Titolare del Trattamento nel Fascicolo Sanitario Elettronico: La Cassazione Fa Chiarezza
L’identificazione del titolare del trattamento dei dati personali è una questione cruciale per la corretta applicazione della normativa sulla privacy, specialmente in contesti complessi come la sanità digitale. Con una recente ordinanza, la Corte di Cassazione ha fornito un chiarimento fondamentale sulla ripartizione delle responsabilità in caso di data breach nel Fascicolo Sanitario Elettronico (FSE), stabilendo un principio cardine: la responsabilità segue il potere decisionale su finalità e mezzi del trattamento.
I Fatti di Causa: Una Vulnerabilità nel Sistema
Il caso nasce dalla notifica di un data breach da parte di un’Azienda Sanitaria locale. Una vulnerabilità in un applicativo software, portale ufficiale della pubblica amministrazione, consentiva a un utente, dopo essersi autenticato tramite identità digitale, di accedere ai fascicoli sanitari di altri cittadini semplicemente inserendo i loro codici fiscali.
L’Autorità Garante per la protezione dei dati personali, dopo aver esaminato il caso, ha individuato la Provincia Autonoma come titolare del trattamento e l’ha sanzionata. La Provincia, tuttavia, ha impugnato il provvedimento, sostenendo che la titolarità fosse dell’Azienda Sanitaria. Il Tribunale di primo grado ha accolto l’opposizione, annullando la sanzione. L’Autorità Garante ha quindi proposto ricorso per cassazione avverso tale decisione.
La Questione Giuridica: Chi Decide ‘Come’ e ‘Perché’?
Il cuore della controversia risiede nella corretta interpretazione della figura del titolare del trattamento secondo il GDPR. La Cassazione ricorda che il titolare non è chi materialmente tratta i dati, ma chi determina le finalità (il ‘perché’) e i mezzi (il ‘come’) del trattamento. Il ‘responsabile del trattamento’, invece, è un soggetto esterno che opera per conto e secondo le istruzioni del titolare.
Il Tribunale aveva erroneamente attribuito la titolarità all’Azienda Sanitaria basandosi su documenti operativi e contratti di fornitura del software. La Corte Suprema, invece, ha adottato un approccio normativo, analizzando le leggi che istituiscono e regolano il Fascicolo Sanitario Elettronico.
Le motivazioni della Cassazione: il Ruolo del Titolare del Trattamento
La Corte di Cassazione ha accolto il ricorso del Garante, cassando la sentenza del Tribunale. Le motivazioni si basano su un’analisi puntuale delle norme nazionali (in particolare il D.L. 179/2012) che disciplinano l’FSE.
Secondo la Corte, la normativa affida alle Regioni e alle Province Autonome il compito di istituire l’FSE, definendone le finalità generali (cura, prevenzione, ricerca, programmazione sanitaria). Di conseguenza, è proprio la Provincia Autonoma a determinare le finalità e i mezzi essenziali del trattamento, specialmente per quanto riguarda le procedure di identificazione, autenticazione e autorizzazione all’accesso. La violazione dei dati si era verificata proprio in questa fase, e non durante un trattamento per finalità di cura (di cui è titolare l’Azienda Sanitaria).
La Cassazione ha chiarito che il FSE può avere plurimi titolari a seconda delle finalità perseguite. Per le attività di accesso e gestione infrastrutturale del sistema, il titolare del trattamento è l’ente che lo ha istituito e ne ha definito le regole. Per le attività di cura, diagnosi e riabilitazione, la titolarità ricade sui singoli soggetti del Servizio Sanitario Nazionale. La responsabilità per il data breach va quindi imputata a chi aveva il potere e il dovere di garantire la sicurezza dei mezzi di accesso, ovvero la Provincia.
Conclusioni: Implicazioni Pratiche della Decisione
Questa ordinanza ha importanti implicazioni pratiche:
- Responsabilità basata sul potere decisionale: Gli enti pubblici che istituiscono sistemi digitali complessi non possono delegare la loro responsabilità di titolari per quanto riguarda la definizione delle regole fondamentali di funzionamento e sicurezza, anche se l’esecuzione tecnica è affidata a terzi.
- Analisi funzionale della titolarità: La qualifica di titolare del trattamento non è monolitica ma va determinata in base alla specifica attività di trattamento in cui si è verificato l’incidente di sicurezza.
- Rafforzamento dell’accountability: La decisione riafferma il principio di accountability del GDPR, secondo cui chi ha il potere decisionale finale su finalità e mezzi del trattamento è anche il primo responsabile della protezione dei dati personali degli interessati.
Chi è il titolare del trattamento per il Fascicolo Sanitario Elettronico (FSE)?
La titolarità dipende dalla specifica finalità del trattamento. Secondo la Corte, l’ente che istituisce l’FSE e ne determina le regole generali di funzionamento e accesso (es. Regione o Provincia Autonoma) è il titolare per queste attività. L’Azienda Sanitaria, invece, è titolare per i trattamenti di dati effettuati per finalità di cura.
In caso di un data breach dovuto a un difetto nel sistema di accesso all’FSE, chi è responsabile?
La responsabilità ricade sul soggetto che ha definito le finalità e i mezzi di quel specifico trattamento, ovvero il sistema di accesso e autenticazione. Nel caso esaminato, la Corte ha individuato tale soggetto nella Provincia Autonoma, in quanto ente che ha istituito l’FSE e le sue regole di accesso, e non nell’Azienda Sanitaria che lo utilizza per scopi di cura.
È possibile che esistano più titolari del trattamento per lo stesso FSE?
Sì. La sentenza chiarisce che il ruolo di titolare non è necessariamente unico. Possono coesistere diversi titolari per diverse finalità. Un ente pubblico può essere titolare per l’infrastruttura e le regole generali, mentre le singole strutture sanitarie sono titolari per l’uso dei dati al fine di erogare prestazioni mediche.