Il diritto all’oblio non è un diritto assoluto, in quanto è soggetto a limitazioni derivanti dal bilanciamento con altri diritti. In particolare esso spesso viene a porsi in contrasto con il diritto di cronaca e la libertà di informazione sanciti dall’art. 21 della Costituzione e dalle altre carte sovranazionali e internazionali che tutelano i diritti fondamentali.

Pur non esistendo una definizione univoca del diritto all'oblio, nell'ambito del trattamento di dati personali con finalità giornalistiche o per altre attività di informazione (si pensi ad esempio ad un blog) esso può essere definito come la  facoltà dell’interessato di chiedere al titolare di una testata giornalistica, di un blog o di un motore di ricerca la cessazione del trattamento dei propri dati personali, utilizzati per finalità di informazione, mediante la cancellazione o la deindicizzazione (nel caso dei motori di ricerca), di una notizia non più attuale ovvero nel caso in cui non vi sia più un interesse generale alla sua conoscibilità.

Il provvedimento 187/16 del Garante per la privacy ha chiarito il concetto di  attualità della notizia, collegandolo alla possibilità di attualizzazione di un fatto risalente grazie alla sua connessione con una notizia recente. Tale tema era già stato oggetto della sentenza della Cassazione  n. 16111/13. I due citati provvedimenti costituiscono insieme un

Il 9 gennaio 2017, la Corte di Cassazione si è pronunciata sul ricorso proposto dal Garante per la protezione dei dati personali avverso la sentenza del Tribunale di Ravenna che ha annullato l’ordinanza di ingiunzione emessa dall’Autorità nei confronti di un organismo sanitario (Cass., Sez. II, n. 188/2017).

Nel caso in esame, la Medicol S.r.l. non notificava all’Autorità Garante (secondo quanto prescritto dall’art. 37 comma 1 lett. b del D.Lgs. 196/2003) il trattamento di informazioni personali confluiti nelle proprie banche dati che rilevavano, in via accessoria, la sussistenza di malattie mentali, infettive e diffusive.

Il Garante, pertanto, emetteva ordinanza di ingiunzione alla Medicol S.r.l. per il pagamento della somma di € 40.000 a titolo di sanzione amministrativa, ex art. 163 D.Lgs. 196, per omessa notificazione del trattamento dei dati sensibili.

La Medicol S.r.l. ricorreva al Tribunale di Ravenna, proponendo opposizione, ai sensi degli artt. 152 D.Lgs. n. 196/2003 e 10 D.Lgs. n. 150/2011, avverso la predetta ordinanza che il Giudice annullava con sentenza n. 214/2012 sulla base di due presupposti: (1) non sarebbero dovute notifiche per trattamenti dei dati non presenti nell’elencazione precisa fornita dalla legge, poiché l’art. 37 del detto decreto stabilirebbe un obbligo di notificazione in modo puntuale; (2) l’attività di rilevazione dei dati in questione non soggiacerebbe invece a tale obbligo in quanto sarebbe “attività accessoria” rispetto all’obbligazione sanitaria vera e propria. Su questo ultimo aspetto, tuttavia, il Tribunale non specificava in cosa  consista “attività accessoria”.

Il Garante proponeva ricorso per Cassazione avverso la decisione del Tribunale di Ravenna, censurando, con un unico motivo, il vizio di violazione e falsa applicazione dell’art. 37, I c., lett. b), D.Lgs. 196/2003 in relazione all’art. 360, I c., n. 3, cod. proc. civ.

Preliminarmente va ricordato che, in via generale, la notificazione al Garante del trattamento dei dati personali ex art. 37 D.Lgs. 196/2003 è il mezzo per rendere note all’Autorità le caratteristiche principali del trattamento eseguito dal titolare, e per avviare quindi da parte della stessa Autorità il controllo c.d. pubblico, contrapposto al controllo c.d. privato svolto dall’interessato attraverso l’informativa ed il consenso preventivo.

L'avvio del controllo c.d. pubblico da parte dell'Autorità a seguito dell'adempimento dell'obbligo di notifica ex art. 37 D.Lgs. 196/2003 è motivato dalla particolare natura dei dati e modalità del trattamento indicate tassativamente dalla legge.

