Pensione di invalidità: solo le informazioni indispensabili vanno comunicate all'INPS

Viola la privacy del dipendente il comune che tratta i dati relativi all'accertamento medico effettuato dallo stesso per ottenere l'invalidità per causa di servizio, senza rispettare il principio della minimizzazione dei dati. Nella comunicazione tra amministrazioni pubbliche i dati sanitari trasmessi devono essere solamente quelli "indispensabili" alla attività da svolgere.

Un Comune italiano, dopo la sottoposizione di un dipendente alla visita medica, aveva trasmesso all'Inps anche il verbale della commissione medica "in forma integrale", contenente sia il giudizio medico legale che il giudizio diagnostico e i dati anamnestici, con specifici riferimenti alle patologie riscontrate (come ad esempio: "cirrosi epatica HCV", "grave disturbo reattivo", "complessivo deterioramento cognitivo", "episodi di disorientamento", "ipoacusia").

Conseguentemente diversi colleghi avevano "ripetutamente avvicinato" Tizio chiedendogli "assicurazioni circa la non contagiosità dell'affezione epatica", così dimostrando che tutti avevano potuto prendere cognizione dei referti diagnostici. Il tribunale, tuttavia, aveva respinto la domanda utilizzando due frasi secondo le quali, per un verso, non risultava provata "l'utilizzazione ulteriore" dei documenti sanitari, per l'altro, la trasmissione era stata limitata ai dati necessari.

Tizio decide di ricorrere dinanzi la corte di cassazione, innanzi alla quale solleva i seguenti motivi: con il primo lamenta la violazione del principio della indispensabilità che deve essere rispettato quando si trasmettono dati sensibili, come quelli contenuti nel verbale di vista dell'ASL; con il secondo contesta la stringata motivazione che contrasta tra l'altro con le argomentazioni adottate in sentenza.

Nella comunicazione tra amministrazioni pubbliche possono essere tramessi i dati sanitari?
Devono essere trasmessi soltanto quelli "indispensabili" alla attività da compiere oppure la totalità dei dati contenuti nella documentazione?

La Corte di Cassazione, con la sentenza n. 9919/2022, ha accolto il ricorso di Tizio contro un comune italiano per i danni derivanti da un illegittimo trattamento dei suoi dati personali in occasione della presentazione della domanda di pensione per infermità dovuta a causa di servizio.

La Suprema corte stabilisce che nella comunicazione tra amministrazioni pubbliche i dati sanitari trasmessi devono essere soltanto quelli "indispensabili" all'attività da compiere; altresì costituisce illecito trattamento dei dati sensibili "l'avvenuta comunicazione, benché effettuata in maniera riservata, da un soggetto pubblico a un altro, della copia integrale del verbale relativo all'accertamento sanitario eseguito dalla commissione medica di verifica, in relazione alla richiesta della parte interessata volta a ottenere il riconoscimento della pensione di inabilità, recante, oltre alla necessaria valutazione medico legale circa l'idoneità all'impiego, altri dati personali che, in quanto relativi alla diagnosi, agli esami obbiettivi e agli accertamenti clinici e strumentali svolti, nonché a informazioni anamnestiche, debbono considerarsi irrilevanti ai fini del buon esito del procedimento e, pertanto, da omettere".

Risulta fondata altresì la doglianza anche sulla motivazione stringata del tribunale perché non spiega le ragioni per le quali il comune, nell'inviare la documentazione medica del proprio dipendente, avrebbe rispettato il principio di necessità, visto che ha trasmesso il verbale in forma integrale, non cifrata.

In materia di protezione dei dati personali integra illecito trattamento dei dati la trasmissione da un ente pubblico a un altro di copia integrale del verbale contenete i risultati dell'accertamento sanitario della commissione medica finalizzata al riconoscimento della pensione d'invalidità e i dati relativi a esami diagnostici, strumentali e accertamenti clinici eseguiti sulla persona perché irrilevanti ai fini dell'esito del procedimento.

L'art. 22 del Codice privacy disciplina che i soggetti pubblici, nel trattare i dati altrui, devono prevenire la violazione dei diritti e delle libertà fondamentali della persona, attraverso un utilizzo limitato dei dati a quelli indispensabili per lo svolgimento delle attività istituzionali.

