[doc. web n. 7707154]

Ordinanza ingiunzione nei confronti di A.N.S.A. s.r.l. - 19 ottobre 2017

Registro dei provvedimenti
n. 423 del 19 ottobre

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Nucleo speciale privacy della Guardia di finanza, in esecuzione della richiesta di informazioni ai sensi dell´art. 157 del Codice in materia di protezione dei dati personali — d.lg. 30 giugno 2003, n. 196 (di seguito denominato Codice) nr. 22908/91026 del 24 luglio 2014 formulata da questa Autorità, ha svolto presso A.N.S.A. s.r.l. P.Iva: 01489670016, con sede in Torino, via Santorre di Santarosa n. 18, in persona del legale rappresentante pro-tempore, gli accertamenti di cui al verbale di operazioni compiute datato 29 ottobre 2014, dai quali è risultato che la società, ha effettuato trattamenti di dati personali idonei a rilevare lo stato di salute al fine di prestazione di servizi sanitari per via telematica relativi a banche di dati, nonché di rilevazione di malattie infettive e diffusive e sieropositività, omettendo di effettuare la notificazione al Garante ai sensi dell´art. 37, comma 1 lett. b) e 38 del Codice;

VISTO il verbale m. 94/14 del 19 novembre 2014 (che qui sì intende integralmente richiamato) con cui è stata contestata a A.N.S.A. s.r.l. la violazione amministrativa prevista dall´art. 163 del Codice, in relazione all´art. 37, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

ESAMINATO il rapporto del Nucleo speciale privacy della Guardia di finanza predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689 dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo datato 17 dicembre 2014 ai sensi dell´art. 18 della legge n. 689/1981 nel quale la società ha evidenziato come "(...) la notificazione in esame non è stata omessa al fine di sottrarsi a controlli o agli adempimenti imposti dalla normativa, ma non è stata eseguita in assoluta buona fede e sulla base delle convinzioni maturate dall´esame della normativa, caratterizzata tra l´altro da estrema complessità (...)". La società ha ritenuto di essere esonerata dall´obbligo di notificazione di cui all´art 37 del Codice "(...) sulla base del provvedimento del Garante relativo ai casi da sottrarre all´obbligo di notificazione Deliberazione n. 1 del 31/03/2004 (...)", senza che apparisse chiaro "(...) quali possano essere le ragioni per cui solo in data 26/04/2004 il Garante, nel fornire alcune precisazioni (...), abbia ritenuto che i trattamenti di dati (...) idonei a rilevare lo stato di salute (...) effettuati da persone fisiche esercenti professioni sanitarie siano stati valutati non suscettibili di recare pregiudizio ai diritti e alle libertà dell´interessato (...) e come tali siano sottratti all´obbligo di notificazione, mentre i medesimi trattamenti effettuati da persone giuridiche o altri enti siano stati valutati di recare pregiudizio ai diritti e alle libertà dell´interessato (...) e come tali siano invece soggetti all´obbligo di notificazione". Inoltre, "la convinzione maturata dalla scrivente (A.N.S.A. s.r.l.) era altresì suffragata dal combinato disposto del citato provvedimento (Deliberazione n. 1 del 31/03/2004) con la normativa fiscale che pone alla base del criterio per individuare i soggetti esercenti le prestazioni sanitarie non la natura soggettiva del prestatore della prestazione ma la natura oggettiva della prestazione medesima";

VISTA la comunicazione datata 18 settembre 2015 con la quale la società ha rinunciato alla facoltà di essere sentita ai sensi dell´art. 18 della legge n. 689/1981;

CONSIDERATO che le argomentazioni addotte non consentono di escludere la responsabilità della società in relazione alla contestazione in argomento. Attesa l´inconferenza della richiamata "(...) normativa fiscale(...)" che ha presupposti applicativi non accostabili in alcun modo alla disciplina che ci occupa, si rileva un erroneo richiamo alla disciplina dei provvedimenti del Garante richiamati. Riguardo il "(...) provvedimento del Garante relativo ai casi da sottrarre all´obbligo di notificazione Deliberazione n. 1 del 31/03/2004 (...)" occorre rilevare che la decisione del Garante, come chiarita dalle precisazioni del 26 aprile 2004, intende chiaramente assoggettare all´obbligo di notificazione tutti quei trattamenti di carattere sistematico effettuati mediante banche dati accessibili telematicamente da parte di terzi, quand´anche tali trattamenti siano effettuati da singoli esercenti le professioni sanitarie (punto A), n. 2), lett. a), del citato provvedimento): come emerso durante gli accertamenti, i trattamenti effettuati presentano proprio tali caratteristiche. Quanto detto, anche in considerazione di quanto argomentato circa il parere del Garante datato 26 aprile 2004, non consente di qualificare gli elementi costitutivi della disciplina sull´errore scusabile di cui all´art. 3 della legge n. 689/1981, atteso che l´errore sulla liceità del fatto, comunemente indicato come buona fede, può rilevare come causa di esclusione della responsabilità solo quando esso risulti incolpevole. A tal fine occorre, cioè, un elemento positivo idoneo ad indurre un errore siffatto, non ovviabile dall´interessato con l´ordinaria diligenza, elemento che non è riscontrabile nel caso di specie (Cass. Civ. sez. I del 21 febbraio 1995 n. 1873; Cass. Civ. sez II del 13 marzo 2006, n. 5426);

RILEVATO che risulta essere avvenuto presso A.N.S.A. s.r.l. un trattamento di dati personali idonei a rilevare lo stato di salute al fine di prestazione di servizi sanitari per via telematica relativi a banche di dati, nonché di rilevazione di malattie infettive e diffusive e sieropositività (art. 4 comma l, lett. a) e b) del Codice) senza effettuare la notificazione al Garante ai sensi dell´art. 37, comma 1 lett. b) del Codice;

VISTO l´art. 163 del Codice che punisce la violazione delle disposizioni di cui agli art. 37 e 38 con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore e che pertanto l´importo della sanzione pecuniaria per la violazione dell´art. 163 del Codice deve essere determinato nella misura di euro 20.000,00 (ventimila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Gerente n. I/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la prof.ssa Licia Califano;

ORDINA

a A.N.S.A. s.r.l. P.Iva: 01489670016, con sede in Torino, via Santorre di Santarosa n. 18, in persona del titolare, di pagare la somma di curo  20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria per la violazione prevista dall´art. 163 del Codice, per l´omissione della notificazione al Garante prevista dall´art. 37, comma 1, lett. b) del Codice medesimo;

INGIUNGE

Alla medesima società di pagare la somma di euro 20.000,00 (ventimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 19 ottobre 2017

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia