REPUBBLICA ITALIANA
IN NOME DEL POPOLO ITALIANO
LA CORTE SUPREMA DI CASSAZIONE
SEZIONE PRIMA CIVILE
Composta dagli Ill.mi Sigg.ri Magistrati:
Dott. GENOVESE Francesco Antonio – Presidente –
Dott. IOFRIDA Giulia – Consigliere –
Dott. LAMORGESE Antonio Pietro – Consigliere –
Dott. TRICOMI Laura – Rel. Consigliere –
Dott. CAPRIOLI Maura – Consigliere –
ha pronunciato la seguente
ORDINANZA
sul ricorso 23814/2017 proposto da:
Garante per la Protezione dei Dati Personali, in persona del legale rappresentante pro tempore, domiciliato in Roma, Via dei Portoghesi n.12, presso l’Avvocatura Generale dello Stato, che lo rappresenta e difende ope legis;
– ricorrente –
nonchè contro
Tiziana Life Sciences PLC, in persona del legale rappresentante pro tempore, elettivamente domiciliata in Roma, Via (OMISSIS) n. 155, presso lo studio dell’avvocato (OMISSIS) Micael, che la rappresenta e difende, giusta procura speciale alle liti autenticata in data 14.11.2017 dal Notaio Alastair George Caisley della Contea di Kent, munita di postille;
– controricorrente e ricorrente incidentale –
contro
Garante per la Protezione dei Dati Personali, in persona del legale rappresentante pro tempore, domiciliato in Roma, Via dei Portoghesi n.12, presso l’Avvocatura Generale dello Stato, che lo rappresenta e difende ope legis;
– controricorrente al ricorso incidentale –
avverso la sentenza n. 1569/2017 del TRIBUNALE di CAGLIARI, pubblicata il 06/06/2017;
udita la relazione della causa svolta nella camera di consiglio del 24/03/2021 dal cons. Dott.ssa TRICOMI LAURA;
lette le conclusioni scritte del P.M. in persona del Sostituto Procuratore Generale, Dott. PEPE ALESSANDRO che chiede che la Corte accolga il secondo motivo di ricorso del Garante per la protezione dei dati personali.
RITENUTO CHE:
La controversia concerne il ricorso avverso il provvedimento del Garante per la protezione dei dati personali (di seguito, il Garante) n. 389 del 6/10/2016, emesso ai sensi degli artt. 154, comma 1, lett. d), 143, comma 1, lett. c) e 144 del d.lgs. n.196 del 30 giugno 2003 (di seguito, codice della privacy oppure CP) in via d’urgenza, con il quale, venne disposta nei confronti di Tiziana Life Sciences P.L.C., società registrata nel Regno Unito, (di seguito, anche la società) la misura temporanea del blocco del trattamento dei dati personali contenuti nella banca dati genetica relativa a circa 11.700 persone acquistata dalla società, unitamente al complesso aziendale, dal fallimento della società Shar DNA SRL in liquidazione, con sede in Pula (Cagliari), che aveva avviato un programma di ricerca sulle malattie complesse comuni in alcuni paesi dell’Ogliastra in considerazione della riscontrata alta omogeneità genetica degli abitanti che poteva favorire l’identificazione dei geni associati a malattie complesse.
In particolare il Garante adottò il provvedimento n. 389/2016 avendo «CONSIDERATO che, sulla base di una preliminare valutazione, la Tiziana Life Sciences Plc intende quindi effettuare il trattamento dei dati e dei campioni contenuti nella biobanca in termini sostanzialmente compatibili con gli scopi per i quali questi sono stati raccolti, ai sensi degli artt. 11, 16 e 99 del Codice; (…)
RILEVATO tuttavia che, nelle more del completamento dell’istruttoria avviata sulla vicenda, per la quale è necessario acquisire ulteriori informazioni e documenti, presso i vari soggetti coinvolti, occorre predisporre cautele idonee ad assicurare il rispetto della disciplina sulla protezione dei dati personali, con particolare riferimento alla necessità che gli interessati siano informati (all’atto della registrazione dei dati o, quando è prevista la loro comunicazione, non oltre la prima comunicazione) dell’avvenuto mutamento nella titolarità del trattamento e degli eventuali ulteriori trattamenti di dati che il nuovo titolare intende effettuare a scopo di ricerca scientifica in campo medico-genetico, fermo restando quanto previsto dagli artt. 13, comma 5, lett. c), e 110, comma 1, del Codice e dall’autorizzazione generale n. 8/2014 cit. (v. punto n. 8.1); ciò, in modo da consentire agli interessati di manifestare il proprio consenso al trattamento dei dati da parte della Tiziana Life Sciences Plc, ovvero di esercitare i loro diritti con riferimento ai dati personali e all’utilizzo dei campioni biologici contenuti nella biobanca (artt. 7, 13, 23, 90, 107 e 110 del Codice, aut. gen. n. cit. n. 8/2014, punti 5 e 6)».
