Cassazione Civile, Ordinanza n. 06067/2025 del 06/03/2025

Esito

La controversia

La controversia nasce da un’ordinanza ingiunzione del Garante che aveva sanzionato un’azienda sanitaria per il trattamento di dati sanitari, estratti in chiaro dalle banche dati e dal fascicolo sanitario elettronico di numerosi assistiti, utilizzati per elaborare elenchi di pazienti in condizioni di complessità e comorbilità da trasmettere ai medici di medicina generale nell’ambito della gestione dell’emergenza Covid-19. Il Tribunale di Udine aveva accolto l’opposizione dell’azienda sanitaria, annullando la sanzione, ritenendo il trattamento riconducibile a un uso secondario compatibile con le finalità originarie, fondato sul consenso già prestato dagli assistiti, necessario nel contesto emergenziale e non assoggettato a valutazione d’impatto. Il Garante ricorre per cassazione con un motivo articolato in più profili, denunciando la violazione delle norme sul FSE e sulla protezione dei dati personali: contestando l’erronea qualificazione del trattamento come secondario, l’erroneo riferimento alla base giuridica ex art. 2-ter anziché all’art. 2-sexies del Codice privacy, l’indebita esclusione dell’illiceità per asserita necessità del trattamento in emergenza, l’erronea esclusione dell’obbligo di informativa verso gli interessati e l’erronea negazione dell’obbligo di valutazione d’impatto ex art. 35 GDPR.

La decisione

La Corte ha ritenuto fondato il ricorso dell’Autorità Garante. Ha affermato che il trattamento in questione non poteva essere qualificato come mero trattamento secondario compatibile con le finalità originarie del FSE, perché la disciplina del fascicolo sanitario elettronico consente, per le finalità di cura, solo la consultazione in chiaro dei dati dell’assistito preso in cura, mentre per le finalità di ricerca e governo impone l’uso di dati privi di identificativi diretti. Ha inoltre escluso che la delibera regionale e il contesto emergenziale bastassero, da soli, a rendere il trattamento "necessario" ai sensi del GDPR, rilevando che mancava una puntuale verifica dei presupposti normativi e delle misure di tutela richieste. Ha ritenuto erroneo anche il richiamo al segreto professionale dei medici, non pertinente rispetto alla condotta contestata all’azienda sanitaria, e ha accolto la censura sull’omessa valutazione d’impatto, ricordando che, in caso di trattamenti su larga scala di dati sanitari con nuove tecnologie, la DPIA è un onere preventivo del titolare del trattamento. La sentenza del Tribunale è stata quindi cassata con rinvio.

Norme richiamate

• art. 18 L. n. 689/1981

  Richiamato come base procedimentale dell’ordinanza ingiunzione poi opposta.

• artt. 5, 9, 13, 14, 35 Regolamento (UE) 2016/679

  La Corte ribadisce che il trattamento dei dati sanitari richiede un consenso esplicito o una specifica base di necessità prevista dalla legge; per le finalità ulteriori del FSE valgono limiti stringenti, tra cui l’uso di dati senza identificativi diretti e, nei casi di trattamento ad alto rischio, la preventiva valutazione d’impatto.

• artt. 2-ter e 2-sexies d.lgs. n. 196/2003

  L’art. 2-ter non è idoneo, nel caso esaminato, a fondare retroattivamente il trattamento; per i dati sanitari rileva l’art. 2-sexies, ma comunque occorre verificare la necessità del trattamento per motivi di interesse pubblico rilevante.

• art. 12 d.l. n. 179/2012

  Il FSE ha finalità tipizzate: prevenzione, diagnosi, cura e riabilitazione; studio e ricerca; programmazione e governo sanitario. Per la cura è previsto il consenso dell’assistito alla consultazione in chiaro; per le altre finalità l’uso avviene senza identificativi diretti.

• DPCM n. 178/2015

  Disciplina il FSE e conferma che la consultazione per cura richiede consenso specifico, mentre i trattamenti per ricerca e governo devono essere effettuati senza dati identificativi diretti e nel rispetto dei principi di necessità, pertinenza e non eccedenza.

• art. 17-bis d.l. n. 18/2020

  Le disposizioni emergenziali non derogano ai principi del GDPR; i trattamenti devono comunque rispettare i principi di protezione dei dati e le misure appropriate a tutela degli interessati.

• art. 4, par. 1, nn. 1, 7 e 15 Regolamento (UE) 2016/679

  Richiamato per definire dato personale, titolare del trattamento e dato relativo alla salute.

• art. 24 Regolamento (UE) 2016/679

  Conferma la responsabilità del titolare del trattamento nell’attuazione di misure idonee a garantire e dimostrare la conformità.

Massime di principio

• Nel sistema del fascicolo sanitario elettronico, la consultazione dei dati in chiaro per finalità di cura è lecita solo entro i limiti del consenso specifico dell’assistito e solo rispetto alle informazioni pertinenti al processo di cura del singolo paziente preso in carico.
• Non è consentito qualificare come mero "trattamento secondario" una rielaborazione massiva di dati sanitari di una pluralità di assistiti finalizzata a costruire elenchi o stratificazioni di rischio per finalità organizzative o di programmazione sanitaria, se tale operazione eccede i limiti del trattamento consentito per la consultazione del FSE.
• Per i trattamenti di dati sanitari effettuati per finalità di programmazione, governo, ricerca o altre finalità pubbliche tipizzate, la liceità dipende da una base normativa specifica e dall’uso di dati privi di identificativi diretti, non essendo sufficiente il mero richiamo a un contesto emergenziale o a una delibera amministrativa generale.
• L’emergenza sanitaria non elimina gli obblighi del titolare del trattamento: il titolare deve verificare in concreto i presupposti di necessità, proporzionalità e adeguatezza delle misure di protezione richiesti dal GDPR e dalla normativa di settore.
• La deroga all’obbligo informativo fondata sul segreto professionale dei sanitari non è invocabile quando la condotta contestata riguarda il trattamento posto in essere dall’ente titolare e non l’operato del singolo medico.
• Quando un trattamento presenta rischio elevato, specie se coinvolge dati sanitari su larga scala e nuove tecnologie, la valutazione d’impatto è un adempimento preventivo del titolare del trattamento e non può essere esclusa per via astratta sulla base della supposta ordinarietà dello strumento utilizzato.

Come è indicizzato