La newsletter del 24 gennaio 2024 dell’autorità di controllo italiana sulla protezione dei dati reca la notizia di tre provvedimenti con connesse ordinanze sanzionatorie contro altrettante ASL del Friuli.

Il merito delle contestazioni è identico e riguarda un trattamento di stratificazione statistica di un set di pazienti per l’individuazione di indici di alto rischio di complicanze per infezioni da Covid-19, da sottoporre a piani di medicina d’iniziativa.

Il progetto è stato oggetto di delibera della Giunta della Regione Friuli-Venezia Giulia nonché dell’intesa tra la stessa Regione e le organizzazioni sindacali dei medici di medicina generale (MMG).

Provvedimenti del Garante contro le ASL

I provvedimenti di natura correttiva e sanzionatoria dell’autorità di controllo contro le ASL del Friuli sono tutti stati emessi il 15 dicembre 2022, nello specifico:

• Provvedimento n. 415 nei confronti dell’Azienda Universitaria Friuli Occidentale ( web n. 9844989)
• Provvedimento n. 416 nei confronti dell’Azienda Sanitaria Friuli Centrale ( web n. 9845156)
• Provvedimento n. 417 nei confronti dell’Azienda Universitaria Giuliano Isontina ( web n. 9845312).

Decisioni di impugnazione del giudice ordinario

Tutti e tre questi provvedimenti sono tornati di attualità in quanto, nel giudizio di impugnazione promosso dinanzi al giudice ordinario:

• due di essi (n. 415 e n. 416) sono stati annullati, rispettivamente dal Tribunale di Pordenone e dal Tribunale di Udine, in quanto i motivi del ricorso sono stati ritenuti fondati
• entrambe le decisioni hanno anche imposto al Garante la pubblicazione del provvedimento giudiziario sul sito web istituzionale dell’autorità (da cui, l’evidenza nella newsletter di gennaio 2024)
• il terzo provvedimento dell’autorità (n. 417) è in attesa di decisione da parte del Tribunale di Trieste, ma lo stesso giudice ha disposto in via cautelare la sospensione dell’efficacia esecutiva del provvedimento.

Impugnazione dei provvedimenti dell’autorità

L’articolo 152 del codice privacy, che regola la tutela giurisdizionale per le questioni sulla protezione dei dati personali, è rimasto sostanzialmente invariato a seguito della riforma post-GDPR.

L’attuale versione dà attuazione al diritto di chiunque «di proporre un ricorso giurisdizionale effettivo avverso una decisione giuridicamente vincolante dell’autorità di controllo che la riguarda», sancito dall’articolo 78 del GDPR.

Il ricorso «è proposto, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento ovvero entro sessanta giorni se il ricorrente risiede all’estero» (art. 10.3, Dlgs. n. 150/2011).

Pubblicazione e rettifica

L’articolo 10 del decreto legislativo n. 150/2011 – che disciplina le controversie dinanzi all’autorità giudiziaria ordinaria in materia di protezione dei dati personali ai sensi dell’art. 152 del codice privacy – oltre a stabilire che il rito da applicarsi è quello del lavoro e che la decisione del giudice è inappellabile, prevede altresì che la stessa sentenza possa prescrivere anche il risarcimento del danno.

In base alla norma richiamata, per entrambi i contenziosi pervenuti a decisione, i ricorrenti avevano chiesto come forma di risarcimento in forma specifica che fosse ordinato al Garante la «pubblicazione della sentenza in forma integrale (dispositivo e motivazione), (a cura e spese dell’autorità), mediante comunicazione sul proprio sito web istituzionale».

Avendo i due Tribunali accolto la richiesta e in ottemperanza al dispositivo, il Garante ha provveduto sia dandone conto nella newsletter dell’autorità sia apportando un’annotazione sulla testata dei due provvedimenti pubblicati sul proprio sito web istituzionale, con link di collegamento alla copia delle pertinenti sentenze.

Provvedimenti cautelari

Nelle tre casistiche richiamate, i ricorrenti avevano in precedenza richiesto l’adozione di un provvedimento cautelare di sospensione dell’efficacia esecutiva dell’ordinanza impugnata.

La richiesta ha avuto differente esito nei tre casi:

• il Tribunale di Pordenone, riguardo all’ordinanza n. 415, l’ha respinta;
• il giudice di Udine – con riferimento all’ordinanza n. 416 – l’ha accolta, sospendendo l’efficacia esecutiva con proprio decreto;
• il Tribunale di Trieste l’ha concessa nei riguardi dell’ordinanza n. 417 (v. annotazione riportata in web n. 9845312).

Continua…