[doc. web n. 1525424]

Ordinanza ingiunzione nei confronti dell´Ospedale Casa sollievo della sofferenza - 8 novembre 2007

Registro delle deliberazioni
Del. n. 58 dell´8 novembre 2007

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
ORDINANZA INGIUNZIONE

NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Giovanni Buttarelli, segretario generale;

ESAMINATO il rapporto del Comando nucleo speciale funzione pubblica e privacy della Guardia di finanza predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale di contestazione per violazione amministrativa redatto in data 18 ottobre 2005 nei confronti dell´Ospedale Casa sollievo della sofferenza, con sede in San Giovanni Rotondo (FG), viale Cappuccini snc, in persona del legale rappresentante pro-tempore, per violazione dell´articolo 37 del Codice in materia di protezione dei dati personali (di seguito denominato Codice);

RILEVATO che il predetto Comando nucleo speciale, in attuazione della richiesta di informazioni ex art. 157 del Codice (n. 17101 del 22 settembre 2005) e su specifica delega di questa Autorità (n. 17237 del 26 settembre 2005), ha svolto gli accertamenti di cui al verbale di operazioni compiute del 18 ottobre 2005 dai quali è risultato che l´Ospedale effettua, in qualità di titolare,  trattamenti di dati personali previsti dall´art. 37, comma 1, lett. a) e b) del Codice, da epoca anteriore al 1° gennaio 2004; considerato, altresì, che l´Ospedale risulta aver effettuato la notificazione al Garante nelle forme previste dagli artt. 37 e 38 del Codice solo in data 4 novembre 2005 e, quindi, oltre il termine previsto dall´art. 181, comma 1, lett. c) del Codice (30 aprile 2004);

VISTO il verbale n. 186 del 18 ottobre 2005 con cui si è contestata al predetto Ospedale la violazione prevista dall´art. 163 del Codice in relazione all´art. 37, informandolo della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

RILEVATO dal predetto rapporto che non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo inviato ai sensi dell´art. 18 della legge n. 689/1981, con il quale l´Ospedale ha ribadito di non aver provveduto tempestivamente alla notificazione al Garante ai sensi degli artt. 37 e 38 del Codice, sviluppando le seguenti deduzioni:

a) la negoziazione di consistenti partite creditorie nei confronti della Regione Puglia che di fatto bloccavano l´intera gestione, nonché l´estrema complessità dell´organizzazione, articolata in 39 unità operative, oltre ai settori di ricerca e ai servizi di supporto, avrebbero impedito all´Ospedale di concludere, in tempi brevi, le attività propedeutiche alla notificazione, rendendo impossibile ottemperare al predetto obbligo entro i termini previsti dal Codice (30 aprile 2004);

b) il provvedimento del Garante n. 1 del 31 marzo 2004, relativo ai casi da sottrarre all´obbligo di notificazione, avrebbe generato incertezza, inducendo diversi soggetti pubblici e privati che erogano prestazioni sanitarie a ritenere di essere stati sottratti dall´obbligo. Solo con la nota dell´Autorità del 26 aprile 2004 sarebbe stato chiarito che l´esonero non riguardava i trattamenti effettuati da strutture sanitarie pubbliche e private;

VISTA la richiesta di audizione, formulata con nota n.19/05/012 del 27 ottobre 2005 dall´Ospedale Casa sollievo della sofferenza ai sensi dell´art. 18 della legge 689/1981;

VISTA la nota di convocazione per audizione ai sensi dell´art. 18 della legge 689/1981, n. 20211 del 17 novembre 2005, inviata dall´Autorità a mezzo fax sia in data 21 novembre 2005, sia in data 24 novembre 2005, regolarmente pervenuta;

VISTO il verbale di audizione delle parti del 1° dicembre 2005 nel quale l´Ospedale ha ribadito quanto rappresentato nella memoria difensiva;

RILEVATO che l´attività svolta dall´Ospedale configura un trattamento di dati personali (art. 4, comma 1, lett. a) e b), del Codice) per il quale doveva essere assolto tempestivamente l´obbligo di effettuare la notificazione del trattamento all´Autorità ai sensi e nei modi previsti dagli artt. 37, comma 1, lett. a) e b) e 38 del Codice;

