Ordinanza ingiunzione o revoca n. 435 del 09/05/2024

Corte di Cassazione: diffusione sul portale SentenzeWeb di provvedimenti con dati da oscurare

Il provvedimento riguarda la Corte di Cassazione, quale titolare del trattamento dei dati diffusi tramite il portale SentenzeWeb, e trae origine da un ricorso ex art. 152 del Codice, trasmesso dal Ministero della Giustizia, relativo alla reperibilità online di sentenze e ordinanze contenenti dati identificativi di soggetti affetti da HIV e di vittime di violenza sessuale.

Origine del procedimento e attività istruttoria

L’Autorità ha svolto accessi al portale SentenzeWeb e ha verificato, tramite ricerche per parole chiave, che il motore di ricerca consentiva di reperire numerosi provvedimenti giurisdizionali riferiti agli anni 2017-2023. In particolare:

• con la chiave "HIV" sono emersi 115 provvedimenti, di cui 43 recavano in chiaro i dati identificativi degli interessati;
• con le chiavi "violenza sessuale" e "minore sessuali" sono emersi complessivamente numerosi risultati, tra i quali due provvedimenti con generalità di vittime di reati tutelati dall’art. 734-bis c.p.;
• con le chiavi "malato" e "malattia" sono stati individuati ulteriori provvedimenti, tre dei quali recavano in chiaro i nominativi di interessati affetti da patologie oncologiche.

Il Garante ha quindi chiesto chiarimenti sia al Ministero della Giustizia sia alla Corte di Cassazione sulle regole di pubblicazione, sulla titolarità del trattamento e sulle misure tecniche e organizzative adottate per l’oscuramento dei dati.

Riscontri della Corte e sviluppi del procedimento

La Corte di Cassazione ha inizialmente rappresentato di aver già operato tempestivamente la rimozione di alcuni provvedimenti e la loro codifica con la dicitura "in fase di valutazione oscuramento". Successivamente ha comunicato la sospensione cautelativa del servizio SentenzeWeb dal 9 marzo 2023 e, con successive note, ha illustrato:

• l’adozione di nuove direttive della Prima Presidente con decreto n. 78 del 1° aprile 2023, sostitutive del decreto n. 178/2016;
• l’elaborazione di un glossario di parole chiave per intercettare dati sensibili non diffondibili;
• l’intenzione di ricorrere a un sistema automatico di pseudonimizzazione in collaborazione con il Ministero della Giustizia, basato su tecnologie di AI e Named Entity Recognition.

Valutazioni del Garante sulla liceità del trattamento

Il Garante ha ricostruito la disciplina applicabile al portale, richiamando il ruolo del C.E.D. della Corte, il contenuto dell’informativa privacy del sito e la posizione della Corte di Cassazione quale titolare del trattamento. Ha quindi ritenuto accertato che la Corte, tramite il portale, aveva divulgato dati personali che avrebbero dovuto essere oscurati per legge, in particolare dati di cui agli artt. 52, comma 5, e 2-septies del Codice.

L’Autorità ha qualificato il trattamento come illecito per violazione:

• dei principi di liceità e minimizzazione ex art. 5, par. 1, lett. a) e c), GDPR;
• del divieto di diffusione dei dati idonei a rivelare lo stato di salute ex art. 9 GDPR, in combinato con l’art. 2-septies, comma 8, del Codice;
• del principio di integrità e riservatezza ex art. 5, par. 1, lett. f), GDPR;
• dell’obbligo di adottare misure tecniche e organizzative adeguate ex art. 32 GDPR.

Secondo il Garante, le modalità adottate fino all’8 marzo 2023 facevano prevalentemente affidamento su controlli umani e su verifiche non sufficientemente strutturate, non idonei a prevenire la pubblicazione in chiaro di provvedimenti contenenti dati da oscurare, specie in materia di salute, per i quali mancavano indicazioni specifiche ai soggetti coinvolti nelle procedure di redazione e pubblicazione.

Osservazioni sulla pseudonimizzazione automatica

Pur prendendo atto delle nuove direttive e delle misure già adottate, il Garante ha richiamato l’attenzione sul fatto che la mera sostituzione del nome e cognome con uno pseudonimo non equivale necessariamente a una vera pseudonimizzazione ai sensi dell’art. 4, punto 5, GDPR. L’Autorità ha evidenziato che, nei provvedimenti giudiziari, la presenza di ulteriori elementi contestuali può comunque rendere identificabile la persona fisica interessata, con conseguente necessità di valutare attentamente i rischi e di adottare misure tecniche e organizzative adeguate.

Esito: ammonimento e ingiunzione informativa

Il Garante ha concluso che, tenendo conto della sospensione cautelativa del portale, della cooperazione prestata dalla Corte, dell’assenza di precedenti e delle misure adottate per attenuare il danno, era opportuno applicare l’ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, invece di una sanzione pecuniaria.

Contestualmente ha ingiunto alla Corte di Cassazione, ai sensi degli artt. 58, par. 1, lett. a), GDPR e 157 del Codice, di trasmettere entro tre mesi:

• informazioni sulle eventuali criticità emerse nel primo periodo di applicazione delle nuove direttive della Prima Presidente del 1° aprile 2023 e sulle misure adottate per superarle;
• informazioni sull’eventuale adozione del sistema automatico di pseudonimizzazione e sulle misure per mitigare i rischi per i diritti e le libertà fondamentali degli interessati.

Infine, il provvedimento dispone l’annotazione nel registro interno dell’Autorità delle violazioni e delle misure adottate.