Ad una prima lettura dell’art. 37, I c., lett. b), D.Lgs. 196/2003, potrebbe sembrare che tale norma colleghi l’obbligo di notificazione al Garante in relazione alla finalità del trattamento dei dati, normativamente indicata nella “rilevazione di malattie mentali, infettive, diffusive, sieropositività” e che per “rilevazione” sembrerebbe intendersi attività di “indagine conoscitiva”, seguita dall’aggettivo “epidemiologica” o dall’aggettivo “statistica”.

Conseguentemente, solo la rilevazione finalizzata alla formazione e all’implementazione di banche dati realizzate per la raccolta e l’organizzazione di dati relativi a quelle specifiche patologie sarebbe soggetta all’obbligo della relativa notifica al Garante.

Tuttavia, nella pronuncia del 9 gennaio 2017, la Suprema Corte ha rilevato che l’obbligo di notificazione del trattamento dei dati da parte della controricorrente si evincerebbe in maniera palese da una corretta interpretazione letterale dell’art. 37 D.Lgs. 196/2003, fondata, ex art. 12 delle preleggi, sul significato proprio della parola “rilevazione”, “ossia atto (e risultato dell’atto) del rilevare”. Secondo la Cassazione, sarebbe arbitrario, infatti, leggere la parola “rilevazione” nel testo dell’art. 37 come “indagine epidemiologica” (o conoscitiva), poiché trattasi di attività distinta, dotata di finalità propria ed autonomamente idonea a far sorgere l’obbligo di notificazione al Garante.

A confermare tale assunto, secondo i giudici di legittimità, vi è anche il documento pubblicato dal Garante il 26 aprile 2004 per fornire chiarimenti sull’obbligo stabilito dall’art. 37, che precisa le notificazioni in ambito medico a seguito dell’esonero dall’obbligo per i trattamenti effettuati dagli esercenti le professioni sanitarie disposto con la delibera del 31 marzo 2004: in particolare, al suo punto 2, si legge che “per quanto riguarda poi le malattie mentali, infettive e diffusive, il trattamento da notificare è solo quello effettuato a fini di […] rilevazione […] di tali patologie. Questa circostanza ricorre nel caso di insiemi organizzati di informazioni su tali aspetti - di cui sono spesso gestori strutture, anziché persone fisiche - e non anche in caso di episodi occasionali di diagnosi e cura che riguardano un singolo professionista.”

In particolare, sulla base di quanto statuito dalla Cassazione, dal documento del Garante si evincerebbe che la nozione “insiemi organizzati di informazioni su tali aspetti” ben può riferirsi alle banche dati dei pazienti delle strutture sanitarie in cui confluiscono, con i dati idonei sanitari, anche quelli che rilevano, in via accessoria, la sussistenza di malattie mentali, infettive e diffusive.

Inoltre, il rilievo testuale che l’attività di rilevazione dei dati non soggiace all’obbligo di notificazione “in caso di episodi occasionali di diagnosi e cura che riguardano un singolo professionista”, conferma che tale obbligo ricorre, invece, nel caso “di insiemi organizzati di informazioni su tali aspetti - di cui sono spesso gestori strutture, anziché persone fisiche.”

Dunque, nel caso in esame, la Medicol S.r.l. avrebbe dovuto notificare al Garante il trattamento di quei dati confluiti nelle proprie banche dati rilevanti, seppur in via accessoria, la sussistenza di malattie mentali, infettive e diffusive.

Il merito della sentenza esaminata risiede nella controvertibilità e nel carattere innovativo della questione - basti pensare che sul punto vi è un solo precedente di legittimità (Cass. Sez. II, n. 8105/2016) ed alcuni dissonanti precedenti di merito (Trib. Ravenna, sezione distaccata di Lugo, sent. n. 214/2012; Trib. Ancona, sent. n. 1704/2010) - e nell’aver ribadito che la notificazione del trattamento ex art. 37, I c., lett. b), D.Lgs. 196/2003, debba essere eseguita anche quando la rilevazione dei dati idonei a rivelare lo stato di salute o la vita sessuale - tra cui quelli concernenti malattie mentali, infettive e diffusive - avvenga in via accessoria rispetto ad altra prestazione sanitaria.

Articolo tratto da: "Glovannina Damiani", "Obbligo di notifica del trattamento dati ex art. 37, I c., lett. b), D.Lgs. n. 196/2003 anche quando la “rilevazione” è “attività accessoria”” - sul sito Jei