Source: https://www.gildavenezia.it/cassazione-trattamento-illecito-di-dati-sensibili-da-parte-del-datore-di-lavoro/
Timestamp: 2020-05-31 09:07:07+00:00
Document Index: 161894893

Matched Legal Cases: ['sentenza ', 'art. 11', 'art. 152', 'sentenza ', 'sentenza ', 'art. 4', 'art. 4', 'art. 4', 'art. 22', 'sentenza ', 'sentenza ', 'sentenza ', 'sentenza ', 'sentenza ']

Cassazione: trattamento illecito di dati sensibili da parte del datore di lavoro | Gilda Venezia
InsegnantiPrivacy & Trasparenza Autore:	Gilda Venezia - 11 Settembre 2016 / 06 : 38
Commenti disabilitati su Cassazione: trattamento illecito di dati sensibili da parte del datore di lavoro
dalla Gilda degli insegnanti di Venezia, 10.9.2016
Con sentenza n. 11223 del 29 maggio 2015, la Corte di Cassazione ha affrontato il tema del corretto trattamento dei dati personali in costanza di rapporto di lavoro, stabilendo che la comunicazione di informazioni sulla salute del dipendente configura un illecito trattamento di dati quando è possibile una comunicazione parziale che contenga il dato pertinente allo scopo da perseguire, mentre va omessa la visibilità di dati sanitari ultronei con particolare riferimento alla patologia da HIV
Nel caso di specie il lavoratore lamentava la detenzione da parte del Circolo didattico presso cui era in servizio come insegnante, di copia integrale del verbale relativo all’accertamento sanitario effettuato dalla Commissione medica di verifica, in relazione alla richiesta dell’interessata volta ad ottenere la pensione di inabilità; documento contenente, oltre alla valutazione medico-legale circa l’inidoneità all’impiego, altri dati personali relativi alla diagnosi, agli esami obiettivi e agli accertamenti clinici e strumentali effettuati, nonché informazioni anamnestiche, tra cui quella relativa all’infezione da Hiv.
Nei fatti è avvenuto che il Circolo didattico, presso cui la Signora era in servizio come insegnante, era in possesso di copia integrale del verbale relativo all’accertamento sanitario effettuato dalla Commissione medica di verifica, in relazione alla richiesta dell’interessata volta ad ottenere la pensione di inabilità.
Il fascicolo di cui sopra conteneva, oltre alla valutazione medico-legale circa l’inidoneità all’impiego, altri dati personali della lavoratrice relativi alla diagnosi, agli esami obiettivi e agli accertamenti clinici e strumentali effettuati, nonché informazioni anamnestiche, tra cui quella relativa all’infezione da Hiv, contratta dalla lavoratrice stessa nel 1987.
La Signora aveva proposto reclamo al Garante della Protezione dei dati personali lamentando che detto Circolo aveva trasmesso il verbale integrale ad altro Circolo competente ad adottare il provvedimento riguardante l’inabilità al lavoro. Il Garante aveva ritenuto che la comunicazione al Circolo didattico delle informazioni sulla salute dell’interessata contenute nella versione integrale del verbale di visita collegiale configurava un trattamento illecito di dati. Ciò in quanto il Circolo trasmettente avrebbe potuto conseguire ugualmente la prosecuzione del procedimento inviando una copia parziale della documentazione pervenutagli da cui fosse omessa la visibilità di dati sanitari riferiti all’interessata (art. 11, comma 1, lett. a) e 11, comma 2, del Codice).
Il Dirigente del Circolo trasmettente, avendo adito il Tribunale con ricorso proposto ai sensi dell’art. 152 d.lgs. n. 196/2003, otteneva sentenza di annullamento del provvedimento del Garante nella parte in cui aveva ritenuto illecito il trattamento dei dati sensibili da parte del Circolo stesso.
Secondo il giudice del merito la mera trasmissione del documento in maniera riservata non aveva integrato il comportamento di trattamento dei dati sensibili.
