In tema di trattamento di dati personali sensibili, nella vigenza del codice della privacy nella stesura anteriore alle modifiche introdotte con il d.lgs. numero 101/2018, il titolare del trattamento dei dati che abbia acquisito i dati o una banca dati a seguito di cessione da altro titolare è tenuto ad informare gli interessati ai sensi dell’articolo 13, comma 4, codice della privacy, a meno che la fattispecie non rientri nelle ipotesi in deroga previste dall’articolo 13, comma 5, e la deroga sia fatta valere alle condizioni previste.
La cessione di dati o banche dati è consentita dall' articolo 16 del d.lgs. numero 196 del 2003 tuttavia la cessione dei dati ad un terzo, ed il precedente mutamento soggettivo del titolare del trattamento, determina l'avvio di un nuovo trattamento, a sua volta soggetto alle disposizioni generali in tema di informativa e di consenso in questo caso, il rinnovo dell'informativa e della raccolta del consenso può essere derogata, in misura più o meno ampia, solo che ricorrano le specifiche condizioni previste dal codice della privacy per quanto riguarda i “dati sensibili” e i “dati genetici”, che costituiscono un sottoinsieme dei primi, la disciplina si connota di particolare rigore, temperato mediante il riconoscimento dei poteri istruttori ed autorizzativi al garante previsti dagli articolo 13, comma 5, 26, comma 4, 110, comma 1, Codice Privacy – che non possono essere derogati, essendo volta ad assicurare lo svolgimento del trattamento ritenuto meritevole di tutela per le finalità perseguite, senza intaccare in maniera significativa i diritti di interessati. La vicenda. Il Garante emetteva un provvedimento disponendo nei confronti di una società di diritto straniero la misura del blocco del trattamento dei dati personali contenuti nella banca dati genetica relativa a circa 11.700 persone acquistata dalla società TLS Plc dal fallimento della SD Srl in liquidazione unitamente al complesso aziendale. Su tali dati era stato avviato un programma di ricerca sulle malattie complesse comuni in alcuni paesi del territorio in cui si trovava la società in liquidazione. Il Garante considerava la sostanziale compatibilità tra gli scopi del trattamento per i quali i dati erano stati raccolti e il trattamento che la TLS aveva inteso effettuare, tuttavia rilevava la necessità di acquisire ulteriori informazioni e documenti e nelle more riteneva necessario predisporre le cautele idonee ad assicurare il rispetto della disciplina sulla protezione dei dati personali, con particolare riferimento alla necessità che gli interessati fossero informati dell'avvenuto mutamento nella titolarità del trattamento e degli eventuali ulteriori trattamenti di dati che il nuovo titolare intendeva effettuare a scopi di ricerca scientifica in campo medico-genetico, ciò al fine di consentire agli interessati di manifestare il proprio consenso al trattamento dei dati da parte della TLS o di esercitare i loro diritti. Il provvedimento pertanto stabiliva il blocco del trattamento e l'astensione da ogni ulteriore trattamento dei dati ad eccezione delle sole operazioni necessarie per garantire un'adeguata conservazione dei dati e dei campioni biologici, nonché di ricontattare gli interessati, al fine di rendere loro un'idonea informativa e raccogliere una nuova manifestazione di consenso nei termini illustrati nel provvedimento. La società TLS impugnava il provvedimento innanzi al Tribunale di Cagliari. Il Tribunale di Cagliari, accoglieva il ricorso e annullava il provvedimento impugnato. In particolare, il Tribunale affermava che la fattispecie in esame non trovava disciplina nel Codice privacy e riteneva che il mutamento soggettivo del titolare del trattamento non comportasse la necessità di nuova informativa e richiesta di consenso agli interessati. Il Garante proponeva ricorso principale per la cassazione del provvedimento del Tribunale al quale resisteva con controricorso e ricorso incidentale condizionato la società TLS, al quale il Garante rispondeva con controricorso. La Cassazione. La Suprema Corte innanzitutto circoscrive l'applicabilità della normativa precisando che il riferimento deve farsi al Codice della privacy nella stesura anteriore alle modifiche introdotte dal d.lgs. numero 101/2018 di adeguamento al GDPR , Regolamento UE 679/2016 . Con il primo motivo il Garante lamenta come il Tribunale non abbia accolto la richiesta di integrazione del contraddittorio nei confronti dei titolari dei dati contenuti nella biobanca dovendo la sentenza essere pronunciata nei confronti dell'autore del provvedimento Garante , del destinatario TLS Plc e, necessariamente, degli interessati. La Corte ritiene infondato il motivo in quanto gli interessati non sono litisconsorti nel processo che attiene all'esercizio dei compiti