Con la sentenza n. 9382 del 4 aprile 2019, la Corte di Cassazione, Sezione II civile, ha affermato che la tutela del dato sensibile prevale su una generica esigenza di trasparenza amministrativa sia sotto il profilo costituzionalmente rilevante della valutazione degli interessi in discussione sia sotto quello della sostanziale elusione della normativa sulla protezione dei dati personali, accentuata nel caso dei dati sensibili, ove si dovesse far prevalere una generica esigenza di trasparenza amministrativa nemmeno concretamente argomentata e provata.

Peraltro, la giurisprudenza di questa Corte ha sancito che nella nozione di trattamento, ai sensi dell’art. 4, I, lett. a), del codice della privacy, sono compresi l’estrazione dei dati ed il successivo utilizzo.

Queste attività, se non precedute da idonea informativa sul trattamento dei dati personali e dalla acquisizione del consenso del titolare, integrano due illeciti amministrativi previsti dagli artt. 13, 23, 130 e 161, art. 162, comma 2 bis, e art. 167 del codice della privacy, riferiti alla omessa informativa ed alla non assentita comunicazione automatizzata (Cass. 24.6.2014 n. 14326).

E’ consolidato il principio che i dati sensibili idonei a rilevare lo stato di salute possono essere trattati dai soggetti pubblici soltanto mediante modalità organizzative che rendano non identificabile l’interessato.

Nel caso di specie, il Garante per la protezione dei dati personali aveva proposto ricorso per cassazione avverso la sentenza del Tribunale di Foggia 19.11.2013, che aveva accolto l’opposizione della provincia di Foggia all’ordinanza n. 44 del Garante, che aveva ingiunto la sanzione di Euro 20.000 per la violazione dell’art. 162, II bis del codice di protezione dei dati personali, per la diffusione dello stato di salute di una dipendente in difformità da quanto previsto dall’art. 22 VIII. La Provincia aveva dedotto che dell’illecito, ove esistente, rispondeva il dirigente del servizio e che non vi era alcuna violazione stante l’esigenza della trasparenza amministrativa mentre il Garante aveva eccepito la mancata impugnazione del provvedimento presupposto e l’infondatezza della opposizione.

Il Garante denunziava 1) violazione del D.Lgs. n. 196 del 2003, art. 152, e del D.Lgs. n. 150 del 2011, art. 10 III, perchè i ricorsi avverso i provvedimenti del Garante vanno proposti entro 30 giorni dalla loro comunicazione ed il Tribunale ha errato nel sostenere che non osta all’esame del merito l’omessa impugnazione del provvedimento del luglio 2009 che ha seguito quello del giugno precedente di inibitoria alla pubblicazione dei dati; 2) violazione del D.Lgs. n. 196 del 2003, art. 22 VIII, nonchè dell’art. 20, I e II, art. 65, V, art. 68, III, per essere stata ritenuta illegittima la sanzione in ordine alla diffusione di un dato sensibile.