Con sentenza del 3 marzo 2020, n. 4609, il Tribunale di Roma ha respinto il ricorso avverso l’ordinanza-ingiunzione n. 492 del 29 novembre 2018 per il pagamento della sanzione amministrativa di Euro 40.000,00, inflitta dal Garante per la protezione dei dati personali all’I.N.P.S., Istituto nazionale della previdenza sociale, con riguardo alle violazioni di cui al D.Lgs. n. 30 giugno 2003, n. 196, artt. 13, 20 e 27, nell’impiego del software denominato “(Omissis)”.
Il garante ha ritenuto violate dette disposizioni, nel testo anteriore al D.Lgs. n. 10 agosto 2018, n. 101, per avere l’Istituto: a) in violazione dell’art. 13, effettuato un trattamento dei dati sensibili senza avere rilasciato idonea informativa ex art. 22, comma 2, del codice (sanzione di Euro 12.000,00); b) in violazione dell’art. 20, effettuato, in mancanza dei necessari presupposti, un trattamento illecito di dati personali, anche idonei a rivelare lo stato di salute (sanzione di Euro 20.000,00); c) in violazione dell’art. 37, effettuato attività di profilazione con i dati personali dei lavoratori, anche idonei a rivelare lo stato di salute, senza notificare preventivamente tale trattamento all’autorità (sanzione di Euro 8.000,00).
Avverso la sentenza di rigetto viene proposto ricorso per cassazione dall’I.N.P.S., sulla base di cinque motivi.
L’intimato si difende con controricorso.
La parte ricorrente ha depositato, altresì, la memoria.
1. – Con il primo motivo, il ricorrente deduce la violazione e la falsa applicazione del D.Lgs. n. 30 giugno 2003, n. 196, art. 166, vecchio testo, nonchè della l. 24 novembre 1981, n. 689, artt. 6 e 14, per l’omessa contestazione della violazione all’asserito trasgressore, oltre che all’obbligato in solido, con conseguente decadenza o nullità della ordinanza-ingiunzione verso il coobbligato solidale per mancata contestazione della presunta violazione all’autore della stessa.
Deduce come l’art. 166 cit., nel testo originario, rendesse applicabili tutte le disposizioni della l. n. 689 del 1981, ivi compreso l’art. 14, il quale dispone, al suo comma 1, che la violazione debba essere contestata immediatamente tanto al trasgressore, quanto alla persona obbligata in solido al pagamento della somma dovuta per la violazione, fissando il termine tal fine e prevedendo, all’ultimo comma, che “l’obbligazione di pagare la somma dovuta per la violazione si estingue per la persona nei cui confronti è stata omessa la notificazione nel termine prescritto”.
L’art. 6 l. n. 689 del 1981 prevede la responsabilità solidale della persona giuridica con l’autore della violazione, attribuendo ad essa il diritto di regresso per l’intero. Tale vincolo solidale ha una funzione accessoria e di garanzia, onde scongiurare il mancato recupero alle finanze pubbliche della sanzione inflitta: onde, per pervenirsi alla adozione della stessa, è necessario anzitutto l’accertamento degli elementi afferenti l’illecito commesso dall’autore della violazione – procedendo alla relativa contestazione – anche in riferimento all’elemento psicologico o ad eventuali cause di esclusione della responsabilità, potendo dunque venire meno in tal modo anche l’obbligazione di pagamento dell’obbligato solidale.
La tesi, pur seguita da Cass., sez. un., n. 22082 del 2017, circa l’autonomia delle obbligazioni nascenti dall’illecito amministrativo conduce a conseguenze paradossali ed ingiuste, esponendo il coobbligato a pagare la somma oggetto della sanzione, indipendentemente da ogni accertamento circa l’effettiva situazione del caso di specie, ivi comprese le cause di esonero da responsabilità e l’elemento psicologico della fattispecie in capo all’autore materiale del fatto.
Tale tesi, inoltre, pregiudica l’azione di regresso dell’ente, esponendolo all’eccezione dell’insussistenza dei presupposti integranti l’illecito disciplinare, nonchè della contestazione, e privandolo di un’adeguata difesa in contrasto con i principî di legalità e di responsabilità personale, di cui alla l. n. 689 del 1981.
In definitiva, deve dirsi che l’autorità garante sia onerata della previa notificazione della contestazione anche all’autore della violazione, entro il prescritto termine di decadenza di novanta giorni, pur potendo poi agire per il recupero nei confronti di uno o dell’altro coobbligato solidale.
2. – Con il secondo motivo, il ricorrente deduce la violazione e la falsa applicazione del D.Lgs. n. 196 del 2003, artt. 12 preleggi, l. n. 689 del 1981, 37 e 28, per essere decorso il termine di prescrizione quinquennale della sanzione adottata ai sensi dell’art. 37 – relativa all’attività di profilazione con i dati personali dei lavoratori, anche idonei a rivelare lo stato di salute, senza previa notifica all’autorità – avendo il Garante sanzionato l’uso della procedura informativa posta in essere dal giorno 8 febbraio 2011: quindi, il presunto illecito amministrativo si è verificato, o si è comunque consumato, prima di tale data ed il termine di prescrizione di cinque anni dalla commessa violazione, ai sensi dell’art. 28 cit., era ormai decorso, allorchè si è avuta la prima contestazione in data 16 luglio 2018, trattandosi di un illecito istantaneo, consistente nell’utilizzazione della procedura informativa senza la previa notifica del trattamento all’autorità, in quanto l’art. 37 ha disposto che il titolare notifica il trattamento di dati personali “cui intende procedere”, ossia prima del trattamento stesso, nè la norma permette una diversa interpretazione antiletterale.
In ogni caso, posto che la contestazione è avvenuta in data 16 luglio 2018, le condotte asseritamente illecite anteriori al 16 luglio 2013 dovevano ritenersi comunque coperte dalla prescrizione quinquennale.
3. – Con il terzo motivo, il ricorrente deduce la violazione e la falsa applicazione del D.Lgs. n. 196 del 2003, artt. 13, 14, comma 1, 20, commi 1 e 2, 22, comma 3 e 9, 24, comma 1, lett. a), 161, 162, nonchè del D.Lgs. n. 75 del 2017, artt. 5, comma 10, l. n. 638 del 1983 e 18, 22, con riguardo alla contestata violazione degli artt. 13, 20 e 22 del codice, per non avere l’Istituto reso agli interessati la prevista informativa.
Ma l’attività di controllo da parte dell’I.N.P.S. trova diretto fondamento nella legge, con la conseguente legittima adozione della procedura informatica, attesi i compiti istituzionali assegnati all’ente, tali da escludere all’uopo la necessità di informare o acquisire autorizzazioni o consensi da parte degli interessati: si tratta, infatti, di dati personali già acquisiti ex lege alla conoscenza dell’ente per adempiere alle proprie funzioni istituzionali, e che vengono al medesimo trasmessi tramite il certificato di malattia per volontà del lavoratore stesso.
Ha dunque errato la sentenza impugnata nel ritenere che l’attività di raccolta dei dati in questione, pur funzionale ai controlli di malattia, “non risulta dovuta per legge o necessitata”: si tratta, al contrario, di un trattamento necessariamente funzionale proprio alle esigenze sottese alle funzioni istituzionali dell’ente.
Ai sensi del D.Lgs. n. 196 del 2003, art. 13, l’interessato va previamente informato delle finalità del trattamento e degli altri elementi, ma, per il comma 5, lett. a), della disposizione, l’informativa non è dovuta, se i dati sono trattati in base ad un obbligo previsto dalla legge, come, del pari, per il comma 5-bis, quanto si abbia la ricezione di curricula spontaneamente trasmessi. E il D.Lgs. n. 196 del 2003, art. 24 ribadisce che il consenso non è richiesto, quando il trattamento sia necessario per adempiere ad un obbligo previsto dalla legge.
L’attività antifrode, connessa alle visite di controllo, non sarebbe efficiente ove ancorata ad una scelta solo casuale, laddove, per evitare abusi ed indebite erogazioni con sottrazione di risorse pubbliche, occorre operare mediante una razionale distribuzione dei controlli: il certificato di malattia, presentato dal lavoratore, costituisce una domanda di prestazione economica, la quale, per essere istruita, richiede necessariamente il trattamento dei dati – come la durata della prognosi, la qualifica del lavoratore o il settore di attività (ma non la diagnosi) – sui quali agisce la procedura “(Omissis)”.
Sono, dunque, le norme di cui alla l. n. 638 del 1983, artt. 5, comma 10, D.Lgs. n. 75 del 2017, 18 e 22, che fondano le ragioni istituzionali e i doveri di natura pubblicistica in capo all’I.N.P.S.; ed i dati, che il Garante assume essere stati trattati illegittimamente, sono in verità gli stessi che l’ente ha ricevuto con la trasmissione telematica del certificato medico da parte dell’interessato, donde di sicuro esiste il tacito consenso al loro utilizzo, finalizzato alla liquidazione dell’indennità di malattia e, quindi, ai relativi controlli.
Nè potrebbe sostenersi che l’Istituto possa fare i controlli ma, ove si serva di procedimenti automatizzati, debba ottenere il consenso dell’interessato: dato che, se l’ente ha per legge il potere di effettuare i controlli a fini pubblici, deve poterlo fare nel miglior modo possibile, secondo il principio di buon andamento della p.a.
4. – Con il quarto motivo, il ricorrente deduce la violazione e la falsa applicazione della Cost., artt. 111, 132 c.p.c., 14, 37, comma 1, lett. d), e D.Lgs. n. 196 del 2003, 163, avendo il tribunale esposto una motivazione solo apparente, con riguardo alla sanzione del Garante per asserita attività di profilazione.
La relativa nozione era contenuta nel D.Lgs. n. 196 del 2003, art. 14, vigente all’epoca dei fatti, secondo cui nessun atto o provvedimento giudiziario o amministrativo che implica una valutazione del comportamento umano può essere fondato unicamente su un trattamento automatizzato di dati personali, volto a definire il profilo o la personalità dell’interessato.
Nella specie, mancavano gli elementi costitutivi della fattispecie.
Anzitutto, difetta la profilazione: il soggetto (del quale non si considera mai la diagnosi) non viene mai individuato o inserito in determinate categorie o “profili”, rilevando soltanto la domanda di indennità di malattia quale prestazione previdenziale richiesta, nè, quindi, era predisposta qualsiasi variabile da utilizzare per individuare un singolo lavoratore da sottoporre a controllo.
Ogni domanda, infatti, aveva assegnato un indice, o score, collegato a determinate variabili – la durata della prognosi, il luogo di provenienza del certificato, il numero di questi, il settore produttivo, l’età, il genere, la qualifica, la retribuzione, la dimensione dell’azienda, il rapporto di lavoro part-time e a tempo determinato, ecc. – prescindendo da qualsiasi profilazione soggettiva, ma collegato unicamente alla singola “domanda di prestazione”. Lo score, in tale sistema, viene calcolato ogni giorno e mai storicizzato, essendo associato alla domanda, non alle persone, onde i dati non identificano o profilano nessuno, come è comprovato dal fatto che, ad esempio, due domande presentate dal medesimo lavoratore hanno score diversi. Tanto è vero che, seguendo la tesi del Garante, il lavoratore “profilato” dovrebbe sempre essere candidato alle visite di controllo ogni volta si fosse ammalato, cosa che invece non è, nè avrebbe potuto essere, proprio in quanto le candidature a visita medica ogni volta erano individuate da zero e considerando l’insieme dei certificati in quel momento presenti e senza profilazione alcuna.
In definitiva, al lavoratore non viene mai associata una variabile idonea a caratterizzarlo per inquadrarlo in qualche categoria o profilo.
In secondo luogo, difetta il trattamento “unicamente” automatizzato, in quanto gli operatori effettuano poi tutte le ulteriori verifiche in modo non automatizzato, che solo indirizza la scelta delle visite di mediche da effettuare, decide in autonomia del medico dell’Istituto.
In terzo luogo, non si trattava dunque di valutazione di un “comportamento umano”, perchè la personalità dei singoli interessati non viene mai delineata dal sistema.
Ne deriva che il tribunale ha esposto una motivazione meramente apparente, riferendo una nozione di profilazione come “comunemente accolta”, senza spiegare da dove, se non dagli atti stessi del garante, l’abbia tratta, come vigente prima della riforma del 2018.
5. – Con il quinto motivo, il ricorrente deduce la violazione e la falsa applicazione del D.Lgs. n. 101 del 2018, artt. 12 preleggi, 18, 33, D.Lgs. n. 196 del 2003, 161-164-bis, l. n. 689del 1981, 14, non avendo il tribunale rilevato l’illegittima condotta del Garante, che non ha applicato l’art. 18 citato, ammettendo il pagamento della sanzione in misura ridotta ai due quindi, dal momento che si trattava di un procedimento non ancora definito con l’adozione dell’ordinanza-ingiunzione.
Nella specie, infatti, la contestazione era avvenuta la prima volta il 4 maggio 2018, dunque prima dell’entrata in vigore del D.Lgs. n. 101 del 2018 in data 25 maggio 2018.
6. – Il primo motivo ripropone la tesi secondo cui, omessa la contestazione all’autore materiale della violazione, ai sensi della l. n. 689 del 1981, art. 14, si renda impossibile l’accertamento del fatto del medesimo, con conseguente decadenza o nullità anche dell’ordinanza-ingiunzione emessa verso il coobbligato solidale ex l. n. 689 del 1981, art. 6.
Il tribunale ha disatteso l’assunto, ritenendo doversi ravvisare due obbligazioni autonome in tema di sanzioni amministrative, richiamando il principio (enunciato da Cass., sez. un., 22 settembre 2017, n. 22082) secondo cui l’obbligazione solidale del corresponsabile è autonoma rispetto a quella principale e non viene meno nell’ipotesi in cui quest’ultima si estingua per mancata tempestiva notificazione, con l’ulteriore conseguenza che l’obbligato in solido che abbia pagato la sanzione conserva l’azione di regresso per l’intero verso l’autore della violazione.
Come è noto, l’ordinanza interlocutoria n. 25354 del 2016 rimise la questione sull’interpretazione degli artt. 6 e 14, u.c., l. n. 689 del 1981 al Primo Presidente, rilevato un contrasto nella giurisprudenza della Corte.
Ciò a seguito di difformi orientamenti, l’uno, secondo cui dall’estinzione dell’obbligazione di colui che ha in concreto commesso la violazione amministrativa deriva anche l’estinzione dell’obbligazione a carico del condebitore solidale (Cass. nn. 23871-11 e 26387-08), l’altro foriero, invece, della tesi opposta (Cass. n. 4342-13), a fronte di altrettanto discordanti opinioni nella dottrina.
La ricordata Cass., sez. un., n. 22082 del 2017 fece proprio il secondo assunto, da allora seguito dalla Corte; e che, per ragioni di certezza del diritto, ed assenza di nuovi argomenti al riguardo, il Collegio ritiene di mantenere, senza dunque la altrimenti necessaria rimessione della questione alle Sezioni unite ex art. 374 c.p.c..
Ciò detto, va ancora precisato che titolare del trattamento dei dati, a norma del D.Lgs. n. 196 del 2003, art. 28, è la persona giuridica che lo effettua, quale entità nel suo complesso: ad ulteriore conforto dell’opinamento raggiunto dal giudice del merito al riguardo.
Titolare del trattamento, in altri termini, va reputato lo stesso I.N.P.S. Questa Corte ha già osservato (cfr. Cass. 5 luglio 2016, n. 13657, non mass.; Cass. 8 aprile 2014, n. 8184) come il richiamo al principio della imputabilità personale della sanzione, di cui alla l. n. 689 del 1981, non può indurre a reputare non direttamente imputabile all’ente la condotta stessa. Ivi, invero, si è rilevato che la generale legge di depenalizzazione preesisteva alla disciplina sanzionatoria specifica del D.Lgs. n. 196 del 2003, il quale, pur richiamando la l. n. 689 del 1981, al suo art. 166, rende possibile la configurabilità di una responsabilità solidale della persona giuridica, ma non esclude di per sè la possibile autonoma responsabilità della stessa, quanto al successivo e specifico regime sanzionatorio, previsto dal codice stesso. Ne deriva che la sanzione amministrativa è retta da un regime proprio ed autonomo, nei confronti dell’ente, e non solo della persona fisica. Difatti, ai sensi del D.Lgs. n. 196 del 2003, art. 4, è considerato titolare del trattamento dei dati non solo la persona fisica, ma espressamente anche “la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione o organismo cui competono…”.
Il motivo va, pertanto, disatteso.
7. – Il secondo motivo assume la maturata prescrizione quinquennale, ai sensi della l. n. 689 del 1981, art. 28, della sanzione inflitta per la violazione del D.Lgs. n. 196 del 2003, art. 37, relativamente alla pretesa attività di profilazione senza previa notifica all’autorità, in quanto l’attività censurata avveniva dal giorno 8 febbraio 2011 e la prima contestazione solo in data 16 luglio 2018, trattandosi di illecito istantaneo; ed aggiunge che le condotte asseritamente illecite, anteriori al 16 luglio 2013, dovevano ritenersi comunque coperte dalla prescrizione quinquennale.
Il tribunale ha ritenuto che la condotta sanzionata costituisse un illecito permanente, potendo l’autore realizzarla utilmente anche dopo la prima omissione, respingendo per tale motivo l’eccezione di prescrizione dell’illecito.
7.1. – La statuizione non merita censure.
La l. n. 689 del 1981, art. 28 prevede che il diritto di riscuotere la somma oggetto della sanzione si prescrive nel termine di cinque anni dal “giorno in cui è stata commessa la violazione”.
Secondo il ricorrente, il D.Lgs. n. 196 del 2003, art. 37, nel testo applicabile ratione temporis, laddove indica che il titolare deve notificare il trattamento di dati personali “cui intende procedere”, indica il suo obbligo di eseguire la notificazione sin dal momento anteriore a quello in cui sia posto in essere il primo atto di trattamento dei dati personali dei soggetti interessati.
L’assunto va condiviso: ma ciò non vuol dire pure che tale obbligo sia previsto come da adempiere esclusivamente in quel momento, al contrario tale condotta egli potendo e dovendo porre in essere, di momento in momento, anche in seguito, ove il trattamento dei dati prosegua.
Si tratta, pertanto, di un illecito permanente; nè può sostenersi l’avvenuta prescrizione, neppure per i fatti anteriori al quinquennio dalla prima contestazione.
In generale, questa Corte ha precisato (Cass. 24 agosto 2007, n. 17985) che l’illecito istantaneo, al pari dell’illecito istantaneo con effetti permanenti, è caratterizzato da una condotta che unu actu perficitur, che cioè si esaurisce in un lasso di tempo definito: nel secondo caso, lasciando permanere i suoi effetti nel tempo. Ne ha fatto derivare che, per il combinato disposto degli artt. 2935 e 2947 c.c., la prescrizione decorre dalla data in cui si è verificata, inizialmente, la conseguenza pregiudizievole derivata dalla lesione della posizione giuridica soggettiva tutelata. Dato che, nell’illecito istantaneo ed in quello istantaneo ad effetti permanenti, il comportamento contra ius si esaurisce con il verificarsi dell’evento dannoso, pur perdurando, nel secondo caso, le conseguenze dannose dell’illecito per l’eliminazione delle quali occorre una nuova e diversa azione, il termine iniziale della prescrizione decorre dal momento stesso del compimento della condotta illecita dell’agente.
Da essi si distingue l’illecito permanente, connotato da una situazione in cui l’illiceità, che costituisce la fonte della lesione al bene protetto, non si esaurisce in un unico comportamento antigiuridico dell’agente, ma si protrae nel tempo, onde con essa è destinato a perdurare il danno, che permane per tutto il tempo in cui si protrae la situazione illecita. Nell’illecito permanente, quindi, il fatto dannoso non può ritenersi commesso in un solo momento, ma costituisce una fattispecie complessa ed a formazione progressiva, nel senso che il protrarsi dell’offesa proviene da un comportamento volontario dell’autore che prosegue senza interruzione, per cui egli è in grado in qualsiasi momento di porre fine a tale situazione dannosa (per tali concetti, cfr. Cass. 11 febbraio 2020, n. 3314; Cass. 16 aprile 2018, n. 9318, vicenda di demansionamento, quale condotta datoriale inadempiente, non istantanea ma permanente; Cass. 28 maggio 2013, n. 13201; Cass., sez. un., 24 novembre 2011, n. 23763, in sede di impugnazione di sentenza del T.s.a.p.; Cass. 24 agosto 2007, n. 17985; Cass. 2 aprile 2004, n. 6512; Cass., sez. un., 5 novembre 1973, n. 2855).
Peraltro, quanto al decorso della prescrizione, all’interno della categoria degli illeciti permanenti si opera un distinguo, afferente il profilo della lesione al bene o interesse protetto, che è stato ben illustrato in alcune decisioni della Corte (v. Cass. 19 marzo 2018, n. 6685, non massimata): in cui si spiega che, per applicare correttamente le norme sulla prescrizione (in quel caso, la norma ex art. 2947, comma 1, c.c.) occorre correttamente individuare il dies a quo di decorrenza della stessa, nella durata prevista dalla legge (nella specie, quinquennale).
Da un lato, allora, vi sono le ipotesi in cui, nell’àmbito dell’illecito permanente, si constata che – ad esempio, quando la pretesa risarcitoria fatta valere concerne il pregiudizio patrimoniale per danno emergente e lucro cessante patiti – il pregiudizio “si rinnova di giorno in giorno”, venendo meno soltanto con la cessazione della condotta illecita: e da tale peculiare caratteristica si trae il principio, secondo cui il diritto al risarcimento si rinnova de die in diem e si prescrive pro rata temporis (cfr. Cass. 29 ottobre 2008, n. 25983; 19 giugno 2015, n. 12701). Con riferimento a tali pregiudizi, infatti, la situazione illecita permanente si caratterizza per gli aspetti “incrementali” del danno che viene a produrre: con la rilevante conseguenza che, in tali vicende, se il diritto al risarcimento del danno, ove non esercitato, si estingue per i danni già prodottisi – anteriormente al quinquennio ex art. 2947, comma 1, c.c. – al tempo stesso insorge nuovamente e continuamente per gli ulteriori danni che vengono a prodursi giorno dopo giorno a causa della protrazione della situazione illecita (Cass. 19 marzo 2018, n. 6685, in motiv.). Dunque, qui la pretesa risarcitoria è destinata a perpetuarsi continuamente e la prescrizione comincia a decorrere da ciascun giorno successivo al danno già verificatosi ed al relativo diritto al risarcimento. Il diritto al risarcimento sorge, cioè, in modo continuo via via che il danno si produce, ed in modo continuo si prescrive se non esercitato entro cinque anni dal momento in cui si verifica (Cass. 2 aprile 2004, n. 6512).
Ne deriva, in tal caso, che l’illiceità del comportamento perdura nel tempo ed il diritto al risarcimento sorge con l’inizio del fatto generatore del danno stesso, rinnovandosi di momento in momento, onde la prescrizione di tale diritto ha inizio da ciascun giorno rispetto al fatto già verificatosi (art. 2935 c.c.), con la conseguenza che – in caso di azione risarcitoria aquiliana – divengono prescritti i danni maturati prima del quinquennio anteriore alla proposizione della domanda (art. 2947 c.c.).
Dall’altro lato, diversamente opera, invece, la disciplina della prescrizione bensì nell’àmbito dell’illecito permanente, ma nel caso di pretesa risarcitoria avente ad oggetto la “reintegrazione in forma specifica” ex art. 2058 c.c.: in tale evenienza, la condotta dannosa rimane eguale a sè stessa, per tutta la durata della permanenza della situazione illecita, nè si producono incrementi di pregiudizio maggiori ed ulteriori rispetto a quelli già in atto (Cass. 19 marzo 2018, n. 6685, cit., ed altre ivi richiamate).
Tale configurazione rileva anche, per quanto ora interessa, con riguardo all’illecito omissivo, suscettibile di essere interrotto in ogni momento con l’adempimento dovuto. Invero, qui – in assenza di “nuove” frazioni di danno – anche il diritto al risarcimento permane identico “in modo costante”, finchè l’originario pregiudizio non si esaurisca con la cessazione della condotta illecita.
Ne segue che la prescrizione del diritto non corre, se perdura la situazione illecita, perchè tale condotta viene eliminata soltanto mediante il compimento dell’attività doverosa: finchè la situazione di inerzia non viene rimossa, l’illecito resta attuale ed eguale a sè stesso nel tempo e, dunque, il diritto – nella specie, ad esigere il pagamento della sanzione – non inizia a prescriversi fino a quando resta l’omissione.
7.2. – Nella specie, nessun argomento ha addotto il ricorrente a supporto della applicabilità nella vicenda del diverso criterio di computo della prescrizione de die in diem.
L’inadempimento all’obbligo di notificare il trattamento al Garante per la protezione dei dati personali, agli effetti del D.Lgs. n. 196 del 2003, art. 37, vigente all’epoca dei fatti, per i dati di cui il titolare intendesse effettuare il trattamento, era attività obbligatoria – in tesi ed ove ricadente nella fattispecie della lett. d) – da porre in essere bensì prima di iniziare il trattamento stesso la prima volta, ma che avrebbe potuto essere posta in essere anche in seguito, onde la condotta omissiva iniziale era suscettibile di essere cessata in ogni momento e la sua conseguente riconduzione all’illecito permanente, secondo i principî ora ricordati.
A fronte dell’unitarietà dell’infrazione accertata e della presenza di un illecito permanente, che non si esaurisce in un lasso di tempo definito, la prescrizione sarebbe iniziata dunque a decorrere con la cessazione dell’infrazione complessivamente considerata.
Ne deriva che il motivo non può trovare accoglimento.
8. – Il terzo motivo, nel suo nucleo fondamentale, si duole della mancata applicazione della disposizione di cui al D.Lgs. n. 196 del 2003, art. 24, comma 1, lett. a), in vigore all’epoca dei fatti, con riguardo alla sanzione inflitta all’Istituto, per non avere questo informato gli interessati (art. 13) e richiesto l’autorizzazione al Garante (art. 20) circa il trattamento dei dati.
