g-docweb-display Portlet

Ordinanza ingiunzione nei confronti di Centro diagnostico Helios s.n.c.- 14 settembre 2006 [1368953]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 1368953]

Ordinanza ingiunzione nei confronti di Centro diagnostico Helios s.n.c.- 14 settembre 2006

Registro delle deliberazioni
Del. n. 41 del 14 settembre 2006


GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

ORDINANZA INGIUNZIONE

NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Giuseppe Fortunato, componente e del dott. Giovanni Buttarelli, segretario generale;

ESAMINATO il rapporto del Comando nucleo speciale funzione pubblica e privacy della Guardia di finanza redatto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale di contestazione per violazione amministrativa redatto in data 1° ottobre 2004 nei confronti del Centro diagnostico Helios s.n.c., sito in Nola (NA) via Antonio Ciccone n. 1, in persona del legale rappresentante pro-tempore, per violazione dell´articolo 37 del Codice in materia di protezione dei dati personali (d.lg. n. 196/2003);

RILEVATO che il predetto Nucleo speciale, in attuazione della richiesta di informazioni  ex art. 157 del Codice (n. 24029 datata 16 giugno 2004) ed a fronte di specifica delega del Garante (n. 26333 del 15 luglio 2004), ha svolto gli accertamenti di cui al verbale di operazioni compiute del 1° ottobre 2004 dai quali è risultato che:

a) il Centro diagnostico tratta dati idonei a rivelare lo stato di salute e la vita sessuale soggetti a notificazione ai sensi dell´art. 37, comma 1, lett. b) del Codice;

b) le tipologie di dati trattati riguardano: sieropositività, malattie infettive e diffusive, stato di salute, indagini epidemiologiche, esiti diagnostici e programmi terapeutici in occasione di Aids conclamato, mediante supporti elettronici e non;

c) il trattamento è svolto per le seguenti finalità: assistenza sanitaria, diagnosi, cura o terapia di pazienti, monitoraggio della spesa sanitaria, prenotazione e refertazione di analisi cliniche, registrazione di pazienti, rilevazione di malattie infettive e diffusive, nonché stati di sieropositività; considerato altresì, come dichiarato dalla parte, che non è stata effettuata per detti trattamenti la notificazione al Garante ai sensi dell´art. 37, comma 1, lett. b) del Codice;

VISTO il verbale n. 8 del 1° ottobre 2004 con cui si è contestata alla predetta società la violazione prevista dell´art. 37 (e sanzionata dall´art. 163) del Codice, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

RILEVATO dal predetto rapporto che non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo inviato ai sensi dell´art. 18 della legge n. 689/1981, con il quale Centro diagnostico Helios s.n.c. ha ribadito di non aver provveduto, se non tardivamente (30 settembre 2004), alla notificazione al Garante ai sensi dell´art. 37 del Codice, avendo però effettuato la notifica all´Autorità ai sensi dell´art. 34 della legge 675/1996, ed ha motivato tale condotta con le seguenti deduzioni:

a) i trattamenti effettuati non comprendono alcun tipo di informazione su dati genetici ed avviene sempre mediante l´organizzazione di un archivio gestito elettronicamente al livello del computer del centro;

b) il Centro diagnostico riteneva di aver già assolto all´obbligo di notificazione avendo proceduto a suo tempo (ai sensi dell´art. 7 della legge n. 675/1996, segnatamente in data del 22 giugno 1998 n. 218096 del registro tenuto presso il Garante) alla notificazione del trattamento dei dati personali. Tale circostanza renderebbe insussistente l´illecito amministrativo relativo all´omessa notificazione, in quanto il medesimo Centro ha riprodotto, seppur in data successiva al termine previsto dal legislatore, il medesimo atto di notificazione in data 30 settembre 2004;

c) l´omissione di cui all´art. 163 del Codice è, certamente, fattispecie ben diversa dalla irregolarità (ritardata notificazione) eventualmente commessa;

d) il ritardo dell´atto di notificazione sarebbe conseguito alle problematiche incontrate dal Centro diagnostico all´atto della notificazione al Garante effettuata per via telematica;

e) tale  ritardo sarebbe inoltre da attribuire ad un errore sul fatto dovuto all´inesistenza di un atto vincolante che indicasse sia i soggetti obbligati alla notifica sia, ai sensi del citato art. 163, un termine perentorio oltre il quale non era più possibile avviare la procedura di notificazione;

f) la sanzione sarebbe sproporzionata rispetto alla presunta violazione;


