A.- Il dott. Emilio Simona è locatario a Locarno di una casa monofamiliare di proprietà dello Stato del Cantone Ticino. Nell'ottobre 1968 la ditta Franco Bologna effettuava la revisione del serbatoio dell'impianto di riscaldamento dello stabile. In tale occasione essa metteva fuori uso il bocchettone esterno del tubo di scarico e ne installava uno interno. Il vecchio bocchettone non veniva tuttavia tolto od occluso.

Il 22 agosto 1969 Alfredo Togni, socio della ditta Petrol-Togni, trasportava alla casa locata dal dott. Simona 5000 litri di olio combustibile. Togni aveva già provveduto personalmente in precedenza a riempimenti del serbatoio della casa in questione ma in epoca anteriore alla sostituzione del bocchettone. Senza rendersi conto di tale sostituzione, egli versava il combustibile nel vecchio bocchettone, provocando la fuoriuscita di una quantità considerevole del liquido, di cui parte s'infiltrava nel suolo. Valendosi dell'intervento di ditte private, dell'Ufficio tecnico del Comune di Locarno e dei pompieri di Locarno, il Dipartimento delle Opere sociali del Cantone Ticino disponeva i provvedimenti necessari per proteggere la falda freatica.

Con decisione del 27 dicembre 1973 il Dipartimento cantonale delle Opere sociali attribuiva al dott. Simona la responsabilità amministrativa della fuoriuscita di olio combustibile intervenuta il 22 agosto 1969, e lo dichiarava tenuto a rimborsare allo Stato gli importi da esso anticipati per le misure di prevenzione e di risanamento.

Il 20 marzo 1974 il Consiglio di Stato del Cantone Ticino respingeva il ricorso presentato dal dott. Simona contro la decisione dipartimentale. Nella decisione si rileva che, alla stregua di un principio fondamentale del diritto amministrativo, è responsabile quale perturbatore chi sia all'origine, sia pure soltanto involontariamente, di un'infrazione alle norme di legge vigenti. La sostituzione della tubazione per il riempimento della cisterna era stata disposta a suo tempo dal dott. Simona o da persone per il cui operato questi è responsabile. La sua responsabilità amministrativa è quindi data oggettivamente; sulla responsabilità civile non spetta all'autorità amministrativa di pronunciarsi, bensì al giudice civile.

C.- Il dott. Simona è insorto contro la decisione del Consiglio di Stato con ricorso di diritto amministrativo, facendo valere nel merito che la ditta Togni era stata a suo tempo messa al corrente della sostituzione del tubo di carico; egli non può essere chiamato a rispondere di un difetto d'informazione intervenuto nell'ambito di quella ditta. Responsabile sarebbe d'altronde anche la ditta Bologna, la quale ha effettuato la modifica dell'installazione, senza togliere il bocchettone utilizzato in precedenza.

3. L'evento dannoso sui cui effetti finanziari verte la controversia ha avuto luogo il 22 agosto 1969. L'autorità cantonale ha applicato con ragione, conformemente alla regola generale della non retroattività (art. 1 del titolo finale del codice civile), la legge federale sulla protezione delle acque dall'inquinamento, del 16 marzo 1955, vigente fino al 30 giugno 1972, e non la nuova legge federale dell'8 ottobre 1971, che l'ha sostituita il 1o luglio 1972. La giurisprudenza del Tribunale federale con cui si dichiara applicabile la nuova legge ai procedimenti ancora pendenti alla sua entrata in vigore si riferisce a casi di domanda d'autorizzazione (DTF 99 Ia 124 consid. 9, 99 Ib 152 consid. 1, Zbl 1973, pag. 450 consid. 2). Secondo l'art. 2 del titolo finale CC, norme fondate sull'ordine pubblico - quali, ad esempio, gli art. 19 e 20 della nuova legge federale contro l'inquinamento delle acque - sono applicabili in tutti i casi dal momento della loro entrata in vigore, salvo le eccezioni previste dalla legge. La disciplina dell'onere delle spese relative all'attuazione surrogatoria dei provvedimenti di accertamento e di risanamento non è stata fondata sull'ordine pubblico ai sensi del menzionato art. 2 del titolo finale CC. Ne segue che sugli eventi prodottisi sotto l'imperio della legislazione precedente va giudicato in base alle norme allora in vigore. Non esiste infatti nell'ambito di cui trattasi alcuna ragione suscettibile di giustificare un'applicazione della nuova normativa. In particolare, un inasprimento successivo della responsabilità amministrativa per eventi che già hanno avuto luogo non potrebbe essere sorretta da considerazioni fondate sull'ordine pubblico, quali quelle che giustificano l'applicazione, in ogni caso, delle restrizioni in materia edilizia previste dalla nuova legge federale sulla protezione delle acque contro l'inquinamento.

4. L'art. 12 LPA consente, secondo la giurisprudenza del Tribunale federale (DTF 91 I 299 segg.), non solo di attuare anticipatamente in luogo di chi v'era tenuto i provvedimenti necessari, bensì anche di porre le spese derivate da una siffatta attuazione surrogatoria anticipata a carico di colui che ha perturbato la protezione delle acque (cfr., in senso critico, IMBODEN, Schweizerische Verwaltungsrechtsprechung n. 355 II pag. 261 seg.; in senso favorevole: GUENG, in Zbl. 1973, pag. 273, nota 84). Nella nuova legge contro l'inquinamento delle acque (art. 8) è stata disposta, in ragione della frequenza di questo tipo particolare di attuazione surrogatoria, una disciplina speciale ed esplicita (cfr. al proposito il Messaggio del Consiglio federale, FF 1970 vol. II, pag. 345). L'opinione espressa dal Dipartimento federale dell'interno nelle proprie osservazioni al ricorso, secondo cui l'art. 12 LPA non permette di addossare le spese di un'attuazione surrogatoria anticipata ad un perturbatore che non fosse stato in grado di adottare le misure necessarie, è inesatta. La legge contro l'inquinamento delle acque, dell'8 ottobre 1971, non ha innovato alcunché a tale proposito; essa s'è limitata a prevedere esplicitamente l'obbligo, già a carico del perturbatore in virtù dell'art. 12 LPA, di sopportare le spese dell'attuazione surrogatoria anticipata. Non v'è ragione di scostarsi oggi dall'interpretazione data all'art. 12 LPA dal Tribunale federale in DTF 91 I 300 segg. La diffusa motivazione ivi contenuta risulta convincente anche al lume di un nuovo esame del problema.

5. Laddove si tratti di eliminare un perturbamento o un pericolo, l'autorità è tenuta, secondo una regola generale vigente nello stato di diritto, ad intervenire nei confronti del perturbatore (DTF 87 I 113 /114, DTF 90 I 4 consid. 1). Anche l'obbligo di pagare le spese incorse per l'attuazione surrogatoria anticipata incombe in linea di principio al perturbatore, ossia a colui che ha cagionato il perturbamento o il pericolo.

a) In DTF 91 I 302 consid. 3b il Tribunale federale ha chiarito che è da considerare perturbatore non soltanto chi ha cagionato il perturbamento o il pericolo, bensì anche chi può disporre delle persone o cose che hanno dato luogo alla situazione lesiva della protezione delle acque. Tale nozione corrisponde in larga misura alla distinzione oggi generalmente riconosciuta in dottrina tra perturbatore per comportamento e perturbatore per situazione. Perturbatore per comportamento è chi cagiona mediante il comportamento proprio o di terzi di cui è responsabile (figli minori, ausiliari di un imprenditore) un pericolo o un perturbamento contrario alle disposizioni di polizia. Perturbatore per situazione è invece colui che ha la responsabilità di eliminare i pericoli o i perturbamenti conseguenti ad una situazione contraria alle disposizioni di polizia, nella quale si trova una cosa determinata. La responsabilità per situazione incombe a chi, quale proprietario o detentore di un potere di fatto, ha la disponibilità della cosa da cui è scaturito il perturbamento (cfr. WOLFF H. J., Verwaltungsrecht, III 3a ediz., pag. 61 segg. par. 127 I; in senso analogo: DREWS-WACKE, Allgemeines Polizeirecht, 7a ediz., pag. 217 segg.; ULE-RASCH, Allgemeines Polizei- und Ordnungsrecht, pag. 108 segg. e 115 segg.).