Il Tribunale ha ritenuto che il trattamento de quo non potesse essere sussunto nella fattispecie del D.Lgs. n. 196 del 2003, art. 24, costituendo quella svolta, nella specie, dall’Istituto un’attività che “non risulta dovuta per legge o necessitata” nè “indispensabile” alla realizzazione degli scopi dell’ente.
Tale assunto non può essere condiviso; pur dovendosi subito sgombrare il campo dalla censura di motivazione assente od apparente, che è infondata, avendo il tribunale motivato il suo convincimento.
8.1. – L’indagine, pertanto, attiene alla corretta interpretazione della disposizione di cui al D.Lgs. n. 196 del 2003, art. 24.
Prevedeva il D.Lgs. n. 196 del 2003, art. 24 (sino alla sua abrogazione, avvenuta ad opera del D.Lgs. n. 10 agosto 2018, n. 101, art. 27, comma 1, lett. a, n. 2,) gli specifici “casi nei quali può essere effettuato il trattamento senza consenso”.
Fra di essi, l’art. 24, comma 1, lett. a) si riferiva al caso in cui il trattamento “è necessario per adempiere ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria”.
Deve anche ricordarsi l’art. 13, il quale recitava, al comma 5, lett. a), che l’informativa non si rende necessaria se i dati sono trattati in base ad un obbligo previsto dalla legge.
L’I.N.P.S. somministra prestazioni rientranti nel genus delle prestazioni assistenziali e previdenziali, onde occorre evidenziare – accanto alle già menzionate disposizioni – altresì l’art. 26, comma 4, dove ribadisce che è superfluo il consenso del titolare dei dati sensibili quando il trattamento “è necessario per adempiere a specifici obblighi o compiti previsti dalla legge (…) in materia di (…) di previdenza e assistenza”; l’art. 68, comma 1, che qualifica come “di rilevante interesse pubblico”, ai fini della liceità del trattamento dei dati sensibili da parte della p.a. in assenza di consenso del titolare, “le finalità di applicazione della disciplina in materia di concessione, liquidazione, modifica e revoca di benefici economici, agevolazioni, elargizioni, altri emolumenti e abilitazioni”; l’art. 73, comma 1, secondo cui “si considerano di rilevante interesse pubblico (…) le finalità socio-assistenziali”.
Tali disposizioni derivano dalla direttiva 95/46/Ce, che all’art. 7 già prevedeva: “Gli Stati membri dispongono che il trattamento di dati personali può essere effettuato soltanto quando: a) la persona interessata ha manifestato il proprio consenso in maniera inequivocabile, oppure (…) c) è necessario per adempiere un obbligo legale al quale è soggetto il responsabile del trattamento, oppure (…) e) è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il responsabile del trattamento o il terzo a cui vengono comunicati i dati, oppure f) è necessario per il perseguimento dell’interesse legittimo del responsabile del trattamento oppure del o dei terzi cui vengono comunicati i dati, a condizione che non prevalgano l’interesse o i diritti e le libertà fondamentali della persona interessata, che richiedono tutela ai sensi dell’art. 1, paragrafo 1”.
L’art. 13, paragrafo 1, della direttiva 95/46/Ce disponeva quanto segue: “Gli Stati membri possono adottare disposizioni legislative intese a limitare la portata degli obblighi e dei diritti previsti dalle disposizioni dell’art. 6, paragrafo 1, dell’art. 10, dell’art. 11, paragrafo 1 e degli artt. 12 e 21, qualora tale restrizione costituisca una misura necessaria alla salvaguardia: (…) c) della pubblica sicurezza; d) della prevenzione, della ricerca, dell’accertamento e del perseguimento di infrazioni penali o di violazioni della deontologia delle professioni regolamentate; e) di un rilevante interesse economico o finanziario di uno Stato membro o dell’Unione Europea, anche in materia monetaria, di bilancio e tributaria; f) di un compito di controllo, ispezione o disciplina connesso, anche occasionalmente, con l’esercizio dei pubblici poteri nei casi di cui alle lettere c), d) ed e); (…)”.
8.2. – In tale quadro normativo, deve ritenersi che l’attività espletata nel caso di specie dal ricorrente fosse un’attività ampiamente “scriminata” dalle menzionate disposizioni, ed in particolare dal D.Lgs. n. 196 del 2003, art. 24, che, con il suo dettato generale, le riassume.
Ciò in relazione ai compiti istituzionali dell’I.N.P.S., fondati direttamente sulla legge, che ad esso li assegna quale ubi consistam, tali da rendere non necessario il consenso da parte degli interessati (i quali, si noti, inviano volontariamente i certificati medici ai fini di fondare le rispettive domande previdenziali) o la richiesta di autorizzazione, con riguardo alla procedura informatica de qua. Sono, invero, le norme invocate dal ricorrente (l. n. 638 del 1983, artt. 5, comma 10, D.Lgs. n. 75 del 2017, 18 e 22, e la complessa legislazione in materia) a legittimare il trattamento dei dati, nell’espletamento dei compiti e doveri pubblicistici dell’I.N.P.S. Per comprendere, poi, se sia davvero sostenibile la tesi, secondo cui l’attività di raccolta e trattamento dei dati, posta in essere dall’Istituto con il software sanzionato, non sia “necessitata” ed “indispensabile”, occorre partire da uno sguardo sui compiti ed i modi di operare della pubblica amministrazione nell’era digitale.
8.3. – In generale, questa Corte (Cass. 20 maggio 2015, n. 10280) ha già rilevato che il diritto ad esigere una corretta gestione dei propri dati personali, pur se rientrante nei diritti fondamentali di cui alla Cost., art. 2, non è un “tiranno” o un “totem”, al quale debbano sempre sacrificarsi altri diritti altrettanto rilevanti sul piano costituzionale: al contrario, le regole sulla tutela dei dati sensibili vanno coordinate e bilanciate con le disposizioni costituzionali che tutelano altri e prevalenti diritti, per quanto ora rileva l’interesse pubblico alla celerità, tra Spa renza ed efficacia dell’attività amministrativa. Onde stabilire se un soggetto abbia violato le regole legali sulla gestione dei dati altrui impone di interpretare queste ultime, bilanciando gli interessi da esse tutelati con gli altri interessi costituzionalmente protetti, potenzialmente in conflitto.
La conclusione è imposta non solo nel diritto interno, ma anche dal diritto Eurounitario, il quale non ha mai posto un divieto assoluto all’uso dei dati anche sensibili, ma, al contrario, l’ha consentito espressamente per l’adempimento di obblighi contrattuali o scaturenti dalla legge, e comunque per finalità di interesse pubblico (cfr. considerando n. 30 dir. 95/46/Ce, e art. 13 della stessa).
Nell’interpretazione di tali principî, la Corte di giustizia dell’Unione Europea ha ripetutamente affermato che la deroga al divieto di trattamento di dati personali senza il consenso dell’interessato è legittima, se finalizzata a perseguire interessi pubblici “proporzionati” e “necessari” rispetto al sacrificio imposto al diritto alla riservatezza, e che tale conclusione è coerente sia con la direttiva 95/46/Ce, sia con l’art. 8, comma 2, Cedu, che prevede come i diritti dei singoli (alla riservatezza) posano essere sacrificati a fronte degli interessi “al benessere economico del paese, alla difesa dell’ordine e alla prevenzione dei reati, alla protezione della salute o della morale, o alla protezione dei diritti e delle libertà altrui” (e multis, in tal senso, Corte giust. Ue 20 maggio 2003, C-465/00, Rechnungshof).
In tale prospettiva, l’adempimento degli obblighi di legge da parte della pubblica amministrazione è un interesse positivizzato come prevalente.
8.4. – Nelle attività di trattamento dei dati personali, possono essere individuate due differenti tipologie di processi decisionali automatizzati: quelli che contemplano un coinvolgimento umano e quelli che, al contrario, affidano al solo algoritmo l’intero procedimento.
Al riguardo, il regolamento Europeo in materia n. 2016/679 ha integrato la disciplina già contenuta nella direttiva 95/46/Ce.
Il regolamento non è applicabile alla presente vicenda concreta; ma in questa non è contestato che l’apporto umano fosse sempre presente, da parte dei medici dell’Istituto, chiamati ad utilizzare il sistema che, come detto, si inquadra perfettamente nel novero delle tecniche all’epoca ammesse e richieste secondo il buon andamento della p.a..
Nella specie, infatti, non si trattava di un trattamento “unicamente” automatizzato, in quanto gli operatori effettuavano le ulteriori verifiche, secondo parametri suggeriti dal sistema.
8.5. – Più in dettaglio, circa l’esigenza di ricorrere ai sistemi informatici di ausilio interno ai propri compiti istituzionali, deve evidenziarsi che essa si è imposta prepotentemente anche nel nostro ordinamento.
Come rileva nelle sue conclusioni l’Avvocato generale in data 27 gennaio 2022 (nella causa conclusa dalla sentenza della Corte di giustizia dell’Unione Europea, Grande Sezione, del 21 giugno 2022, C-817/19, Ligue des droits humains c. Conseil des ministres, relativa a questioni interpretative del regolamento n. 679 del 2016 in relazione alla dir. 2016/681/Ue sull’uso dei dati del codice di prenotazione, o PNR, ed alla dir. 2004/82/Ce sull’obbligo dei vettori di comunicare i dati relativi alle persone trasportate), si tratta di “uno dei principali dilemmi del costituzionalismo liberale democratico contemporaneo: come debba essere definito l’equilibrio fra l’individuo e la collettività nell’era dei dati”, in cui le tecnologie digitali hanno consentito di gestire “enormi masse di dati personali a fini predittivi”.
Ivi si osserva come “Gli algoritmi, l’analisi dei big data e l’intelligenza artificiale utilizzati dalle autorità pubbliche possono servire a promuovere e a proteggere gli interessi fondamentali della società, con un’efficacia in precedenza inimmaginabile: dalla protezione della sanità pubblica alla sostenibilità ambientale, dalla lotta contro il terrorismo alla prevenzione dei reati, in particolare dei reati gravi”: e, pur constatando che il costituzionalismo Europeo, nazionale e sovranazionale, “assegna un posto centrale all’individuo e alle sue libertà”, tuttavia occorre porsi “la questione della misura in cui tale barriera possa essere eretta senza arrecare un grave pregiudizio a taluni interessi fondamentali della società”.
In tale contesto, la giurisprudenza amministrativa ha ritenuto lecito l’utilizzo, nei procedimenti amministrativi, di una procedura informatica che, attraverso un algoritmo, conduca direttamente alla decisione finale, anche nell’attività amministrativa connotata da ambiti di discrezionalità, a date condizioni (Cons. Stato, sez. VI, 13 dicembre 2019, n. 8472; Cons. Stato, sez. VI, 8 aprile 2019, n. 2270). In tal modo, si è avallata la regola dell’uso dell’algoritmo nel procedimento amministrativo.
Sono principî destinati ad una applicazione generale.
La c.d. amministrazione digitale ha visto l’adozione di un codice, con le riforme della p.a. di cui al D.Lgs. 7 marzo 2005, n. 82, poi integrato con il D.Lgs. n. 22 agosto 2016, n. 179 e con il D.Lgs. n. 13 dicembre 2017, n. 217, seguendo le sollecitazioni anche dell’ordinamento Eurounitario.
Per realizzare i fini di cui alla Cost., art. 97 si esige dunque l’utilizzo delle procedure informatiche, idonee ad incrementare i “beni” della celerità, efficienza, tra Spa renza, imparzialità e neutralità della p.a., dunque il “buon andamento”. La pubblica amministrazione deve poter sfruttare le rilevanti potenzialità della c.d. rivoluzione digitale: anzi, “(i)n molti campi gli algoritmi promettono di diventare lo strumento attraverso il quale correggere le storture e le imperfezioni che caratterizzano tipicamente i processi cognitivi e le scelte compiute dagli esseri umani” (Cons. Stato 13 dicembre 2019, n. 8472, cit.).
Certamente, l’impiego di tali strumenti comporta scelte non neutrali, ricollegate all’adozione di modelli predittivi e di criteri in base ai quali i dati sono raccolti, organizzati ed interpretati: ma non è questo il profilo contestato nel presente giudizio.
Il punto è che un più elevato livello di digitalizzazione dell’amministrazione pubblica costituisce strumento fondamentale per migliorare la qualità dei servizi resi ed espletati, proprio nell’àmbito delle procedure seriali, implicanti l’elaborazione di ingenti quantità di istanze, dove emerge, con tutta la sua forza, l’utilità di tale modalità operativa di gestione dei pubblici interessi.
In tal modo, si permette la gestione di dati certi e si riduce, altresì, un non desiderabile apprezzamento discrezionale: “La piena ammissibilità di tali strumenti risponde ai canoni di efficienza ed economicità dell’azione amministrativa (l. 241/90, art. 1), i quali, secondo il principio costituzionale di buon andamento dell’azione amministrativa (art. 97 Cost.), impongono all’amministrazione il conseguimento dei propri fini con il minor dispendio di mezzi e risorse e attraverso lo snellimento e l’accelerazione dell’iter procedimentale” (Cons. Stato 13 dicembre 2019, n. 8472, cit.).
In un precedente della Corte, si trattava di valutare il consenso alla creazione e gestione di una banca dati, e da parte di soggetto privato (Cass. 25 maggio 2021, n. 14381), dunque fattispecie affatto diversa; in altra vicenda, attinente alla diffusione via internet presso destinatari indeterminati dei dati dei contribuenti, il trattamento è stato ritenuto non scriminato dal D.Lgs. n. 196 del 2003, art. 24, rilevandosi che pubblicazione on line su tutto il territorio nazionale degli elenchi recanti i nominativi dei contribuenti che avevano presentato le dichiarazioni relative all’imposta sui redditi ed all’i.v.a. non era permesso (Cass. 11 giugno 2018, n. 15075), ma ciò per il fatto essenziale che si trattava di elenchi estesi on line a chiunque, senza il rispetto degli stringenti limiti territoriali e temporali positivi. Dunque, la vicenda conferma semmai la soluzione assunta nel presente caso.
Nel quale, in conclusione, il ricorso all’algoritmo va correttamente inquadrato in termini di modulo organizzativo, interamente svolto all’epoca in forza della legislazione attributiva del potere e delle finalità assegnate all’organo pubblico titolare del potere.
9. – Il quarto motivo lamenta che, nel disporre la sanzione per violazione del D.Lgs. n. 196 del 2003, art. 37, comma 1, lett. d), non sia stato considerato come fossero insussistenti gli elementi costitutivi della fattispecie della c.d. profilazione.
Il Tribunale ha ritenuto di inquadrare l’attività svolta dall’Istituto, più volte menzionata, nella nozione giuridica di profilazione, ai sensi del D.Lgs. n. 196 del 2003, art. 37, comma 1, lett. d).
Tale assunto non può essere condiviso.
9.1. – In punto di fatto, costituisce circostanza dedotta dalle parti come incontestata che la procedura “(Omissis)” permettesse di assegnare ad domanda di prestazione previdenziale da malattia un indice, a seconda di alcuni elementi prestabiliti: quali il settore produttivo, la sede del richiedente, la dimensione dell’azienda, il rapporto di lavoro part-time, il rapporto a tempo determinato, l’età, il genere, la qualifica, la retribuzione, la lunghezza dell’assenza per malattia (prognosi), la quantità dei certificati presentati, etc. In tal modo, alle domande di prestazione veniva associato un indice relativo alle probabilità di “insussistenza della malattia”, “decorso prognostico più favorevole rispetto al dichiarato” e “possibilità di verificare la conclusione della malattia indennizzabile”, in modo da costituire un ausilio al personale medico, in vista della programmazione ed effettuazione delle visite di controllo, consentendo di concentrarle laddove fosse più ragionevole ipotizzare che il certificato medico riportasse una prognosi più lunga di quanto necessario.
E’ altrettanto acclarato che non venivano predisposte categorie di profili entro cui inquadrare i singoli lavoratori, ma che semplicemente veniva assegnato un dato indice, giorno per giorno, alle domande di prestazione previdenziale; quindi, con tale sistema, ben accadeva che più domande, presentate dal medesimo lavoratore, avessero indici diversi: a conferma che non i lavoratori, ma le domande di prestazione previdenziale erano l’oggetto dell’indagine.
Sulla base di tali dati, il medico designato decideva, quindi, quali visite di controllo effettuare.
9.2. – Giova premettere che l’atteggiarsi delle circostanze fattuali della vicenda concreta attiene al compito del giudice del merito ed all’accertamento al medesimo riservato; mentre appartiene al giudizio di diritto se un certo comportamento, suscettibile di essere riprodotto in una serie indefinita di casi, integri – per quanto ora interessa – la fattispecie della profilazione, ai fini delle regole sul trattamento dei dati personali: invero, il giudizio se una data vicenda concreta – la cui esistenza è rimessa in via esclusiva al giudice del merito – vada sussunta sotto l’astratto paradigma legislativo è giudizio di diritto, controllabile ai sensi dell’art. 360 c.p.c., comma 1, n. 3 (e multis, Cass. 12 luglio 2019, n. 18770, in motiv.) Orbene, la descritta attività non costituiva c.d. profilazione, secondo la nozione conosciuta dall’ordinamento giuridico, all’epoca dei fatti per cui è causa.
9.3. – Il diritto positivo indica come tale una peculiare attività.
L’art. 4, comma 1, n. 4, del regolamento n. 679 del 2016 definisce la “profilazione” come “qualsiasi forma di trattamento automatizzato di dati personali consistente nell’utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l’affidabilità, il comportamento, l’ubicazione o gli spostamenti di detta persona fisica”.
La nozione è uguale a quella contenuta nell’art. 3, punto 4, della direttiva 2016/680/Ue del 27 aprile 2016, c.d. “direttiva polizia”, e del D.Lgs. n. 18 maggio 2018, n. 51, art. 2, lett. e), che l’ha recepita; nonchè nel punto 1, lett. c), dell’allegato alla raccomandazione CM/Rec (2021)8, del 3 novembre 2021, del Comitato dei Ministri del Consiglio d’Europa sulla protezione delle persone rispetto al trattamento automatizzato di dati personali nel contesto delle attività di profilazione. Ai sensi del punto 1.1, lett. d), dell’allegato alla raccomandazione del 2021 sulla profilazione, ora menzionata, il termine “profilo” indica “un insieme di dati attribuito ad una persona, che caratterizza una categoria di persone o che è destinato ad essere applicato ad una persona”.
L’art. 22 reg. n. 679 del 2016 contiene alcune regole sulla profilazione, ma l’art. 23 ha cura di precisare che si può limitare, mediante misure legislative, la portata di quegli obblighi, se la misura sia “necessaria e proporzionata in una società democratica per salvaguardare: (…) d) la prevenzione, l’indagine, l’accertamento e il perseguimento di reati o l’esecuzione di sanzioni penali, incluse la salvaguardia contro e la prevenzione di minacce alla sicurezza pubblica; e) altri importanti obiettivi di interesse pubblico generale dell’Unione o di uno Stato membro, in particolare un rilevante interesse economico o finanziario dell’Unione o di uno Stato membro, anche in materia monetaria, di bilancio e tributaria, di sanità pubblica e sicurezza sociale; (…) h) una funzione di controllo, d’ispezione o di regolamentazione connessa, anche occasionalmente, all’esercizio di pubblici poteri nei casi di cui alle lettere da a), a e) e g)”.
Secondo il considerando n. 71, il soggetto deve avere il diritto di non essere sottoposto a una decisione, la quale possa includere una misura “che valuti aspetti personali che lo riguardano, che sia basata unicamente su un trattamento automatizzato (…) senza interventi umani”.