Detto provvedimento sancì l’obbligo, tra l’altro, di astenersi da ogni ulteriore trattamento dei dati degli interessati e utilizzo dei campioni biologici ad eccezione delle sole operazioni di trattamento necessarie per garantire un’adeguata conservazione dei dati e dei campioni biologici e di «ricontattare gli interessati, al fine di rendere loro un’idonea informativa e raccogliere una nuova manifestazione di consenso nei termini illustrati nel provvedimento; fornire adeguato riscontro alle eventuali richieste di esercizio dei diritti in tema di privacy da parte degli interessati».
La società impugnò con ricorso ex artt.152 CP e 10 della legge n.150/2011 il provvedimento dinanzi al Tribunale di Cagliari. Il Tribunale, respinta la richiesta di integrazione del contraddittorio nei confronti di tutti gli interessati al trattamento, avanzata dal Garante, ha accolto il ricorso ed ha annullato il provvedimento impugnato. Il Tribunale ha affermato che la fattispecie in esame non trovava disciplina nel codice della privacy ed ha ritenuto che il mutamento soggettivo del titolare del trattamento non comportasse la necessità della nuova informativa e della richiesta di consenso agli interessati. Il Garante ha proposto ricorso principale per la cassazione con due mezzi.
Tiziana Life Sciences P.L.C. ha replicato con controricorso e ricorso incidentale condizionato con tre mezzi, al quale il Garante ha risposto con controricorso.
Il Garante ha depositato memoria e così Tiziana Life Sciences P. L.C.
Il Procuratore generale ha rassegnato conclusioni scritte, chiedendo l’accoglimento del secondo motivo del ricorso del Garante.
CONSIDERATO CHE:
1. In via preliminare è opportuno precisare che si controverte in merito al provvedimento n. 389 emesso dal Garante il 6/10/2016: pertanto al caso in esame si applica il codice della privacy (d.lgs. n.196 del 30 giugno 2003) nella stesura anteriore alle modifiche introdotte con il d.lgs. n. 101 del 10 agosto 2018 di adeguamento dell’ordinamento nazionale al regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, entrato in vigore il 25 maggio 2018 (art. 99, comma 2, del Regolamento).
2.1. Con il primo motivo del ricorso principale il Garante denuncia la violazione o falsa applicazione degli artt. 102 cod.proc.civ. e 7 della legge n. 241/1990; si duole che il Tribunale non abbia accolto la richiesta di disporre l’integrazione del contraddittorio nei confronti dei titolari dei dati contenuti nella biobanca.
Sostiene che, nel presente caso, la sentenza non poteva essere pronunciata se non nei confronti di più parti e cioè, oltre che del Garante e di Tiziana Life Sciences, rispettivamente autore e destinataria del provvedimento opposto, necessariamente anche degli interessati che avevano prestato il consenso al trattamento dei dati conferiti all’originario titolare Shar DNA SPA.
2.2. Il motivo è infondato, in quanto gli interessati non sono litisconsorti nel processo che attiene all’esercizio dei compiti attribuiti al Garante che, quale autorità di controllo indipendente ex art. 154 CP, è tenuta a riscontrare che i trattamenti siano effettuati nel rispetto della disciplina dettata dal CP applicabile allo specifico caso e ciò anche quando, come nel caso di specie, il provvedimento sia stato adottato anche a seguito di segnalazioni degli interessati ex art. 144 CP; gli interessati, invero, – se del caso – possono far valere individualmente i loro diritti attraverso altri e specifici strumenti di tutela, sia di tipo reale che rimediale.
3.1. Con il secondo motivo il Garante denuncia la violazione e/o falsa applicazione degli artt. 13, 23 e 26 nonché dell’art. 90 del d.lgs. n. 193/2003 e del paragrafo 8.1. dell’Autorizzazione Generale al Trattamento dei dati genetici n. 8/2014.
Il ricorrente sostiene che il consenso al trattamento dei dati personali è legato indissolubilmente all’intuitus personae e che il mutamento soggettivo del titolare imponeva la rinnovazione dell’informativa e della prestazione del consenso.
3.2.1. Il secondo motivo è fondato e va accolto.
3.2.2. La decisione in esame si fonda sull’assunto che non sia disciplinata da alcuna disposizione di legge la fattispecie in cui un nuovo succeda all’originario titolare del trattamento dei dati personali e che, per tale motivo, il mutamento del titolare del trattamento non renda sempre e comunque necessaria l’informativa e l’acquisizione di una nuova manifestazione di consenso da parte degli interessati (fol.13/14 della sent. imp.), come invece ritenuto dal Garante nel provvedimento di blocco impugnato.
Secondo il decidente di primo grado il provvedimento avrebbe, inoltre, esorbitato rispetto alle finalità di tutela degli interessati in quanto la società acquirente perseguiva le medesime finalità della cedente; era società operante nel campo della ricerca scientifica; il programma di ricerca doveva proseguire in terra sarda e i singoli interessati potevano esercitare i propri diritti, in conformità con le disposizioni del CP (fol. 17/18 della sent. imp.).
3.2.3. La premessa in merito alla assenza di disciplina per la fattispecie in esame è errata e ciò si riverbera sulla complessiva decisione che va, conseguentemente, cassata per i motivi di seguito esposti.
3.3.1. La controversia riguarda, dunque, i temi della sussistenza di un onere informativo a carico della società cessionaria di una banca dati, nella specie genetica, e della doverosità o meno dell’acquisizione di un rinnovato consenso degli interessati.
3.3.2. Questa Corte ha già avuto modo di affermare, sia pure in relazione al trattamento di banche dati costituite sulla base di elenchi telefonici pubblici, che «Il cessionario dei dati personali presenti nelle banche dati costituite sulla base degli elenchi telefonici pubblici non può lecitamente utilizzarli per fini promozionali se non prova di aver inoltrato l’informativa prescritta dall’art. 13 del d.lgs. n. 196 del 2003 (cd. “codice della privacy”) per l’acquisizione del consenso degli interessati all’utilizzazione dei dati di loro pertinenza.» (Cass.n.17143 del 17/08/2016).
3.3.3. Anche per quanto attiene al trattamento dei dati sensibili, ed in particolare, dei dati genetici, va affermato, contrariamente a quanto erroneamente assume il Tribunale, che la cessione dei dati non è priva di regolamentazione, risultando disciplinata dagli artt. 16 (Cessazione del trattamento), 13 (Informativa), 23 (Consenso), 24 (Casi nei quali può essere effettuato il trattamento senza consenso), 26 (Garanzie per i dati sensibili ), 90 (Trattamento dei dati genetici e donatori di midollo osseo) e 110 (Ricerca medica, biomedica ed epidemiologica) del CP, in via generale, oltre che da disposizioni secondarie specifiche.
3.4.1. L’art. 16, che disciplina la “cessazione del trattamento” prevede:
«1. In caso di cessazione, per qualsiasi causa, di un trattamento i dati sono:
a) distrutti;
b) ceduti ad altro titolare, purchè destinati ad un trattamento in termini compatibili agli scopi per i quali i dati sono raccolti;
c) conservati per fini esclusivamente personali e non destinati ad una comunicazione sistematica o alla diffusione;
d) conservati o ceduti ad altro titolare, per scopi storici, statistici o scientifici, in conformità alla legge, ai regolamenti, alla normativa comunitaria e ai codici di deontologia e di buona condotta sottoscritti ai sensi dell’articolo 12.
2. La cessione dei dati in violazione di quanto previsto dal comma 1, lettera b), o di altre disposizioni rilevanti in materia di trattamento dei dati personali è priva di effetti.».
