Bilanciamento tra minimizzazione e controlli INPS sul bonus Covid (Cass. civ. Sez. 2 n. 15625 del 21.05.2026)

Principi di diritto (Massima)
Il principio di minimizzazione dei dati di cui all’art. 5, par. 1, lett. c), del Regolamento UE n. 679/2016 non ha carattere assoluto e richiede una valutazione di bilanciamento con gli interessi pubblici che giustificano il trattamento. Il trattamento di dati non sensibili, effettuato da un ente previdenziale per l’esecuzione di controlli di secondo livello su domande di benefici economici, non viola il principio di minimizzazione quando l’ampliamento del perimetro dei soggetti controllati è funzionale alla celerità e alla completezza della procedura. La verifica circa l’adeguatezza, la pertinenza e la necessità del trattamento è valutazione di merito, insindacabile in cassazione se congruamente motivata.

Il Fatto

A seguito dell’erogazione del c.d. “bonus covid”, l’INPS aveva effettuato controlli di secondo livello su coloro che avevano presentato domanda, incrociando i dati anagrafici dei titolari di incarichi elettivi, estratti da banche dati pubbliche, con i codici fiscali dei richiedenti. Il Garante per la protezione dei dati personali aveva contestato all’Istituto la violazione di diversi principi del Regolamento UE n. 679/2016, ingiungendo il pagamento di una sanzione. Il Tribunale di Roma, su opposizione dell’INPS, aveva annullato il provvedimento. Il Garante ha proposto ricorso per cassazione.

La Motivazione della Corte

La Corte ha preliminarmente respinto l’eccezione di inammissibilità del ricorso, ritenendo specifiche le censure del Garante. Nel merito, ha escluso in primo luogo la violazione dell’art. 5, par. 1, lett. a), del Regolamento, osservando che la base giuridica del trattamento era da rinvenire nella normativa emergenziale del d.l. n. 18/2020, norma di legge chiara e precisa ai sensi dell’art. 6, par. 3, del Regolamento. La Corte ha precisato che i dubbi interpretativi dell’INPS e il successivo parere del Ministero del lavoro non potevano incidere sulla chiarezza della base giuridica, che era costituita esclusivamente da una norma di legge.

Quanto al principio di minimizzazione, la Corte ha affermato che esso non è un “tiranno”, richiedendo un bilanciamento con l’interesse pubblico alla celerità dei controlli. Nel caso di specie, l’estensione del trattamento anche alle domande rigettate era giustificata dalla pendenza dell’iter istruttorio e dalla proroga dei termini, rendendo il trattamento indispensabile così come effettuato. La valutazione del giudice di merito sulla proporzionalità è stata ritenuta insindacabile, in quanto congruamente motivata e presidiata dall’accertamento dell’indispensabilità del trattamento.

In relazione al principio di esattezza dei dati, la Corte ha rilevato che i dati anagrafici provenivano da fonti istituzionali e andavano presumuti esatti, mentre il codice fiscale era stato calcolato con il procedimento ufficiale del d.m. n. 2227/1974. Per l’ipotesi di omocodia, la norma regolamentare prevede la differenziazione dei codici per i soggetti successivi, con la conseguenza che nessuno di essi avrebbe potuto essere identificato con un codice errato, escludendo così qualsivoglia rischio per la riservatezza.

Sull’obbligo di valutazione d’impatto ex art. 35 del Regolamento, la Corte ha escluso la sussistenza di un rischio elevato, rilevando che il trattamento riguardava dati non sensibili e che l’unico rischio concreto era la perdita di un beneficio indebitamente percepito, non ascrivibile al trattamento in sé ma alla carenza dei requisiti. Ha infine escluso la nullità della sentenza per apparenza della motivazione, ritenendo il ragionamento del Tribunale chiaramente percepibile.