[doc. web n. 9073743]

Ordinanza ingiunzione nei confronti di I.N.M.I. Lazzaro Spallanzani - 25 ottobre 2018

Registro dei provvedimenti
n. 475 del 25 ottobre 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale; 

RILEVATO che l’Ufficio del Garante per la protezione dei dati personali (si seguito Garante), con la nota n. 11026 del 12 aprile 2018, ha definito il procedimento amministrativo relativo a un reclamo, accertando che l’I.N.M.I. Lazzaro Spallanzani I.R.C.C.S. Cod. fisc.: 05080991002, con sede in Roma, via Portuense n. 292, in persona del legale rappresentante pro-tempore, ha diffuso on line dati personali della reclamante contenuti nell’oggetto delle Deliberazioni del Direttore generale n. 754 del 7 gennaio 2017 e n. 820 del 29 dicembre 2017 visibili sul sito web istituzionale www.inmi.it, oltre il periodo di 15 giorni previsto dall’art. 31 della legge regionale del Lazio n. 45/1996 e, dunque, in assenza di un idoneo presupposto normativo in violazione dell’art. 19, comma 3 del Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196 – nel seguito, “Codice”);

VISTO il verbale n. 17339/122745 del 7 giugno 2018 con cui è stata contestata dall’Ufficio del Garante all’I.N.M.I. Lazzaro Spallanzani I.R.C.C.S., in persona del legale rappresentante pro-tempore la violazione amministrativa prevista dall’art. 162, comma 2-bis, del Codice, in relazione all’art. 19, comma 3, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell’art. 16 della legge n. 689/1981;

ESAMINATO il rapporto dell’Ufficio del Garante predisposto ai sensi dell’art. 17 della legge 24 novembre 1981, n. 689, dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo pervenuto in data 17 luglio 2018 e inviato ai sensi dell’art. 18 della legge n. 689/1981, con il quale l’I.N.M.I. Lazzaro Spallanzani I.R.C.C.S. ha osservato come “Dall’esame del provvedimento (verbale di contestazione n. 17339/122745 del 7 giugno 2018) si evince che esso è stato emanato a conclusione di un procedimento istruito nei mesi precedenti (…) ma pur sempre assunto in data 07/06/18, ossia quando era già divenuto pienamente efficace il Regolamento Generale sulla Protezione dei dati 2016/679.

L’art. 83, al paragrafo 2, prevede che -Al momento di decidere se infliggere una sanzione amministrativa pecuniaria e di fissare l'ammontare della stessa in ogni singolo caso si tiene debito conto dei seguenti elementi:….-.

E’ manifesto che la lettera di tale norma è ben diversa da quella dell’articolo 162, comma 2bis, del D.Lgs 196/03(…).

L’art. 83 sopra citato, nello stesso paragrafo 2, prosegue elencando i fattori che devono essere considerati caso per caso dall’Autorità Garante per valutare le attività di trattamento e per ponderarne le modalità di esecuzione da parte del titolare, nonché per pervenire alla determinazione finale di comminare o meno una sanzione amministrativa pecuniaria, e ove propenda per l’inflizione, per quantificarne l’entità.

Il considerando 148 del Regolamento, dal canto suo, chiarisce che -  In caso di violazione minore (…) potrebbe essere rivolto un ammonimento anziché imposta una sanzione pecuniaria -.

Le linee guida riguardanti l’applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679 del Gruppo di lavoro art. 29 per la protezione dei dati, adottate il 3 ottobre 2017 (…) a pag. 9 spiegano che - Il considerando 148 introduce la nozione di “violazioni minori”. Tali violazioni possono consistere nella violazione di una o più disposizioni del regolamento elencate all’articolo 83, paragrafo 4 o 5. La valutazione dei criteri di cui all’articolo 83, paragrafo 2, può tuttavia spingere l’autorità di controllo a ritenere che nelle circostanze concrete del caso la violazione, ad esempio, non crei un rischio significativo per i diritti degli interessati in questione e non incida sull’essenza dell’obbligo in questione. In tali casi, la sanzione può essere sostituita (ma non sempre) da un ammonimento. Il considerando 148 (…)prevede (…) una possibilità, dopo la valutazione concreta di tutte le circostanze del caso.

Il legislatore comunitario mette quindi l’Autorità nazionale nelle condizioni di non comminare affatto una sanzione amministrativa pecuniaria qualora rinvenga nella fattispecie concreta sottoposta al suo vaglio la sussistenza di una violazione minore. 

Ebbene nel caso che ci occupa è presente ed efficace ognuno dei suddetti presupposti attenuanti la responsabilità dell’Istituto”, motivando i presupposti valutativi di cui all’art. 83, par. 2 del Regolamento (UE) 2016/679;

VISTO il verbale dell’audizione della parte redatto in data 18 settembre 2018, ai sensi dell’art. 18 della legge n. 689/1981, nel quale l’I.N.M.I. Lazzaro Spallanzani I.R.C.C.S., nell’evidenziare come “(…) la pubblicazione è stata prontamente rimossa a seguito dell’avvio dell’istruttoria del Garante (…)” e nel ribadire quanto argomentato nella memoria difensiva, ha richiesto, “(…) in virtù della recente entrata in vigore del nuovo Regolamento europeo in materia di protezione dei dati personali, la comminazione della stessa (sanzione amministrativa pecuniaria) nella forma dell’ammonimento, come previsto dall’art. 58, comma 2 del GDPR”;

CONSIDERATO che le argomentazioni addotte non permettono di escludere la responsabilità dell’ I.N.M.I. Lazzaro Spallanzani I.R.C.C.S. in relazione a quanto contestato. L’Istituto ritiene erroneamente applicabile l’impianto normativo disciplinato dal Regolamento (UE) 2016/679 in virtù del fatto che il verbale di contestazione di violazione amministrativa che ci occupa sia stato “(…) pur sempre assunto in data 07/06/18, ossia quando era già divenuto pienamente efficace il Regolamento Generale sulla Protezione dei dati 2016/679 (…)”. In realtà, al fine della determinazione della norma applicabile, sotto il profilo temporale, deve trovare applicazione il principio di legalità di cui all’art. 1, comma 2 della legge n. 689/1981 che, nel prevedere come “Le leggi che prevedono sanzioni amministrative si applicano soltanto nei casi e nei tempi in esse considerati”, asserisce la ricorrenza del principio del tempus regit actum. L’applicazione di tali principi determina l’obbligo di prendere in considerazione la norma vigente al momento della commessa violazione. Nel caso che ci occupa tale momento, attesa la natura permanente dell’illecito contestato, deve essere individuato nel momento di cessazione della condotta illecita, ovvero nella data del 14 marzo 2018, nella quale i dati del reclamante sono stati rimossi dal sito istituzionale www.inmi.it  (come rilevato dalla nota dell’ I.N.M.I. Lazzaro Spallanzani I.R.C.C.S. pervenuta all’Autorità in data 21 marzo 2018). Risulta evidente, quindi, come, nel caso in trattazione, non possa trovare applicazione la disciplina del Regolamento (UE) 2016/679 che trova applicazione dal 25 maggio 2018, ma dovrà essere applicata la distinta norma prevista dal Codice vigente al momento in cui la condotta oggetto di contestazione è cessata. Tale assunto porta con sé l’inconferenza delle ulteriori deduzioni articolate dal trasgressore anche con riferimento a quanto argomentato circa la ricorrenza dei presupposti applicativi di cui all’art. 58, comma 2 del GDPR;

RILEVATO, pertanto, che l’I.N.M.I. Lazzaro Spallanzani I.R.C.C.S., ha diffuso on line dati personali della reclamante contenuti nell’oggetto delle Deliberazioni del Direttore generale n. 754 del 7 gennaio 2017 e n. 820 del 29 dicembre 2017 visibili sul sito web istituzionale www.inmi.it, oltre il periodo di 15 giorni previsto dall’art. 31 della legge regionale del Lazio n. 45/1996 e, dunque, in assenza di un idoneo presupposto normativo in violazione dell’art. 19, comma 3 del Codice;

VISTO l’art. 162, comma 2-bis, del Codice, che punisce la violazione delle disposizioni indicate nell’art. 167 del Codice, tra le quali quelle di cui all’artt. 19, comma 3, del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

RITENUTO che, nel caso in esame, ricorrano le condizioni per applicare l’art. 164-bis, comma 1, del Codice il quale prevede che se taluna delle violazioni di cui agli art. 161, 162-ter, 163 e 164 è di minore gravità, i limiti minimi e massimi stabiliti negli stessi articoli sono applicati in misura pari a due quinti;

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge 24 novembre 1981 n. 689, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO di dover determinare, ai sensi dell’art. 11 della legge n. 689/1981, l’ammontare della sanzione pecuniaria per la violazione dell’art. 162, comma 2 bis del Codice in combinato disposto con l’art. 164-bis, comma 1, nella misura di euro 4.000,00 (quattromila);

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTA la documentazione in atti;

VISTE le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

all’I.N.M.I. Lazzaro Spallanzani I.R.C.C.S. Cod. fisc.: 05080991002, con sede in Roma, via Portuense n. 292, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 4.000,00 (quattromila) a titolo di sanzione amministrativa pecuniaria per la violazione dell’art. 162, comma 2-bis, indicata in motivazione;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 4.000,00 (quattromila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 25 ottobre 2018

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia