Cassazione/ Trattamento dei dati personali e genetici, se cambia il titolare il consenso va sempre rinnovato

Lo scorso 7 ottobre è stata finalmente depositata in cancelleria l’ Ordinanza 27325.21 del 24 marzo 2021 della Prima Sezione Civile della Corte di Cassazione, che ha statuito in tema di informativa e consenso al trattamento dei dati personali e genetici in caso di mutamento del Titolare del trattamento dei dati personali.
L’ordinanza, adottata sulla base della disciplina previgente al Regolamento (UE) 2016/679, a seguito di ricorso proposto dal Garante Privacy, ha cassato la Sentenza n. 1569/2017 del Tribunale di Cagliari con cui la Società Tiziana Life Sciences ottenne l’annullamento del Provvedimento n.389/2016 dello stesso Garante, rinviando la causa al Tribunale.
Questi aveva disposto il blocco del trattamento dei dati e campioni biologici contenuti nella banca dati genetica relativa a circa 11.700 cittadini dell’Ogliastra acquistata dalla Società, unitamente al complesso aziendale, dal fallimento della società Shar DNA SRL, che aveva avviato un programma di ricerca sulle malattie complesse comuni nel territorio ogliastrino in considerazione della riscontrata alta omogeneità genetica degli abitanti, che poteva favorire l'identificazione dei geni associati a malattie complesse.
Il Provvedimento fu adottato in via d'urgenza, nel corso di una istruttoria preliminare e nelle more del suo completamento, anche a seguito delle segnalazioni di numerosi donatori dei campioni, allo scopo di assicurare la protezione dei dati, con particolare riferimento alla necessità che gli interessati fossero informati dell'avvenuto mutamento nella titolarità del trattamento e degli eventuali ulteriori trattamenti di dati che il nuovo titolare intendesse effettuare a scopo di ricerca scientifica in campo medico-genetico.
Con il Provvedimento fu sancito anche l'obbligo del Titolare di astenersi da ogni altro trattamento dei dati e campioni biologici ad eccezione delle operazioni necessarie a garantirne un'adeguata conservazione e di «ricontattare gli interessati, al fine di rendere loro un'idonea informativa e raccogliere una nuova manifestazione di consenso e fornire adeguato riscontro ad eventuali richieste di esercizio dei diritti privacy.
Il Tribunale di Cagliari nell’annullare il Provvedimento affermò, al contrario, che il mutamento soggettivo del titolare non comportasse la necessità della nuova informativa e della richiesta di consenso agli interessati.
La Suprema Corte nell’Ordinanza ha ritenuto fondato il motivo del ricorso del Garante Privacy, che ha sostenuto che « il consenso al trattamento dei dati personali è legato indissolubilmente all'intuitus personae» e che «il mutamento soggettivo del titolare impone la rinnovazione dell'informativa e della prestazione del consenso», ricordando che tali motivi sono corrispondenti a quanto dalla stessa già affermati nella Sentenza n.17143 del 17/08/2016, sia pure in relazione al trattamento di banche dati costituite sulla base di elenchi telefonici pubblici.
L’Ordinanza risulta di estrema attualità e di particolare interesse per fare luce sulle rigorose misure necessarie a poter avviare il trattamento dei dati genetici, visto che nel corso del procedimento Tiziana Life Sciences aveva sostenuto la necessità di procedere ad una lettura costituzionalmente orientata delle misure individuate dal Decreto Legislativo 196/03 per il trattamento dei dati personali e genetici, lamentando una eccessiva "burocratizzazione" del consenso difficilmente conciliabile con la tutela del progresso scientifico e tecnologico.
La Corte giudicante pone però l’attenzione su talune complessità riguardanti la fattispecie oggetto del Provvedimento, a partire dal trasferimento dei dati dal titolare originario ad un altro soggetto, ipotesi che, pur essendo consentita, dà luogo, secondo la Corte, alla cessazione del trattamento originario e non alla successione nello stesso, decisione che comporta, quindi, l'inizio di un distinto trattamento ad opera del nuovo titolare, tenuto così al rispetto della complessiva disciplina in tema di informativa e consenso.
Ciò in quanto nella definizione di "trattamento" di dati personali non è inclusa, tra le operazioni di trattamento, la cessione dei dati ad altro titolare, motivo per cui, ove i dati non siano stati raccolti presso l'interessato, ma acquisiti a seguito di cessione dal precedente titolare, a tutela dell'interessato, grava sul nuovo titolare l'onere di informare gli interessati e di acquisire, in forma scritta lo specifico consenso, valido solo se è espresso liberamente e specificamente in riferimento ad un trattamento chiaramente individuato, e di assicurare il rispetto dei diritti dei donatori ogliastrini, che da anni hanno chiesto che i loro preziosi dati e campioni biologici siano protetti e trattati rispettando la legge e i loro diritti.

* Esperta e Consulente in protezione dei dati personali