di Avv. Tommaso Rossi – Esperto in diritto amministrativo e tutela dei dati personali
Pubblicato su RPC Studio Legale
Fascicolo Sanitario Elettronico: quando la vulnerabilità informatica diventa una questione di diritto
Una recente ordinanza della Corte di Cassazione (Sez. I, 15 ottobre 2025, n. 27558) ha affrontato un tema cruciale per la sanità digitale e la tutela della privacy: chi risponde in caso di violazione dei dati sanitari contenuti nel Fascicolo Sanitario Elettronico (FSE)?
Il caso trae origine da un grave data breach dovuto a una vulnerabilità del software di autenticazione SPID, che aveva consentito a utenti non autorizzati di accedere ai dati sanitari di altri cittadini semplicemente digitando il relativo codice fiscale.
⚖️ La questione giuridica: chi è il “titolare” del trattamento?
La Corte ha ribadito che, ai sensi del GDPR, il titolare del trattamento non è il soggetto che gestisce materialmente i dati, bensì colui che determina le finalità e i mezzi del trattamento.
Nel caso del FSE, la Regione o Provincia autonoma è titolare dei dati trattati per finalità di governo e pianificazione sanitaria, anche se la gestione operativa è affidata alle aziende sanitarie o a soggetti esterni qualificati come responsabili del trattamento.
L’ordinanza richiama l’art. 12 del D.L. 179/2012, che distingue le finalità di:
-
cura e riabilitazione, affidate al Servizio Sanitario;
-
programmazione, valutazione e ricerca, attribuite alle Regioni e Province autonome.
🧩 Uso primario e uso secondario dei dati: una distinzione decisiva
Il FSE contiene due categorie di dati:
-
dati “in chiaro”, utilizzabili per finalità di cura e accessibili dal Servizio Sanitario Nazionale;
-
dati “non in chiaro”, utilizzati per finalità di governo, ricerca e pianificazione sanitaria.
La responsabilità per un data breach dipende dunque dal tipo di utilizzo coinvolto.
Se la violazione riguarda l’uso secondario dei dati, la responsabilità ricade sull’ente titolare di tali finalità, ossia la Regione o Provincia autonoma.
🏛️ Evoluzione normativa: dal FSE 2.0 allo Spazio Europeo dei Dati Sanitari
Il caso si inserisce nel contesto del Fascicolo Sanitario Elettronico 2.0, disciplinato dal D.M. 7 settembre 2023, elaborato in stretta collaborazione con il Garante per la protezione dei dati personali.
Proprio il Garante, con la Newsletter n. 525 del 26 giugno 2024, ha avviato istruttorie nei confronti di 18 Regioni e 2 Province autonome per carenze nell’attuazione del nuovo sistema.
Il legislatore ha quindi introdotto un regime transitorio (D.M. 30 dicembre 2024), con tre fasi di adeguamento fino a marzo 2026.
A livello europeo, il Regolamento (UE) 2025/327 – European Health Data Space (EHDS), entrato in vigore il 26 marzo 2025, creerà dal 2027 uno spazio comune dei dati sanitari per finalità di cura, ricerca e innovazione.
📚 Le implicazioni pratiche per amministrazioni e operatori
La decisione della Cassazione segna un punto fermo:
“La responsabilità segue il potere decisionale”.
Le Regioni e le Province autonome, in quanto titolari del trattamento, sono chiamate a rafforzare le misure di sicurezza e di accountability, garantendo che anche i responsabili esterni (società informatiche, gestori di piattaforme, fornitori SPID) rispettino pienamente gli obblighi imposti dal GDPR.
Il principio sancito dagli Ermellini richiama alla necessità di una governance consapevole dei dati sanitari, in un sistema sempre più digitalizzato ma anche più esposto a rischi di violazione.
🧭 Conclusione
Il “caso Bolzano” ricorda che nel diritto della protezione dei dati non conta solo chi tratta, ma soprattutto chi decide.
La chiarezza offerta dalla Cassazione costituisce un importante passo verso una maggiore certezza giuridica nella sanità digitale, a beneficio di cittadini, enti pubblici e operatori del settore.
📞 Avv. Tommaso Rossi
Studio Legale Rossi Copparoni & Partners
Esperto in diritto amministrativo, privacy e diritto dell’ambiente
Visita il sito e scrivici una mail per informazioni: www.rpcstudiolegale.it
************************
Presidente Tricomi – Relatore Russo
Fatti di causa
1.- A.M. era stato dipendente di (OMISSIS) srl, con mansioni di macellaio, fino al (OMISSIS), quando era stato licenziato per motivi disciplinari (per aver simulato lo stato di malattia – contusione al polso sinistro – posto a giustificazione dell’assenza oppure avere tenuto comportamenti incompatibili con il predetto stato ovvero idonei a pregiudicare e/o ritardare la guarigione).
L’A.M. impugnava il licenziamento dinanzi al Tribunale di Torre Annunziata, chiedendone la declaratoria di nullità e/o di inefficacia in quanto ritorsivo o discriminatorio o comunque di illegittimità per insussistenza del fatto e di giusta causa oppure in violazione dell’art. 88 del contratto collettivo aziendale, al fine di ottenere l’ordine alla società di reintegrarlo nel posto di lavoro con tutte le conseguenze previste dall’art. 18, co. 1 o 4, L. n. 300/1970.
2.- Costituitasi in giudizio, la datrice di lavoro eccepiva la decadenza del lavoratore dall’impugnazione del licenziamento per aver depositato il ricorso giudiziario oltre il termine di 180 giorni dall’impugnativa stragiudiziale del 20/05/2020 e precisamente in data 19/11/2020 invece che entro il 16/11/2020, ultimo giorno utile. Nel merito contestava la fondatezza della domanda, di cui chiedeva il rigetto.
3.- A conclusione della fase c.d. sommaria introdotta dalla legge n. 92/2012, il Tribunale, in accoglimento dell’eccezione di decadenza, dichiarava inammissibile la domanda.
A seguito dell’opposizione del lavoratore, il Tribunale accoglieva l’istanza di rimessione in termini, espletava la prova testimoniale e, in accoglimento della domanda di accertamento dell’insussistenza del fatto, ai sensi dell’art. 18, co. 4, L. n. 300/1970 ordinava la reintegrazione dell’opponente nel posto di lavoro e condannava la società a pagare l’indennità risarcitoria pari a 12 mensilità dell’ultima retribuzione globale di fatto (di euro 1.936,74).
In particolare riteneva che i comportamenti descritti nella relazione investigativa (la guida di uno scooter di grosse dimensioni, la conduzione del cane a spasso, il reggere le buste della spesa con la mano sinistra colpita dall’infortunio) non fossero lesivi dello stato di salute, né idonei a pregiudicare o ritardare la guarigione del lavoratore, né vi fossero elementi dai quali desumere la mera simulazione dello stato di malattia.
4.- Con la sentenza indicata in epigrafe la Corte d’Appello rigettava il gravame interposto dalla società.
Per quanto ancora rileva in questa sede, a sostegno della sua decisione la Corte territoriale affermava:
a) ai fini della rimessione in termini, prima di verificare la non imputabilità del ritardo occorre verificare se sussisteva il requisito della tempestività dell’istanza intesa come immediatezza della reazione della parte al palesarsi della necessità di svolgere un’attività processuale ormai preclusa;
b) nel caso in esame la tempestività sussiste, poiché l’istanza di rimessione in termini è stata formulata all’udienza del 27/01/2021, prima udienza utile successiva alla sollevata eccezione di controparte di intervenuta decadenza, in cui il lavoratore aveva allegato prova documentale della causa di forza maggiore (virus informatico) che aveva impedito il tempestivo deposito del ricorso;
c) trattasi di un’istanza tempestiva, in quanto proposta dinanzi al giudice della fase sommaria, prima della declaratoria di inammissibilità della domanda;
d) sussiste altresì l’impedimento non imputabile alla parte, trattandosi di virus informatico che la Corte di Cassazione ha ritenuto tale (Cass. sez. un. n. 4135/2019; Cass. n. 29757/2019);
e) nel caso in esame il difensore ha prodotto il rapporto di intervento tecnico della ditta (OMISSIS) da cui si evincono i fatti, le date e le modalità dell’intervento tecnico di “recupero” durato dal 16 novembre al 19 novembre 2020, imputabili a “cyberattacco mediante criptolocker che aveva reso inefficaci le protezioni perimetrali (firewall) e applicative (antivirus e antimalaware) presenti presso lo studio, rendendo inutilizzabili n. 4 pc e chiavetta firma digitale”;
f) è diritto di chi agisce provvedere al deposito telematico degli atti entro la fine dell’ultima giornata utile per il deposito, senza potersi sindacare nel merito le ragioni di tale scelta;
g) il fatto impeditivo si era manifestato nel pomeriggio del 16 novembre, sicché non sarebbe stato possibile il deposito cartaceo del ricorso, in ogni caso impedito dall’obbligo di deposito telematico degli atti introduttivi del giudizio, che costituiva la regola nel periodo emergenziale COVID-19 (art. 83 d.l. n. 18/2020), vigente fino al termine (più volte prorogato) del 31 dicembre 2020;
h) in quel periodo vigeva altresì il provvedimento n. 237/2020 dell’Ufficio di presidenza della Corte d’Appello di Napoli, che invitava tutti i magistrati del distretto “a valutare con sufficiente benevolenza eventuali richieste di rimessione in termini, tenuto anche conto delle notevoli difficoltà di accesso agli uffici giudiziari, a causa delle restrizioni connesse alla pandemia in atto”;
i) nel merito, a seguito dell’infortunio sul lavoro verificatosi il 20/02/2020 (contusione mano e polso sinistro) vi fu prescrizione di riposo, ghiaccio e terapia medica al persistere dei sintomi con prognosi di sette giorni, come da referto ospedaliero, poi prorogati di ulteriori dieci giorni e ripresa del servizio al termine del periodo anzidetto in data 09/03/2020;
j) il Tribunale ha valutato i comportamenti descritti nella relazione investigativa come non idonei a far presumere l’inesistenza della malattia e, dunque, una sua simulazione, né a pregiudicare o ritardare la guarigione o il rientro in servizio del lavoratore;
k) tale convincimento è condiviso da questa Corte, sicché non sussiste la violazione dei generali doveri di correttezza e di buona fede, poiché il tipo di infortunio certificato non impediva lo svolgimento di attività quotidiane di ordinaria amministrazione, pur considerando che il lavoratore è mancino, bensì solo di quelle legate all’attività lavorativa di macellaio;
l) non può applicarsi la tutela soltanto indennitaria ex art. 18, co. 5, L. n. 300/1970, poiché l’insussistenza del fatto contestato comprende anche l’ipotesi in cui il fatto sia sussistenza, ma sia privo del carattere di illiceità, come nel caso in esame.
5.- Avverso tale sentenza (OMISSIS) srl ha proposto ricorso per cassazione, affidato a tre motivi.
6.- A.M. ha resistito con controricorso.
7.- La Consigliera delegata dal Presidente ha formulato proposta di definizione accelerata ex art. 380 bis c.p.c.
8.- La società ricorrente ha presentato tempestiva istanza di decisione.
9.- Il collegio si è riservata la motivazione nei termini di legge.
Ragioni della decisione
1.- Con il primo motivo, proposto ai sensi dell’art. 360, co. 1, n. 4), c.p.c. la società ricorrente lamenta “violazione e falsa applicazione” dell’art. 132, co. 2, n. 4), e 153 c.p.c. per avere la Corte territoriale erroneamente ritenuta tempestiva l’istanza di rimessione in termini e sussistente l’impedimento dovuto a causa di forza maggiore.
Il motivo è fondato per quanto di ragione.
Questa Corte ha più volte affermato che l’istituto della rimessione in termini, ex art. 153, co. 2, c.p.c., presuppone che la parte incorsa nella decadenza per causa ad essa non imputabile si attivi con tempestività e, cioè, in un termine ragionevolmente contenuto e rispettoso del principio della durata ragionevole del processo (Cass. ord. n. 4034/2025; Cass. ord. n. 22342/2021; Cass. ord. n. 25289/2020).
E, come si evince dalle stesse pronunzie ricordate dai Giudici del reclamo (Cass. n. 23561/2011; Cass. n. 6102/2019), questa Corte di legittimità ha precisato che la tempestività – ossia l’immediatezza della reazione della parte colpita da decadenza – va valutata rispetto al momento in cui è maturata la decadenza (nella specie 16/11/2020), di cui abbia avuto consapevolezza la parte o il suo difensore. In sostanza la rimessione in termini richiede l’immediatezza della reazione rispetto al palesarsi della necessità di svolgere quell’attività processuale ormai preclusa (Cass. n. 19290/2016; Cass. n. 23561/2011); da tanto deriva che essa non può essere condizionata o in qualche modo rapportata alla eventuale proposizione della eccezione di decadenza della controparte. Inoltre, neppure può dirsi sempre tempestiva, come viceversa mostra di ritenere la sentenza impugnata, l’istanza anteriore alla decisione di improcedibilità, perché allora sarebbe sempre tempestiva purché anteriore a quella decisione di rito, in tal modo restando preclusa al giudice per ciò solo la valutazione della tempestività dell’istanza, che invece il legislatore gli riserva.
La Corte territoriale non si è conformata alle indicazioni del giudice di legittimità avendo mostrato di ancorare la verifica dei presupposti della rimessione in termini a elementi a tal fine ininfluenti in quanto estrinseci alla disciplina dell’istituto ed alle esigenze ad essa sottese riconducibili in definitiva al canone costituzionale della ragionevole durata del processo ex art. 111 Cost..
A tanto consegue la cassazione con rinvio della decisione al fine di una rinnovata valutazione del requisito della tempestività dell’istanza di rimessione in termini avanzata dal difensore del lavoratore alla luce del seguente principio di diritto:
“ai fini della rimessione in termini il requisito essenziale della tempestività dell’istanza della parte colpita dalla decadenza va valutato rispetto al momento in cui si è palesata la necessità di svolgere quell’attività processuale ormai preclusa ed alla consapevolezza acquisita dalla parte, a prescindere dalle eccezioni eventualmente sollevate a riguardo dalla controparte”.
Alla Corte di merito spetterà, poi, trarne le conseguenze in ordine alle varie domande (reintegratoria e indennitario-risarcitoria) proposte dal lavoratore.
2.- Con il secondo motivo, senza indicarne la sussunzione in uno di quelli a critica vincolata imposti dall’art. 360, co. 1, c.p.c., la ricorrente lamenta “violazione e falsa applicazione” dell’art. 2697 c.c. per avere la Corte territoriale omesso ogni pronunzia sull’istanza di una consulenza tecnica d’ufficio di tipo informatico per accertare la fondatezza della ragione ostativa addotta dal lavoratore nell’istanza di rimessione in termini.
Con il terzo motivo, proposto ai sensi dell’art. 360, co. 1, n. 3), c.p.c. la ricorrente lamenta violazione degli artt. 111 Cost., 132 c.p.c., 118 disp.att.c.p.c. per difetto di motivazione circa la valutazione delle prove inerenti al merito dell’addebito disciplinare.
L’esame dei motivi secondo e terzo resta assorbito dall’accoglimento del primo motivo.
Alla Corte di rinvio è demandato il regolamento delle spese del giudizio di legittimità.
3.- Sussistendo i presupposti di legge, dispone che in caso di diffusione dovrà essere omessa l’indicazione delle generalità e degli altri dati identificativi del controricorrente, ai sensi dell’art. 52 d.lgs. n. 196/2003.
P.Q.M.
La Corte accoglie il primo motivo, dichiara assorbiti il secondo ed il terzo; cassa la sentenza impugnata in relazione al motivo accolto e rinvia alla Corte d’Appello di Napoli, in diversa composizione, alla quale è demandato il regolamento delle spese anche del presente giudizio di legittimità.


