[doc. web n. 2922637]

Ordinanza di ingiunzione nei confronti di Bios Marx s.r.l. - 16 gennaio 2014

Registro dei provvedimenti
n. 17 del 16 gennaio 2014

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che, a seguito di una segnalazione pervenuta in data 29 marzo 2011 da parte della sig.ra Emilia Cominelli, con cui veniva lamentata una presunta violazione della disciplina in materia di protezione dei dati personali da parte di Bios Marx s.r.l. che, nell´ambito dell´iniziativa "Non solo mimose", organizzata nelle giornate tra il 7 e il 9 marzo 2011 al fine di permettere alle donne la possibilità di effettuare gratuitamente alcuni esami medici, forniva a coloro che aderivano all´iniziativa un´informativa che prevedeva la comunicazione dei dati raccolti "a partners commerciali, ad altre società che forniscono servizi specifici; intermediari bancari e società emittenti/gestori di carte di credito; terzi che per conto di Bios Marx srl forniscono servizi informatici; società del gruppo di appartenenza" senza raccogliere uno specifico consenso, il Dipartimento libertà pubbliche e sanità formulava una richiesta di informazione (prot. n. 6545 del 5 maggio 2011) al fine acquisire informazioni utili alla valutazione del caso; 

CONSIDERATO che, sulla base del riscontro fornito dalla società con la nota del 29 aprile 2011 in cui si precisava che l´informativa resa in occasione dell´iniziativa "Non solo mimose" è "la stessa che normalmente viene distribuita ai pazienti/clienti di Bios International e che erroneamente è stata distribuita ai pazienti che hanno deciso di aderire all´iniziativa" in esame, l´Autorità ha adottato in data 9 febbraio 2012 un provvedimento (che qui deve intendersi integralmente richiamato) nei confronti di Bios Marx s.r.l. ai sensi degli artt. 143, comma 1, lett. b) e c), e 154, comma 1, lett. c) e d) del d.lgs. 30 giugno 2003 n. 196, recante il Codice in materia di protezione dei dati personali (di seguito "Codice"), con cui è stato dichiarato illecito il trattamento dei dati personali dei pazienti effettuato dalla società mediante un´informativa inidonea e sulla base di un consenso non validamente prestato, sia nell´ambito dell´iniziativa "Non solo mimose" che in occasione dei rapporti correnti con i pazienti;

VISTO il verbale n. 6739/73154 del 14 marzo 2012 con cui è stata contestata a Bios Marx s.r.l., con sede in Roma, Viale Marx n. 203, P.I. 10236991005, in persona del legale rappresentante pro tempore, la violazione di cui agli artt. 161 e 162, comma 2-bis, del Codice, in relazione agli artt. 13 e 23, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981 n. 689;

RILEVATO dal rapporto predisposto dall´Ufficio del Garante ai sensi dell´art. 17 della legge 24 novembre 1981 n. 689 che non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo, inviato ai sensi dell´art. 18 della legge 24 novembre 1981 n. 689, con cui la parte ha eccepito la fondatezza delle violazioni contestate, in quanto, nel testo dell´informativa fornita in occasione dell´iniziativa "Non solo mimose", l´unico riferimento che andava omesso era quello relativo alla comunicazione dei dati raccolti ad intermediari bancari e società emittenti/gestore di carte di credito, in quanto l´iniziativa in questione era gratuita;

LETTO il verbale di audizione, svoltosi in data 8 ottobre 2012, ai sensi dell´art. 18 della legge 24 novembre 1981 n. 689, con cui la parte ha ribadito quanto già dichiarato nelle memorie difensive, precisando che i dati raccolti non sono stati comunicati a terzi, e ha dichiarato di aver immediatamente provveduto ad adeguarsi alle prescrizioni contenute nel provvedimento del Garante, predisponendo un nuovo modello di informativa e di acquisizione del consenso;

RITENUTO che le argomentazioni addotte non risultano idonee ad escludere la responsabilità della società in relazione a quanto contestato. Va, infatti, precisato che la contestazione di violazione amministrativa ha riguardato sia i modelli di informativa e di acquisizione del consenso utilizzati ordinariamente dalla società per effettuare il trattamento di dati personali dei propri pazienti, sia quelli utilizzati nell´ambito della già citata iniziativa. Dall´esame della documentazione fornita, è risultato che i suddetti modelli, rilasciati anche ai pazienti che si recano presso la struttura, non sono conformi alle disposizioni del Codice perché privi di alcuni elementi essenziali, specificamente individuati nel richiamato provvedimento del Garante del 9 febbraio 2012. Trattasi, in particolare, della mancanza nell´informativa dell´indicazione dei dati indispensabili all´erogazione della prestazione medica richiesta (ivi comprese le attività amministrative correlate); qualora sia prevista la comunicazione dei dati a terzi, i soggetti o categorie di soggetti a cui i dati sono comunicati, nonché la tipologia di dati oggetto della comunicazione e la natura facoltativa del conferimento dei dati personali per l´eventuale perseguimento di ulteriori finalità; allo stesso modo, è stata rilevata l´assenza di una specifica formula di consenso con riguardo alle diverse finalità perseguite e alle diverse operazioni di trattamento effettuate dal titolare. Nel medesimo provvedimento, che non è stato impugnato dalla parte, sono prescritte altresì le necessarie modifiche da apportare, per rendere il trattamento conforme alla legge;

RILEVATO, quindi, che la Bios Marx s.r.l. ha effettuato un trattamento di dati personali rendendo una informativa inidonea e senza acquisire un consenso specifico per ciascuna finalità perseguita, in violazione degli artt. 13 e 23 del Codice;

VISTO l´art. 161 del Codice che punisce la violazione dell´art. 13 con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro;

VISTO l´art. 162, comma 2-bis, del Codice che punisce la violazione delle disposizioni indicate nell´art. 167 del Codice, tra le quali quella di cui all´art. 23 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, della gravità della violazione, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della stessa, della personalità e delle condizioni economiche del contravventore;

RITENUTO che, con riferimento alla gravità della violazione, la condotta posta in essere dalla società assume particolare rilievo, in quanto le modalità seguite non consentivano agli interessati di esprimere un consenso libero per i trattamenti ulteriori rispetto a quelli per finalità di cura;

RITENUTO di dover determinare, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, l´ammontare delle sanzioni nella misura di euro 6.000,00 (seimila) per la violazione di cui all´art. 161 e nella misura di euro 10.000,00 (diecimila) per la violazione di cui all´art. 162, comma 2-bis, per un ammontare complessivo pari a euro 16.000,00 (sedicimila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Augusta Iannini;

ORDINA

Bios Marx s.r.l., con sede in Roma, Viale Marx n. 203, P.I. 10236991005, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 16.000,00 (sedicimila) a titolo di sanzione amministrativa pecuniaria per le violazioni previste dagli artt. 161 e 162, comma 2-bis, del Codice;

INGIUNGE

alla medesima società di pagare la somma di euro 16.000,00 (sedicimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 16 gennaio 2014

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia