Cass. civ., sez. II, sentenza 29/07/2016, n. 15908
Sintesi tramite sistema IA Doctrine
L'intelligenza artificiale può commettere errori. Verifica sempre i contenuti generati.
Segnala un errore nella sintesiMassime • 1
In tema di sanzioni amministrative, la struttura pubblica o privata che effettui il trattamento di dati idonei a rivelare lo stato di salute dei pazienti nella prestazione di servizi sanitari relativi a una banca dati in rete telematica deve darne notifica al Garante per la protezione dei dati personali, agli effetti dell'art. 37, comma 1, lett. b, del d.lgs. n. 196 del 2003, obbligo che non sussiste quando il trattamento sia effettuato manualmente tramite archivi cartacei o nell'ambito di servizi di assistenza telefonica o comunque mediante banche dati non collegate a reti telematiche.
Sul provvedimento
Testo completo
E T 0015908/1 6 N E S E REPUBBLICA ITALIANA IN NOME DEL POPOLO ITALIANO LA CORTE SUPREMA DI CASSAZIONE SECONDA SEZIONE CIVILE Oggetto Composta dagli Ill.mi Sigg.ri Magistrati: *SANZIONI AMM.VE DIVERSE Dott. STEFANO PETITTI - Presidente - DA LAVORO, PREVIDENZA, Dott. IPPOLISTO PARZIALE - Consigliere - FINANZ. E TRIB. Ud. 19/04/2016 - PU Dott. LUIGI ABETE - Consigliere - R.G.N. 3280/2013 Dott. ANTONIO SCARPA - Rel. Consigliere - Gear 15908 Rep. - Consigliere - Dott. MASSIMO FALABELLA ha pronunciato la seguente SENTENZA sul ricorso 3280-2013 proposto da: GARANTE PROTEZIONE DATI PERSONALI 97139590588, れ elettivamente domiciliato in ROMA, VIA DEI PORTOGHESI 12, AVVOCATURA GENERALE DELLO STATO, che lopresso rappresenta e difende;
- ricorrente -
contro
ICLAS ISTITUTO CLINICO LIGURE ALTA SPECIALITA' SRL, elettivamente domiciliato in ROMA, VIA G. BAZZONI 3, presso lo studio dell'avvocato FABRIZIO PAOLETTI, che lo rappresenta e difende unitamente agli avvocati ANDREA MASSIMO ASTOLFI, SONIA SELLETTI;
844116
- controricorrente -
avverso la sentenza n. 426/2012 del TRIBUNALE di CHIAVARI, depositata il 12/06/2012;
udita la relazione della causa svolta nella pubblica udienza del 19/04/2016 dal Consigliere Dott. ANTONIO SCARPA;
udito l'Avvocato Corsini per l'Avvocatura Generale dello Stato e l'Avvocato Melpignano per delega dell'Avvocato Astolfi;
udito il P.M. in persona del Sostituto Procuratore Generale Dott. LUCIO CAPASSO, che ha concluso per il rigetto del ricorso SVOLGIMENTO DEL PROCESSO Con ricorso ex artt. 10, d. lgs. 01/09/2011, n. 150, e 152, d. lgs. 30 giugno 2003, n. 196, la ICLAS ISTITUTO CLINICO LIGURE ALTA SPECIALITA' SRL ha proposto opposizione avverso l'ordinanza - ingiunzione n. 367 del 4.10.2011 emessa dall'Autorità Garante per la protezione dei dati personali, conseguente ad accertamento operato da personale della Guardia di Finanza in data 17.11.2009 presso la struttura sanitaria all'epoca denominata "Villa Azzurra", ed al verbale di contestazione del 19.11.2009, nel quale si affermava che erano stati trattati dati ex art. 37, comma 1, lett. b, d. lgs. n. 196/2003 ("Codice della privacy") senza la prescritta notificazione. L'opponente deduceva che tali dati venissero rilevati solo in funzione delle prestazioni sanitarie erogate, in assenza di sistematizzazione e/o organizzazione in banche dati;
che non sussisteva l'omissione contestata, attese le finalità per le quali erano stati raccolti i dati medesimi, diverse da quelle previste dall'art. 37 citato, ciò anche alla luce delle informazioni acquisite mediante circolare dall'Associazione italiana ospedalità privata (AIOP). La ICLAS S.R.L. ha perciò contestato la legittimità della sanzione Ric. 2013 n. 03280 sez. 52 - ud. 19-04-2016 -2- irrogata, deducendo altresì la sussistenza di una fattispecie di errore scusabile, attese le peculiarità del quadro normativo, ed allegando comunque l'inesatta quantificazione, dovendo trovare applicazione l'art.164 bis del codice della privacy. Il GARANTE PROTEZIONE DATI PERSONALI si costituiva contestando l'opposizione. Con sentenza n. 426/2012 del 12/06/2012, il TRIBUNALE di CHIAVARI accoglieva l'opposizione e annullava l'ordinanza ingiunzione. Osservava il Tribunale come: 1) l'art.37, lett. b, del codice della privacy, a differenza della legge n. 675/1996, non preveda un obbligo generale di notificazione, individuando, invece, in positivo i casi tipici in cui tale obbligo sussiste;
2) il trattamento a fini di prestazione di servizi sanitari non sia, pertanto, generalmente assoggettato a tale obbligo, facendo la norma riferimento a specifici requisiti, ovvero che i dati siano trattati a fini di ".... prestazioni di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni ..", per poi prevedere autonomamente le fattispecie di trattamento ai fini di indagini epidemiologiche ... ", ed ancora 66 il trattamento ai fini di: ...rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi e tessuti... ";
3) la citata norma del Codice della privacy ha riguardo unicamente ad un'attività di rilevazione di dati, in termini di