[doc. web n. 2618747]

Ordinanza di  ingiunzione nei confronti di Terme di Agnano s.p.a. - 20 giugno 2013

Registro dei provvedimenti
n.  303 del 20 giugno 2013

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Nucleo speciale privacy della Guardia di finanza, in esecuzione della richiesta di informazioni ai sensi dell´art. 157 del d.lg. 30 giugno 2003, n. 196 recante Codice in materia di protezione dei dati personali (di seguito denominato Codice) nr. 15250/53969 del 30 giugno 2010 formulata da questa Autorità, ha svolto un´attività di controllo nei confronti di Terme di Agnano s.p.a. P.I.: 00642490635, con sede in Napoli, via Agnano Astroni n. 24, formalizzata nel verbale di operazioni compiute redatto in data 6 ottobre 2010, a fronte della quale e delle successive valutazioni sulla documentazione acquisita in sede di controllo, è stato accertato che la società tratta dati personali, anche di natura sensibile, degli interessati che effettuano le cure termali sia in convenzione con il SSN che a pagamento, omettendo di rendere l´informativa ai sensi dell´art. 13 del Codice (rilievo n. 1) e senza acquisire il consenso ai sensi dell´art. 23 del Codice (rilievo n. 2). Ha, inoltre accertato che la società in parola tratta i dati personali degli interessati che inviano i loro curricula tramite il link recruiting@termediagnano.com, presente nel sito Internet www.termediagnano.it, senza rende l´informativa di cui all´art. 13 del Codice (rilievo n. 3);

VISTO il verbale n. 103/2010 del 9 dicembre 2010 con cui sono state contestate alla predetta società, in persona del legale rappresentante pro-tempore due violazioni amministrative previste dall´art. 161 che punisce la violazione dell´art. 13 del Codice (rilievi nn.rr. 1 e 3) e una violazione prevista dall´art.162, comma 2-bis che punisce la violazione delle disposizioni indicate nell´art. 167 del Codice (rilievo n. 2), tra le quali quelle di cui all´art. 23 del medesimo Codice;

ESAMINATO il rapporto del predetto Nucleo speciale ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale di contestazione per violazione amministrativa redatto in data 9 dicembre 2010 nei confronti di Terme di Agnano s.p.a. per le due violazioni dell´art. 13 e per la violazione dell´art. 23 del Codice, dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo inviato ai sensi dell´art. 18 della legge n. 689/1981, con il quale, la società ritiene che le attività di controllo poste in essere dalla Guardia di finanza in attuazione della richiesta di informazioni formulata dall´Autorità ai sensi dell´art. 157 del Codice, in effetti siano peculiari del distinto potere di accesso previsto dall´art. 158 del Codice per il quale l´organo accertatore non era delegato. Inoltre, lamenta "(…) la mancata comunicazione dell´avvio del procedimento  nonché del responsabile dello stesso (…)" in violazione degli "(…) art. 4,5 e 7 della legge 241/1990 (…)". Riguardo la violazione di cui all´art. 161 del Codice afferente il rilievo n. 1, ha richiamato i Documenti programmatici sulla sicurezza relativi al 2006 e al 2010, ribadendo le finalità dei trattamenti effettuati (di erogazione del servizio alberghiero e di cure termali), nonché  le modalità degli stessi (raccolta dei dati personali con strumenti elettronici). Relativamente alla violazione di cui all´art. 162, comma 2-bis del Codice afferente il rilievo n. 2, la società, sottolineando di aver "(…) sempre sottoposto l´informativa ex art. 13 codice privacy", ritiene applicabile al caso di specie quanto previsto dall´art. 24 del Codice;

VISTO il verbale di audizione delle parti dell´11 giugno 2012 nel quale la società, oltre a ribadire quanto argomentato negli scritti difensivi, ha evidenziato "(…) che la richiesta di informazioni ai sensi dell´art. 157 del Codice è stata notificata (…) in assenza del legale rappresentante, ed in ogni caso a persone non espressamente delegate dallo stesso", rilevando, altresì "(…) che tutte le operazioni si sono svolte in assenza del legale rappresentante della Società". Evidenzia anche di trattare i dati dei propri clienti esclusivamente "(…) per finalità amministrative e contabili, limitandosi a raccogliere le prenotazioni per le cure mediche che verranno erogate dalla Associazione Mediterm. E´ quindi quest´ultima che tratta i dati sensibili dei clienti";

RITENUTO che le argomentazioni addotte risultano idonee solo parzialmente in relazione agli illeciti accertati. Con riferimento al potere in base al quale è stata effettuata l´attività di controllo, si evidenzia come la richiesta di informazioni ed esibizione di documenti, di cui all´art. 157 del Codice sia un´attività di acquisizione di informazioni e documenti che, nel caso di specie, è stata ritualmente effettuata e documentata con la redazione di un verbale di operazioni compiute descrittivo di quanto riferito spontaneamente dai soggetti interpellati. L´attività presuppone la collaborazione del soggetto ispezionato che, nel caso di specie, risulta essersi pienamente realizzata. Peraltro, la richiesta di informazioni notificata al momento del controllo, indica chiaramente che il destinatario è invitato a fornire tutte le informazioni e i documenti richiesti all´ "organo incaricato di notificare la presente richiesta" e prevede anche la possibilità per il destinatario di inviare informazioni e documenti all´Autorità entro un certo termine (15 gg.) dalla notifica, facoltà di cui la società si è peraltro avvalsa con l´invio di una nota in data 20 ottobre 2010. Il citato art. 158 consente, invece, di effettuare accessi in forma autoritativa anche contro la volontà del soggetto ispezionato. Nel caso dell´ispezione nei confronti delle Terme di Agnano s.p.a., le informazioni risultano essere state fornite spontaneamente dal sig. Salvatore Papaluca nella sua qualità di responsabile amministrativo della società "(…) delegato telefonicamente da SPADAFORA Vincenzo (legale rappresentante della società) a rappresentare la società". Quanto detto consente, pertanto,  di qualificare l´attività di controllo effettuata dalla Guardia di finanza, come rispondente al modello legale previsto dal citato art. 157 del Codice, ciò rendendo  lecitamente acquisita agli atti del procedimento sia la documentazione che le informazioni di cui al verbale del 6 ottobre 2010. Anche riguardo le argomentazioni relative agli aspetti connessi al procedimento sanzionatorio, si evidenzia come la Corte di Cassazione si sia ripetutamente espressa nel senso che "nelle fattispecie regolate dalle norme di cui alla legge 24 novembre 1981 n. 689 in materia di irrogazione di sanzioni amministrative, non trovano applicazione le disposizioni sulla partecipazione degli interessati al procedimento amministrativo (art. 7 legge 241/1990), le quali configurano una normativa generale su cui prevale la legge speciale, in quanto idonea – mediante i meccanismi di informazione e di difesa previsti dagli artt. 17 e 18 – ad assicurare garanzie di partecipazione non inferiori al minimum prescritto dalla anzidetta normativa" (Cass. Civile Sez. Lavoro, sent. n. 3254 del 5 maggio 2003). In questo ambito la comunicazione di avvio del procedimento è da individuarsi nell´atto di contestazione della violazione amministrativa, regolarmente notificato all´amministratore della società in data 28 dicembre 2010 e la partecipazione dello stesso in nome e per conto della società risulta essersi pienamente realizzata attraverso l´invio di scritti difensivi e l´audizione. Riguardo la violazione di cui all´art. 161 del Codice afferente il rilievo n. 1, quanto argomentato risulta inconferente rispetto a quanto contestato. Sul punto risulta pienamente documentato in atti che "I verbalizzanti danno atto che, al banco dell´accettazione non sono presenti né moduli di informativa né di raccolta del consenso. (…). Lo stesso personale non è stato in grado di riferire sulle modalità di resa dell´informativa agli interessati". Relativamente alla violazione di cui all´art. 162, comma 2-bis del Codice relativa al rilievo n. 2, occorre evidenziare come, diversamente da quanto ritenuto, i trattamenti effettuati dalla società, anche tenendo conto del ruolo svolto dall´associazione Mediterm, sono tra quelli per i quali il Codice richiede il consenso scritto degli interessati, perché finalizzato alla tutela della salute e dell´incolumità fisica degli stessi (artt. 75 e seg. del Codice), ove, nello specifico, deve porsi attenzione alla disposizione dell´art. 81 del Codice che individua, a carico sia di soggetti pubblici che privati, specifiche modalità semplificate per raccogliere il consenso. Secondo tale disposizione, il consenso può essere manifestato anche oralmente, ma è necessario, in ogni caso, che sia documentato per iscritto da parte dell´esercente la professione sanitaria o da parte dell´organismo sanitario che, nella fattispecie, è privato. L´applicabilità, al caso di specie, delle disposizioni contenute nella Parte II, titolo V del Codice, non vale comunque ad escludere la parte dall´obbligo di documentare per iscritto il consenso dei pazienti, obbligo che non risulta essere stato assolto al momento dell´accertamento. Sotto questo aspetto, dunque, la disposizione di cui all´art. 23 è perfettamente coerente con quella di cui all´art. 81;

