[doc. web n. 10072669]

Provvedimento del 17 ottobre 2024

Registro dei provvedimenti
n. 619 del 17 ottobre 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE” (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, in www.gpdp.it, doc. web n. 1098801;

RELATORE l’avv. Guido Scorza;

PREMESSO

1. Il reclamo

Con reclamo presentato all’Autorità, il sig. XX per il tramite del proprio legale, avv. XX, ha lamentato alcune inosservanze della normativa in materia di protezione dei dati personali da parte del dott. Giancarlo Francini.

In particolare, il reclamante ha rappresentato, in relazione alla registrazione delle sedute di psicoterapia effettuate con strumenti audio (avvenute, in data 6 e 16 settembre 2019 presso lo studio del citato medico), di non aver ricevuto “alcuna informativa che lo rendesse edotto, tra l’altro, di quali fossero le modalità di trattamento e su quale fosse la base di legittimità sulle modalità di trattamento” e di non aver ricevuto riscontro all’istanza del XX, con la quale il medesimo reclamante aveva chiesto “(…) quali dati erano in possesso (…) (del dott. Francini)”, nonché “copia delle registrazioni, la documentazione privacy sottoscritta e/o presente presso (…) lo studio (informativa ai sensi dell’art. 13 del Regolamento) (e) le modalità di conservazione delle registrazioni e/o eventuale divulgazione delle medesime”.

2. L’attività istruttoria e le valutazioni del Dipartimento sulla condotta e sul trattamento effettuato. Notificazione della violazione di cui all’art. 166, comma 5, del Codice

Successivamente a tale reclamo, l’Ufficio, con nota del XX (prot. n. XX), ha invitato il citato medico, titolare del trattamento, a fornire informazioni, ai sensi dell’art. 157 del Codice, riguardanti i motivi del mancato riscontro all’interessato, nonché della lamentata omissione degli obblighi informativi di cui all’art. 13 del Regolamento.

A tale richiesta non seguiva alcun riscontro e, rilevata tale omissione, l’Ufficio, con atto del XX (prot. n. XX), ha notificato al titolare del trattamento, ai sensi dell’art. 166 del Codice, la violazione dell’art. 157 del Codice. 

Al contempo, con separata nota, del XX (prot. n. XX), l’Ufficio ha reiterato la richiesta di informazioni già inviata, come sopra indicato, con la citata nota del XX (prot. n. XX). Il titolare, in data XX, ha fornito riscontro, rappresentando, fra altro che:

- “quanto richiesto (dall’interessato) sarebbe stato fornito e sottoposto all'esame e alla firma dell'Avv. XX al terzo incontro ovvero quando il sottoscritto terapeuta avrebbe verificato che il percorso che le parti intendevano intraprendere sarebbe proseguito nel suo iter. Infatti i coniugi si sono recati da questo terapeuta soltanto due volte al fine di verificare reciprocamente la bontà del percorso dai medesimi intrapreso attraverso un'analisi della domanda che poteva "aprire" o meno allo stesso. Di fatto ciò non è avvenuto e il sottoscritto non ha ritenuto di applicare quanto in oggetto prima dell'inizio della terapia”;

- “in merito alle registrazioni, come è stato riferito all’avv. XX, non sono state effettuate e non risultano in archivio, anche perché, qualora fossero state fatte vengono distrutte dopo 6 mesi dalla fine del percorso; si precisa comunque che le medesime potrebbero in ogni caso essere rilasciate alla parte solo con il consenso di entrambe. In particolare, relativamente agli elementi di cui all’art. 83, paragrafo 2, si precisa che ci trovavamo all’epoca, ancora nella fase propedeutica al lavoro da svolgere che avrebbe previsto la raccolta dei dati sebbene non avesse avviato le registrazioni”.

In relazione alla documentazione in atti e a quanto dichiarato dal titolare del trattamento, l’Ufficio, con atto del XX (prot. n. XX) ha avviato, ai sensi dell’art. 166, comma 5, del Codice, il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2 del Regolamento nei confronti del dott. Giancarlo Francini, in qualità di titolare del trattamento, invitandolo a produrre al Garante scritti difensivi o documenti, ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, legge n. 689 del 24 novembre 1981).

A seguito di quanto emerso, l’Ufficio ha ritenuto che il sopra citato medico non aveva fornito riscontro all’istanza di esercizio dei diritti dell’interessato, di cui all’art. 15 del Regolamento, nei termini previsti dall’art. 12 del Regolamento medesimo, violando il principio di cui all’art. 5, lett. a) del Regolamento, nonché gli obblighi informativi di cui all’art. 13 del Regolamento medesimo per non aver reso all’interessato le informazioni circa i dati personali trattati.

Con il citato atto del XX (prot. n. XX), l’Autorità ha disposto riunione del procedimento in corso con quello già aperto con atto del XX (prot. n. XX) relativo all’omesso riscontro alla richiesta di informazioni dell’Autorità, in violazione dell’art. 157 del Codice; ciò, ai sensi dell’art. 10, comma 4, del Regolamento n. 1/2019, concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante, trattandosi di fattispecie riguardanti la medesima vicenda e il medesimo titolare del trattamento.

In tale contesto l’Autorità ha, altresì, evidenziato di aver preso atto del fatto che il titolare del trattamento, relativamente all’atto di avvio del procedimento per il mancato riscontro alla richiesta di informazioni di cui all’art. 157 del Codice non si è avvalso della facoltà di presentare scritti difensivi o documenti in ordine alla citata violazione (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. n. 689 del 24 novembre 1981).

Diversamente, in ordine a quanto contestato con l’atto di avvio del procedimento sanzionatorio del XX (prot. n. XX), il titolare del trattamento ha presentato una memoria difensiva con nota del XX, con la quale, ha, fra altro, rappresentato che:

“Al momento del primo incontro con il (…) (reclamante) (e signora) chiesi verbalmente l’autorizzazione alla video registrazione dell’incontro. Tale richiesta fu specificatamente motivata per poter raccogliere il materiale emerso dall’incontro e poterci lavorare in vista dell’incontro successivo, senza stare a prendere appunti in seduta. Tale approccio si rende necessario per non frapporre nell’ascolto della situazione particolarmente dolorosa o comunque importante dal punto di vista emotivo di coloro che si rivolgono ad una terapia psicoterapica o ad essa correlata. Al momento precisavo anche che tutto era coperto dal segreto professionale e che la vita delle registrazioni era strettamente connessa con la durata dell’eventuale trattamento”;

“dopo aver ricevuto (verbalmente) tale autorizzazione procedevo alla registrazione. Quindi avevo reso edotto il cliente delle registrazioni e della loro liceità sottoposta ad autorizzazione specifica, e il loro trattamento. L’incontro si era configurato come una fase di consultazione comprendente almeno 4 incontri: in realtà il trattamento non si avviò per precisa richiesta di interruzione da parte (…) (dell’interessato) stesso”;

“Oggi le persone che si rivolgono al mio studio ricevono documentazione chiara e specifica sul trattamento dei dati ed altro ancora compreso le registrazioni eventuali, prima di entrare in studio, direttamente in sala di attesa. Seppure in ritardo comunicavo all’avv. XX (legale del (…) (reclamante)) che nel 2023 io non ero più in possesso delle registrazioni poiché come a suo tempo spiegato al sig. XX nell’occasione del nostro primo incontro, le registrazioni vengono distrutte nel giro di 6 mesi dall’interruzione del trattamento e non se ne prevede alcuna divulgazione se non dietro specifica autorizzazione da parte dell’interessato e solo per eventuali motivi didattici o di ricerca”;

“Mi rendo conto di non aver fatto firmare, allora, alcuna documentazione poiché ritenevo sufficiente la descrizione verbale e l’autorizzazione verbale del cliente stesso. Da alcuni anni fa parte della procedura un attento e puntuale processo di informativa diretta ai clienti è una loro consapevole adesione attraverso una modulistica firmata da tutti i componenti familiari”;

“prendo atto di quanto addebitatomi dall’Autorità, faccio presente che agli errori commessi a suo tempo negli anni è stato posto rimedio avvalendosi di modulistica adeguata e affinata anche attraverso specifiche comunicazioni e aggiornamenti messi in atto dal nostro Ordine Professionale. Ritengo ad oggi certe mie leggerezze di allora, frutto sicuramente della fiducia riposta nei clienti e nella ricerca di un servizio il più sensibile possibile alle loro esigenze di ascolto e di accoglienza e da ritenersi, a mio modo di vedere, assolutamente in buona fede”. 

Sulla base di quanto dichiarato dal titolare del trattamento nella citata memoria difensiva, l’Ufficio con nota del XX (prot. n. XX) richiedeva - ai sensi dell’art. 157 del Codice - ulteriori elementi informativi al dott. Francini, con particolare riferimento alla nota riguardante la comunicazione effettuata all’Avv. XX, sebbene tardivamente, come sostenuto dal titolare medesimo; il titolare, in data XX, ha riscontrato tale richiesta inviando copia della nota indirizzata al legale del reclamante, datata XX.

3. Esito dell’attività istruttoria

Preso atto di quanto rappresentato nella documentazione in atti e nella memoria difensiva, evidenziando che il trattamento dei dati personali deve avvenire nel rispetto della normativa applicabile in materia di protezione dei dati personali e, in particolare, delle disposizioni del Regolamento e del Codice, si osserva quanto segue.

3.1 Mancato rispetto del principio di trasparenza (art. 5, par. 1, lett. a) e degli obblighi informativi di cui all’art. 13 del Regolamento)

Si premette, anzitutto che, ai sensi della legge 18 febbraio 1989, n. 56 (premesso dall’art. 9, comma 4, legge 11 gennaio 2018, n. 3), “la professione di psicologo (...) è ricompresa tra le professioni sanitarie di cui al decreto legislativo del Capo provvisorio dello Stato 13 settembre 1946, n. 233, ratificato dalla legge 17 aprile 1956, n. 561” (cfr. provv. 19 maggio 2022, doc. web n.  9774696, recante “Parere sullo schema di decreto del Ministro della salute, di concerto con il Ministro dell’economia e delle finanze, concernente il contributo per sostenere le spese relative a sessioni di psicoterapia, ai sensi dell’art. 1-quater, comma 3, del d,l. 228/2021” e, ex multis, in relazione alla individuazione dei nuovi soggetti obbligati alla trasmissione al Sistema TS di dati relativi alle spese sanitarie sostenute dalle persone fisiche per la dichiarazione precompilata, provv. 28 luglio 2016, n. 332, doc web n. 5407413, recante “Parere sullo schema di decreto del Mef con il quale vengono definiti i termini e le modalità per la trasmissione telematica all’Agenzia delle entrate dei dati relativi alle spese sanitarie diverse da quelle previste dal d.lgs. n. 175/2014 e alle spese veterinarie”; cfr. anche provv. 29 settembre 2021, n. 358, doc. web n. 9720448 e, da ultimo, provv. 24 novembre 2022, n. 387, doc. web n. 9844780).

In considerazione di quanto sopra, sussistendo un trattamento di dati personali dell’interessato da parte del dott. Francini, titolare del trattamento, rispetto a quanto da quest’ultimo lamentato nel reclamo, ovvero di non aver ricevuto “alcuna informativa che lo rendesse edotto, tra l’altro, di quali fossero le modalità di trattamento e su quale fosse la base di legittimità sulle modalità di trattamento”, il titolare del trattamento avrebbe dovuto - sulla base del principio di cui all’art. 5, par. 1, lett. a) del Regolamento, per il quale il titolare è tenuto a trattare i dati personali raccolti “(…) in modo lecito corretto e trasparente nei confronti dell’interessato (“liceità, correttezza e trasparenza”)”, nonché sulla base di quanto dispone l’art. 13 del Regolamento - fornire una informativa che rendesse edotto l’interessato circa le informazioni riguardanti il trattamento.