b) Il ricorrente non ha cagionato con un comportamento contrario alle disposizioni di polizia la fuoriuscita dell'olio combustibile, e, di conseguenza, il perturbamento della protezione delle acque garantita dalla relativa normativa. Per il fatto di avere ordinato la revisione del serbatoio e la fornitura d'olio combustibile, egli non deve rispondere di eventuali errori commessi dalla ditta incaricata della revisione (Bologna), o di quella fornitrice del combustibile (Petrol-Togni). Non trattasi invero del comportamento di persone par le quali il ricorrente deve assumere una responsabilità amministrativa. Una tale responsabilità non può neppure essere fondata sull'atto (incarico, ordinazione) che è stato all'origine del comportamento del personale delle ditte summenzionate. Non ogni anello della catena causale che porta al perturbamento o al pericolo costituisce infatti una fonte di responsabilità.

Secondo l'opinione generale, la responsabilità sgorgante dal diritto di polizia va limitata in virtù di un ulteriore criterio. Questo limite è rappresentato dall'esigenza di ciò che la dottrina e la giurisprudenza germaniche denominano immediatezza della causalità. Secondo tale concetto, sono da considerare quali cause rilevanti ai fini del diritto di polizia soltanto atti che già di per sé abbiano travalicato la frontiera del pericolo; perturbatore ai sensi del diritto di polizia è soltanto colui il cui comportamento abbia causato direttamente il pericolo; cause ulteriori, soltanto indirette, non entrano quindi in linea di conto (DREWS-WACKE, op.cit., pag. 223). Per ovviare a certi inconvenienti che implica la limitazione della responsabilità secondo il criterio dell'immediatezza, H.J. Wolf propone di considerare determinante che l'atto il quale abbia causato l'evento sia contrario al diritto di polizia; cause rilevanti sarebbero quindi, secondo tale dottrina, gli atti che, da soli, abbiano provocato un pericolo o un perturbamento in modo biasimato dal diritto (WOLFF, Verwaltungsrecht, III, 3a ediz., pag. 62). Dal punto di vista della loro applicazione pratica, ambedue i citati criteri di limitazione della responsabilità sogliono portare ad un risultato identico.

Per quanto concerne il caso in esame, nella parte avuta dal ricorrente nel rapporto di causalità non può invero ravvisarsi una causa immediata, con la quale sia stato concretamente ecceduto il limite del pericolo, né un atto con cui, mediante una violazione del diritto di polizia e in particolare del precetto della salvaguardia dell'ordine e della sicurezza pubblici, sia stato creato uno stato di pericolo. Una responsabilità amministrativa del ricorrente quale perturbatore per comportamento va quindi esclusa.

c) In seguito alla cambiata ubicazione del bocchettone, non accompagnata dall'eliminazione del bocchettone vecchio o dalla sua occlusione, era insorto il rischio che il combustibile venisse introdotto nel posto sbagliato, e che le acque s'inquinassero a causa dell'infiltrazione nel suolo del combustibile stesso. Ci si deve pertanto chiedere se il ricorrente, come locatario dello stabile in cui si trovava l'installazione, possa essere ritenuto responsabile di questa situazione di pericolo e delle sue conseguenze, cioè se possa essere considerato quale perturbatore per situazione.

Responsabile per i pericoli derivanti da una determinata situazione è in primo luogo, secondo l'unanime dottrina, il proprietario (DREWS-WACKE, op.cit., pag. 235). Tale forma di responsabilità può inoltre incombere a colui che ha la disponibilità fattuale di una cosa, ad esempio, l'inquilino, l'affittuario, il mandatario o l'amministratore. L'autorità competente può pretendere che, oltre al proprietario, o in sua vece, ognuno di tali aventi diritto faccia uso del proprio potere di disposizione nel modo e nella misura necessari per escludere che la sicurezza e l'ordine pubblici siano messi in pericolo per effetto della cosa di cui dispongono. Ciò implica a carico di ognuno degli interessati una corrispondente responsabilità.