Il principio, che venne affermato per la prima volta con riguardo a un'infezione da HIV dalla sentenza n. 48014, per i Giudici "è ovviamente da estendere a tutte le situazioni analoghe, poiché serve a delimitare il trattamento legittimo dei dati diagnostici e anamnestici contenendolo nel limite della indispensabilità". Questi ultimi dati rientrano nei dati particolari (ex-sensibili) disciplinati dall'art. 9 del GPDR come quei dati che rivelano: le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, i dati genetici e i dati biometrici intesi a identificare in modo univoco una persona fisica, i dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona, l'origine razziale o etnica.

Il provvedimento analizzato rispecchia pienamente quanto prevede il principio di minimizzazione dei dati all'art. 5 del GDPR, secondo cui il trattamento dei “dati personali” per essere lecito, e quindi consentito, deve essere limitato ai soli dati indispensabili, pertinenti e limitati a quanto necessario per il perseguimento delle finalità per cui sono raccolti e trattati.

Il richiamo alle finalità della raccolta rende necessario, di volta in volta, accertare quale sia lo scopo che il Titolare del trattamento si prefigge al momento di richiedere i dati personali agli interessati, in quanto il consenso di questi ultimi è, per l'appunto, legato a tale unico fine, ed un utilizzo per obiettivi diversi risulterebbe eccedente e non pertinente.

Una raccolta di dati è eccedente, come nel caso analizzato riguardante l'INPS, quando risulta eccessiva, esagerata in termini numerici, troppo vasta rispetto all'intenzione di chi raccoglie le informazioni; è non pertinente quando non si lega all'obiettivo da raggiungere, non serve per la finalità che si prestabilisce, in sintesi è superflua. Solo prendendo in considerazione lo scopo è, quindi, possibile stabilire se i dati raccolti rispettino le condizioni di liceità di cui all'art. 6 del GDPR (cioè se rispettino finalità determinate ed esplicite).

Secondo tale principio, il titolare del trattamento può raccogliere dati personali per finalità determinate, esplicite e legittime, dettagliatamente illustrate nell'informativa messa a disposizione degli interessati, in quanto ogni successivo trattamento dovrà risultare compatibile con tali finalità («limitazione della finalità»). I dati dovranno risultare adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati («minimizzazione dei dati»).

L'articolo 9 del GPDR disciplina i dati particolari (ex-sensibili) come quei dati che rivelano: le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, i dati genetici e i dati biometrici intesi a identificare in modo univoco una persona fisica, i dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona, l'origine razziale o etnica.

Il GDPR afferma che tale tipologia di dati non deve essere trattata, salvo consenso esplicito dell'interessato o in caso di necessità per assolvere ad alcuni obblighi ben codificati indicati nell'art. 9.

Ad esempio, alcuni dati particolari vanno trattati necessariamente per il calcolo della retribuzione e a fini pensionistici. Tizio lavora in un'azienda e questa deve poter trattare alcuni dei suoi dati particolari, cioè malattie e permessi, per calcolare la sua retribuzione, versare i suoi contributi e accantonare il TFR.

Altro esempio riguarda il trattamento dei dati particolari per tutelare un interesse vitale dell'interessato o di un'altra persona fisica se l'interessato non può dare il suo consenso per incapacità fisica o giuridica. Tizio ha un attacco cardiaco in ufficio, l'azienda chiama l'ambulanza che lo porta in ospedale. L'azienda è obbligata a trattare i suoi dati particolari per salvargli la vita.

Un altro caso, disciplinato dall'art. 9 del GDPR, riguarda il trattamento dei dati necessario per finalità di medicina preventiva o di medicina del lavoro, valutazione della capacità lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali. Tizio è un operaio edile; viene assunto da un'azienda specializzata nella costruzione di ponti in alta quota; l'azienda è tenuta a verificare l'idoneità fisica di Tizio e si rivolge ad un medico del lavoro perché accerti il buono stato di salute del nuovo dipendente. Deve quindi trattare i dati particolari di Tizio e per farlo non ha bisogno di chiedere il suo consenso esplicito.