Infatti, quanto rappresentato dal dott. Francini con riguardo al fatto che non aveva rilasciato l’informativa ritenendo non ancora avviato il percorso terapeutico con il reclamante e la moglie (cfr. nota del titolare del XX: “(…) quanto richiesto (dall’interessato) sarebbe stato fornito e sottoposto all'esame (…) al terzo incontro ovvero quando il sottoscritto terapeuta avrebbe verificato che il percorso che le parti intendevano intraprendere sarebbe proseguito nel suo iter (…)”),  non esclude la responsabilità rispetto a tale omissione.  Il fatto di aver  effettuato le due sedute considerate propedeutiche all’avvio del percorso terapeutico con il reclamante, comporta, invero, l’avvenuta conoscenza delle problematiche evidenziate dal paziente per le quali erano state richieste prestazioni di psicoterapia, implicando una raccolta di dati personali, in tal caso relativi alla salute - e, pertanto, un trattamento ai sensi dell’art. 4, paragrafo 1, punto 2, del Regolamento - in relazione al quale tale titolare avrebbe dovuto fornire le informazioni di cui all’art. 13 del Regolamento.

3.2 Mancato riscontro all’istanza di esercizio del diritto di accesso (art. 12, in relazione all’art. 15 del Regolamento)

Sulla base degli elementi acquisiti a seguito dell’attività istruttoria, nonché delle successive valutazioni di questo Dipartimento, in ordine alla vicenda lamentata dal reclamante, risulta che il titolare del trattamento non ha fornito riscontro all’istanza di accesso ai dati personali dell’interessato, di cui all’art. 15 del Regolamento, nei termini previsti dall’art. 12 del Regolamento medesimo.

Nello specifico, all’istanza avanzata dall’interessato, per il tramite del proprio legale, in data XX, il dott. Francini non ha fornito risposta nei termini previsti dall’art. 12 del Regolamento. Il titolare ha risposto al legale del reclamante con una nota datata XX.

3.3 Mancato riscontro alla richiesta di informazioni dell’Autorità (art. 157 in relazione all’art. 166, comma 2, del Codice)

L’art. 157 del Codice prevede che “Nell’ambito dei poteri di cui all'articolo 58 del Regolamento e per l’espletamento dei propri compiti, il Garante può richiedere al titolare, al responsabile, al rappresentante del titolare o del responsabile, all'interessato o anche a terzi di fornire informazioni e di esibire documenti anche con riferimento al contenuto di banche di dati”.

Con riferimento alla vicenda in questione, non avendo il dott. Francini fornito riscontro alle informazioni richieste dall’Autorità con nota del XX (prot. n. XX) - inviata, a mezzo PEC, all’indirizzo giancarlofrancini@psypec.it - effettuate le verifiche del caso presso l’Ufficio che effettua il servizio di protocollazione presso l’Autorità, è accertata la violazione dell’art. 157 del Codice.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, tenuto conto delle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria e considerato che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell’art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”, gli elementi forniti dal titolare del trattamento nella memoria difensiva sopra richiamata, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con il richiamato atto di avvio del procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Pertanto, tutto quanto premesso, allo stato degli atti e delle dichiarazioni fornite, in relazione alla vicenda in questione, è accertata l’illiceità del trattamento effettuato dal dott. Giancarlo Francini, titolare del trattamento, il quale ha tenuto condotte: 

a) in violazione del principio di trasparenza di cui all’art. 5, par. 1, lett. a) e degli obblighi informativi di cui all’art. 13 del Regolamento per non aver reso all’interessato le informazioni circa i dati personali trattati;

b) in violazione dell’art. 12, in relazione all’art. 15 del Regolamento, per non aver fornito riscontro entro i termini previsti dall’art.12 citato, all’istanza con la quale l’interessato aveva esercitato il diritto di accesso ai dati ai sensi dell’art. 15 del Regolamento;

c) in violazione dell’art. 157 del Codice per non aver risposto alla richiesta di informazioni del Garante del XX (prot. n. XX).

Non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento, tenendo conto che la condotta ha esaurito i suoi effetti, anche per quanto attiene alla violazione concernente il mancato riscontro alla richiesta di accesso ai dati personali di cui agli artt. 12 in relazione all’art. 15 del Regolamento, considerato che, con riferimento all’oggetto della richiesta, il titolare ha rappresentato di aver distrutto le registrazioni in aderenza ai tempi di conservazione dichiarati e che il titolare ha risposto al legale dell’interessato con nota del XX.

Si ritiene, infine, che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

5. Adozione dell’ordinanza-ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

La violazione dell’art. 5, par. 1, lett. a) del Regolamento, degli artt.12, par. 3 - in relazione all’art. 15 - e 13 del Regolamento, nonché dell’art. 157 del Codice, causata dalle condotte poste in essere dal titolare del trattamento, è soggetta all’applicazione della sanzione amministrativa pecuniaria di cui all’art. 83, par. 5, del Regolamento. In particolare, con riferimento alla violazione dell’art. 157 del Codice, l’applicazione dell’art. 83, par. 5 del Regolamento è disposta dall’art. 166, comma 2, del Codice medesimo.

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83 del Regolamento, mediante l’adozione di una ordinanza-ingiunzione (art. 18 legge 24 novembre 1981 n. 689), in relazione al trattamento dei dati personali posto in essere dal dottor Giancarlo Francini, titolare del trattamento, di cui è stata accertata l’illiceità, nei termini sopra esposti.

Nel caso di specie, si è valutato che il dott. Francini ha posto in essere distinte condotte (mancato riscontro alla richiesta di informazioni ai sensi dell’art. 157 del Codice e mancato rispetto del principio di trasparenza e degli obblighi informativi). Nel calcolo della sanzione amministrativa, in applicazione dell’art. 83, par. 3, del Regolamento, si considerano unitamente le violazioni di cui ai punti a) e b) del precedente paragrafo 4, in quanto riferite all’inosservanza del principio di trasparenza e degli obblighi informativi nei confronti dello stesso interessato.  

5.1 La condotta in violazione del principio di trasparenza di cui all’art. 5, par. 1, lett. a, del Regolamento, degli obblighi informativi di cui all’art. 13 del Regolamento, nonché dell’art. 12, in relazione all’art. 15, del Regolamento medesimo di cui al precedente par. 4, lett. a) e b)

Con riferimento alla violazione del principio di trasparenza di cui di cui all’art. 5, par. 1, lett. a) e degli obblighi informativi di cui all’art. 13, nonché dell’art. 12, in relazione all’art. 15 del Regolamento, soggetta alla sanzione amministrativa pecuniaria di cui all’art. 83, par. 5, del Regolamento, l’importo totale della sanzione è da quantificarsi tenendo presente il massimo edittale cd “statico” stabilito da Regolamento, pari al limite massimo di euro 20.000.000.

Con riferimento agli elementi elencati dall’art. 83, par. 2 del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nell’ipotesi in esame, sono state tenute in considerazione le circostanze sotto riportate.

In tale circostanza, il livello di gravità, sulla base degli elementi di cui all’art. 83, par. 2, lett. a), b) e g) del Regolamento, è da considerarsi alto, tenuto conto del fatto che il titolare del trattamento, non ha fornito all’interessato le informazioni di cui all’art. 13 del Regolamento, né risposto all’istanza con la quale l’interessato medesimo ha esercitato il diritto di accesso ai sensi dell’art. 15, entro i termini previsti dall’art.12 del Regolamento, ma solo successivamente alla proposizione del reclamo al Garante, con nota del XX.

Sono stati, infine, considerati gli ulteriori elementi previsti dall’art. 83, par. 2, del Regolamento e, in particolare, che da parte del titolare del trattamento non sono state commesse violazioni pertinenti (art. 83, par. 2, lett. e) del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, per la condotta tenuta da titolare del trattamento nella vicenda in questione in violazione del principio di trasparenza di cui di cui all’art. 5, par. 1, lett. a) e degli obblighi informativi di cui all’art. 13, nonché dell’art. 12, in relazione all’art. 15 del Regolamento, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 6.000,00 (seimila/00).

5.2 La condotta in violazione dell’art. 157 del Codice di cui al precedente par. 4, lett. c)

Tenuto conto che la violazione dell’art. 157 del Codice, ai sensi dell’art. 166, comma 2, del Codice medesimo è soggetta alla sanzione amministrativa pecuniaria di cui all’art. 83, par. 5, del Regolamento, l’importo totale della sanzione è da quantificarsi tenendo presente il massimo edittale cd “statico” stabilito da Regolamento, pari al limite massimo di 20.000.000 di euro.

Con riferimento agli elementi elencati dall’art. 83, par. 2 del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nell’ipotesi in esame, sono state tenute in considerazione le circostanze sotto riportate.

Si ritiene che, in tale circostanza, il livello di gravità, sulla base degli elementi di cui all’art. 83, par. 2, lett. a) e b) del Regolamento, è da considerarsi lieve, tenuto conto del fatto che il titolare del trattamento ha comunque risposto alla reiterata proposizione della richiesta di informazioni, effettuata con nota dell’Autorità del XX.

Sono stati, inoltre, considerati gli ulteriori elementi previsti dall’art. 83, par. 2, del Regolamento e, in particolare, che da parte del titolare del trattamento non sono state commesse violazioni pertinenti (art. 83, par. 2, lett. e) del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, per la violazione dell’art. 157 del Codice da parte del titolare del trattamento nella vicenda in questione, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 500,00 (cinquecento/00).

*          *         *

Alla luce di quanto sopra, la quantificazione totale della sanzione risulta pari a euro 6.500,00 (seimilacinquecento/00) e si ritiene che tale sanzione sia effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, del Regolamento.

5.3. Valutazioni aggiuntive e sanzione accessoria della pubblicazione dell’ordinanza-ingiunzione

Tenuto conto della natura dei dati relativi alla salute il cui trattamento è oggetto della vicenda in questione, nonché della condotta omissiva del titolare con riferimento agli obblighi di trasparenza e alla materia dei diritti degli interessati, avendo risposto all’interessato solo successivamente alla proposizione del reclamo al Garante, si ritiene, altresì, che ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo, contenente l'ordinanza-ingiunzione, sul sito Internet del Garante.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara l’illiceità del trattamento dei dati personali effettuato dal dott. Giancarlo Francini, C.F. XX, per la violazione del principio di trasparenza di cui all’art. 5, par. 1, lett. a, del Regolamento, degli obblighi informativi di cui all’art. 13 del Regolamento, dell’art. 12, in relazione all’art. 15, del Regolamento medesimo, nonché dell’art. 157 del Codice, nei termini di cui in motivazione;

ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al dott. Giancarlo Francini, titolare del trattamento, di pagare la somma di euro 6.500,00 (seimilacinquecento/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento;

INGIUNGE

quindi, al predetto titolare, di pagare la somma di euro 6.500,00 (seimilacinquecento/00) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/198. Si rappresenta che ai sensi dell’art. 166, comma 8 del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento - secondo le modalità indicate in allegato- di un importo pari alla metà della sanzione irrogata entro il termine di cui all'art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato.

DISPONE

- ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza-ingiunzione sul sito internet del Garante;
- ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

- ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’Autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 17 ottobre 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei