Il semplice riferimento di una “malattia” in senso lato, quale situazione che renda necessario un trattamento sanitario, attiene a dato sulla salute

La Corte di Cassazione con l’ordinanza  n. 28417 depositata l’11 ottobre 2023, intervenendo in tema di protezione dei dati personali nel settore sanitario e relative sanzioni, ha ribadito che costituiscono dati sanitari e quindi soggetti alla protezione prevista dalla normativa sulla privacy  “… il fatto stesso di comunicare l’esigenza di un trattamento sanitario e, quindi, l’esistenza di una “malattia” in senso lato – intesa dunque come situazione che renda necessario un trattamento sanitario – attiene a dato sulla salute: non occorre cioè, a tal fine, che sia specificato di quale trattamento o di quale malattia si tratti.[…]  il semplice riferimento ad un’assenza dal lavoro “per malattia” costituisca un dato personale «relativo alla salute» del soggetto cui l’informazione si riferisce (Cass. 8 agosto 2013, n. 18980, in motiv.), così come l’ostensione di una situazione di invalidità sia pur genericamente indicata (Cass. 26 giugno 2018, n. 16816), la necessità del lavoratore di sottoporsi a “consulenza psichiatrica” (Cass. 31 gennaio 2018, n. 2367, non massimata), la indicazione della causale del bonifico richiesto in favore di un beneficiario dell’indennizzo previsto dalla l. 210 del 1992 in favore di coloro che hanno patito una infezione per effetto di trasfusione o vaccinazione e dei ai prossimi congiunti di persone venute meno a causa dell’infezione da trasfusione o vaccinazione (Cass., sez. un., 27-12- 2017, n. 30981). …”

La vicenda ha riguardato l’ASL che il Garante per la protezione dei dati personali, il quale aveva emesso una ordinanza ingiunzione per il pagamento della sanzione di € 50.000,00, con la quale era stato dichiarato l’illecito trattamento dei dati personali di una paziente, sottopostasi ad interruzione volontaria della gravidanza. Avverso tale atto l’ASL si rivolgeva al Tribunale, il quale accoglieva l’opposizione, annullando l’ordinanza ingiunzione. Il Garante per la protezione dei dati personali proponeva ricorso, sulla base di due motivi, cui resisteva l’ASL con controricorso, depositando anche la memoria.

Gli Ermellini accolgono il ricorso del Garante.

I giudici di legittimità nel  confermare le doglianze del Garante rilevano che la genericità dell’informazione non elide l’illecito. Per cui anche l’esistenza di una “malattia” in senso lato, quale situazione che renda necessario un trattamento sanitario, attiene a dato sulla salute. Pertanto non è necessario che sia specificato di quale trattamento terapeutico o di quale malattia si tratti, risultando sufficiente che il mero riferimento alla “malattia” è da considerarsi dato personale relativo alla salute.

I giudici di piazza Cavour hanno precisato che  “… in tema di sanzioni amministrative, l’opposizione all’ordinanza-ingiunzione non configura un’impugnazione dell’atto, ed introduce, piuttosto, un ordinario giudizio sul fondamento della pretesa dell’autorità amministrativa, devolvendo al giudice adito la piena cognizione circa la legittimità e la fondatezza della stessa, con l’ulteriore conseguenza che il giudice ha il potere-dovere di esaminare l’intero rapporto, con cognizione non limitata alla verifica della legittimità formale del provvedimento, ma estesa – nell’ambito delle deduzioni delle parti – all’esame completo nel merito della fondatezza dell’ingiunzione, ivi compresa la determinazione dell’entità della sanzione sulla base di un apprezzamento discrezionale (e multis, Cass. 15 giugno 2020, n. 11481; Cass. 27 dicembre 2018, n. 33373, non mass.; Cass. 10 aprile 2018, n. 8792, non mass.; Cass. 9 gennaio 2017, n. 192; Cass. 17 agosto 2016, n. 17143; Cass. 2 aprile 2015, n. 6778, in relazione all’art. 23 l. 24 novembre 1981, n. 689; e già Cass. 17 aprile 2013, n. 9255; Cass. 24 marzo 2004, n. 5877; Cass. 10 dicembre 1996, n. 10976).

Invero, in tema di sanzioni amministrative pecuniarie, spetta al potere discrezionale del giudice determinarne l’entità, entro i limiti previsti dalla legge, allo scopo di commisurarla alla gravità del fatto concreto, globalmente desunta dai suoi elementi oggettivi e soggettivi.

Infatti, il giudizio di opposizione non ha ad oggetto l’atto, ma il rapporto, con conseguente cognizione piena del giudice, che potrà e dovrà valutare le deduzioni difensive proposte in sede amministrativa (eventualmente non esaminate o non motivatamente respinte), in quanto riproposte nei motivi di opposizione, decidendo su di esse con pienezza di poteri, sia che le stesse investano questioni di diritto che di fatto (Cass., sez. un., 28 gennaio 2010, n. 1786).

Per quanto specificamente attiene alle sanzioni comminate dal Garante per la protezione dei dati personali, per il disposto dell’art. 166, comma 7, d.lgs. n. 196 del 2003, nell’adozione dei provvedimenti sanzionatori si osservano, in quanto applicabili, gli artt. da 1 a 9, da 18 a 22 e da 24 a 28 della legge 24 novembre 1981, n. 689. 

Tra essi, l’art. 22 l. n. 689 del 1981 dispone che l’opposizione è regolata dall’art. 6 d.lgs. 1° settembre 2011, n. 150.

L’art. 6 d.lgs. n. 150 del 2011 prevede, al comma 11, che il giudice accoglie l’opposizione quando non vi sono prove sufficienti della responsabilità dell’opponente; al comma 12, che il giudice possa, con la sentenza che accoglie l’opposizione, anche modificare l’ordinanza-ingiunzione limitatamente all’entità della sanzione dovuta, che è determinata in una misura in ogni caso non inferiore al minimo edittale. …”