Opinion of Advocate General Campos Sánchez-Bordona delivered on 25 May 2023.

• Jurisdiction: European Union
• Date: 25 May 2023
• Court: Court of Justice (European Union)

Edizione provvisoria

CONCLUSIONI DELL’AVVOCATO GENERALE

M. CAMPOS SÁNCHEZ-BORDONA

presentate il 25 maggio 2023 (1)

Causa C‑667/21

ZQ

contro

Medizinischer Dienst der Krankenversicherung Nordrhein, Körperschaft des öffentlichen Rechts

[domanda di pronuncia pregiudiziale, proposta dal Bundesarbeitsgericht (Corte federale del lavoro, Germania)]

«Rinvio pregiudiziale – Protezione dei dati personali – Dati personali relativi alla salute – Valutazione della capacità lavorativa di un dipendente – Servizio di controllo medico di una cassa malattia – Trattamento dei dati personali relativi alla salute dei dipendenti – Diritto al risarcimento del danno – Incidenza del grado di colpa»

1. Il presente rinvio pregiudiziale verte sull’interpretazione del regolamento (UE) 2016/679 (2) in relazione a: a) il trattamento dei dati personali relativi alla salute; e b) il risarcimento del danno subito a causa di una (presunta) violazione dello stesso RGPD.

2. Sebbene la Corte si sia già pronunciata sulle disposizioni del RGPD (3) che riguardano tali questioni, quelle sollevate nell’ambito del presente rinvio pregiudiziale sono inedite, ad eccezione della quarta (4).

I. Contesto normativo

A. Diritto dell’Unione. RGPD

3. Ai fini della presente controversia sono rilevanti i considerando 4, 10, 35, da 51 a 54 e 146 contenuti nel preambolo del RGPD.

4. Ai sensi dell’articolo 9 («Trattamento di categorie particolari di dati personali»):

«1. È vietato trattare dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona.

2. Il paragrafo 1 non si applica se si verifica uno dei seguenti casi:

(…)

b) il trattamento è necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato;

(…)

h) il trattamento è necessario per finalità di medicina preventiva o di medicina del lavoro, valutazione della capacità lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali sulla base del diritto dell’Unione o degli Stati membri o conformemente al contratto con un professionista della sanità, fatte salve le condizioni e le garanzie di cui al paragrafo 3;

(…)

3. I dati personali di cui al paragrafo 1 possono essere trattati per le finalità di cui al paragrafo 2, lettera h), se tali dati sono trattati da o sotto la responsabilità di un professionista soggetto al segreto professionale conformemente al diritto dell’Unione o degli Stati membri o alle norme stabilite dagli organismi nazionali competenti o da altra persona anch’essa soggetta all’obbligo di segretezza conformemente al diritto dell’Unione o degli Stati membri o alle norme stabilite dagli organismi nazionali competenti.

4. Gli Stati membri possono mantenere o introdurre ulteriori condizioni, comprese limitazioni, con riguardo al trattamento di dati genetici, dati biometrici o dati relativi alla salute».

5. L’articolo 82 («Diritto al risarcimento e responsabilità») stabilisce quanto segue:

«1. Chiunque subisca un danno materiale o immateriale causato da una violazione del presente regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento.

(…)

3. Il titolare del trattamento o il responsabile del trattamento è esonerato dalla responsabilità, a norma del paragrafo 2 se dimostra che l’evento dannoso non gli è in alcun modo imputabile.

(…)».

B. Diritto nazionale. Sozialgesetzbuch Fünftes Buch (5)

6. Ai sensi dell’articolo 278, paragrafo 1, prima frase, in ciascuno dei Land è istituito un servizio medico (6) delle casse malattia quale organismo di diritto pubblico (7). Una delle sue funzioni, assegnate per legge, è quella di redigere perizie finalizzate a fugare eventuali dubbi in merito all’inabilità al lavoro degli assicurati.

7. A norma dell’articolo 275, paragrafo 1, prima frase, punto 3, lettera b), a fronte di un’inabilità al lavoro di un assicurato attestata mediante certificato medico, le KV sono tenute, in specifici casi, a chiedere al MDK corrispondente una perizia finalizzata a fugare eventuali dubbi in merito all’inabilità al lavoro.

II. Fatti, procedimento e questioni pregiudiziali

8. Dal 1991 ZQ lavorava alle dipendenze del MDK di Nordrhein (Germania) quale amministratore di sistema del reparto IT, nonché quale operatore di help desk.

9. Il MDK redige perizie sull’inabilità al lavoro degli assicurati alle KV. Tra queste perizie vi sono anche quelle relative alla salute dei lavoratori dello stesso MDK.

10. Il trattamento dei dati è soggetto, tra l’altro, alle seguenti regole, contenute in un manuale interno (8):

– i «dati sociali» dei dipendenti non possono essere raccolti e conservati sul luogo di lavoro. Inoltre, tali dati, generati quando una KV incarica di una perizia il MDK, non devono essere confusi con i dati dei dipendenti trattati nel contesto del rapporto di lavoro o di servizio;

– le richieste di perizie riguardanti i dipendenti del MDK sono classificate come «casi particolari» e trattate esclusivamente da una specifica unità organizzativa (9);

– una volta redatta la perizia su un dipendente del MDK, sia la relativa documentazione che la perizia sono depositate nell’archivio elettronico del MDK stesso. L’imputazione dei documenti a singole persone è possibile soltanto attraverso una particolare chiave, previa legittimazione all’accesso, oggetto di un controllo tecnico.

11. Dopo l’archiviazione, i dipendenti del «reparto IT» dell’unità organizzativa «Casi particolari» possono avere accesso, nel rispetto dell’obbligo di segretezza previsto dalla legge, alle perizie redatte sulla base di una richiesta concernente i dipendenti del MDK.

12. Dal 22 novembre 2017, ZQ era ininterrottamente inabile al lavoro a causa di malattia.

13. A partire dal 24 maggio 2018 (10), ZQ percepiva un’indennità di malattia, erogata dalla KV presso la quale è assicurato. Il 6 giugno 2018, quest’ultima incaricava il MDK di redigere una perizia finalizzata a fugare ogni dubbio in merito all’inabilità al lavoro di ZQ.

14. Il MDK assumeva l’incarico, che assegnava all’unità «Casi particolari». Il 22 giugno 2018, un medico di quell’unità, impiegato presso il MDK, redigeva una perizia che conteneva la diagnosi di ZQ. Ai fini della predisposizione della perizia, aveva avuto un colloquio telefonico con il medico curante di ZQ, da cui aveva acquisito una serie di informazioni.

15. Il MDK aveva archiviato la perizia nel sistema elettronico.

16. ZQ veniva a sapere dal proprio medico curante della telefonata compiuta dal medico del MDK.

17. Il 1° agosto 2018, ZQ contattava una collega del reparto IT del MDK chiedendole se fosse stata archiviata una perizia su di lui. A seguito di una ricerca in archivio, la collega rispondeva in senso affermativo. Su richiesta di ZQ, fotografava la perizia e inviava le immagini a quest’ultimo.

18. Il 15 agosto 2018, ZQ chiedeva al MDK il pagamento di un risarcimento pari a EUR 20 000,00, a cui non veniva dato seguito, sulla base dell’articolo 82 del RGPD.

19. Il 17 ottobre 2018, ZQ proponeva ricorso dinanzi all’Arbeitsgericht Düsseldorf (Tribunale del lavoro, Düsseldorf, Germania). In tale procedimento, chiedeva altresì, un risarcimento nella misura del mancato guadagno (11).

20. In attesa del procedimento giudiziale, il MDK licenziava ZQ.

21. Le domande di ZQ sono state respinte sia in primo grado che in appello (12).

22. ZQ ha presentato ricorso dinanzi al Bundesarbeitsgericht (Corte federale del lavoro, Germania), che sottopone alla Corte le seguenti questioni:

«1) Se l’articolo 9, paragrafo 2, lettera h), del [RGPD] debba essere interpretato nel senso che è fatto divieto a un Servizio medico di una cassa malattia di trattare dati relativi alla salute di un suo dipendente che costituiscono una condizione per valutare l’idoneità al lavoro di detto dipendente.

2) Qualora la Corte dovesse rispondere in senso negativo alla prima questione, con la conseguenza che potrebbe trovare applicazione, a norma dell’articolo 9, paragrafo 2, lettera h), del RGPD, una deroga al divieto di trattamento dei dati relativi alla salute previsto nell’articolo 9, paragrafo 1, del regolamento de quo: se, in una fattispecie come quella in esame, oltre ai criteri stabiliti nell’articolo 9, paragrafo 3, del RGPD, debbano essere rispettati altri requisiti in materia di riservatezza dei dati e, se del caso, quali.

3) Qualora la Corte dovesse rispondere in senso negativo alla prima questione, con la conseguenza che potrebbe trovare applicazione, a norma dell’articolo 9, paragrafo 2, lettera h), del RGPD, una deroga al divieto di trattamento dei dati relativi alla salute previsto nell’articolo 9, paragrafo 1, del regolamento de quo: se, in una fattispecie come quella in esame, l’ammissibilità e la liceità del trattamento di dati relativi alla salute dipenda altresì dal soddisfacimento, quantomeno, di una delle condizioni indicate nell’articolo 6, paragrafo 1, del RGPD.

4) Se l’articolo 82, paragrafo 1, del RGPD abbia carattere preventivo speciale o generale e se tale circostanza debba essere presa in considerazione, a carico del titolare del trattamento o del responsabile del trattamento, nel determinare l’ammontare del danno immateriale che deve essere risarcito sulla base del succitato articolo.

5) Se, nel determinare l’ammontare del danno immateriale che deve essere...