VISTA la richiesta di audizione formulata nel predetto scritto difensivo dal Centro diagnostico Helios s.n.c., ai sensi dell´art. 18 della legge n. 689/1981;

VISTA la convocazione per audizione ai sensi dell´art. 18 della legge n. 689/1981 n. 34496/38836/30 del 15 novembre 2004 inviata da questa Autorità;

CONSIDERATO il verbale di audizione delle parti datato 22 novembre 2004 nel quale la società ha ribadito quanto ipotizzato nella memoria difensiva;

RILEVATO che l´attività svolta dal laboratorio configura un trattamento di dati personali (art. 4 comma 1, lett. a) del Codice) per il quale doveva essere assolto l´obbligo di effettuare la notificazione del trattamento all´Autorità, ai sensi e nei modi previsti dagli artt. 37, comma 1, lett. b) e 38 del Codice;

RITENUTO che le ulteriori argomentazioni addotte nelle memorie difensive non risultano idonee in relazione alla contestazione della violazione amministrativa per omessa notificazione con cui si è dato avvio al procedimento, in quanto:

a) il verbale di contestazione redatto dalla Guardia di finanza indica esclusivamente, quale norma violata, l´art. 37, comma 1, lett. b)  del Codice che afferisce a dati idonei a rivelare lo stato di salute e la vita sessuale. Le argomentazioni relative ai dati genetici e/o biometrici addotte dal Centro diagnostico sono inconferenti nel caso di specie, essendo la notificazione per il trattamento di tali dati disciplinata da diverso precetto (art. 37, comma 1 lett. a)) non oggetto di contestazione;

b) risulta accertata, e non è oggetto di contestazione, la circostanza che il Centro diagnostico effettui trattamenti di dati personali del tipo di quelli elencati alla lettera b) dell´art. 37, comma 1. In base al nuovo istituto della notificazione dei trattamenti previsto dal Codice, sono tenuti a notificare al Garante solo i titolari che effettuino una o più attività di trattamento tra quelle specificamente indicate dal Codice all´art. 37, comma 1 (la precedente normativa, invece, prevedeva per tutti i titolari l´obbligo di effettuare la notificazione, a meno che potessero avvalersi dei casi di esonero o di possibile utilizzazione di una notificazione semplificata). L´art. 37, comma 2, del Codice demanda al Garante il compito di individuare, nell´ambito dei trattamenti di cui al comma 1 del medesimo articolo, quelli sottratti all´obbligo di notificazione. Il Garante, con deliberazione n. 1 del 31 marzo 2004 (in G.U. 6 aprile 2004, n. 81), pur avendo previsto alcuni esoneri tra cui quello a favore di persone fisiche esercenti le professioni sanitarie, non ha sottratto all´obbligo della notificazione i trattamenti effettuati da strutture sanitarie pubbliche o private (ospedali, case di cura e di riposo, aziende sanitarie, laboratori di analisi cliniche, associazioni sportive), come altresì specificato nelle precisazioni sulla notificazione in ambito sanitario del 24 aprile 2004, pubblicate sul sito web dell´Autorità (doc. web n. 996680). Dalla nuova disciplina normativa del Codice è derivato, quindi, un nuovo e distinto obbligo di notificazione al Garante. Il titolare del trattamento che aveva già iniziato un trattamento anteriormente al 1° gennaio 2004, indipendentemente dalla circostanza che lo avesse notificato in passato, doveva procedere in via transitoria, se tenuto in base al tipo di trattamento effettuato, ad una nuova notificazione da effettuarsi entro il termine transitorio del 30 aprile 2004 (art. 181, comma 1, lett. c)), che è stata invece ritardata nel caso di specie;

c) il disposto del richiamato art. 163 del Codice recita "Chiunque, essendovi tenuto, non provvede tempestivamente alla notificazione ai sensi degli artt. 37 e 38 ...omissis..." . La locuzione "...non provvede tempestivamente..." rende pertanto rilevante, sotto il profilo sanzionatorio, non solo l´omissione della notificazione, ma anche la sua intempestività, atteso peraltro che l´art. 38, comma 1 del Codice specifica che "la notificazione del trattamento è presentata al Garante prima dell´inizio del trattamento";