attribuiti al Garante. Con il secondo motivo il Garante sostiene che il consento al trattamento dei dati personali è legato indissolubilmente all'intuitus personae e che il mutamento soggettivo del titolare imponeva la rinnovazione dell'informativa e della prestazione del consenso. La Corte accoglie il motivo . La Suprema Corte precisa che la controversia riguarda i temi della sussistenza di un onere informativo a carico della società cessionaria di una banca dati nella specie genetica e della necessità o meno di acquisire un rinnovato consenso degli interessati. Richiama un precedente, in relazione al trattamento di banche dati costituite sulla base di elenchi telefonici pubblici, dove aveva affermato che “il cessionario dei dati personali presenti nelle banche dati costituite sulla base degli elenchi telefonici pubblici non può lecitamente utilizzarli per fini promozionale se non prova di aver inoltrato l'informativa prescritta dall' articolo 13 d.lgs. numero 196/2003 per l'acquisizione del consenso degli interessati all'utilizzazione dei dati di loro pertinenza”. Inoltre, per quanto al trattamento dei dati sensibili, in particolare dei dati genetici, contrariamento da quanto assunto dal Tribunale, la cessione dei dati non è priva di regolamentazione, risultando disciplinata dagli articolo 16 Cessazione del trattamento , 13 Informativa , 23 Consenso , 24 Casi nei quali può essere effettuato il trattamento senza consenso , 26 Garanzie per i dati sensibili , 90 Trattamento dei dati genetici e donatori di midollo osseo e 110 Ricerca medica biomedica ed epidemiologica del Codice privacy. Dalla lettura coordinata degli articoli 16 e 13, la Corte evince che il trasferimento dei dati dal titolare originario ad altro soggetto, pur essendo consentito, dà luogo alla cessazione del trattamento originario e non alla successione dello stesso. Ciò comporta quindi l'inizio di un nuovo distinto trattamento ad opera di un nuovo titolare che sarà tenuto al rispetto della complessiva disciplina in tema di informativa e consenso. Per tale ragione, se i dati non sono stati raccolti presso l'interessato, ma acquisiti a seguito di cessione dal precedente titolare, il nuovo titolare ha l'onere informativo a tutela dell'interessato. La Suprema Corte afferma quindi che in tema di trattamento di dati personali sensibili , nella vigenza del codice della privacy nella stesura anteriore alle modifiche introdotte con il d.lgs. 101/2018 , il titolare del trattamento dei dati che abbia acquisito i dati o una banca dati a seguito di cessione da altro titolare è tenuto ad informare gli interessati ai sensi dell'articolo 13, comma 4, Codice privacy, a meno che la fattispecie non rientri nelle ipotesi in deroga previste dall'articolo 13, comma 5, e la deroga sia fatta valere alle condizioni previste. Quanto al consenso , la Corte afferma che “La cessione di dati o banche dati è consentita dall' articolo 16 del d.lgs. numero 196 del 2003 tuttavia la cessione dei dati ad un terzo, ed il precedente mutamento soggettivo del titolare del trattamento, determina l'avvio di un nuovo trattamento, a sua volta soggetto alle disposizioni generali in tema di informativa e di consenso in questo caso, il rinnovo dell'informativa e della raccolta del consenso può essere derogata, in misura più o meno ampia, solo che ricorrano le specifiche condizioni previste dal codice della privacy per quanto riguarda i “dati sensibili” e i “dati genetici”, che costituiscono un sottoinsieme dei primi, la disciplina si connota di particolare rigore, temperato mediante il riconoscimento dei poteri istruttori ed autorizzativi al garante previsti dagli articolo 13, comma 5, 26, comma 4, 110, comma 1, Codice Privacy – che non possono essere derogati, essendo volta ad assicurare lo svolgimento del trattamento ritenuto meritevole di tutela per le finalità perseguite, senza intaccare in maniera significativa i diritti di interessati.” Quanto al ricorso incidentale , la Corte ritiene inammissibile il primo motivo con cui si lamentava la mancata pronuncia circa la necessità di procedere ad una lettura costituzionalmente orientata degli articolo 23, 26 e 90 del Codice privacy in quanto l'omessa valutazione o la valutazione negativa del giudice di merito, anche implicita, circa la rilevanza e la non fondatezza di una questione di legittimità costituzionale, non può costituire motivo di ricorso per cassazione perché il relativo provvedimento ha carattere puramente ordinatorio essendo riservato il relativo potere decisorio alla Corte costituzionale e perché, d'altra parte, la stessa questione può essere riproposta in ogni grado di giudizio. Con il secondo motivo di denuncia la nullità della sentenza in relazione al rigetto del ricorso ove la società TLS aveva sostenuto che il Garante aveva adottato