Fascicolo sanitario elettronico e data breach: titolare del trattamento è chi determina finalità e mezzi (la Regione/Provincia), non chi tratta materialmente i dati (Cass. civ. n. 27558/2025)
Corte Suprema di Cassazione, Prima Sezione Civile, ordinanza n. 27558/2025, pubblicata il 15 ottobre 2025 (camera di consiglio dell’11 settembre 2025), R.G.N. 20281/2024. Presidente Laura Tricomi, Relatrice Rita Elvira A. Russo.
Il principio di diritto
In materia di protezione dei dati personali, titolare del trattamento (art. 4, n. 7, Reg. UE 2016/679) è il soggetto che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento, e non il soggetto che materialmente tratta i dati per conto del titolare (responsabile); l’esternalizzazione a un responsabile di compiti tecnici non fa venir meno la qualità di titolare in capo a chi conserva il potere decisionale. In tema di Fascicolo Sanitario Elettronico (art. 12 d.l. n. 179 del 2012), la titolarità dei trattamenti connessi all’identificazione, all’autenticazione informatica e all’accesso ai dati spetta alla Regione o Provincia autonoma che istituisce il FSE, ben potendo coesistere più titolari.
Il fatto
A seguito di un data breach del Fascicolo Sanitario Elettronico – un accesso non autorizzato ai documenti sanitari di alcuni assistiti, reso possibile da una vulnerabilità del software -, il Garante per la protezione dei dati personali aveva sanzionato la Provincia autonoma di Bolzano quale titolare del trattamento. Il Tribunale di Bolzano aveva accolto l’opposizione, ritenendo titolare l’Azienda sanitaria e non la Provincia. Il Garante ricorre per cassazione con un unico motivo.
La motivazione
La Corte ha accolto il ricorso. Il Tribunale non aveva applicato correttamente l’art. 4 del GDPR: aveva confuso il titolare con il responsabile del trattamento, non aveva considerato che la normativa di settore (d.l. n. 179 del 2012 e d.P.C.M. n. 178 del 2015) attribuisce alla Regione o Provincia autonoma la titolarità dei trattamenti connessi all’accesso al Fascicolo, e aveva valorizzato atti interni – il piano di progetto e l’atto di nomina del responsabile – senza chiarirne natura e funzione rispetto alle norme di legge. La Corte ha inoltre precisato che non è contraddittorio individuare più titolari, potendo essere più soggetti a determinare finalità e mezzi del trattamento.
Esito: la Corte accoglie il ricorso, cassa la sentenza impugnata e rinvia al Tribunale di Bolzano, in composizione monocratica con diverso magistrato.
Implicazioni pratiche
La pronuncia offre un criterio operativo di rilievo generale: la titolarità del trattamento si determina in base a chi decide finalità e mezzi, non a chi materialmente gestisce i dati o fornisce il software. Nel Fascicolo Sanitario Elettronico è la Regione o Provincia autonoma a essere titolare dei trattamenti di accesso, sicché la responsabilità per un data breach connesso all’autenticazione segue tale titolarità, e può investire più soggetti.