Privacy, l’ente pubblico commette violazione nella comunicazione di dati sanitari

La Cassazione Civile esamina il ricorso contro una sentenza del Tribunale che non aveva riconosciuto l’illiceità del trattamento della comunicazione di dati da parte di una scuola contenente i riferimenti alla patologia HIV di una docente che aveva presentato domanda di inabilità, ribalta la decisione e conferma l’orientamento in materia dell’Autorità Garante per la protezione dei dati personali.

Questo è il caso che è stato affrontato dalla Corte di Cassazione con la sentenza n. 11223/15 depositata il 29 maggio. Il caso. Una docente affetta da HIV presentava all’ASL la richiesta per ottenere la pensione di inabilità attraverso la presentazione di un documento che conteneva la valutazione medico-legale circa l’inidoneità all’impiego, la diagnosi, gli esami e gli accertamenti clinici e strumentali effettuati e le informazioni anamnestiche fra cui quella relativa all’infezione da HIV, contratta nel 1987. La commissione medica di verifica trasmetteva la relativa documentazione al circolo didattico circolo 3 presso cui la docente era in servizio l’insegnante. Il circolo sopra citato trasmetteva la relativa documentazione ed il verbale in versione integrale ad altro circolo scolastico circolo 4 competente ad adottare il provvedimento finale senza curarsi di omettere, all’interno del verbale, la visibilità dei dati sanitari supersensibili della docente e ultronei rispetto all’accertamento dell’inabilità al lavoro. La docente presentava reclamo all’Autorità Garante per la Protezione dei dati personali e rappresentava la detenzione, da parte del circolo 4 di copia integrale, del verbale di accertamento sanitario in forma integrale ed in chiaro. Il Garante privacy con specifico provvedimento del 24 settembre 2009 evidenziava come la trasmissione della versione integrale del verbale comprensiva dei dati relativi alla malattia HIV da parte del circolo configurasse un caso di trattamento illecito di dati. Il circolo 3, avrebbe dovuto, secondo il Garante - astenersi da ogni ulteriore operazione di trattamento di dati, ad eccezione dell’informazione relativa alla valutazione medico-legale effettuata - adottare ogni misura idonea a limitarne in modo rigoroso la conoscibilità, senza pregiudicare la prosecuzione del procedimento nel quale era legittimamente coinvolto come primo destinatario dell’istanza della docente di ottenere la pensione di inabilità - rendere noto all’altro circolo 4 soltanto l’informazione relativa al giudizio medico-legale di inidoneità all’impiego. Il provvedimento del Garante richiama il principio indicato nell’articolo 11, comma 2 del Codice della Privacy che prevede che i dati personali trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali non possono essere utilizzati . La dirigente scolastica presentava ricorso al Tribunale contro il provvedimento del Garante privacy il provvedimento dell’Autorità Garante veniva annullato dal giudice nella parte in cui aveva ritenuto illecito il trattamento dei dati sensibili. Secondo il Tribunale la trasmissione del verbale in forma integrale non aveva integrato la fattispecie del trattamento di dati sensibili. La docente presentava ricorso in Cassazione contro la sentenza in oggetto. Dati supersensibili. La Cassazione ha accolto il ricorso la trasmissione del verbale in versione integrale da parte del circolo configura, infatti, un trattamento illecito ai sensi del Codice della Privacy. La sentenza è di interesse in quanto approfondisce le regole sul trattamento dei dati supersensibili riferiti all’HIV da parte degli operatori sanitari e delle scuole. La Cassazione richiama le disposizioni della legge 5 giugno 1990, n. 135 in ordine alle misure anche organizzative da adottare per la tutela della riservatezza in casi di infezione da HIV e che prevede, all’articolo 5, che la comunicazione di risultati di accertamenti diretti o indiretti per infezione da HIV può essere data esclusivamente alla persona cui tali esami sono riferiti. La trasmissione del verbale è stata effettuata verso terzi soggetti, pertanto si tratta di una comunicazione di dati in violazione della normativa. La discriminazione. La Cassazione ribadisce, in coerenza con le disposizioni della legge 5 giugno 1990 n. 145 Piano degli interventi urgenti in materia di prevenzione e lotta all’AIDS che l’accertata infezione da HIV non può costituire motivo di discriminazione, in particolare per l’iscrizione alla scuola, per lo svolgimento di attività sportive, per l’accesso o il mantenimento di posto di lavoro. I dati trattati in violazione delle disposizioni della legge 145 del 1990, non possono, in coerenza con il principio di liceità indicato dall’articolo 11 del Codice della privacy, essere utilizzati. Gli enti pubblici possono trattare, ai sensi dell’art, 20 del Codice della Privacy, solo i dati sensibili indispensabili per svolgere attività istituzionali che non possono essere adempiute, caso per caso, mediante il trattamento di dati anonimi o di dati personali di natura diversa. Gli enti devono pertanto adottare specifiche misure organizzative a tutela della dignità delle persone v. articolo 4, comma 4 del DPR n. 461 del 2001 . La sentenza ha il pregio di richiamare l’attenzione sull’importanza della formazione e dell’ informazione degli operatori e dell’adozione di adeguate policy di gestione e conservazione dei dati sensibili al fine di prevenire possibili trattamenti illeciti. La dirigente scolastica è stata condannata al pagamento delle spese processuali.

Corte di Cassazione, sez. I Civile, sentenza 29 aprile – 29 maggio 2015, n. 11223 Presidente Salvago – Relatore Didone Ragioni in fatto e in diritto della decisione 1.- M.L. ha proposto reclamo al Garante della Protezione dei dati personali lamentando la detenzione da parte del 3 Circolo didattico di , presso cui era in servizio come insegnante, di copia integrale del verbale relativo all'accertamento sanitario effettuato dalla Commissione medica di verifica di Grosseto, in relazione alla richiesta dell'interessata volta ad ottenere la pensione di inabilità documento contenente, oltre alla valutazione medico-legale circa l'inidoneità all'impiego, altri suoi dati personali relativi alla diagnosi, agli esami obiettivi e agli accertamenti clinici e strumentali effettuati, nonché informazioni anamnestiche, tra cui quella relativa all'infezione da Hiv, contratta dalla reclamante stessa nel 1987. Per quanto ancora interessa, il Garante, con provvedimento del omissis , ha evidenziato che il 3 Circolo didattico, in ottemperanza al quadro normativo vigente, stante l'inutilizzabilità dei dati sensibili dell'interessata contenuti nella documentazione trasmessagli dall'organo di accertamento sanitario, avrebbe dovuto astenersi da ogni ulteriore operazione di trattamento dei dati in questione, ad eccezione dell'informazione relativa alla valutazione medico-legale effettuata, adottando ogni misura idonea a limitarne rigorosamente la conoscibilità, senza pregiudicare la prosecuzione del procedimento nel quale era legittimamente coinvolto, essendo destinatario dell'istanza dell'interessata volta ad ottenere la pensione di inabilità art. 11, comma 1, lett. a e 11, comma 2, del Codice . Per contro il 3 Circolo didattico aveva inviato il verbale, nella sua versione integrale, al 4 Circolo individuato successivamente quale istituzione scolastica competente ad adottare il provvedimento conseguente all'accertata inabilità al lavoro della M. . Ha, pertanto, ritenuto che la comunicazione al 4 Circolo didattico delle informazioni sulla salute dell'interessata contenute nella versione integrale del verbale di visita collegiale configurava un trattamento illecito di dati, dal momento che il 3 Circolo, avrebbe potuto conseguire ugualmente la prosecuzione del procedimento trasmettendo una copia parziale della documentazione pervenutagli da