il provvedimento in violazione delle disposizioni che lo legittimavano ad emanare provvedimenti in via d'urgenza. La Corte ritiene il motivo infondato ritenendo legittimo che la motivazione all'esito di un giudizio di impugnazione possa essere espressa in maniera stringata e per relationem laddove il passaggio argomentativo/motivazionale richiami il contenuto del provvedimento amministrativo impugnato, noto alle parti. Con il terzo motivo la società TLS sostiene che il Tribunale ha errato nel ritenere che il Garante fosse legittimato ad emanare un provvedimento ai sensi dell'articolo 143, comma 1, lett. c, Codice Privacy in quanto l'istruttoria preliminare non era ancora stata conclusa. La Corte ritiene anche tale motivo infondato in quanto il Garante ha una pluralità di compiti e può adottare i provvedimenti previsti anche all'avvio dell'istruttoria preliminare, senza attenderne l'esaurimento, come si evince dall'articolo 144 Codice privacy che stabilisce che i provvedimenti di cui all'articolo 143 possono essere adottati anche a seguito delle segnalazioni di cui all'articolo 141, comma 1, lett. b. In conclusione, la Suprema Corte cassava la sentenza impugnata e rinviava al Tribunale di Cagliari per il riesame della causa alla luce dei principi espressi.
Presidente Genovese – Relatore Tricomi Ritenuto che La controversia concerne il ricorso avverso il provvedimento del Garante per la protezione dei dati personali di seguito, il Garante numero 389 del 6/10/2016, emesso ai sensi del D.Lgs. numero 196 del 30 giugno 2003 , numero 196, articolo 154, comma 1, lett. d , articolo 143, comma 1, lett. c e articolo 144 di seguito, codice della privacy oppure CP in via d'urgenza, con il quale, venne disposta nei confronti di Tiziana Life Sciences P.L.C., società registrata nel Regno Unito, di seguito, anche la società la misura temporanea del blocco del trattamento dei dati personali contenuti nella banca dati genetica relativa a circa 11.700 persone acquistata dalla società, unitamente al complesso aziendale, dal fallimento della società OMISSIS SRL in liquidazione, con sede in OMISSIS , che aveva avviato un programma di ricerca sulle malattie complesse comuni in alcuni paesi dell'Ogliastra in considerazione della riscontrata alta omogeneità genetica degli abitanti che poteva favorire l'identificazione dei geni associati a malattie complesse. In particolare il Garante adottò il provvedimento numero 389/2016 avendo CONSIDERATO che, sulla base di una preliminare valutazione, la Tiziana Life Sciences Plc intende quindi effettuare il trattamento dei dati e dei campioni contenuti nella biobanca in termini sostanzialmente compatibili con gli scopi per i quali questi sono stati raccolti, ai sensi degli articolo 11, 16 e 99 del Codice RILEVATO tuttavia che, nelle more del completamento dell'istruttoria avviata sulla vicenda, per la quale è necessario acquisire ulteriori informazioni e documenti, presso i vari soggetti coinvolti, occorre predisporre cautele idonee ad assicurare il rispetto della disciplina sulla protezione dei dati personali, con particolare riferimento alla necessità che gli interessati siano informati all'atto della registrazione dei dati o, quando è prevista la loro comunicazione, non oltre la prima comunicazione dell'avvenuto mutamento nella titolarità del trattamento e degli eventuali ulteriori trattamenti di dati che il nuovo titolare intende effettuare a scopo di ricerca scientifica in campo medico-genetico, fermo restando quanto previsto dall'articolo 13, comma 5, lett. c e articolo 110, comma 1 Codice e dall'autorizzazione generale numero 8/2014 cit. v. punto numero 8.1 ciò, in modo da consentire agli interessati di manifestare il proprio consenso al trattamento dei dati da parte della Tiziana Life Sciences Plc, ovvero di esercitare i loro diritti con riferimento ai dati personali e all'utilizzo dei campioni biologici contenuti nella biobanca articolo 7, 13, 23, 90, 107 e 110 del Codice, aut. genumero cit. numero 8/2014, punti 5 e 6 . Detto provvedimento sancì l'obbligo, tra l'altro, di astenersi da ogni ulteriore trattamento dei dati degli interessati e utilizzo dei campioni biologici ad eccezione delle sole operazioni di trattamento necessarie per garantire un'adeguata conservazione dei dati e dei campioni biologici e di ricontattare gli interessati, al fine di rendere loro un'idonea informativa e raccogliere una nuova manifestazione di consenso nei termini illustrati nel provvedimento fornire adeguato riscontro alle eventuali richieste di esercizio dei diritti in tema di privacy da parte degli interessati . La società impugnò con ricorso ex articolo 152 c.p. e della L. numero 150 del 2011, articolo 10 il provvedimento dinanzi al Tribunale di Cagliari. Il Tribunale, respinta la richiesta di integrazione