RITENUTO, invece, che, riguardo il rilievo n. 3, la condotta oggetto di contestazione riguarda l´invio spontaneo di curricula trasmessi dagli interessati ai fini dell´eventuale instaurazione del rapporto di lavoro in ordine al quale il Garante, già con il provvedimento datato 10 gennaio 2002 (in www.garanteprivacy.it, doc web n. 1064553), aveva chiarito l´insussistenza dell´obbligo di rendere un´informativa preventiva, indirizzo successivamente confermato a seguito dell´introduzione del comma 5 bis all´art. 13 del Codice, con il d.l. 13 maggio 2011 n. 70, convertito dalla legge 12 luglio 2011 n. 106. Ragioni per le quali la sanzione prevista dall´art. 161 del Codice riconducibile allo specifico illecito di che trattasi deve essere archiviata;

RILEVATO che la società ha quindi effettuato un trattamento di dati (art. 4 comma 1, lett. a) e d) del Codice) anche di natura sensibile degli interessati che effettuano le cure termali, omettendo di rendergli l´informativa ai sensi dell´art. 13 del Codice e senza acquisire il  loro consenso ai sensi del combinato disposto di cui agli artt. 23 e 81 del Codice;

VISTO l´art. 161 del Codice che punisce la violazione dell´art. 13 del medesimo Codice con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro;

VISTO l´art. 162, comma 2-bis, del Codice, che punisce la violazione delle disposizioni indicate nell´art. 167 del Codice, tra le quali quelle di cui all´art. 23 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore e che pertanto l´ammontare della sanzione pecuniaria di cui alla violazione di cui all´art. 161 deve essere quantificato nella misura di euro 6.000,00 (seimila), mentre l´ammontare della sanzione pecuniaria di cui alla violazione di cui all´art. 162, comma 2-bis  deve essere quantificato nella misura di euro 10.000,00 (diecimila), per un importo complessivo pari a euro 16.000,00 (sedicimila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Licia Califano;

DISPONE

l´archiviazione del procedimento amministrativo sanzionatorio con riferimento alla violazione amministrativa prevista dall´art. 161 del Codice per gli interessati che inviano i loro curricula tramite il link recruiting@termediagnano.com, presente nel sito Internet www.termediagnano.it di cui al rilievo n. 3;

ORDINA

a Terme di Agnano s.p.a. P.I.: 00642490635, con sede in Napoli, via Agnano Astroni n. 24, nella persona del legale rappresentante pro tempore, di pagare la somma di euro 16.000,00 (sedicimila) a titolo di sanzione amministrativa pecuniaria per le violazioni previste dagli artt. 161 e 162, comma 2-bis del Codice;

INGIUNGE

alla medesima società di pagare la somma di euro 16.000,00 (sedicimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 20 giugno 2013

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia