g-docweb-display Portlet

Ordinanza di ingiunzione nei confronti di BonassisaLab s.r.l. - 16 dicembre 2009 [1717790]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 1717790]

Ordinanza di ingiunzione nei confronti di BonassisaLab s.r.l.  - 16 dicembre 2009

Registro delle deliberazioni
Del. n. 17 del 29 aprile 2009

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Filippo Patroni Griffi, segretario generale;

ESAMINATO il rapporto dell´Ufficio del Garante predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale di contestazione per violazione amministrativa redatto in data 19 maggio 2008 nei confronti di BonassisaLab s.r.l., con sede in Foggia, viale degli aviatori n. 75, in persona del legale rappresentante pro-tempore, per la violazione degli articoli 37 e 38 del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2006, n. 196, di seguito denominato "Codice");

RILEVATO che il Nucleo speciale funzione pubblica e privacy della Guardia di finanza in attuazione della richiesta di informazioni ex art. 157 del Codice (n. 17357 datata 30 agosto 2006) e su specifica delega di questa Autorità (n. 17356 del 30 agosto 2006), ha svolto accertamenti di cui al verbale di operazioni compiute del 26 ottobre 2006;

ESAMINATA la documentazione acquisita in relazione alla richiesta n.19591 del 27 novembre 2007 dalla quale è risultato che la predetta società effettua, in qualità di titolare, trattamenti di dati personali previsti dall´art. 37, comma 1, lett. b) del Codice senza aver effettuato la notificazione al Garante nelle forme previste dagli artt. 37 e 38 del Codice;

VISTO il verbale n. 11840/50792 del 19 maggio 2008 con cui si è contestata alla predetta società la violazione prevista dall´art. 163 del Codice in relazione all´art. 37, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

RILEVATO dal predetto rapporto che non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo inviato ai sensi dell´art. 18 della legge n. 689/1981 con il quale la società, asserisce che "(…) debba trovare piena applicazione la deliberazione del 31.3.2004 (…) che ha sottratto all´obbligo di notificazione al Garante i casi (…) oggetto della contestazione che si impugna.", poiché per effetto del paragrafo A) punto 2) del citato provvedimento, si ravvisa la non sistematicità delle attività oggetto della contestazione, atteso che, rispetto ad un numero complessivo di circa 20.000 analisi effettuate annualmente anche a privati cittadini, quelle "(…) sulle persone fisiche rientranti nell´ambito della casistica di cui alla richiamata lett. b )- sono- 5 per HIV e 26 per anti HCV (…)"; ciò considerando, altresì, che i dati personali trattati "(…) non sono organizzati (…) in nessuna banca di dati accessibile a terzi per via telematica". Inoltre, l´accertamento della violazione è avvenuto esclusivamente in base a quanto asserito dalla società nella nota inviata il 13 dicembre 2007. Riguardo tale circostanza, gli elementi raccolti, se forniti solo dall´autore della presunta violazione, non possono costituire esclusivo strumento di accertamento poiché, ai sensi dell´art. 13 della legge n. 689/1981, si rende necessario procedere ad una ulteriore attività istruttoria volta a verificare i presupposti sanzionatori;

VISTO il verbale di audizione delle parti datato 20 maggio 2009 nel quale la società, ribadendo quanto riportato nello scritto difensivo, ha evidenziato la violazione dell´art. 13 della legge n. 689/1981, anche relativamente al fatto di non essere stata messa "(…) in condizioni di difendersi (…) se non dopo la notificazione dell´atto oggi impugnato". Inoltre, considerato che la già Bonassisa s.a.s. era una società di persone e che l´odierna Bonassisa Lab s.r.l. è una società a socio unico, si ritiene applicabile quanto previsto al paragrafo A) punto 2) del provvedimento del Garante datato 31 marzo 2004, ove, peraltro, si consideri che il Codice "(…) non differenzia le persone fisiche da quelle giuridiche che hanno entrambe personalità giuridica e sono equiparate fra di loro a ogni effetto di legge". Si evidenzia, altresì,  che "all´epoca della presunta violazione, titolare dell´attività era la Bonassisa s.a.s. e non la BonassisaLab s.r.l. e, poiché le sanzioni amministrative non possono avere carattere successorio, si ritiene illegittima quella oggi comminata alla BonassisaLab s.r.l.";

