Con ordinanza n. 27558 del 15 ottobre 2025, la Corte di Cassazione è tornata ad esprimersi in materia di protezione dei dati personali, in relazione, in particolare, ai criteri da seguire per la corretta individuazione della figura del titolare del trattamento ai fini della determinazione del soggetto destinatario dei provvedimenti e delle sanzioni applicabili in caso di data breach.
La controversia è originata dall’avvenuta segnalazione, da parte di un’Azienda Sanitaria Provinciale, di un data breach causato dalla vulnerabilità applicativa del software utilizzato per il funzionamento della piattaforma del FSE (Fascicolo Sanitario Elettronico). In particolare, l’Azienda aveva rilevato come il software utilizzato, nonostante richiedesse l’accesso tramite SPID, poi consentisse agli utenti di accedere al fascicolo sanitario di altri soggetti semplicemente digitandone il codice fiscale.
Sebbene la segnalazione fosse stata effettuata dall’Azienda Sanitaria Provinciale, il Garante notificava la violazione ex art. 58, par. 1, lett. d), GDPR alla Provincia autonoma di riferimento, ritenendola il soggetto titolare del trattamento correlato al data breach occorso.
La Provincia proponeva, tuttavia, opposizione avverso il provvedimento, ritenendo che, nel caso di specie, il titolare del trattamento andasse identificato nell’Azienda Sanitaria, la quale aveva determinato le finalità e i mezzi per lo svolgimento del trattamento in questione. Il Tribunale di Bolzano, condivise le censure della Provincia, accoglieva l’opposizione formulata.
Avverso la predetta sentenza ricorreva per Cassazione l’Autorità Garante per la protezione dei dati personali. Secondo parte ricorrente, la violazione di dati personali oggetto del provvedimento impugnato riguardava un trattamento rispetto a cui il titolare, ai sensi della normativa dettata in materia, doveva essere identificato nella Provincia autonoma, e non nell’Azienda Sanitaria. A nulla avrebbe dovuto rilevare l’avvenuta attribuzione da parte della Provincia dei propri compiti all’Azienda Sanitaria Provinciale, in quanto il titolare “risponde direttamente per le proprie scelte in materia di trattamento dei dati personali, mentre i soggetti che abbiano ricevuto istruzioni dal titolare rispondono solo se abbiano agito in modo difforme o contrario rispetto alle legittime istruzioni del titolare del trattamento”. Pertanto, “l’attribuzione da un soggetto diverso dei compiti propri del titolare … non comporta affatto, come ritenuto dal Tribunale …, il venir meno della qualità di titolare … e l’attribuzione di tale qualità al soggetto che ha ricevuto l’attribuzione di tali compiti, in quanto il titolare resta comunque l’unico soggetto a disporre del potere decisionale sulla materia ed a fornire le istruzioni sull’operato del responsabile”.
La Corte di Cassazione ha evidenziato che, ai sensi del D.L: 179/2012, “il FSE è istituito dalle Regioni e Province Autonome nel rispetto della normativa vigente e persegue plurime e specifiche finalità”, talune pertinenti all’uso primario dei dati, altre al loro uso secondario, affidate dallo stesso D.L. a soggetti diversi. In particolare, il perseguimento delle finalità di diagnosi, cura e riabilitazione è affidato all’Azienda Sanitaria Provinciale, mentre quello delle finalità di studio e ricerca e di programmazione sanitaria, verifica delle qualità delle cure e valutazione dell’assistenza fornita, è affidato alle Regioni e Province autonome.
Stante quanto osservato, la Corte di Cassazione, accogliendo il ricorso formulato dall’Autorità Garante, ha stabilito che “poiché l’art. 4 del GDPR individua il titolare del trattamento nel soggetto che <<singolarmente o insieme ad altri determina le finalità e i mezzi del trattamento di dati personali>>, rilievo decisivo ha la circostanza che il FSE è istituito dalle Regioni e dalle Province autonome, nonché l’attribuzione del perseguimento di specifiche finalità a questi enti. Pertanto, in relazione al tipo di data breach che nella specie si è consumato, non si può prescindere dalla verifica di chi fosse il soggetto che persegue e determina le finalità e i mezzi del trattamento, nell’ambito del quale l’accesso abusivo si è verificato”.
La Suprema Corte ha, dunque, accolto il ricorso e cassato la sentenza impugnata, rinviando al Tribunale competente per il riesame.