del contraddittorio nei confronti di tutti gli interessati al trattamento, avanzata dal Garante, ha accolto il ricorso ed ha annullato il provvedimento impugnato. Il Tribunale ha affermato che la fattispecie in esame non trovava disciplina nel codice della privacy ed ha ritenuto che il mutamento soggettivo del titolare del trattamento non comportasse la necessità della nuova informativa e della richiesta di consenso agli interessati. Il Garante ha proposto ricorso principale per la cassazione con due mezzi. Tiziana Life Sciences P.L.C. ha replicato con controricorso e ricorso incidentale condizionato con tre mezzi, al quale il Garante ha risposto con controricorso. Il Garante ha depositato memoria e così Tiziana Life Sciences P.L.C. Il Procuratore generale ha rassegnato conclusioni scritte, chiedendo l'accoglimento del secondo motivo del ricorso del Garante. Considerato che 1. In via preliminare è opportuno precisare che si controverte in merito al provvedimento numero 389 emesso dal Garante il 6/10/2016 pertanto al caso in esame si applica il codice della privacy D.Lgs. 30 giugno 2003, numero 196 nella stesura anteriore alle modifiche introdotte con il D.Lgs. 10 agosto 2018, numero 101 di adeguamento dell'ordinamento nazionale al regolamento UE 2016/679 del Parlamento Europeo e del Consiglio, del 27 aprile 2016, entrato in vigore il 25 maggio 2018 articolo 99, comma 2 del Regolamento . 2.1. Con il primo motivo del ricorso principale il Garante denuncia la violazione o falsa applicazione degli articolo 102 c.p.c. e della L. numero 241 del 1990, articolo 7 si duole che il Tribunale non abbia accolto la richiesta di disporre l'integrazione del contraddittorio nei confronti dei titolari dei dati contenuti nella biobanca. Sostiene che, nel presente caso, la sentenza non poteva essere pronunciata se non nei confronti di più parti e cioè, oltre che del Garante e di Tiziana Life Sciences, rispettivamente autore e destinataria del provvedimento opposto, necessariamente anche degli interessati che avevano prestato il consenso al trattamento dei dati conferiti all'originario titolare OMISSIS SPA. 2.2. Il motivo è infondato, in quanto gli interessati non sono litisconsorti nel processo che attiene all'esercizio dei compiti attribuiti al Garante che, quale autorità di controllo indipendente ex articolo 154 c.p. , è tenuta a riscontrare che i trattamenti siano effettuati nel rispetto della disciplina dettata dal c.p. applicabile allo specifico caso e ciò anche quando, come nel caso di specie, il provvedimento sia stato adottato anche a seguito di segnalazioni degli interessati ex articolo 144 CP gli interessati, invero, - se del caso - possono far valere individualmente i loro diritti attraverso altri e specifici strumenti di tutela, sia di tipo reale che rimediale. 3.1. Con il secondo motivo il Garante denuncia la violazione e/o falsa applicazione del D.Lgs. numero 193 del 2003, articolo 13, 23 e 26 nonché articolo 90 e del paragrafo 8.1. dell'Autorizzazione Generale al Trattamento dei dati genetici numero 8/2014. Il ricorrente sostiene che il consenso al trattamento dei dati personali è legato indissolubilmente all'intuitus personae e che il mutamento soggettivo del titolare imponeva la rinnovazione dell'informativa e della prestazione del consenso. 3.2.1. Il secondo motivo è fondato e va accolto. 3.2.2. La decisione in esame si fonda sull'assunto che non sia disciplinata da alcuna disposizione di legge la fattispecie in cui un nuovo succeda all'originario titolare del trattamento dei dati personali e che, per tale motivo, il mutamento del titolare del trattamento non renda sempre e comunque necessaria l'informativa e l'acquisizione di una nuova manifestazione di consenso da parte degli interessati fol.13/14 della sent. imp. , come invece ritenuto dal Garante nel provvedimento di blocco impugnato. Secondo il decidente di primo grado il provvedimento avrebbe, inoltre, esorbitato rispetto alle finalità di tutela degli interessati in quanto la società acquirente perseguiva le medesime finalità della cedente era società operante nel campo della ricerca scientifica il programma di ricerca doveva proseguire in terra sarda e i singoli interessati potevano esercitare i propri diritti, in conformità con le disposizioni del c.p. fol. 17/18 della sent. imp. . 3.2.3. La premessa in merito alla assenza di disciplina per la fattispecie in esame è errata e ciò si riverbera sulla complessiva decisione che va, conseguentemente, cassata per i motivi di seguito esposti. 3.3.1. La controversia riguarda, dunque, i temi della sussistenza di un onere informativo a carico della società cessionaria di una banca dati, nella specie genetica, e della doverosità o meno dell'acquisizione di un rinnovato consenso degli interessati. 3.3.2. Questa Corte ha già avuto modo di affermare, sia pure in relazione al trattamento di banche dati costituite sulla base di elenchi telefonici pubblici, che Il cessionario dei dati personali presenti nelle banche dati costituite sulla base degli elenchi telefonici pubblici non può lecitamente utilizzarli per fini promozionali se non prova di aver inoltrato l'informativa prescritta dal D.Lgs. numero 196 del 2003, articolo 13 cd. codice della privacy per l'acquisizione del consenso degli interessati all'utilizzazione dei dati di loro pertinenza. Cass. numero 17143 del 17/08/2016 . 3.3.3. Anche per quanto attiene al trattamento dei dati sensibili, ed in particolare, dei dati genetici, va affermato, contrariamente a quanto erroneamente assume il Tribunale, che la cessione dei dati non è priva di regolamentazione, risultando disciplinata dagli articolo 16 Cessazione del trattamento , 13 Informativa , 23 Consenso , 24 Casi nei quali può essere effettuato il trattamento senza consenso , 26 Garanzie per i dati sensibili , 90 Trattamento dei dati genetici e donatori di midollo osseo e 110 Ricerca medica, biomedica ed epidemiologica del c.p., in via generale, oltre che da disposizioni secondarie specifiche. 3.4.1. L'articolo 16, che disciplina la cessazione del trattamento prevede 1. In caso di cessazione, per qualsiasi causa, di un trattamento i dati sono a distrutti b ceduti ad altro titolare, purché destinati ad un trattamento in termini compatibili agli scopi per i quali i dati sono raccolti c conservati per fini esclusivamente personali e non destinati ad una comunicazione sistematica o alla diffusione d conservati o ceduti ad altro titolare, per scopi storici, statistici o scientifici, in conformità alla legge, ai regolamenti, alla normativa comunitaria e ai codici di deontologia e di buona condotta sottoscritti ai sensi dell'articolo 12. 2. La cessione dei dati in violazione di quanto previsto dal comma 1, lettera b , o di altre disposizioni rilevanti in materia di trattamento dei dati personali è priva di effetti. . 3.4.2. L' articolo 13 c.p. , che disciplina in dettaglio il previo onere informativo posto a carico di colui che attua il trattamento dei dati in favore dell'interessato o della persona presso la quale sono raccolti, prevede al comma 4 4. Se i dati personali non sono raccolti presso l'interessato, l'informativa di cui al comma 1, comprensiva delle categorie di dati trattati, è data al medesimo interessato all'atto della registrazione dei dati o, quando è prevista la loro comunicazione, non oltre la prima comunicazione. , salvo che - come previsto in deroga al comma 5 - 5. La disposizione di cui al comma 4 non si applica quando a i dati sono trattati in base ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria b i dati sono trattati ai fini dello svolgimento delle investigazioni difensive di cui alla L. 7 dicembre 2000, numero 397 , o, comunque, per far valere o difendere un diritto in sede giudiziaria, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento c l'informativa all'interessato comporta un impiego di mezzi che il Garante, prescrivendo eventuali misure appropriate, dichiari manifestamente sproporzionati rispetto al diritto tutelato, ovvero si riveli, a giudizio del Garante, impossibile. 3.4.3. Dalla lettura coordinata delle due disposizioni si evince che il trasferimento dei dati dal titolare originario ad un altro soggetto articolo 16, comma 1, lett. b , pur essendo consentito, dà luogo alla cessazione del trattamento originario - e non alla successione nello stesso -, comportando, quindi, l'inizio di un distinto trattamento ad opera del nuovo titolare, tenuto al rispetto della complessiva disciplina in tema di informativa e consenso. In tal modo viene esplicitato quanto già desumibile dall'articolo 4, comma 1, lett. a del c.p., ove la definizione di trattamento come qualunque operazione o complesso di operazioni, effettuati anche senza l'ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l'organizzazione, la conservazione, la consultazione, l'elaborazione, la modificazione, la selezione, l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca di dati non include, tra le operazioni di trattamento, la cessione dei dati ad altro titolare. Proprio per tale ragione, ove i dati non siano stati raccolti presso l'interessato, ma acquisiti a seguito di cessione dal precedente titolare, a tutela dell'interessato, grava sul nuovo titolare l'onere informativo nei sensi stabiliti dall'articolo 13, comma 4. Tuttavia, tale onere può essere derogato ove ricorrano le ipotesi di cui all'articolo 13, comma 5, lett. a e b - non applicabili al caso in esame -, ovvero risulti che la società abbia richiesto di accedere alla deroga di cui all'articolo 13, comma 5, lett. c . Va rimarcato che quest'ultima deroga - posta a garanzia dei diritti degli interessati e del novello titolare del trattamento - ha l'obiettivo di conciliare i reciproci diritti ed oneri e lo persegue chiamando il Garante a svolgere il concreto contemperamento degli interessi in gioco e ad individuare le modalità informative più confacenti alla specifica fattispecie, con la possibilità di giungere finanche a ravvisare l'impossibilità del rinnovo dell'informativa. Nel caso in esame, nonostante il Garante avesse indicato, nel provvedimento impugnato, la possibilità per la società di avvalersi di tale deroga, sembra di poter dedurre per implicito che questa non vi abbia dato seguito e non abbia attivato la relativa procedura. 3.4.4. Va quindi affermato che In tema di trattamento di dati personali sensibili, nella vigenza del codice della privacy D.Lgs. 30 giugno 2003, numero 196 - nella stesura anteriore alle modifiche introdotte con il D.Lgs. 10 agosto 2018, numero 101 di adeguamento dell'ordinamento nazionale al regolamento UE 2016/679 del Parlamento Europeo e del Consiglio, del 27 aprile 2016, entrato in vigore il 25 maggio 2018 articolo 99, comma 2, del Regolamento - il titolare del trattamento dei dati che abbia acquisito i dati o una banca dati a seguito di cessione da altro titolare è tenuto ad informare gli interessati ai sensi dell' articolo 13, comma 4, c.p. , a meno che la fattispecie non rientri nelle ipotesi in deroga previste dall' articolo 13, comma 5, c.p. e la deroga sia fatta valere alle condizioni previste . 3.5. Va, poi, considerata la questione dell'acquisizione del consenso ex articolo 23,24 e 26 CP . La disciplina generale del consenso è dettata dall' articolo 23 c.p. , che prevede 1. Il trattamento di dati personali da parte di privati o di enti pubblici economici è ammesso solo con il consenso espresso dell'interessato. 2. Il consenso può riguardare l'intero trattamento ovvero una o più operazioni dello stesso. 3. Il consenso è validamente prestato solo se è espresso liberamente e specificamente in riferimento ad un trattamento chiaramente individuato, se è documentato per iscritto, e se sono state rese all'interessato le informazioni di cui all'articolo 13. 4. Il consenso è manifestato in forma scritta quando il trattamento riguarda dati sensibili. La previsione del consenso scritto per i dati sensibili come definiti dall'articolo 4, comma 1, lett. d CP è rimarcata all'articolo 26, dedicato a questa tipologia di dati, che assoggetta il relativo trattamento anche alla preventiva ed imprescindibile autorizzazione del Garante, chiamato anche a prescrivere, ove necessario, misure e accorgimenti a garanzia dell'interessato, che il titolare del trattamento è tenuto a adottare comma 2 . Questa disposizione prevede anche la possibilità di procedere al trattamento dei dati sensibili senza consenso comma 4 , ma la assoggetta alla previa autorizzazione del Garante, sempre che ricorra una delle fattispecie previste dal medesimo comma. Altra possibile deroga alla prestazione del consenso è dettata, per i dati medico/sanitari, dall' articolo 110, comma 1 c.p. , ove è detto 1. Il consenso dell'interessato per il trattamento dei dati idonei a rivelare lo stato di salute, finalizzato a scopi di ricerca scientifica in campo medico, biomedico o epidemiologico, non è necessario quando la ricerca è prevista da un'espressa disposizione di legge che prevede specificamente il trattamento, ovvero rientra in un programma di ricerca biomedica o sanitaria previsto ai sensi del D.Lgs. 30 dicembre 1992, numero 502, articolo 12 e successive modificazioni, e per il quale sono decorsi quarantacinque giorni dalla comunicazione al Garante ai sensi dell'articolo 39. Il consenso non è inoltre necessario quando a causa di particolari ragioni non è possibile informare gli interessati e il programma di ricerca è oggetto di motivato parere favorevole del competente comitato etico a livello territoriale ed è autorizzato dal Garante anche ai sensi dell'articolo 40. , secondo un procedimento che attribuisce al Garante un ruolo decisivo, sia istruttorio che autorizzatorio. In tema di dati genetici l' articolo 90 c.p. risulta ancora più stringente, giacché stabilisce che Il trattamento dei dati genetici da chiunque effettuato è consentito nei soli casi previsti da apposita autorizzazione rilasciata dal Garante sentito il Ministro della salute, che acquisisce, a tal fine, il parere del Consiglio superiore di sanità. e rimette la previsione della disciplina di dettaglio più adeguata all'Autorizzazione rilasciata dal Garante, la quale individua anche gli ulteriori elementi da includere nell'informativa ai sensi dell'articolo 13, con particolare riguardo alla specificazione delle finalità perseguite e dei risultati conseguibili anche in relazione alle notizie inattese che possono essere conosciute per effetto del trattamento dei dati e al diritto di opporsi al medesimo trattamento per motivi legittimi articolo 90, comma 2 . 3.6. Sulla scorta della analisi della disciplina ripercorsa, va affermato che La cessione di dati o banche dati è consentita dal D.Lgs. numero 196 del 2003, articolo 16 tuttavia la cessione dei dati ad un terzo, ed il conseguente mutamento soggettivo del titolare del trattamento, determina l'avvio di un nuovo trattamento, a sua volta soggetto alle disposizioni generali in tema di informativa e di consenso in questo caso, il rinnovo dell'informativa e della raccolta del consenso può essere derogata, in misura più o meno ampia, solo ove ricorrano le specifiche condizioni previste dal codice della privacy per quanto riguarda i dati sensibili e i dati genetici , che costituiscono un sottoinsieme dei primi, la disciplina si connota di particolare rigore, temperato mediante il riconoscimento di poteri istruttori ed autorizzativi al Garante previsti dall' articolo 13, comma 5, articolo 26, comma 4, articolo 110, comma 1 CP . - che non possono essere derogati, essendo volta ad assicurare lo svolgimento del trattamento ritenuto meritevole di tutela per le finalità perseguite, senza intaccare in maniera significativa i diritti degli interessati. . 3.7.1. A ciò va aggiunto che tali conclusioni sono confermate, e non smentite, dalla lettura dell'Autorizzazione generale al trattamento dei dati genetici di riferimento, ex articolo 90 c.p. , numero 8 del 2014, vigente all'epoca, che non è stata rettamente utilizzata dal Tribunale a sostegno delle sue conclusioni fol.14 della sent. imp. . Le previsioni dell'Autorizzazione numero 8 del 2014, invero, non soccorrono nel caso di specie perché non riguardano la fattispecie relativa alla cessione dei dati ad altro titolare - normata nel codice della privacy -, ma - come va rimarcato - disciplinano il caso in cui sia l'originario titolare del trattamento a voler procedere a trattamenti ulteriori e diversi rispetto a quelli per cui aveva acquisito l'originario consenso informato, e stabiliscono, al par. 8, che il ribadito obbligo del titolare originario a rinnovare l'acquisizione del consenso informato per i nuovi trattamenti, possa subire dei temperamenti. 3.7.2. Resta così confermata, in linea generale, l'imprescindibilità del consenso informato in caso di cessione di una banca dati genetica, laddove non ricorrano le deroghe previste dall' articolo 13, comma 5, articolo 26, comma 4, articolo 110, comma 1 CP . 4.1. Va quindi, esaminato il ricorso incidentale condizionato svolto da Tiziana Life Sciences. 4.2.1. La ricorrente incidentale, con il primo motivo si duole che il giudice di primo grado, accolto il primo profilo del terzo motivo del ricorso originario, non si sia poi pronunciato sul secondo profilo sub b con il quale la società aveva sostenuta la necessità di procedere ad una lettura costituzionalmente orientata degli articolo 23,26 e 90 del Codice della Privacy , lamentando una eccessiva burocratizzazione del consenso difficilmente conciliabile con la tutela del progresso scientifico e tecnologico. 4.2.2. Il motivo è inammissibile. L'omessa motivazione o la valutazione negativa del giudice di merito, anche implicita, circa la rilevanza e la non fondatezza di una questione di legittimità costituzionale, non può costituire motivo di ricorso per cassazione perché il relativo provvedimento benché eventualmente ricompreso, da un punto di vista formale, in una sentenza ha carattere puramente ordinatorio, essendo riservato il relativo potere decisorio alla Corte costituzionale, e perché, d'altra parte, la stessa questione può essere riproposta in ogni grado di giudizio e quindi le omissioni non danno mai luogo a giudicato Cass. numero 4646 del 17/07/1980 Cass. numero 1358 del 18/02/1999 Cass. numero 25343 del 28/11/2014 numero 9284 del 16/04/2018 . Ne consegue che è inammissibile il motivo di ricorso per cassazione diretto - come nel caso di specie - a dolersi unicamente del mancato esame della questione di legittimità costituzionale di alcune norme, non potendo essere configurato a riguardo un vizio del provvedimento impugnato idoneo a determinarne l'annullamento da parte della Corte Cass. numero 14666 del 09/07/2020 . 4.3.1. Con il secondo motivo la ricorrente denuncia la nullità della sentenza ai sensi dell' articolo 132 c.p.c. , comma 4, e dell'articolo 118 disp. att. c.p.c., per motivazione apparente, perplessa e obiettivamente incomprensibile in relazione al rigetto del secondo motivo del ricorso principale proposto dalla società, con il quale questa aveva sostenuto che il Garante aveva adottato il provvedimento in violazione delle disposizioni che lo legittimavano ad emanare provvedimenti in via d'urgenza. 4.3.2. Il motivo è infondato. Nelle sentenze rese all'esito di un giudizio di impugnazione, è legittimo che la motivazione sia stringata ovvero espressa per relationem laddove il passaggio argomentativo/motivazionale, cui la doglianza per motivazione apparente si riferisce, richiami il contenuto del provvedimento amministrativo impugnato, noto alle parti cfr. Cass. numero 7251 del 07/04/2005 . Nel caso di specie, la sentenza è motivata sul punto, sia pure stringatamente, ove si afferma Ai fini della decisione in merito all'adozione del blocco, in considerazione della natura cautelare della predetta misura e tenuto conto degli elementi istruttori già acquisiti dal Garante, non era necessario compiere un'ulteriore attività istruttoria fol. 13 della sent. da ciò si coglie sia la esplicita considerazione della natura cautelare del provvedimento adottato, che la espressa valutazione circa la ravvisata sufficienza degli elementi istruttori già acquisiti, di modo che risulta fornita una risposta alle censure formulate, risultando così appagante e corretto il percorso argomentativo desumibile attraverso l'integrazione della parte motiva della sentenza con il contenuto del provvedimento. 4.4.1. Con il terzo motivo - relativo alla medesima statuizione oggetto del secondo - la società denuncia la violazione e/o falsa applicazione dell'articolo 154, comma 1, lett. d e articolo 143, comma 1, lett. c c.p., nonché dell'articolo 115 c.p.c., sostenendo che il Tribunale ha errato nel ritenere che il Garante era legittimato ad emanare il provvedimento ex articolo 143, comma 1, lett. c CP. e ciò perché non era ancora stata conclusa l'istruttoria preliminare. Ancora il Tribunale avrebbe errato, con violazione dell' articolo 115 c.p.c. perché non aveva posto a fondamento della decisione il fatto pacifico tra le parti - che l'istruttoria preliminare non si era ancora conclusa. 4.4.2. Il motivo è infondato. La circostanza invocata dalla ricorrente a sostegno della doglianza, e cioè il fatto che l'istruttoria preliminare non fosse ancora conclusa, non è conducente nel caso di specie. Ai sensi dell' articolo 154 c.p. il Garante ha una pluralità di compiti, che può assolvere, anche avvalendosi dell'Ufficio e in conformità alle disposizioni del CP vi rientra anche il compito di d vietare anche d'ufficio, in tutto o in parte, il trattamento illecito o non corretto dei dati o disporne il blocco ai sensi dell'articolo 143, e di adottare gli altri provvedimenti previsti dalla disciplina applicabile al trattamento dei dati personali articolo 154, comma 1, lett. d CP. Quanto al procedimento da seguire, l' articolo 143 c.p. stabilisce che il Garante può adottare i provvedimenti ivi previsti, tra i quali rientra anche il blocco del trattamento, una volta esaurita l'istruttoria preliminare, se ne sussistono i presupposti. Tale previsione, tuttavia, può essere derogata nei casi previsti dall' articolo 144 c.p. , ove è stabilito I provvedimenti di cui all'articolo 143 possono essere adottati anche a seguito delle segnalazioni di cui all'articolo 141, comma 1, lett. b , se è avviata un'istruttoria preliminare e anche prima della definizione del procedimento , dal che si desume che in tali casi per l'adozione del provvedimento è sufficiente l'avvio dell'istruttoria preliminare. Nel caso in esame, il provvedimento venne adottato ai sensi ai sensi dell'articolo 154, comma 1, lett. d , articolo 143, comma 1, lett. c , e articolo 144 c.p. , a seguito delle segnalazioni di numerosi interessati, donatori dei campioni biologici abitanti in OMISSIS , e la decisione del Tribunale v. sub 4.3.2. che ha ravvisato la legittimità del provvedimento impugnato sotto questo profilo risulta immune dai vizi denunciati. 5. In conclusione va accolto il secondo motivo del ricorso principale, infondato il primo il ricorso incidentale va rigettato essendo inammissibile il primo motivo e infondati gli altri la sentenza impugnata va cassata e la controversia va rinviata al Tribunale di Cagliari, in persona di altro magistrato, per il riesame della causa alla luce dei principi espressi e per provvedere alla regolamentazione delle spese del giudizio di legittimità. Ove dovuto, sussistono i presupposti per il raddoppio a carico della ricorrente incidentale del contributo unificato ai sensi del del D.P.R. numero 115 del 2002, articolo 13, comma 1 quater. P.Q.M. - Accoglie il secondo motivo del ricorso principale, infondato il ricorso incidentale cassa la sentenza impugnata e rinvia la causa al Tribunale di Cagliari in persona di altro magistrato anche per le spese - Ai sensi del D.P.R. numero 115 del 2002, articolo 13 , comma 1 quater dichiara la sussistenza dei presupposti per il versamento da parte della ricorrente incidentale, ove dovuto, dell'ulteriore importo a titolo di contributo unificato pari a quello dovuto per il ricorso.