Corte di giustizia, Sentenza C-667/21

Trattamento di dati sanitari da parte di un servizio medico che è anche datore di lavoro e risarcimento ex articolo 82 RGPD

La sentenza riguarda un rinvio pregiudiziale del Bundesarbeitsgericht (Germania) in una controversia tra un dipendente e il servizio medico della cassa malattia che lo impiegava. Il caso tocca il trattamento di dati relativi alla salute per la valutazione della capacità lavorativa e il risarcimento del danno immateriale ai sensi del RGPD.

Fatti e procedimento principale

Il MDK Nordrhein, organismo di diritto pubblico che svolge funzioni di servizio medico per le casse di assicurazione malattia, ha redatto una perizia sull’inabilità al lavoro di un proprio dipendente. La perizia ha comportato il trattamento di dati relativi alla salute del lavoratore e l’accesso ad alcune informazioni da parte di personale interno autorizzato.

Il dipendente ha ritenuto che il trattamento fosse illecito, sia perché la perizia avrebbe dovuto essere affidata a un diverso servizio medico, sia perché le misure di sicurezza e archiviazione sarebbero state insufficienti. Ha quindi chiesto il risarcimento di EUR 20.000 per danni materiali e immateriali, domanda respinta nei primi due gradi di merito prima del ricorso dinanzi al giudice del rinvio.

Questioni pregiudiziali

Il giudice tedesco ha chiesto alla Corte, in sostanza:

• se l’articolo 9, paragrafo 2, lettera h), RGPD consenta il trattamento di dati sanitari da parte di un organismo che è anche datore di lavoro dell’interessato, quando agisce come servizio medico;
• se, oltre ai requisiti dell’articolo 9, paragrafo 3, siano richieste ulteriori garanzie di riservatezza, in particolare l’esclusione di qualsiasi accesso da parte di colleghi;
• se, per la liceità del trattamento, debba essere soddisfatta anche almeno una delle condizioni dell’articolo 6, paragrafo 1, RGPD;
• se l’articolo 82 RGPD abbia una funzione anche punitiva o dissuasiva e se il grado di colpa del titolare rilevi nel quantificare il risarcimento.

Normativa rilevante

La Corte richiama in particolare gli articoli 5, 6, 9, 24, 32, 82, 83 e 84 del RGPD, oltre ai considerando 4, 5, 6, 7, 8, 10, 35, 51, 52, 53, 75 e 146.

Rilevanti anche le definizioni dell’articolo 4 RGPD, in particolare quelle di:

• dato personale;
• trattamento;
• titolare del trattamento;
• dati relativi alla salute.

Ragionamento della Corte sulla prima questione

La Corte osserva che l’articolo 9 RGPD stabilisce un divieto generale di trattamento delle categorie particolari di dati personali, tra cui i dati relativi alla salute, ma prevede eccezioni tassative. Tra queste, l’articolo 9, paragrafo 2, lettera h), consente il trattamento quando è necessario, tra l’altro, per la valutazione della capacità lavorativa del dipendente, a condizione che siano rispettate le condizioni e garanzie del paragrafo 3.

La Corte esclude che la deroga sia riservata ai casi in cui il trattamento sia effettuato da un soggetto terzo e neutrale, distinto dal datore di lavoro. Il testo della norma non contiene tale requisito, e il fatto che un organismo abbia una duplice funzione non impedisce di qualificare il trattamento nel suo corretto titolo giuridico.

Ragionamento sulla seconda questione

Quanto alla riservatezza, la Corte afferma che l’articolo 9, paragrafo 3, richiede che i dati siano trattati da o sotto la responsabilità di un professionista soggetto al segreto professionale o di altra persona soggetta a segretezza, ma non impone ulteriori condizioni come quella di escludere ogni possibile accesso da parte di colleghi dell’interessato.

Un obbligo più rigoroso può tuttavia derivare:

• da una normativa nazionale adottata in base all’articolo 9, paragrafo 4, RGPD, che consente agli Stati membri di introdurre ulteriori condizioni o limitazioni per i dati relativi alla salute;
• dai principi di integrità e riservatezza di cui all’articolo 5, paragrafo 1, lettera f), e dalle misure di sicurezza dell’articolo 32, paragrafo 1, lettere a) e b), che impongono misure tecniche e organizzative adeguate.

Spetta al giudice nazionale verificare se, nel caso concreto, le misure adottate dal MDK Nordrhein rispettassero tali obblighi.

Ragionamento sulla terza questione

La Corte ribadisce che il trattamento di dati relativi alla salute, pur fondato sull’articolo 9, paragrafo 2, lettera h), deve comunque rispettare anche l’articolo 6, paragrafo 1, RGPD. Il considerando 51 indica espressamente che, oltre ai requisiti specifici per i dati sensibili, si applicano i principi generali e le altre norme del regolamento, incluse le condizioni di liceità.

Poiché l’articolo 6, paragrafo 1, contiene un elenco tassativo delle basi di liceità, un trattamento è lecito solo se rientra in almeno una di esse, oltre a soddisfare le condizioni speciali previste dall’articolo 9.

Ragionamento sulla quarta questione

La Corte conferma che l’articolo 82, paragrafo 1, RGPD ha funzione esclusivamente compensativa. Il risarcimento deve consentire la piena riparazione del danno concretamente subito, ma non può essere aumentato con finalità punitive o deterrenti.

La distinzione tra l’articolo 82 e gli articoli 83 e 84 del RGPD è netta: questi ultimi sono collegati a sanzioni amministrative e altre sanzioni, mentre il primo serve a compensare il pregiudizio della persona lesa. Di conseguenza, la gravità della violazione non può incidere sull’importo del risarcimento oltre la piena compensazione del danno.

Ragionamento sulla quinta questione

La Corte interpreta l’articolo 82 nel senso che la responsabilità del titolare del trattamento è basata su un regime di colpa presunta: il titolare risponde se il danno deriva da una violazione del RGPD, salvo che dimostri che il fatto che ha causato il danno non gli è in alcun modo imputabile.

La colpa, dunque, è rilevante ai fini dell’esenzione da responsabilità, ma non nel senso che il danneggiato debba provarla. Quanto alla quantificazione del risarcimento, il grado della colpa non deve essere preso in considerazione: conta solo la piena compensazione del danno immateriale effettivamente subito.

Decisione e dispositivo

La Corte risponde che:

• l’articolo 9, paragrafo 2, lettera h), si applica anche quando il servizio medico coincide con il datore di lavoro, purché ricorrano le condizioni e garanzie della disposizione;
• l’articolo 9, paragrafo 3, non impone di per sé l’esclusione di ogni accesso da parte di colleghi, fermo restando l’eventuale intervento di norme nazionali e delle misure di sicurezza del regolamento;
• il trattamento fondato sull’articolo 9, paragrafo 2, lettera h), deve comunque soddisfare almeno una condizione di liceità dell’articolo 6, paragrafo 1;
• l’articolo 82 ha funzione compensativa e non punitiva;
• la responsabilità del titolare è presunta salvo prova contraria, ma il grado di colpa non incide sul quantum del risarcimento.

Principi utili per la pratica

Per operatori del diritto e consulenti aziendali, la pronuncia conferma che i trattamenti di dati sanitari in ambito lavoristico richiedono una verifica su tre livelli:

• base di liceità generale ex articolo 6 RGPD;
• eccezione specifica ex articolo 9 RGPD;
• misure tecniche, organizzative e di riservatezza adeguate ex articoli 5 e 32 RGPD.

Sul piano del contenzioso risarcitorio, la sentenza esclude la funzione punitiva del risarcimento ex articolo 82 e chiarisce che il quantum va ancorato al danno effettivo, non alla gravità astratta della violazione.