riferibili a condizioni di vulnerabilità, deve comprendere che la responsabilità privacy è ormai parte della responsabilità amministrativa complessiva. Non è più sostenibile un modello nel quale le misure di protezione restano affidate a circolari interne, informative generiche o autodichiarazioni dell’utente, senza effettive barriere tecniche, sistemi di profilazione, controlli successivi e tracciabilità degli accessi (Parlamento europeo e Consiglio dell’Unione europea, 2016; Garante per la protezione dei dati personali, 2015).
La decisione indica almeno cinque lezioni operative. La prima è che i sistemi informativi devono essere progettati sulla base del principio di necessità dell’accesso, non della massima disponibilità del dato. La seconda è che gli accessi devono essere profilati, tracciati e sottoposti a controlli effettivi. La terza è che i solleciti del DPO o delle strutture privacy devono essere presi in carico mediante decisioni formali, tempi, responsabilità e verifiche. La quarta è che la dirigenza informatica non può limitarsi alla manutenzione tecnica dei sistemi, ma deve assumere un ruolo attivo nella traduzione tecnica degli obblighi giuridici. La quinta è che il pagamento di una sanzione da parte dell’ente non chiude la vicenda, ma può aprire il tema della responsabilità erariale interna (Corte dei conti, Sez. giur. Bolzano, 2026).
Si tratta di indicazioni particolarmente importanti nel momento in cui la pubblica amministrazione italiana accelera sulla digitalizzazione, sull’interoperabilità delle banche dati, sull’intelligenza artificiale, sul fascicolo sanitario elettronico, sulla sanità territoriale digitale e sulla condivisione dei dati tra soggetti pubblici. Più i sistemi diventano integrati, più aumenta la necessità di una governance rigorosa degli accessi, perché il rischio non nasce soltanto dalla violazione esterna, ma anche dall’uso interno improprio o non adeguatamente controllato.
Il messaggio per le amministrazioni è netto: la privacy non vive nei documenti, ma nei sistemi; non si esaurisce nelle informative, ma si misura negli accessi; non coincide con la nomina del DPO, ma richiede un’organizzazione capace di trasformare principi giuridici in misure tecniche e comportamenti verificabili. In una sanità sempre più digitale, la tutela del dato sanitario è parte della cura, perché proteggere l’informazione significa proteggere la persona.
IL PROVVEDIMENTO GIUSIRSIZIONALE: Corte dei Conti Bolzano, sentenza 7-2026
BIBLIOGRAFIA ESSENZIALE:
Corte dei conti, Sezione giurisdizionale per la Regione Trentino-Alto Adige/Südtirol, sede di Bolzano. (2026). Sentenza n. 7/2026, giudizio di responsabilità n. 2594, depositata il 31 marzo 2026.
Garante per la protezione dei dati personali. (2014a). Provvedimento n. 340 del 3 luglio 2014.
Garante per la protezione dei dati personali. (2014b). Provvedimento n. 403 dell’11 settembre 2014.
Garante per la protezione dei dati personali. (2015). Linee guida in materia di Dossier sanitario.
Garante per la protezione dei dati personali. (2015). Provvedimento n. 544 del 15 ottobre 2015.
Garante per la protezione dei dati personali. (2024). Provvedimento n. 97 del 22 febbraio 2024.
Parlamento europeo e Consiglio dell’Unione europea. (2016). Regolamento (UE) 2016/679 del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, e che abroga la direttiva 95/46/CE.
Repubblica italiana. (1994). Legge 14 gennaio 1994, n. 20, Disposizioni in materia di giurisdizione e controllo della Corte dei conti.
Repubblica italiana. (2026). Legge 7 gennaio 2026, n. 1, Modifiche alla legge 14 gennaio 1994, n. 20, e altre disposizioni in materia di funzioni della Corte dei conti e di responsabilità amministrativa e per danno erariale.
ULTIMI 5 ARTICOLI DELLO STESSO AUTORE
UN ALTRO GIOVANE SUICIDIO NELLA POLIZIA LOCALE
POLIZIA LOCALE E VEICOLI FUORI USO: MODULISTICA UNITARIA PER TUTTI I COMANDI
LA RIFORMA DELLA POLIZIA LOCALE APPROVATA IERI ALLA CAMERA
POLIZIA LOCALE, LA RIFORMA POSSIBILE IN UNA DELEGA CHE PUÒ DIVENTARE SVOLTA O OCCASIONE MANCATA
ROTTAMAZIONE DEI VEICOLI SOTTOPOSTI A FERMO AMMINISTRATIVO (L 14/2026)
LE ULTIME SANZIONI DEL GARANTE:
6.000 EURO DI SANZIONE DAL GARANTE AL COMUNE DI PORTICI (NA)
50.000 EURO DI SANZIONE DAL GARANTE AL PANOPTICON DEL COMUNE DI TRENTO
12.000 EURO DI SANZIONE DAL GARANTE AL COMUNE DI SALENTO (SA)
6.000 EURO DI SANZIONE DAL GARANTE AL COMUNE DI VILLABATE (PA)
100.000 EURO DI SANZIONE DAL GARANTE ALLA REGIONE LAZIO
GLI ULTIMI 5 ARTICOLI SULLA PRIVACY
CASSAZIONE: LA GEOLOCALIZZAZIONE DEI DIPENDENTI RICHIEDE LA CONSULTAZIONE PREVENTIVA DEL GARANTE
UTILIZZO ECCESSIVO DELLE BARRIERE OCR E DELLE FOTOTRAPPOLE
ILLEGALI LE FOTOTRAPPOLE PRIVE DI OMOLOGAZIONE CE DELL’INTERO APPARATO
ILLECITE LE FOTOTRAPPOLE CHE REGISTRANO LOCALMENTE ANCHE IN MANIERA CRIPTATA
ULTIMI 5 ARTICOLI PUBBLICATI
LO STATO DELL’ECONOMIA MONDIALE E NAZIONALE NELLE CONSIDERAZIONI FINALI DEL GOVERNATORE
L’IA NON È (ANCORA) DEMOCRATICA
MAGNIFICA HUMANITAS: LA CIVILTÀ DELL’AMORE NELL’EPOCA DELL’INTELLIGENZA ARTIFICIALE
SOGNANDO SUL TEVERE TRA CULTURA, ELEGANZA E SOLIDARIETÀ
PRODUTTIVITÀ E DISUGUAGLIANZE CON L’INTELLIGENZA ARTIFICIALE NELLE RELAZIONI FINALI DEL GOVERNATORE
Ethica Societas è una testata giornalistica gratuita e no profit edita da una cooperativa sociale onlus
Copyright Ethica Societas, Human&Social Science Review © 2026 by Ethica Societas UPLI onlus.
ISSN 2785-602X. Licensed under CC BY-NC 4.0