Contro la sentenza del tribunale la lavoratrice aveva proposto ricorso per cassazione basato su tre motivi.
Con il primo motivo la ricorrente denuncia violazione e falsa applicazione dell’art. 4 d.lgs. n. 169/2003 (Codice Privacy) lamentando che il tribunale non abbia ritenuto sussistente l’ipotesi di trattamento di dati sensibili nella trasmissione integrale del documento contenente riferimenti alla patologia da HIV di essa ricorrente.
Con il secondo motivo la ricorrente denuncia violazione e falsa applicazione del D.P.R. 29 ottobre 2001, degli artt. 11, comma 1, lett. d, 18, 20, 22, commi 1, 3 e 5, 112, commi 1 e 2 lett. d e f del d.lgs. n. 169/2003 (n.d.r. d.lgs. n. 196/2003) nonché della legge n. 135/1990 lamentando che il tribunale abbia escluso l’illiceità della comunicazione della patologia da HIV da parte del dirigente scolastico ad altro Circolo solo per avere apposto la dicitura riservato sulla busta contenente il documento, non ritenendo tenuto il predetto dirigente ad omettere i dati clinici relativi a quella patologia.
Con il terzo motivo la ricorrente denuncia vizio di motivazione in ordine al fatto controverso consistente nell’avvenuta diffusione, in ambito scolastico, dei dati sensibili della ricorrente medesima- ritenuto inammissibile, perché riguardate fatti successivi alla pronuncia del Garante.
Ai sensi dell’art. 4, lett. 1), codice privacy, si intende per “comunicazione”, «il dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall’interessato, dal rappresentante del titolare nel territorio dello Stato, dal responsabile e dagli incaricati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione». In questo caso si era violato inoltre l’art. 4, comma 4, del DPR n. 461/2001 circa la «tutela e la riservatezza assoluta circa i casi di infezione da HIV o di AIDS».
Inoltre, l’articolo 5 della Legge 5 giugno 1990, n. 135 (Piano degli interventi urgenti in materia di prevenzione e lotta all’AIDS), con la rubrica «Accertamento dell’infezione», dispone, ai commi 4 e 5, che «la comunicazione di risultati di accertamenti diagnostici diretti o indiretti per infezione da HIV può essere data esclusivamente alla persona cui tali esami sono riferiti» e che «l’accertata infezione da HIV non può costituire motivo di discriminazione, in particolare per l’iscrizione alla scuola, per lo svolgimento di attività sportive, per l’accesso o il mantenimento di posti di lavoro».
Ai sensi dell’art. 22 d.lgs. n. 196/2003, poi, i soggetti pubblici conformano il trattamento dei dati sensibili secondo modalità volte a prevenire violazioni dei diritti, delle libertà fondamentali e della dignità dell’interessato. In particolare, «possono trattare solo i dati sensibili … indispensabili per svolgere attività istituzionali che non possono essere adempiute, caso per caso, mediante il trattamento di dati anonimi o di dati personali di natura diversa».
Alla luce di ciò, secondo la Cassazione, correttamente il Garante ha ritenuto che la comunicazione al Circolo didattico ricevente delle informazioni sulla salute dell’interessata contenute nella versione integrale del verbale di visita collegiale configurasse un trattamento illecito di dati, dal momento che il Circolo inviante, avrebbe potuto conseguire ugualmente la prosecuzione del procedimento trasmettendo una copia parziale della documentazione pervenutagli da cui fosse omessa la visibilità di dati sanitari riferiti all’interessata ultronei rispetto a quello dell’accertata inabilità al lavoro e riguardanti la diagnosi accertata, gli esami obiettivi e gli accertamenti clinici e strumentali effettuati, nonché l’anamnesi da cui emerge anche l’informazione relativa all’Hiv, in maniera tale da rendere nota all’istituzione scolastica competente ad emettere il provvedimento finale soltanto l’informazione relativa al giudizio medico-legale di inidoneità all’impiego (per una fattispecie analoga cfr. Sez. 1, n. 10947/2014).
sul ricorso 10306/2011 proposto da:
(OMISSIS) (C.F. (OMISSIS)), elettivamente domiciliata in (OMISSIS), presso l’avvocato (OMISSIS), rappresentata e difesa dall’avvocato (OMISSIS), giusta procura a margine del ricorso;
(OMISSIS), personalmente e nella qualita’ di dirigente scolastico del 3 Circolo di (OMISSIS), elettivamente domiciliata in (OMISSIS), presso l’avvocato (OMISSIS), rappresentata e difesa dall’avvocato (OMISSIS), giusta procura a margine del controricorso;
avverso la sentenza n. 502/2010 del TRIBUNALE di GROSSETO, depositata il 11/11/2010;
udita la relazione della causa svolta nella pubblica udienza del 29/04/2015 dal Consigliere Dott. ANTONIO DIDONE;
udito il P.M., in persona del Sostituto Procuratore Generale Dott. RUSSO Rosario Giovanni, che ha concluso per l’accoglimento dei primi due motivi, assorbimento del terzo motivo.
1.- (OMISSIS) ha proposto reclamo al Garante della Protezione dei dati personali lamentando la detenzione da parte del 3 Circolo didattico di (OMISSIS), presso cui era in servizio come insegnante, di copia integrale del verbale relativo all’accertamento sanitario effettuato dalla Commissione medica di verifica di Grosseto, in relazione alla richiesta dell’interessata volta ad ottenere la pensione di inabilita’; documento contenente, oltre alla valutazione medico-legale circa l’inidoneita’ all’impiego, altri suoi dati personali relativi alla diagnosi, agli esami obiettivi e agli accertamenti clinici e strumentali effettuati, nonche’ informazioni anamnestiche, tra cui quella relativa all’infezione da Hiv, contratta dalla reclamante stessa nel 1987.
Per quanto ancora interessa, il Garante, con provvedimento del 24.9.2009, ha evidenziato che il 3 Circolo didattico, in ottemperanza al quadro normativo vigente, stante l’inutilizzabilita’ dei dati sensibili dell’interessata contenuti nella documentazione trasmessagli dall’organo di accertamento sanitario, avrebbe dovuto astenersi da ogni ulteriore operazione di trattamento dei dati in questione, ad eccezione dell’informazione relativa alla valutazione medico-legale effettuata, adottando ogni misura idonea a limitarne rigorosamente la conoscibilita’, senza pregiudicare la prosecuzione del procedimento nel quale era legittimamente coinvolto, essendo destinatario dell’istanza dell’interessata volta ad ottenere la pensione di inabilita’ (articolo 11, comma 1, lettera a) e articolo 11, comma 2, del Codice). Per contro il 3 Circolo didattico aveva inviato il verbale, nella sua versione integrale, al 4 Circolo individuato successivamente quale istituzione scolastica competente ad adottare il provvedimento conseguente all’accertata inabilita’ al lavoro della (OMISSIS). Ha, pertanto, ritenuto che la comunicazione al 4 Circolo didattico delle informazioni sulla salute dell’interessata contenute nella versione integrale del verbale di visita collegiale configurava un trattamento illecito di dati, dal momento che il 3 Circolo, avrebbe potuto conseguire ugualmente la prosecuzione del procedimento trasmettendo una copia parziale della documentazione pervenutagli da cui fosse omessa la visibilita’ di dati sanitari riferiti all’interessata ultronei rispetto a quello dell’accertata inabilita’ al lavoro e riguardanti la diagnosi accertata, gli esami obiettivi e gli accertamenti clinici e strumentali effettuati, nonche’ l’anamnesi da cui emerge anche l’informazione relativa all’Hiv, in maniera tale da rendere nota all’istituzione scolastica competente ad emettere il provvedimento finale soltanto l’informazione relativa al giudizio medico-legale di inidoneita’ all’impiego (articolo 11, comma 2, del Codice; punto 8.4 delle Linee guida).
Adito con ricorso proposto ai sensi del Decreto Legislativo n. 196 del 2003, articolo 152, da (OMISSIS), in proprio e quale dirigente del 3 Circolo, il Tribunale di Grosseto, con sentenza depositata in data 11.11.2010, ha annullato il provvedimento del Garante nella parte in cui aveva ritenuto illecito il trattamento dei dati sensibili da parte del 3 Circolo (in tal senso modificando il dispositivo letto in udienza di totale annullamento del provvedimento).
In sintesi, secondo il giudice del merito la mera trasmissione del documento in maniera riservata non aveva integrato il comportamento di trattamento dei dati sensibili.
1.1.- Contro la sentenza del tribunale (OMISSIS) ha proposto ricorso per cassazione affidato a tre motivi. Resiste con controricorso (OMISSIS) mentre non ha svolto difese il Garante per la protezione dei dati personali.
2.1.- Con il primo motivo la ricorrente denuncia violazione e falsa applicazione dell’articolo 4 d.lgs. n. 169/2003 lamentando che il tribunale non abbia ritenuto sussistente l’ipotesi di trattamento di dati sensibili nella trasmissione integrale del documento contenente riferimenti alla patologia da HIV di essa ricorrente.
2.2.- Con il secondo motivo la ricorrente denuncia violazione e falsa applicazione del Decreto del Presidente della Repubblica 29 ottobre 2001, del Decreto Legislativo n. 169 del 2003, articoli 11, comma 1, lettera d, articoli 18 e 20, articolo 22, commi 1, 3 e 5, articolo 112, commi 1 e 2, lettera d e f, nonche’ della legge n. 135/1990 lamentando che il tribunale abbia escluso l’illiceita’ della comunicazione della patologia da HIV da parte del dirigente scolastico ad altro Circolo solo per avere apposto la dicitura riservato sulla busta contenente il documento, non ritenendo tenuto il predetto dirigente ad omettere i dati clinici relativi a quella patologia.
2.3.- Con il terzo motivo la ricorrente denuncia vizio di motivazione in ordine al fatto controverso consistente nell’avvenuta diffusione, in ambito scolastico, dei dati sensibili della ricorrente medesima.
3.- I primi due motivi del ricorso sono fondati nei sensi di seguito precisati mentre e’ inammissibile la terza censura, tendente ad introdurre nel giudizio fatti verificatisi successivamente al provvedimento del Garante. Il Decreto Legislativo n. 139 del 2003, articolo 11, comma 1, lettera a), dispone che “i dati personali oggetto di trattamento sono.. trattati in modo lecito e secondo correttezza” e, al comma 2, che “i dati personali trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali non possono essere utilizzati”. A sua volta, il Decreto del Presidente della Repubblica n. 461 del 2001, articolo 4, comma 4, (Regolamento recante semplificazione dei procedimenti per il riconoscimento della dipendenza delle infermita’ da causa di servizio, per la concessione della pensione privilegiata ordinaria e dell’equo indennizzo, nonche’ per il funzionamento e la composizione del comitato per le pensioni privilegiate ordinarie), dispone che “resta fermo quanto previsto dalla Legge 5 giugno 1990, n. 135, in ordine alle misure anche organizzative da adottare per la tutela della riservatezza in casi di infezione da HIV o di AIDS”. Infine, la Legge 5 giugno 1990, n. 135, articolo 5, (Piano degli interventi urgenti in materia di prevenzione e lotta all’AIDS), con la rubrica “Accertamento dell’infezione”, dispone, ai commi 4 e 5, che “La comunicazione di risultati di accertamenti diagnostici diretti o indiretti per infezione da HIV puo’ essere data esclusivamente alla persona cui tali esami sono riferiti” e che “l’accertata infezione da HIV non puo’ costituire motivo di discriminazione, in particolare per l’iscrizione alla scuola, per lo svolgimento di attivita’ sportive, per l’accesso o il mantenimento di posti di lavoro”.
La violazione di tale ultima disposizione da parte dell’ente ospedaliero – come correttamente evidenziato dal Garante – aveva reso inutilizzabili quei dati poi trattati dalla resistente.
D’altronde, ai sensi dell’articolo 4, lettera 1), codice privacy, si intende per “comunicazione”, “il dare conoscenza dei dati personali a uno o piu’ soggetti determinati diversi dall’interessato, dal rappresentante del titolare nel territorio dello Stato, dal responsabile e dagli incaricati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione”. Come ha rilevato la dottrina, la natura della comunicazione e’, quella di una trasmissione a persone determinate dal cui novero, per ovvie ragioni, sono stati esclusi i soggetti innanzi indicati. Si’ che, riservata o meno, la mera trasmissione ritenuta non illecita dal tribunale costituiva una comunicazione dei dati. Conclusivamente, vi e’ stata “comunicazione” di dati sensibili (in precedenza) illecitamente trattati dall’ente ospedaliero (perche’ non comunicati direttamente all’interessata). Quindi, la resistente ha operato un “trattamento” (con la trasmissione) dei dati illecitamente trattati da altri (articolo 4 cit.: “Ai fini del presente codice si intende per: a) “trattamento”, qualunque operazione o complesso di operazioni, effettuati anche senza l’ausilio di strumenti elettronici, concernenti… la comunicazione.. di dati”).
Ai sensi del Decreto Legislativo n. 196 del 2003, articolo 22, poi, i soggetti pubblici conformano il trattamento dei dati sensibili secondo modalita’ volte a prevenire violazioni dei diritti, delle liberta’ fondamentali e della dignita’ dell’interessato. In particolare, “possono trattare solo i dati sensibili… indispensabili per volgere attivita’ istituzionali che non possono essere adempiute, caso per caso, mediante il trattamento di dati anonimi o di dati personali di natura diversa”.
Talche’, correttamente il Garante ha ritenuto che la comunicazione al 4 Circolo didattico delle informazioni sulla salute dell’interessata contenute nella versione integrale del verbale di visita collegiale configurasse un trattamento illecito di dati, dal momento che il 3 Circolo, avrebbe potuto conseguire ugualmente la prosecuzione del procedimento trasmettendo una copia parziale della documentazione pervenutagli da cui fosse omessa la visibilita’ di dati sanitari riferiti all’interessata ultronei rispetto a quello dell’accertata inabilita’ al lavoro e riguardanti la diagnosi accertata, gli esami obiettivi e gli accertamenti clinici e strumentali effettuati, nonche’ l’anamnesi da cui emerge anche l’informazione relativa all’Hiv, in maniera tale da rendere nota all’istituzione scolastica competente ad emettere il provvedimento finale soltanto l’informazione relativa al giudizio medico-legale di inidoneita’ all’impiego (per una fattispecie analoga cfr. Sez. 1, n. 10947/2014).
Pertanto, in accoglimento dei primi due motivi del ricorso, la sentenza impugnata deve essere cassata e, non sussistendo necessita’ di ulteriori accertamenti in fatto, la Corte puo’ decidere nel merito la causa ai sensi dell’articolo 384 c.p.c., rigettando l’opposizione proposta dalla (OMISSIS), la quale deve essere condannata al pagamento delle spese processuali del giudizio nella misura determinata in dispositivo.
La Corte accoglie il ricorso nei sensi di cui in motivazione, cassa la sentenza impugnata e, decidendo nel merito ai sensi dell’articolo 384 c.p.c., rigetta l’opposizione proposta da (OMISSIS) contro il provvedimento del Garante per la protezione dei dati personali del 24.9.2009. Condanna la resistente al pagamento delle spese processuali che liquida in euro 7.200,00, di cui euro 200,00 per esborsi oltre accessori e spese forfettarie come per legge, quanto al giudizio di legittimita’ e in euro 3.200,00, di cui euro 2.000,00 per onorario, oltre accessori di legge, quanto al grado di merito.
Cassazione: trattamento illecito di dati sensibili da parte del datore di lavoro ultima modifica: 2016-09-11T06:38:15+02:00 da Gilda Venezia
Tags:Docenti, Privacy, Sentenze