RITENUTO che le argomentazioni addotte dalla società non risultano idonee in relazione alla contestazione della violazione amministrativa per omessa notificazione, con cui si è dato avvio al procedimento, in quanto, i casi di esclusione della notificazione di cui al provvedimento del Garante n. 1 del 31 marzo 2004 (in www.garanteprivacy.it, doc. web n. 852561) relativi alla lett. b) del comma 1 dell´art. 37, come specificato anche nella nota del 26 aprile 2004 (in www.garanteprivacy.it, doc. web n. 996680) in relazione ai quesiti relativi a trattamenti in ambito sanitario da notificare al Garante, non operano per i trattamenti effettuati da strutture sanitarie pubbliche o private (quali le aziende sanitarie, case di cura, ambulatori polispecialistici, laboratori di analisi cliniche e diagnostiche) essendo stati previsti chiaramente solo, ed esclusivamente, nei riguardi di singole persone fisiche esercenti professioni sanitarie. Ne consegue che la non sistematicità del trattamento e il fatto che i dati personali non siano organizzati in banche dati accessibili a terzi per via telematica, sono rilevanti quali cause di esclusione dall´obbligo di notificazione solo a condizione che il titolare del trattamento sia un esercente la professione sanitaria ovvero una persona fisica. Tale condizione non è riscontrabile nel caso di specie, atteso che BonassisaLab s.r.l., titolare del trattamento dei dati, è una persona giuridica. La violazione in argomento è stata contestata successivamente alla cessione di ramo di azienda del 20 novembre 2007 (che ha determinato il mutamento di ragione sociale e forma societaria da Bonassisa s.a.s. a BonassisaLab s.r.l.), sulla base di informazioni, fornite dalla società nell´ambito di un´attività istruttoria, quindi, pienamente e direttamente utilizzabili per motivare atti (anche di natura sanzionatoria). Circa, inoltre, la limitazione del diritto di difesa, deve evidenziarsi che la lesione appare di fatto insusssistente atteso che l´atto d´avvio del procedimento sanzionatorio (contestazione) risulta regolarmente notificato e che la società ha utilizzato tutte le possibilità previste dalla legge n. 689/1981 inviando memorie  e chiedendo l´audizione (effettuata il 20 maggio 2009). Riguardo la richiamata disciplina dell´art. 13 della legge n. 689/1981, si evidenzia che l´art. 157 del Codice qualifica la richiesta di informazioni e l´esibizione di documenti quali principali mezzi istruttori dell´attività del Garante, prevedendo che tali attività istruttorie possano essere rivolte al titolare del trattamento, al responsabile o anche a terzi, individuando una specifica responsabilità sia di natura amministrativa nei confronti di chi omette di fornire le informazioni o esibire i documenti richiesti (art. 164 del Codice), che di natura penale nei confronti di chi dichiara o attesta falsamente, tra gli altri, notizie e circostanze o produce atti o documenti falsi (art. 168 del Codice). Ne discende che la raccolta di informazioni è, di per sé, strumento idoneo all´accertamento della violazione. Va da ultimo evidenziato che il procedimento sanzionatorio è stato avviato nei confronti della nuova società (BonassisaLab s.r.l.) che è stata individuata come tenuta all´adempimento e sanzionata per non averlo attuato, con la conseguenza che non si realizza nessuna trasmissione di obblighi disciplinato dall´art. 7 della legge n. 689/1981;

RILEVATO che l´attività svolta dalla società configura un trattamento di dati personali (art. 4, comma 1, lett. a) e b), del Codice) per il quale doveva essere assolto tempestivamente l´obbligo di effettuare la notificazione del trattamento all´Autorità ai sensi e nei modi previsti dagli artt. 37, comma 1, lett. b) e 38 del Codice;

CONSIDERATO che la società, anche successivamente allaccertamento, non risulta aver proceduto alla notificazione;

VISTO l´art. 163 del Codice, nella formulazione antecedente alla modifica apportata con D.L. n. 207 del 30 dicembre 2008, convertito con legge n. 14/2009, che punisce la violazione delle disposizioni di cui all´art. 37 e 38 con la sanzione amministrativa del pagamento di una somma da diecimila euro a sessantamila euro e con la sanzione amministrativa accessoria della pubblicazione dell´ordinanza-ingiunzione;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni ed integrazioni;

RITENUTO di dover determinare l´ammontare della sanzione pecuniaria, avuto riguardo ai parametri indicati nell´art. 11 della legge 24 novembre 1981 n. 689, valutati anche in relazione all´attività svolta e al genere di trattamento di dati personali, nella misura del minimo pari alla somma di diecimila/00 euro;

RITENUTO di dover applicare la sanzione accessoria della pubblicazione, avuto riguardo alla gravità della violazione valutata alla luce dei predetti parametri e circostanze, nella misura ritenuta congrua della sola pubblicazione per estratto, per una sola volta e su una sola testata giornalistica a livello locale, identificata nel "Corriere del Mezzogiorno";

VISTA la documentazione in atti;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE dr. Giuseppe Chiaravalloti;

ORDINA

a BonassisaLab s.r.l., con sede in Foggia, viale degli aviatori n. 75, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione dell´art. 163 del Codice, indicata in motivazione;

DISPONE

la pubblicazione a cura dell´Ufficio della presente ordinanza-ingiunzione a titolo di sanzione amministrativa accessoria prevista dall´art. 163 del Codice, per estratto e per una sola volta, sulla testata giornalistica  "Corriere del Mezzogiorno";

INGIUNGE

alla medesima impresa di pagare la somma di euro 10.000,00 (diecimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento e dell´avvenuta pubblicazione dell´estratto dell´ordinanza;

DA´ ATTO CHE

avverso il presente provvedimento, ai sensi dell´art. 152 del Codice, può essere proposta opposizione davanti al tribunale ordinario del luogo ove ha sede il titolare del trattamento entro il termine di trenta giorni dalla notificazione del presente provvedimento.

Roma, 16 dicembre 2009

IL PRESIDENTE
Pizzetti

IL RELATORE
Chiaravalloti

IL SEGRETARIO GENERALE
Patroni Griffi