RITENUTO che le argomentazioni addotte dall´Azienda non risultano idonee in relazione alla contestazione della violazione amministrativa per omessa notificazione nei termini, in quanto:

a) ai sensi dell´art. 4, comma 1, lett. f) del Codice il "titolare del trattamento" è definito come "la persona fisica, la persona giuridica e qualsiasi altro ente, associazione ed organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza". Il titolare del trattamento è, pertanto, tenuto ad avere, tramite le proprie articolazioni, puntuale conoscenza dei trattamenti effettuati, essendo sua esclusiva prerogativa individuarli e impartire le necessarie istruzioni agli eventuali responsabili del trattamento. Nel caso di specie, la negoziazione di partite creditorie nei confronti della Regione Puglia e la lamentata strutturazione molto complessa dell´azienda sanitaria, non sono, di per sé sole, scriminanti ai fini della sussistenza della responsabilità amministrativa;

b) il Codice indica i trattamenti di dati da notificare e demanda al Garante il compito di individuare, tra essi, quelli sottratti all´obbligo di notificazione, purché insuscettibili di arrecare pregiudizio ai diritti e alle libertà dell´interessato in ragione delle modalità di trattamento o alla natura dei dati. In particolare, l´art 37, comma 1, lett. a) prevede che debbano essere notificati i trattamenti di "dati genetici, biometrici …" e (lett. b)) i trattamenti di "dati idonei a rilevare lo stato di salute e la vita sessuale trattati" rispettivamente "a fini di procreazione assistita, prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni, indagini epidemiologiche, rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi e tessuti e monitoraggio della spesa sanitaria";

VISTO l´art. 163 del Codice, che punisce la violazione degli artt. 37 e 38 del Codice con la sanzione amministrativa del pagamento di una somma da diecimila euro a sessantamila euro e con la sanzione amministrativa accessoria della pubblicazione dell´ordinanza-ingiunzione;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni ed integrazioni;

RITENUTO di dover determinare l´ammontare della sanzione pecuniaria, avuto riguardo ai parametri indicati nell´art. 11 della legge 24 novembre 1981 n. 689, valutati anche in relazione all´attività svolta e al genere di trattamento di dati personali, nella misura del minimo pari alla somma di diecimila/00 euro;

RITENUTO di dover applicare la sanzione accessoria della pubblicazione, avuto riguardo alla gravità della violazione valutata alla luce dei predetti parametri e circostanze, nella misura ritenuta congrua della sola pubblicazione per estratto, per una sola volta e su una testata giornalistica a livello locale, identificata ne "La Gazzetta del mezzogiorno";

VISTA la documentazione in atti curata dal Dipartimento attività ispettive e sanzioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il dott. Giuseppe Fortunato;

ORDINA

all´Ospedale Casa sollievo della sofferenza, con sede in San Giovanni Rotondo (FG) viale Cappuccini snc, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione dell´art. 163 del Codice, indicata in motivazione;

DISPONE

la pubblicazione a cura dell´Ufficio della presente ordinanza-ingiunzione a titolo di sanzione amministrativa accessoria prevista dall´art. 163 del Codice, per estratto e per una sola volta, sulla testata giornalistica "La Gazzetta del mezzogiorno";

INGIUNGE

al medesimo Ospedale di pagare, fermo restando quanto dovuto per la sanzione accessoria, la somma di euro 10.000,00 (diecimila) tramite il bollettino postale che verrà fornito in allegato, intestato a "Tesoreria provinciale dello Stato di Foggia" entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento;

DÁ ATTO CHE

avverso il presente provvedimento, ai sensi dell´art. 152 del Codice, può essere proposta opposizione davanti al tribunale ordinario del luogo ove ha sede il titolare del trattamento entro il termine di trenta giorni dalla notificazione del presente provvedimento.

Roma, 8 novembre 2007

IL PRESIDENTE
Pizzetti

IL RELATORE
Fortunato

IL SEGRETARIO GENERALE
Buttarelli