Pazienti ricoverati e curati: necessario il placet del Garante per un database

Multa di 40mila euro per una Casa di cura. Fatale il non aver comunicato al Garante per la privacy la decisione di conservare i dati delle persone presenti nella struttura e affette malattie infettive.

Sanzione pecuniaria per la Casa di cura che non comunica al Garante per la privacy di avere allestito un database con i riferimenti dei soggetti colpiti da malattie infettive e curati nella struttura. Irrilevante il fatto che i dati sensibili” siano stati utilizzati per la routine ospedaliera, ossia diagnosi e terapia Corte di Cassazione, sentenza n. 188, sez. II Civile, depositata il 9 gennaio 2017 . Rilevazione. Provvedimento duro, quello adottato dal Garante per la protezione dei dati personali nei confronti di una Casa di cura 40mila euro come sanzione amministrativa per omessa notificazione del trattamento di dati sensibili relativi alle patologie lamentate dalle persone ricoverate nella struttura sanitaria. La multa è però messa in discussione dai giudici del Tribunale. Viene accolta l’opposizione proposta dalla società proprietaria della Casa di cura. Decisiva l’annotazione che l’obbligo di notifica è previsto dalla normativa non con generico riferimento al trattamento dei dati ai fini di prestazioni di servizi sanitari . Secondo i Giudici, quindi, è non censurabile l’operato della struttura, poiché la rilevazione dei dati è risultata attività accessoria alla obbligazione sanitaria vera e propria . Banca dati. A ribaltare nuovamente i rapporti di forza provvedono ora i magistrati della Cassazione, accogliendo le obiezioni mosse dal Garante per la privacy e confermano, in via definitiva, la multa a carico della Casa di cura. Per i Giudici del Palazzaccio, difatti, era necessaria la giustificazione del trattamento dei dati dei malati presenti nella struttura. Ciò perché, normativa alla mano, nell’elenco delle finalità del trattamento dei dati idonei a rivelare stato di salute e vita sessuale è inclusa anche la finalità delle indagini epidemiologiche . Evidente, quindi, l’abuso compiuto dalla Casa di cura, colpevole di avere allestito occultamente una banca dati dei pazienti in cui erano inseriti non solo i dati idonei a rivelarne lo stato di salute ma anche quelli trattati per rilevare la presenza di malattie infettive e diffusive o la sieropositività .

Corte di Cassazione, sez. II Civile, sentenza 3 marzo 2016 – 9 gennaio 2017, n. 188 Presidente Petitti – Relatore Oricchio Considerato in fatto La M. S.r.l. già Casa di Cura V.G. S.r.l. ricorreva al Tribunale di Ravenna - Sezione Distaccata di Lugo proponendo opposizione, ai sensi degli artt. 152 D.Lvo. n. 196/2003 e 10 D.Lvo. n. 150/2011, avverso l'ordinanza ingiunzione in data 2 febbraio 2012 del Garante per la protezione dei dati personali, con la quale era stato ingiunto il pagamento della somma di € 40mila a titolo di sanzione amministrativa per omessa notificazione del trattamento di dati sensibili ex art. 37 lett. b D.Lvo. n. 196/2003. Costituitosi in giudizio il detto Garante chiedeva il rigetto della promossa opposizione. L'adito Giudice di prime cure, con sentenza n. 214/2012 accoglieva l'opposizione svolta, annullando - per l'effetto l'ordinanza impugnata. Per la cassazione della suddetta decisione ricorre il Garante con atto affidato ad un unico motivo. Resiste con controricorso la società intimata, che ha depositato memoria ai sensi dell'art. 378 c.p.c. Ritenuto in diritto 1. Con l'unico motivo del ricorso si censura il vizio di violazione e falsa applicazione dell'art. 37, comma 1, lett. b del D.Lvo. 196/2003 in relazione all'art. 360, comma 1, n. 3 c.p.c. Viene, nella sostanza contestata la gravata decisione, in particolare con riferimento al suo decisivo profilo motivazionale per cui l'art. 37 L. privacy stabilisce obbligo notifica non con generico riferimento al trattamento dei dati a fini di prestazioni di servizi sanitari, bensì in modo puntuale e , quindi, col conseguente effetto che non sarebbero dovute notifiche per trattamenti dati fuori elencazione precisa data dà legge ovvero, come nell'ipotesi per cui è giudizio. Ovvero, ancora, secondo la prospettazione della impugnata sentenza contestata col motivo del ricorso, allorché la rilevazione dei dati sarebbe attività accessoria a obbligazione sanitaria vera e propria , con obbligo della notifica solo per rilevazione dati svolta in via principale e per scopi evidentemente scientifici. Gli assunti di cui alla decisione gravata non possono essere, in quanto erronei, condivisi. Il motivo in esame appare, al riguardo, fondato. Fulcro della decisione è, senza dubbio, la corretta interpretazione del citato art. 37. È opportuno, per comodità di discorso, trascrivere integralmente il testo dell'articolo 37, comma 1, lettera b , del codice della privacy, alla cui stregua vanno notificati al Garante i trattamenti dei dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di procreazione assistita, prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni, indagini epidemiologiche, rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi e tessuti e monitoraggio della spesa sanitaria . La semplice lettura del testo ora riportato rende palese che la corretta interpretazione della norma, giustamente invocata dalla parte ricorrente, ma disattesa dalla impugnata sentenza, giustifica - nella fattispecie - la dovuta giustifica del trattamento dei dati. In altre parole ed a differenza di quanto sostenuto con la gravata decisione la doverosità, nel'ipotesi, della dovuta notifica del trattamento dei dati non può ritenersi onere conseguente ad una interpretazione estensiva, ma, al contrario, ad una corretta interpretazione letterale, fondata, come prescritto dall'articolo 12 delle preleggi, sul significato proprio delle parole e, precisamente, della parola rilevazione , ossia atto e risultato dell'atto del rilevare. E' del tutto arbitraria, insomma, la pretesa di operare una interpretazione restrittiva leggendo la parola rilevazione , nel testo sopra trascritto, come indagine conoscitiva , quasi che la stessa fosse seguita dall'aggettivo epidemiologica o dall'aggettivo statistica . Manifesta riprova di quanto qui si sostiene è, del resto, la circostanza che nell'elenco delle finalità dei trattamenti dei dati idonei a rivelare lo stato di salute e la vita sessuale a cui la norma collega l'obbligo di notifica al Garante è inclusa anche la finalità delle indagini epidemiologiche , come finalità diversa - ed autonomamente idonea a far insorgere l'obbligo della notifica al Garante, quali che siano le patologie oggetto delle indagini stesse - rispetto a quella della rilevazione di malattie mentali, infettive e diffusione, sieropositività . Può ancora osservarsi che non si rinvengono motivi ostativi a quanto innanzi affermato nelle precisazioni sulle notificazioni in ambito sanitario diffuse dal Garante con documento del 26.4.04, laddove, a commento dell'esonero dall'obbligo di notificazione disposto con la delibera del Garante 31.3.04 n. 1 in relazione ai trattamenti di dati effettuati da esercenti le professioni sanitarie, si legge Per quanto riguarda poi le malattie mentali, infettive e diffusive, il trattamento da notificare e solo quello effettuato a fini di rilevazione di tali patologie. Questa circostanza ricorre nel caso di insiemi organizzati di informazioni su tali aspetti - di cui sono spesso gestori strutture, anziché persone fisiche - e non anche in caso di episodi occasionali di diagnosi e Cura Che riguardano un singolo professionista oppure nei casi in cui, presso un comune, occorre adottare in conformità alla legge un provvedimento che dispone un trattamento sanitario obbligatorio . Al riguardo il Collegio rileva che tale testo supporta ulteriormente quanto innanzi affermato e ritenuto. Da un lato, infatti, la nozione, ivi enunciata, di insiemi organizzati di informazioni su tali aspetti ben può essere riferita alle banche dati dei pazienti delle strutture sanitarie in cui confluiscano, con gli altri dati idonei a rivelare lo stato di salute, anche quelli trattati per rilevare la presenza di malattie infettive e diffusive o la sieropositività d'altro lato, il rilievo testuale che la circostanza della finalizzazione del trattamento alla rilevazione non ricorre in caso di episodi occasionali di diagnosi e cura che riguardano un singolo professionista conferma che essa invece ricorre, anche nell'interpretazione della legge seguita dal Garante, nel caso di insiemi organizzati di informazioni su tali aspetti - di cui sono spesso gestori strutture, anziché persone fisiche , caso in cui rientra quello delle banche dati dalle cliniche in cui confluiscano dati trattati per rilevare malattie mentali, infettive e diffusive. 2. In conclusione, alla stregua di quanto innanzi esposto e ritenuto, l'affermata fondatezza del motivo comporta l'accoglimento del ricorso con conseguente cassazione dell'impugnata sentenza. Decidendo nel merito, ai sensi dell'art. 384 c.p.c, va, quindi, rigettata la proposta opposizione. 3. Sussistono validi motivi per compensare integralmente le spese, attesa la controvertibilità ed il carattere innovativo della questione esaminata. P.Q.M. La Corte accoglie il ricorso, cassa 1 impugnata sentenza e decidendo nel merito, rigetta l'opposizione.