E’ consolidato principio che i dati sensibili idonei a rilevare lo stato di salute possono essere trattati da soggetti pubblici soltanto mediante modalità organizzative che rendano non identificabile l’interessato.
Corte di Cassazione, civ., Sez. II, sentenza 4 aprile 2019, n. 9382, Presidente Petitti, Relatore Correnti
A margine
Il fatto
Il Garante per la protezione dei dati personali propone ricorso per cassazione avverso una sentenza del Tribunale, che accoglie l’opposizione di una Provincia in ordine ad una sua ordinanza che aveva ingiunto la sanzione di euro 20.000 per la violazione dell’art. 162, c. 2-bis del Codice di protezione dei dati personali, per la diffusione dello stato di salute di un dipendente, in difformità da quanto previsto dall’art. 22, c. 8 del Codice, tramite la pubblicazione di una determina sul sito dell’ente.
In origine, davanti al Garante, la Provincia aveva sostenuto che non vi era alcuna violazione stante l’esigenza di trasparenza amministrativa in quanto la causa della pubblicazione “era da ricercarsi nella circostanza che il dipendente, in quanto affetto da una delle patologie previste dalla norma, vanta un diritto che deve essere sottoposto a un controllo di legittimità, nell’ottica di trasparenza dell’attività amministrativa che si pone come strumento irrinunciabile e imprescindibile”.
Peraltro, secondo la Provincia “si era di fronte non ad un dato vero e proprio bensì davanti a un meta-dato”, atteso che lo stato di salute dell’interessato non era riportato in alcun modo, non essendo possibile comprendere di quale patologia questo soffrisse.
La sentenza del Tribunale aveva sancito la fondatezza dell’opposizione della Provincia ritenendo che la sola diffusione della determina non fosse lesiva della c.d. privacy dell’interessato.
Il Garante ricorre dunque in Cassazione affermando la violazione dell’art. 22, c. 8 d.lgs. 196/2003 nonché degli artt. 20, cc. 1 e 2, 65, c. 5, 68, c. 3 per essere stata ritenuta illegittima la sanzione in ordine alla diffusione di un dato sensibile mentre la Provincia resiste con controricorso.
La sentenza
La Corte di Cassazione ritiene il motivo fondato ricordando che la tutela del dato sensibile prevale su una generica esigenza di trasparenza amministrativa sia sotto il profilo costituzionalmente rilevante della valutazione degli interessi in discussione sia sotto quello della sostanziale elusione della normativa sulla protezione dei dati personali, accentuata nel caso dei dati sensibili, ove si dovesse far prevalere una generica esigenza di trasparenza amministrativa nemmeno concretamente argomentata e provata.
Peraltro, la giurisprudenza della Corte ha sancito che, nella nozione di trattamento, ai sensi dell’art. 4, c. 1, lett.a) del Codice della privacy, sono compresi l’estrazione dei dati ed il successivo utilizzo.
Queste attività, se non precedute da idonea informativa sul trattamento dei dati personali e dalla acquisizione del consenso del titolare, integrano due illeciti amministrativi previsti dagli artt. 13, 23, 130,161, 162 comma 2 bis e 167 del Codice della privacy, riferiti alla omessa informativa ed alla non assentita comunicazione automatizzata (Cass. 24.6.2014 n. 14326).
E’ infatti consolidato il principio che i dati sensibili idonei a rilevare lo stato di salute possono essere trattati da soggetti pubblici soltanto mediante modalità organizzative che rendano non identificabile l’interessato.
Pertanto la Corte accoglie il ricorso del Garante e cassa la sentenza del Tribunale.
di Simonetta Fabris