Il ricorrente non assume nella fattispecie la semplice posizione d'inquilino; egli è in grado di adottare determinati provvedimenti concernenti l'immobile locato, quali la revisione del serbatoio dell'olio combustibile e la sostituzione del bocchettone, che normalmente sogliono essere di competenza dell'amministratore dell'immobile o dello stesso proprietario. In base al suo potere fattuale di disposizione, egli può essere considerato in un certo senso, accanto al proprietario, quale perturbatore per situazione. Così, ad esempio, l'autorità avrebbe potuto intimargli di eliminare il bocchettone inutilizzabile o di tollerare lavori di scavo intrapresi per tutelare la falda freatica dalle infiltrazioni di combustibile. Appare per converso dubbio se da un potere fattuale di disposizione e da certi poteri d'amministrazione possa essere dedotta una responsabilità amministrativa per le conseguenze finanziarie dello stato difettoso del serbatoio. Un'eventuale responsabilità sarebbe comunque configurabile esclusivamente quale responsabilità per situazione esistente accanto a quella del proprietario.

d) Ammesso - senza che tale punto debba essere approfondito in questa sede - che il ricorrente vada considerato quale perturbatore per situazione con riferimento alla fuoriuscita di combustibile, rimane da decidere se nelle circostanze concrete egli possa essere tenuto ad assumere il pagamento integrale delle spese per i provvedimenti d'accertamento e di risanamento adottati.

Accanto al ricorrente entra in linea di conto, quale perturbatore per situazione obbligato al pagamento delle spese, il proprietario dell'immobile. Inoltre, la ditta di revisione di serbatoi (Bologna), che aveva sostituito l'installazione di carico senza eliminare il vecchio bocchettone, è responsabile quale perturbatrice per comportamento; infatti, tale modifica incompleta dell'installazione ha fatto insorgere uno stato di pericolo ed è stata una causa immediata dell'evento dannoso occorso successivamente. Il comportamento della ditta Bologna, che ha contribuito alla causalità del danno, viola già di per sé, senza tener conto delle conseguenze prodottesi concretamente, le prescrizioni del diritto di polizia. Ci si può chiedere se anche l'attività svolta dalla ditta fornitrice dell'olio combustibile implichi una propria responsabilità amministrativa. Una causa di pericolo, contraria al diritto di polizia, potrebbe peraltro essere ravvisata unicamente nel fatto che tale ditta non aveva provveduto ad informare tutto il personale suscettibile d'essere incaricato d'eseguire una fornitura di olio combustibile all'immobile occupato dal dott. Simona, dell'avvenuta sostituzione dell'installazione di carico in quell'edificio, e del conseguente rischio di un'utilizzazione erronea del vecchio bocchettone. Nella fattispecie può rimanere indeciso se questa omissione della ditta Petrol-Togni sia sufficiente a dar luogo ad una sua responsabilità amministrativa.

Per l'esito del presente giudizio è determinante che, ammessa la qualità di perturbatore per situazione del ricorrente, essa va riconosciuta altresì al proprietario, secondo perturbatore per situazione, come pure a uno, od eventualmente a due, ulteriori soggetti, perturbatori per comportamento (le ditte Bologna e Petrol-Togni).

6. Sul concorso di responsabilità in materia di polizia in presenza di più perturbatori il Tribunale federale s'è pronunciato succintamente in DTF 94 I 411 consid. 5d. In quella sentenza s'era stabilito che la proprietaria di una condotta, messa a disposizione per scaricare una nave petroliera, doveva essere considerata perturbatrice, dato che era responsabile dello stato difettoso della condotta, rottasi durante le operazioni di scarico. Vi si affermava che, pur entrando in linea di conto quale perturbatore altresì il vetturale o l'armatore, per non aver l'equipaggio fatto un uso corretto dell'impianto di scarico, l'autorità amministrativa poteva porre a carico della proprietaria della condotta guastatasi l'intero ammontare delle spese necessarie per i provvedimenti di protezione e di prevenzione. Si soggiungeva che, in presenza di una pluralità di perturbatori, era consentito all'autorità di scegliere quello da cui intendesse pretendere il pagamento delle spese incorse; in casi del genere esisterebbe infatti una responsabilità ai sensi degli 50/51 CO.