cui fosse omessa la visibilità di dati sanitari riferiti all'interessata ultronei rispetto a quello dell'accertata inabilità al lavoro e riguardanti la diagnosi accertata, gli esami obiettivi e gli accertamenti clinici e strumentali effettuati, nonché l'anamnesi da cui emerge anche l'informazione relativa all'Hiv, in maniera tale da rendere nota all'istituzione scolastica competente ad emettere il provvedimento finale soltanto l'informazione relativa al giudizio medico-legale di inidoneità all'impiego art. 11, comma 2, del Codice punto 8.4 delle Linee guida . Adito con ricorso proposto ai sensi dell'art. 152 d.lgs. n. 196/2003 da A.M.L. , in proprio e quale dirigente del 3 Circolo, il Tribunale di Grosseto, con sentenza depositata in data 11.11.2010, ha annullato il provvedimento del Garante nella parte in cui aveva ritenuto illecito il trattamento dei dati sensibili da parte del 3 Circolo in tal senso modificando il dispositivo letto in udienza di totale annullamento del provvedimento . In sintesi, secondo il giudice del merito la mera trasmissione del documento in maniera riservata non aveva integrato il comportamento di trattamento dei dati sensibili. 1.1.- Contro la sentenza del tribunale M.L. ha proposto ricorso per cassazione affidato a tre motivi. Resiste con controricorso A.M.L. mentre non ha svolto difese il Garante per la protezione dei dati personali. 2.1.- Con il primo motivo la ricorrente denuncia violazione e falsa applicazione dell'art. 4 d.lgs. n. 169/2003 lamentando che il tribunale non abbia ritenuto sussistente l'ipotesi di trattamento di dati sensibili nella trasmissione integrale del documento contenente riferimenti alla patologia da HIV di essa ricorrente. 2.2.- Con il secondo motivo la ricorrente denuncia violazione e falsa applicazione del D.P.R. 29 ottobre 2001, degli artt. 11, comma 1, lett. d, 18, 20, 22, commi 1, 3 e 5, 112, commi 1 e 2 lett. d e f del d.lgs. n. 169/2003 nonché della legge n. 135/1990 lamentando che il tribunale abbia escluso l'illiceità della comunicazione della patologia da HIV da parte del dirigente scolastico ad altro Circolo solo per avere apposto la dicitura riservato sulla busta contenente il documento, non ritenendo tenuto il predetto dirigente ad omettere i dati clinici relativi a quella patologia. 2.3.- Con il terzo motivo la ricorrente denuncia vizio di motivazione in ordine al fatto controverso consistente nell'avvenuta diffusione, in ambito scolastico, dei dati sensibili della ricorrente medesima. 3.- I primi due motivi del ricorso sono fondati nei sensi di seguito precisati mentre è inammissibile la terza censura, tendente ad introdurre nel giudizio fatti verificatisi successivamente al provvedimento del Garante. L'art. 11, comma 1, lett a del d.lgs. N. 139/2003 dispone che i dati personali oggetto di trattamento sono trattati in modo lecito e secondo correttezza” e, al comma 2, che i dati personali trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali non possono essere utilizzati”. A sua volta, l'art. 4, comma 4, del DPR n. 461/2001 Regolamento recante semplificazione dei procedimenti per il riconoscimento della dipendenza delle infermità da causa di servizio, per la concessione della pensione privilegiata ordinaria e dell'equo indennizzo, nonché per il funzionamento e la composizione del comitato per le pensioni privilegiate ordinarie , dispone che resta fermo quanto previsto dalla legge 5 giugno 1990, n. 135, in ordine alle misure anche organizzative da adottare per la tutela della riservatezza in casi di infezione da HIV o di AIDS”. Infine, l'articolo 5 della legge 5 giugno 1990, n. 135 Piano degli interventi urgenti in materia di prevenzione e lotta all'AIDS , con la rubrica Accertamento dell'infezione”, dispone, ai commi 4 e 5, che La comunicazione di risultati di accertamenti diagnostici diretti o indiretti per infezione da HIV può essere data esclusivamente alla persona cui tali esami sono riferiti” e che l'accertata