Non senza aggiungere che “Tuttavia, è opportuno che sia consentito adottare decisioni sulla base di tale trattamento, compresa la profilazione, se ciò è espressamente previsto dal diritto dell’Unione o degli Stati membri cui è soggetto il titolare del trattamento, anche a fini di monitoraggio e prevenzione delle frodi…”.
Naturalmente si ritiene, nel medesimo considerando, “opportuno che il titolare del trattamento utilizzi procedure matematiche o statistiche appropriate per la profilazione, metta in atto misure tecniche e organizzative adeguate al fine di garantire, in particolare, che siano rettificati i fattori che comportano inesattezze dei dati e sia minimizzato il rischio di errori e al fine di garantire la sicurezza dei dati personali…”.
Orbene, tale disciplina è successiva ai fatti di causa.
Nel caso in esame, pertanto, si applicano, invece: il D.Lgs. n. 196 del 2003, art. 14, derivante dall’art. 15 dir. 95-46, e rubricato “Definizione di profili e della personalità dell’interessato”, secondo cui “Nessun atto o provvedimento giudiziario o amministrativo che implichi una valutazione del comportamento umano può essere fondato unicamente su un trattamento automatizzato di dati personali volto a definire il profilo o la personalità dell’interessato”; e il D.Lgs. n. 196 del 2003, art. 37, dove si parla, alla lett. d), di “dati trattati con l’ausilio di strumenti elettronici volti a definire il profilo o la personalità dell’interessato, o ad analizzare abitudini o scelte di consumo, ovvero a monitorare l’utilizzo di servizi di comunicazione elettronica”.
In sostanza, dunque, emerge chiara la nozione, utilizzabile anche per i fatti anteriori al nuovo regolamento, quale tecnica di trattamento automatico dei dati, che applica un profilo – ossia una categoria generale ben delineata – ad una persona fisica determinata, con lo scopo di schedarne le preferenze, le scelte di consumo, ecc. Ne deriva che la profilazione esige: i) in premessa, un’attività di preparazione e predeterminazione di profili e di categorie, tali che vengano individuate delle caratteristiche comuni di persone fisiche per ciascuna di esse; ii) in via esecutiva, la successiva applicazione di un “profilo”, così disegnato, ad una persona fisica.
Solo accertata l’esistenza di una profilazione, sarà poi d’uopo valutare se sia ammessa, secondo le regole ricordate; che, si ricorda, sono mutate dopo il regolamento del 2016, attuato con il D.Lgs. n. 101 del 2018, il quale – a differenza del regime anteriore – ha inteso prevedere la necessità di un esplicito enunciato normativo per la profilazione, che ne disciplini le modalità.
9.4. – Nel caso di specie, il sistema “(Omissis)” attribuiva al certificato medico, riferito al lavoratore, un cosiddetto score di probabilità, ma senza affatto che ad ogni singolo lavoratore fosse stata attribuita una data categoria: infatti, non vi erano dei “profili”, tali da caratterizzare una categoria di persone o da applicare ad una data persona.
Invero, l’attività non si è risolta nel comportare che, ad esempio, un dato lavoratore, in ipotesi individuato dal sistema come disonesto, subisse sempre le visite di controllo, una volta emerso essere soggetto a rischio: al contrario, non è quanto avveniva, come è incontestato, nel caso concreto, dove ogni domanda di prestazione riceveva una valutazione del tutto svincolata dalle precedenti, nè i lavoratori erano inquadrai in categorie profilate; e neppure era valutata in alcun modo la personalità dei singoli lavoratori, ma solo elementi afferenti le certificazioni mediche inviate.
Dunque, l’attività non si inquadra nel D.Lgs. n. 196 del 2003, art. 37; e neppure si trattava di un “provvedimento (…) amministrativo che implichi una valutazione del comportamento umano (…) fondato unicamente su un trattamento automatizzato di dati personali volto a definire il profilo o la personalità dell’interessato”, secondo il D.Lgs. n. 196 del 2003, art. 14.
Sulla base di quanto esposto, dunque, ne deriva che non era illecita la condotta descritta tenuta dall’Istituto, nello svolgimento dei propri compiti, anche mediante il ricorso al sistema informatico in questione, rientrante nel novero delle condotte ammesse al fine dell’adempimento delle pubbliche funzioni ad esso affidate.
10. – Il quinto motivo, con il quale si lamenta la mancata applicazione della sanzione in misura ridotta, resta assorbito.
11. – In conclusione, accolti il terzo ed il quarto motivo, la sentenza impugnata va cassata e, non essendo necessari accertamenti di fatto, la causa va decisa nel merito, onde il collegio accoglie l’opposizione e, per l’effetto, annulla l’ordinanza- ingiunzione.
12. – Le spese dell’intero giudizio vengono compensate, per la novità delle questioni implicate.
La Corte accoglie il terzo e il quarto motivo di ricorso, respinti il primo ed il secondo, assorbito il quinto; cassa la sentenza impugnata in relazione ai motivi accolti, e, decidendo la causa nel merito, accoglie l’opposizione e annulla, per l’effetto, l’ordinanza-ingiunzione. Compensa tra le parti le spese dell’intero giudizio.
- PERSONALITA' (DIRITTI DELLA) - RISERVATEZZA - IN GENERE I.N.P.S. - Trattamento dei dati contenuti nel certificato medico inviato dal dipendente per la liquidazione dell’indennità di malattia - Attività di controllo prevista dalla legge - Utilizzazione a fini antifrode del software “data mining Savio” - Previa acquisizione del consenso dell’interessato - Informativa - Necessità - Esclusione..
- Decreto Legisl. 30/06/2003 num. 196 art. 13, Decreto Legisl. 30/06/2003 num. 196 art. 20, Decreto Legisl. 30/06/2003 num. 196 art. 22, Decreto Legisl. 30/06/2003 num. 196 art. 24, Decreto Legisl. 30/06/2003 num. 196 art. 161, Decreto Legisl. 30/06/2003 num. 196 art. 162, Decreto Legisl. 25/05/2017 num. 75 art. 18, Decreto Legisl. 25/05/2017 num. 75 art. 22.
- CED Cassazione
Mi auguro che questo post ti sia utile e ti ricordo che ogni articolo – grazie anche alla collaborazione dei lettori – viene costantemente aggiornato e approfondito nel tempo al fine di offrire una guida quanto più completa ed esaustiva possibile.
La tua opinione conta. Miglioriamo insieme il Progetto.
Hai opinioni, pareri, correzioni da condividere su questo argomento?
Faccelo sapere! Il nostro obiettivo è offrire i migliori contenuti possibili.
Apprezziamo qualsiasi feedback ben argomentato.