3.4.2. L’art. 13 CP, che disciplina in dettaglio il previo onere informativo posto a carico di colui che attua il trattamento dei dati in favore dell’interessato o della persona presso la quale sono raccolti, prevede al comma 4:
4. Se i dati personali non sono raccolti presso l’interessato, l’informativa di cui al comma 1, comprensiva delle categorie di dati trattati, è data al medesimo interessato all’atto della registrazione dei dati o, quando è prevista la loro comunicazione, non oltre la prima comunicazione.», salvo che – come previsto in deroga al comma 5 –
5. La disposizione di cui al comma 4 non si applica quando:
a) i dati sono trattati in base ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria;
b) i dati sono trattati ai fini dello svolgimento delle investigazioni difensive di cui alla legge 7 dicembre 2000, n. 397, o, comunque, per far valere o difendere un diritto in sede giudiziaria, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento;
c) l’informativa all’interessato comporta un impiego di mezzi che il Garante, prescrivendo eventuali misure appropriate, dichiari manifestamente sproporzionati rispetto al diritto tutelato, ovvero si riveli, a giudizio del Garante, impossibile.»
3.4.3. Dalla lettura coordinata delle due disposizioni si evince che il trasferimento dei dati dal titolare originario ad un altro soggetto (art.16, comma 1, lett. b), pur essendo consentito, dà luogo alla cessazione del trattamento originario – e non alla successione nello stesso -, comportando, quindi, l’inizio di un distinto trattamento ad opera del nuovo titolare, tenuto al rispetto della complessiva disciplina in tema di informativa e consenso.
In tal modo viene esplicitato quanto già desumibile dall’art. 4, comma 1, lett. a) del CP, ove la definizione di “trattamento” come «qualunque operazione o complesso di operazioni, effettuati anche senza l’ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, la consultazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il raffronto, l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca di dati» non include, tra le operazioni di trattamento, la cessione dei dati ad altro titolare.
Proprio per tale ragione, ove i dati non siano stati raccolti presso l’interessato, ma acquisiti a seguito di cessione dal precedente titolare, a tutela dell’interessato, grava sul nuovo titolare l’onere informativo nei sensi stabiliti dall’art. 13, comma 4.
Tuttavia, tale onere può essere derogato ove ricorrano le ipotesi di cui all’art. 13, comma 5, lett. a) e b) – non applicabili al caso in esame -, ovvero risulti che la società abbia richiesto di accedere alla deroga di cui all’art.13, comma 5, lett. c).
Va rimarcato che quest’ultima deroga- posta a garanzia dei diritti degli interessati e del novello titolare del trattamento – ha l’obiettivo di conciliare i reciproci diritti ed oneri e lo persegue chiamando il Garante a svolgere il concreto contemperamento degli interessi in gioco e ad individuare le modalità informative più confacenti alla specifica fattispecie, con la possibilità di giungere finanche a ravvisare l’impossibilità del rinnovo dell’informativa.
Nel caso in esame, nonostante il Garante avesse indicato, nel provvedimento impugnato, la possibilità per la società di avvalersi di tale deroga, sembra di poter dedurre per implicito che questa non vi abbia dato seguito e non abbia attivato la relativa procedura.
3.4.4. Va quindi affermato che «In tema di trattamento di dati personali sensibili, nella vigenza del codice della privacy (d.lgs. n.196 del 30 giugno 2003) – nella stesura anteriore alle modifiche introdotte con il d.lgs. n. 101 del 10 agosto 2018 di adeguamento dell’ordinamento nazionale al regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, entrato in vigore il 25 maggio 2018 (art. 99, comma 2, del Regolamento)- il titolare del trattamento dei dati che abbia acquisito i dati (o una banca dati) a seguito di cessione da altro titolare è tenuto ad informare gli interessati ai sensi dell’art. 13, comma 4, CP, a meno che la fattispecie non rientri nelle ipotesi in deroga previste dall’art. 13, comma 5, CP e la deroga sia fatta valere alle condizioni previste».
3.5. Va, poi, considerata la questione dell’acquisizione del consenso ex artt. 23, 24 e 26 CP.
La disciplina generale del consenso è dettata dall’art.23 CP, che prevede:
1. Il trattamento di dati personali da parte di privati o di enti pubblici economici è ammesso solo con il consenso espresso dell’interessato.
2. Il consenso può riguardare l’intero trattamento ovvero una o più operazioni dello stesso.
3. Il consenso è validamente prestato solo se è espresso liberamente e specificamente in riferimento ad un trattamento chiaramente individuato, se è documentato per iscritto, e se sono state rese all’interessato le informazioni di cui all’articolo 13.
4. Il consenso è manifestato in forma scritta quando il trattamento riguarda dati sensibili.»
La previsione del consenso scritto per i “dati sensibili” (come definiti dall’art. 4, comma 1, lett. d) CP) è rimarcata all’art. 26, dedicato a questa tipologia di dati, che assoggetta il relativo trattamento anche alla preventiva ed imprescindibile autorizzazione del Garante, chiamato anche a prescrivere, ove necessario, misure e accorgimenti a garanzia dell’interessato, che il titolare del trattamento è tenuto a adottare (comma 2).
Questa disposizione prevede anche la possibilità di procedere al trattamento dei dati sensibili senza consenso (comma 4), ma la assoggetta alla previa autorizzazione del Garante, sempre che ricorra una delle fattispecie previste dal medesimo comma.
Altra possibile deroga alla prestazione del consenso è dettata, per i dati medico/sanitari, dall’art. 110, comma 1, CP, ove è detto «1.
Il consenso dell’interessato per il trattamento dei dati idonei a rivelare lo stato di salute, finalizzato a scopi di ricerca scientifica in campo medico, biomedico o epidemiologico, non è necessario quando la ricerca è prevista da un’espressa disposizione di legge che prevede specificamente il trattamento, ovvero rientra in un programma di ricerca biomedica o sanitaria previsto ai sensi dell’articolo 12-bis del decreto legislativo 30 dicembre 1992, n. 502, e successive modificazioni, e per il quale sono decorsi quarantacinque giorni dalla comunicazione al Garante ai sensi dell’articolo 39.
Il consenso non è inoltre necessario quando a causa di particolari ragioni non è possibile informare gli interessati e il programma di ricerca è oggetto di motivato parere favorevole del competente comitato etico a livello territoriale ed è autorizzato dal Garante anche ai sensi dell’articolo 40», secondo un procedimento che attribuisce al Garante un ruolo decisivo, sia istruttorio che autorizzatorio.
In tema di “dati genetici” l’art. 90 CP risulta ancora più stringente, giacché stabilisce che «II trattamento dei dati genetici da chiunque effettuato è consentito nei soli casi previsti da apposita autorizzazione rilasciata dal Garante sentito il Ministro della salute, che acquisisce, a tal fine, il parere del Consiglio superiore di sanità» e rimette la previsione della disciplina di dettaglio più adeguata all’Autorizzazione rilasciata dal Garante, la quale «… individua anche gli ulteriori elementi da includere nell’informativa ai sensi dell’articolo 13, con particolare riguardo alla specificazione delle finalità perseguite e dei risultati conseguibili anche in relazione alle notizie inattese che possono essere conosciute per effetto del trattamento dei dati e al diritto di opporsi al medesimo trattamento per motivi legittimi» (art. 90, comma 2).
3.6. Sulla scorta della analisi della disciplina ripercorsa, va affermato che «La cessione di dati o banche dati è consentita dall’art.16 del d.lgs. n. 196 del 2003; tuttavia la cessione dei dati ad un terzo, ed il conseguente mutamento soggettivo del titolare del trattamento, determina l’avvio di un nuovo trattamento, a sua volta soggetto alle disposizioni generali in tema di informativa e di consenso; in questo caso, il rinnovo dell’informativa e della raccolta del consenso può essere derogata, in misura più o meno ampia, solo ove ricorrano le specifiche condizioni previste dal codice della privacy; per quanto riguarda i “dati sensibili” e i “dati genetici”, che costituiscono un sottoinsieme dei primi, la disciplina si connota di particolare rigore, temperato mediante il riconoscimento di poteri istruttori ed autorizzativi al Garante previsti dagli artt. 13, comma 5, 26, comma 4, 110, comma 1, CP. – che non possono essere derogati, essendo volta ad assicurare lo svolgimento del trattamento ritenuto meritevole di tutela per le finalità perseguite, senza intaccare in maniera significativa i diritti degli interessati.».
3.7.1. A ciò va aggiunto che tali conclusioni sono confermate, e non smentite, dalla lettura dell’Autorizzazione generale al trattamento dei dati genetici di riferimento, ex art. 90 CP, n. 8 del 2014, vigente all’epoca, che non è stata rettamente utilizzata dal Tribunale a sostegno delle sue conclusioni (fol.14 della sent. imp.).
Le previsioni dell’ Autorizzazione n. 8 del 2014, invero, non soccorrono nel caso di specie perché non riguardano la fattispecie relativa alla cessione dei dati ad altro titolare – normata nel codice della privacy -, ma – come va rimarcato – disciplinano il caso in cui sia l’originario titolare del trattamento a voler procedere a trattamenti ulteriori e diversi rispetto a quelli per cui aveva acquisito l’originario consenso informato, e stabiliscono, al par. 8, che il ribadito obbligo del titolare originario a rinnovare l’acquisizione del consenso informato per i nuovi trattamenti, possa subire dei temperamenti.
3.7.2. Resta così confermata, in linea generale, l’imprescindibilità del consenso informato in caso di cessione di una banca dati genetica, laddove non ricorrano le deroghe previste dagli artt. 13, comma 5, 26, comma 4, 110, comma 1, CP.
4.1. Va quindi, esaminato il ricorso incidentale condizionato svolto da Tiziana Life Sciences.
4.2.1. La ricorrente incidentale, con il primo motivo si duole che il giudice di primo grado, accolto il primo profilo del terzo motivo del ricorso originario, non si sia poi pronunciato sul secondo profilo (sub b) con il quale la società aveva sostenuta la necessità di procedere ad una lettura costituzionalmente orientata degli artt. 23, 26 e 90 del Codice della Privacy, lamentando una eccessiva “burocratizzazione” del consenso difficilmente conciliabile con la tutela del progresso scientifico e tecnologico.
4.2.2. Il motivo è inammissibile.
L’omessa motivazione o la valutazione negativa del giudice di merito, anche implicita, circa la rilevanza e la non fondatezza di una questione di legittimità costituzionale, non può costituire motivo di ricorso per cassazione perché il relativo provvedimento (benché eventualmente ricompreso, da un punto di vista formale, in una sentenza) ha carattere puramente ordinatorio, essendo riservato il relativo potere decisorio alla Corte costituzionale, e perché, d’altra parte, la stessa questione può essere riproposta in ogni grado di giudizio e quindi le omissioni non danno mai luogo a giudicato (Cass. n. 4646 del 17/07/1980; Cass. n. 1358 del 18/02/1999; Cass. n. 25343 del 28/11/2014; n. 9284 del 16/04/2018).
Ne consegue che è inammissibile il motivo di ricorso per cassazione diretto – come nel caso di specie – a dolersi unicamente del mancato esame della questione di legittimità costituzionale di alcune norme, non potendo essere configurato a riguardo un vizio del provvedimento impugnato idoneo a determinarne l’annullamento da parte della Corte (Cass. n. 14666 del 09/07/2020).
4.3.1. Con il secondo motivo la ricorrente denuncia la nullità della sentenza ai sensi dell’art.132, quarto comma, cod.proc.civ. e dell’art.118 delle disp. att. cod.proc.civ., per motivazione apparente, perplessa e obiettivamente incomprensibile in relazione al rigetto del secondo motivo del ricorso principale proposto dalla società, con il quale questa aveva sostenuto che il Garante aveva adottato il provvedimento in violazione delle disposizioni che lo legittimavano ad emanare provvedimenti in via d’urgenza.
4.3.2. Il motivo è infondato.
Nelle sentenze rese all’esito di un giudizio di impugnazione, è legittimo che la motivazione sia stringata ovvero espressa per relationem laddove il passaggio argomentativo/motivazionale, cui la doglianza per motivazione apparente si riferisce, richiami il contenuto del provvedimento amministrativo impugnato, noto alle parti (cfr. Cass. n. 7251 del 07/04/2005).
Nel caso di specie, la sentenza è motivata sul punto, sia pure stringatamente, ove si afferma «Ai fini della decisione in merito all’adozione del blocco, in considerazione della natura cautelare della predetta misura e tenuto conto degli elementi istruttori già acquisiti dal Garante, non era necessario compiere un’ulteriore attività istruttoria» (fol.13 della sent.): da ciò si coglie sia la esplicita considerazione della natura cautelare del provvedimento adottato, che la espressa valutazione circa la ravvisata sufficienza degli elementi istruttori già acquisiti, di modo che risulta fornita una risposta alle censure formulate, risultando così appagante e corretto il percorso argomentativo desumibile attraverso l’integrazione della parte motiva della sentenza con il contenuto del provvedimento.
4.4.1. Con il terzo motivo – relativo alla medesima statuizione oggetto del secondo – la società denuncia la violazione e/o falsa applicazione degli artt. 154, comma 1, lett. d) e 143, comma 1, lett. c) del CP, nonché dell’art. 115 cod.proc.civ., sostenendo che il Tribunale ha errato nel ritenere che il Garante era legittimato ad emanare il provvedimento ex art.143, comma 1, lett. c) del CP. e ciò perché non era ancora stata conclusa l’istruttoria preliminare.
Ancora il Tribunale avrebbe errato, con violazione dell’art. 115 cod. proc. civ. perché non aveva posto a fondamento della decisione il fatto – pacifico tra le parti – che l’istruttoria preliminare non si era ancora conclusa.
4.4.2. Il motivo è infondato.
La circostanza invocata dalla ricorrente a sostegno della doglianza, e cioè il fatto che l’istruttoria preliminare non fosse ancora conclusa, non è conducente nel caso di specie.
Ai sensi dell’art. 154 CP il Garante ha una pluralità di compiti, che può assolvere, anche avvalendosi dell’Ufficio e in conformità alle disposizioni del CP: vi rientra anche il compito di vietare anche d’ufficio, in tutto o in parte, il trattamento illecito o non corretto dei dati o disporne il blocco ai sensi dell’articolo 143, e di adottare gli altri provvedimenti previsti dalla disciplina applicabile al trattamento dei dati personali» (Art. 154, comma 1, lett. d), CP.
Quanto al procedimento da seguire, l’art.143 CP stabilisce che il Garante può adottare i provvedimenti ivi previsti, tra i quali rientra anche il blocco del trattamento, una volta esaurita l’istruttoria preliminare, se ne sussistono i presupposti.
Tale previsione, tuttavia, può essere derogata nei casi previsti dall’art. 144 CP, ove è stabilito «I provvedimenti di cui all’articolo 143 possono essere adottati anche a seguito delle segnalazioni di cui all’articolo 141, comma 1, lettera b), se è avviata un’istruttoria preliminare e anche prima della definizione del procedimento», dal che si desume che in tali casi per l’adozione del provvedimento è sufficiente l’avvio dell’istruttoria preliminare.
Nel caso in esame, il provvedimento venne adottato ai sensi ai sensi degli artt. 154, comma 1, lett. d), 143, comma 1, lett. c), e 144, del CP, a seguito delle segnalazioni di numerosi interessati, donatori dei campioni biologici abitanti in Ogliastra, e la decisione del Tribunale (v. sub 4.3.2.) che ha ravvisato la legittimità del provvedimento impugnato sotto questo profilo risulta immune dai vizi denunciati.
5. In conclusione va accolto il secondo motivo del ricorso principale, infondato il primo; il ricorso incidentale va rigettato (essendo inammissibile il primo motivo e infondati gli altri); la sentenza impugnata va cassata e la controversia va rinviata al Tribunale di Cagliari, in in persona di altro magistrato, per il riesame della causa alla luce dei principi espressi e per provvedere alla regolamentazione delle spese del giudizio di legittimità.
Ove dovuto, sussistono i presupposti per il raddoppio a carico della ricorrente incidentale del contributo unificato ai sensi del dell’art. 13, comma 1-quater, d.P.R. 30 maggio 2002, n. 115.
P.Q.M.
– Accoglie il secondo motivo del ricorso principale, infondato il primo; rigetta il ricorso incidentale; cassa la sentenza impugnata e rinvia la causa al Tribunale di Cagliari in persona di altro magistrato anche per le spese.
Ove dovuto, sussistono i presupposti per il raddoppio a carico della ricorrente incidentale del contributo unificato ai sensi del dell’art. 13, comma 1-quater, d.P.R. 30 maggio 2002, n. 115.
Così deciso in Roma, il 24 marzo 2021.
Depositato in Cancelleria il 7 ottobre 2021.