I principi su cui si fonda la menzionata sentenza vanno precisati. In dottrina, URS GUENG ("Zur Haftungskonkurrenz im Polizeirecht", in Zb vol. 74 (1973), pag. 257 segg.), nel criticare la decisione del Tribunale federale, ha tentato di sviluppare determinate regole da seguire nella scelta del perturbatore chiamato a rispondere in caso di concorso plurimo di responsabili. Gueng nega l'esistenza di una responsabilità solidale analoga a quella prevista dagli art. 50/51 CO e tale da consentire all'autorità di scegliere liberamente il responsabile a cui far pagare la totalità delle spese necessarie incorse. Con ragione questo autore ha rilevato che, mentre la responsabilità solidale del diritto civile intende assicurare al danneggiato la possibilità di conseguire rapidamente e semplicemente il risarcimento del pregiudizio finanziario sofferto, tale possibilità non deve ritenersi determinante nell'ambito del diritto di polizia per risolvere il problema del concorso di responsabilità amministrative. Partendo dal principio che, in presenza di una pluralità di perturbatori, l'autorità deve rivolgersi a quello che sia in grado di ripristinare l'ordine pubblico in modo adeguato alle esigenze di polizia, Gueng ha cristallizzato alcuni criteri che deve adempiere la scelta: questa deve cadere in primo luogo su colui che appaia più idoneo a realizzare il ripristino e dal quale possa più ragionevolmente pretendersi la richiesta prestazione fondata sul diritto di polizia. In quanto non vi osti l'interesse di polizia, deve inoltre scegliersi tra più perturbatori per causa diversa, quello a cui incomba soggettivamente la responsabilità maggiore dell'evento dannoso: così, ad esempio, l'autorità deve rivolgersi al perturbatore per comportamento prima che al perturbatore per situazione, a colui che ha cagionato il danno con colpa prima che a colui che è privo di colpa, al perturbatore che ha agito intenzionalmente, prima che a quello che ha agito solo con negligenza, ecc. Nella fattispecie non occorre esaminare se queste regole particolari, che traggono la loro origine dalla dottrina germanica, siano compatibili con la frequente necessità pratica di determinare con urgenza chi sia tenuto ad eliminare il perturbamento, né è d'uopo analizzare se l'interesse pubblico diretto ad impedire o combattere tempestivamente ed efficacemente il pericolo escluda nella maggioranza dei casi il ricorso ad una sia pur auspicabile differenziazione teorica. Nel presente giudizio non si tratta infatti di determinare quale sia il perturbatore obbligato ad eliminare una situazione contraria al diritto di polizia, bensì di decidere a chi incomba l'onere delle spese di un'attuazione surrogatoria anticipata.

Laddove l'autorità competente adotti sin dall'inizio, direttamente od avvalendosi di terzi, i provvedimenti necessari per eliminare una situazione in contrasto con il diritto di polizia, per non poter tali provvedimenti, in ragione della loro natura od ampiezza, essere ragionevolmente pretesi da alcuno dei perturbatori, il problema del concorso di responsabilità si riduce a quello d'accertare a chi debbano essere successivamente addossate le spese relative. Nel regolamento delle conseguenze finanziarie di un'attuazione surrogatoria anticipata perdono importanza le obiezioni desunte dalla necessità di una determinazione rapida ed efficace, che possono essere sollevate contro una differenziazione accurata circa il soggetto obbligato ad eliminare il perturbamento. Né v'è alcuna ragione degna di protezione perché l'autorità obblighi uno solo dei perturbatori entranti in linea di conto ad assumere a proprio carico tutte le spese, lasciandogli poi la cura d'esercitare i suoi diritti di regresso nei confronti degli altri (GUENG, op.cit., pag. 273 seg.). Non esiste alcuna norma giuridica né alcuna seria considerazione teorica in virtù della quale, per determinare i soggetti obbligati a sopportare le spese di un'attuazione surrogatoria anticipata, debbano essere seguite le stesse regole applicabili allorché sia da determinare il perturbatore tenuto ad eliminare un perturbamento od un pericolo. Riserve d'ordine pratico circa i criteri selettivi, valide nella contingenza testé menzionata, non possono essere rilevanti in sede di decisione sull'onere delle spese di un'attuazione surrogatoria anticipata.

Ne discende che, in caso di pluralità di perturbatori, l'autorità amministrativa deve effettuare la scelta di colui contro il quale intende far valere le sue pretese non procedendo arbitrariamente, bensì usando in modo conforme ai suoi doveri del proprio potere d'apprezzamento (cfr. sull'esercizio di tale potere d'apprezzamento e sui criteri di scelta, DREWS-WACKE, op.cit. pag. 229 segg. e 244 segg.). Anche se l'interesse di polizia a creare una rapida ed efficace protezione contro uno stato di pericolo o ad eliminare con sollecitudine un perturbamento può giustificare, nella scelta del perturbatore tenuto ad adottare i provvedimenti di prevenzione e di risanamento, un criterio che non si fondi in primo luogo su una differenziazione secondo la proporzione soggettiva di causalità di ognuno dei vari perturbatori, tale deroga alla cennata differenziazione non ha ragione d'essere nella disciplina delle conseguenze finanziarie di un'attuazione surrogatoria anticipata. Il corretto esercizio del proprio potere d'apprezzamento fa obbligo all'autorità di ripartire le spese, per quanto possibile, secondo i principi generali in materia di responsabilità, ossia in base alla partecipazione causale soggettiva ed oggettiva di ognuno. L'attribuzione arbitraria dell'intero onere ad un solo perturbatore non può essere ammessa laddove vi siano altri perturbatori che abbiano contribuito, in parte addirittura in proporzione maggiore, a causare il pregiudizio. Le regole contenute nell'art. 50 cpv. 2 e nell'art. 51 cpv. 2 CO possono essere applicate analogicamente nel riparto delle spese. Mentre non sussistono per l'obbligo di rimborso regolato dal diritto pubblico le ragioni che giustificano la responsabilità solidale del diritto civile e la possibilità per il danneggiato di chiedere il risarcimento ad uno qualsiasi dei debitori in solido, per la ripartizione tra più responsabili delle spese sostenute dall'autorità in virtù del diritto pubblico devono trovare applicazione i principi su cui si basa la disciplina civilistica del regresso.

Né l'art. 12 LPA (che menziona: "a spese di chi vi era tenuto"), né le disposizioni del diritto cantonale (art. 29 della legge d'applicazione: stessa formulazione; art. 5 del decreto esecutivo del Consiglio di Stato: "a carico dei responsabili dell'inquinamento") consentono all'autorità di pretendere da uno dei vari responsabili scelto arbitrariamente il rimborso di tutte le spese incorse. Le norme di legge determinanti nell'ambito del regolamento dell'onere finanziario non ostano invero ad una differenziazione conforme ai principi generali del diritto.

7. Dalle risultanze degli atti appare, come già s'è detto, che l'addebito d'aver causato in modo contrario al diritto di polizia un evento dannoso va mosso in primo luogo alla ditta incaricata della revisione del serbatoio; modificando l'impianto di carico senza eliminare nel contempo il bocchettone messo fuori servizio, essa ha creato in modo per lei riconoscibile il rischio che s'è poi avverato. Omettendo di far valere le proprie pretese nei confronti di tale ditta, perturbatrice per comportamento, e addossando tutte le spese al ricorrente quale perturbatore per situazione, l'autorità cantonale ha abusato del proprio potere d'apprezzamento. La decisione impugnata deve quindi essere annullata. Spetterà all'autorità cantonale decidere se si giustifichi di porre a carico, oltre che della ditta Bologna, anche della ditta Petrol-Togni una parte (per quest'ultima, minore) delle spese. Tale aspetto dovrà essere esaminato, dopo aver dato agli interessati l'occasione di esprimersi al riguardo, tenendo conto dei principi sopra illustrati; ove non fosse sufficiente procedere nei confronti del o dei perturbatori per comportamento, non potrà negligersi che anche allo Stato incombe, quale proprietario dell'immobile, una responsabilità per situazione.

Per questi motivi, il Tribunale federale, pronuncia:

Il ricorso è accolto e la decisione impugnata è annullata.