d) la società non ha effettuato quanto necessario per adempiere all´obbligo di notificazione del trattamento ai sensi dell´art. 37, comma 1, lett. b) del Codice, nei termini di legge,   tenuto anche conto del breve differimento al 15 maggio 2004 che il Garante, avvalendosi delle facoltà previste dall´art. 38 del Codice, aveva previsto per coloro che, pur avendo avviato tempestivamente in rete la procedura di notificazione entro 30 aprile 2004, non erano riusciti a concluderla per difficoltà tecniche a loro non imputabili, come riportato a pag. 110 della Relazione annuale al Parlamento e al Governo del 2004). Dalla verifica effettuata d´ufficio sulla procedura svolta dalla parte, è risultato che, come comunicato dal Dipartimento registro dei trattamenti con nota n. 16879/38836 dell´11 agosto 2006, non risultano tentativi di notificazione in data precedente al 30 settembre 2004, neppure a nome del legale rappresentante della società. La circostanza che la parte avesse effettuato il solo versamento dovuto per i diritti di segreteria relativi alla notificazione, inviando unicamente un fax all´Ufficio del Garante in data 14 maggio 2004 per evidenziare asserite difficoltà tecniche riscontrate nella notificazione, comprova la consapevolezza della doverosità della notificazione ed il colpevole comportamento omissivo (di cui all´art. 3, comma 1 della legge n. 689/1981), protratto fino al giorno 29 settembre 2004, successivo al preavviso dell´ispezione inviato alla società dalla Guardia di finanza;

e) non spiega quindi effetti nel caso di specie l´invocata disciplina dell´ "errore sul fatto" prevista dall´art. 3, comma 2, della legge n. 689/1981, che opera in assenza di condotte colpose. Inoltre, quanto asserito dall´azienda nello scritto difensivo non sostanzia l´elemento positivo inducente l´errore;

f) l´ammontare della sanzione, con l´eventuale possibilità di pagamento in misura ridotta descritto nel verbale di contestazione, è stabilita dalla legge;


VISTO l´art. 163 del Codice, che punisce la violazione di cui all´art. 37 del Codice con la sanzione amministrativa del pagamento di una somma da diecimila euro a sessantamila euro e con la sanzione amministrativa accessoria della pubblicazione dell´ordinanza-ingiunzione;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni ed integrazioni;

RITENUTO di dover determinare l´ammontare della sanzione pecuniaria, avuto riguardo ai parametri indicati nell´art. 11 della legge 24 novembre 1981 n. 689, valutati anche in relazione all´attività svolta e al genere di trattamento di dati personali, nella misura del minimo pari alla somma di diecimila/00 euro;

RITENUTO di dover applicare la sanzione accessoria della pubblicazione, avuto riguardo alla gravità della violazione valutata alla luce dei predetti parametri e circostanze, nella misura ritenuta congrua della sola pubblicazione per estratto, per una sola volta e su due sole testate giornalistiche, di cui una di maggiore tiratura a livello nazionale, identificata nel quotidiano "Corriere della Sera" e l´altra, a livello locale, nel giornale "Il mattino di Napoli";

VISTA la documentazione in atti curata dal Dipartimento attività ispettive e sanzioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il dott. Giuseppe Chiaravalloti;

ORDINA

al Centro diagnostico Helios s.n.c., sito in Nola (NA) via Antonio Ciccone n. 1 in persona del legale rappresentante pro-tempore, di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione dell´art. 163 del Codice, indicata  in motivazione;

DISPONE

la pubblicazione a cura dell´Ufficio della presente ordinanza-ingiunzione a titolo di sanzione amministrativa accessoria prevista dall´art. 163 del Codice, per estratto e per una sola volta, sulle testate giornalistiche "Corriere della Sera" e "Il mattino di Napoli";

INGIUNGE

al medesimo Centro diagnostico di pagare, fermo restando quanto dovuto per la sanzione accessoria, la somma di euro 10.000,00 (diecimila) tramite il bollettino postale che verrà fornito in allegato, intestato a "Tesoreria provinciale dello Stato di Napoli " entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità in originale o in copia autentica, quietanza dell´avvenuto versamento;

DÀ ATTO CHE

avverso il presente provvedimento, ai sensi dell´art. 152 del Codice, può essere proposta opposizione davanti al tribunale ordinario del luogo ove ha sede il titolare del trattamento entro il termine di trenta giorni dalla notificazione del presente provvedimento.

Roma, 14 settembre 2006

IL PRESIDENTE
Pizzetti

IL RELATORE
Chiaravalloti

IL SEGRETARIO GENERALE
Buttarelli