Cassazione Civile, Ordinanza n. 27558/2025 del 15/10/2025

Esito

La controversia

La controversia nasce da una violazione dei dati personali relativa al Fascicolo sanitario elettronico: un accesso non autorizzato, reso possibile da una vulnerabilità del software del portale di accesso, ha consentito a un utente autenticato di visualizzare i fascicoli di altri assistiti. L'Autorità Garante ha ritenuto responsabile la Provincia autonoma di Bolzano quale titolare del trattamento e ha notificato la violazione ai sensi della disciplina privacy. La Provincia ha opposto che la titolarità del trattamento dovesse essere attribuita all'Azienda sanitaria, in quanto soggetto che avrebbe determinato finalità e mezzi del trattamento, avendo affidato l'esecuzione tecnica a fornitori esterni. Il Tribunale di Bolzano ha accolto l'opposizione, ritenendo titolare l'Azienda sanitaria e censurando il provvedimento del Garante anche per asserita contraddittorietà con altro provvedimento riferito al medesimo fatto. Con il ricorso per cassazione il Garante ha denunciato violazione e falsa applicazione degli artt. 4, n. 7, 5, 25, 32 e 33 del Regolamento (UE) 2016/679, sostenendo che il titolare non è chi materialmente tratta i dati, ma chi determina finalità e mezzi del trattamento; ha inoltre rilevato che, per il FSE, la normativa di settore attribuisce alla Regione/Provincia autonoma la titolarità dei trattamenti necessari all'identificazione, autenticazione e accesso, mentre l'Azienda sanitaria è titolare solo per i trattamenti connessi alle finalità di cura. La Corte ha ritenuto fondato il motivo, osservando che il giudice di merito non aveva correttamente distinto titolare e responsabile del trattamento, né aveva considerato la normativa speciale sul Fascicolo sanitario elettronico, che attribuisce alle Regioni e Province autonome il perseguimento di specifiche finalità e, quindi, la titolarità dei trattamenti relativi alla sfera di accesso e autenticazione coinvolta nel data breach.

La decisione

La Corte di cassazione ha accolto il ricorso dell'Autorità Garante, ha cassato la sentenza del Tribunale di Bolzano e ha rinviato al medesimo Tribunale, in diversa composizione monocratica, per un nuovo esame e per la regolazione delle spese di lite, comprese quelle del giudizio di legittimità. La decisione è stata assunta perché la sentenza impugnata aveva erroneamente individuato il titolare del trattamento, senza applicare correttamente il GDPR e la disciplina nazionale sul FSE in relazione alla specifica tipologia di trattamento e alla natura del data breach verificatosi.

Norme richiamate

• art. 33 Regolamento (UE) 2016/679

  richiamato come base della notifica di violazione dei dati personali da parte dell'azienda sanitaria.

• art. 166, comma 5, d.lgs. 196/2003

  richiamato quale disposizione del Codice privacy collegata alla contestazione del Garante.

• art. 58, par. 1, lett. d), Regolamento (UE) 2016/679

  richiamato come potere dell'autorità di controllo nell'ambito della violazione contestata.

• art. 4, n. 7), Regolamento (UE) 2016/679

  "titolare del trattamento": la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri determina le finalità e i mezzi del trattamento di dati personali

  il titolare è il soggetto che determina finalità e mezzi del trattamento, non quello che materialmente esegue le operazioni tecniche.

• art. 4, n. 8), Regolamento (UE) 2016/679

  "responsabile del trattamento": la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento

  il responsabile opera per conto del titolare e risponde solo nei limiti del mandato e delle istruzioni ricevute.

• art. 5 Regolamento (UE) 2016/679

  richiamato dal ricorrente come norma che deve essere correttamente applicata nell'individuazione del titolare del trattamento.

• art. 25 Regolamento (UE) 2016/679

  richiamato dal ricorrente come disposizione non correttamente considerata dal giudice di merito.

• art. 32 Regolamento (UE) 2016/679

  richiamato dal ricorrente come disposizione rilevante sulla sicurezza del trattamento e sulle misure adottate.

• art. 33 Regolamento (UE) 2016/679

  richiamato dal ricorrente come disposizione relativa alla notifica del data breach.

• art. 12 d.l. 18 ottobre 2012, n. 179

  disciplina l'istituzione del Fascicolo sanitario elettronico da parte di Regioni e Province autonome e individua le finalità del trattamento; rileva per distinguere i soggetti titolari in relazione alle diverse finalità.

• D.P.C.M. 29 settembre 2015, n. 178

  regolamento in materia di FSE vigente ratione temporis, richiamato per l'individuazione dei titolari dei trattamenti secondo le specifiche funzioni.

• D.M. 7 settembre 2023

  richiamato come disciplina successiva che conferma la titolarità dei trattamenti necessari all'identificazione, autenticazione informatica e accesso al FSE in capo alla Regione/Provincia autonoma.

• Regolamento (UE) 2025/237

  richiamato solo per evidenziare la continuità delle definizioni di titolare e responsabile del trattamento rispetto al GDPR.

Massime di principio

• Ai fini del GDPR, il titolare del trattamento non coincide con il soggetto che compie materialmente le operazioni tecniche sui dati, ma con il soggetto che determina finalità e mezzi del trattamento; il responsabile è invece chi tratta i dati per conto del titolare.
• Quando esiste una disciplina speciale di settore, l'individuazione del titolare del trattamento deve avvenire in coerenza con quella disciplina, verificando quale ente sia normativamente investito delle finalità concrete del trattamento e dei relativi poteri decisionali.
• Nel contesto del Fascicolo sanitario elettronico, la titolarità va distinta per tipologia di trattamento e per finalità perseguite: le attività connesse a identificazione, autenticazione e accesso possono ricadere su un soggetto diverso da quello titolare dei trattamenti per finalità di cura.
• L'affidamento dell'esecuzione tecnica a fornitori esterni non sposta di per sé la titolarità del trattamento, se il potere decisionale su finalità e mezzi resta in capo all'ente previsto dalla legge.
• L'esistenza di più provvedimenti sanzionatori riferiti al medesimo fatto non è di per sé contraddittoria se la normativa consente che più soggetti concorrano a determinare finalità e mezzi del trattamento.

Come è indicizzato