infezione da HIV non può costituire motivo di discriminazione, in particolare per l'iscrizione alla scuola, per lo svolgimento di attività sportive, per l'accesso o il mantenimento di posti di lavoro”. La violazione di tale ultima disposizione da parte dell'ente ospedaliero - come correttamente evidenziato dal Garante - aveva reso inutilizzabili quei dati poi trattati dalla resistente. D'altronde, ai sensi dell'art. 4, lett. 1 , codice privacy, si intende per comunicazione , il dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall'interessato, dal rappresentante del titolare nel territorio dello Stato, dal responsabile e dagli incaricati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione”. Come ha rilevato la dottrina, la natura della comunicazione è, quella di una trasmissione a persone determinate dal cui novero, per ovvie ragioni, sono stati esclusi i soggetti innanzi indicati. Sì che, riservata o meno, la mera trasmissione ritenuta non illecita dal tribunale costituiva una comunicazione dei dati. Conclusivamente, vi è stata comunicazione di dati sensibili in precedenza illecitamente trattati dall'ente ospedaliero perché non comunicati direttamente all'interessata . Quindi, la resistente ha operato un trattamento con la trasmissione dei dati illecitamente trattati da altri art. 4 cit. Ai fini del presente codice si intende per a trattamento , qualunque operazione o complesso di operazioni, effettuati anche senza l'ausilio di strumenti elettronici, concernenti . la comunicazione di dati” . Ai sensi dell'art. 22 d.lgs. n. 196/2003, poi, i soggetti pubblici conformano il trattamento dei dati sensibili secondo modalità volte a prevenire violazioni dei diritti, delle libertà fondamentali e della dignità dell'interessato. In particolare, possono trattare solo i dati sensibili . indispensabili per volgere attività istituzionali che non possono essere adempiute, caso per caso, mediante il trattamento di dati anonimi o di dati personali di natura diversa”. Talché, correttamente il Garante ha ritenuto che la comunicazione al 4 Circolo didattico delle informazioni sulla salute dell'interessata contenute nella versione integrale del verbale di visita collegiale configurasse un trattamento illecito di dati, dal momento che il 3 Circolo, avrebbe potuto conseguire ugualmente la prosecuzione del procedimento trasmettendo una copia parziale della documentazione pervenutagli da cui fosse omessa la visibilità di dati sanitari riferiti all'interessata ultronei rispetto a quello dell'accertata inabilità al lavoro e riguardanti la diagnosi accertata, gli esami obiettivi e gli accertamenti clinici e strumentali effettuati, nonché l'anamnesi da cui emerge anche l'informazione relativa all'Hiv, in maniera tale da rendere nota all'istituzione scolastica competente ad emettere il provvedimento finale soltanto l'informazione relativa al giudizio medico-legale di inidoneità all'impiego per una fattispecie analoga cfr. Sez. 1, n. 10947/2014 . Pertanto, in accoglimento dei primi due motivi del ricorso, la sentenza impugnata deve essere cassata e, non sussistendo necessità di ulteriori accertamenti in fatto, la Corte può decidere nel merito la causa ai sensi dell'art. 384 c.p.c., rigettando l'opposizione proposta dalla A. , la quale deve essere condannata al pagamento delle spese processuali del giudizio nella misura determinata in dispositivo. P.Q.M. La Corte accoglie il ricorso nei sensi di cui in motivazione, cassa la sentenza impugnata e, decidendo nel merito ai sensi dell'art. 384 c.p.c., rigetta l'opposizione proposta da A.M.L. contro il provvedimento del Garante per la protezione dei dati personali del omissis . Condanna la resistente al pagamento delle spese processuali che liquida in Euro 7.200,00, di cui Euro 200,00 per esborsi oltre accessori e spese forfettarie come per legge, quanto al giudizio di legittimità e in Euro 3.200,00, di cui Euro 2.000,00 per onorario, oltre accessori di legge.