[doc. web n. 1588218]

Ordinanza di ingiunzione nei confronti di Centro di analisi e patologia clinica A. Agostini & L. Roussier Fusco & C. s.n.c. - 11 dicembre 2008

Registro delle deliberazioni
Del. n. 70 del 11 dicembre 2008

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

ORDINANZA INGIUNZIONE

NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Giovanni Buttarelli, segretario generale;

ESAMINATO il rapporto dell´Ufficio del Garante predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale di contestazione per violazione amministrativa redatto in data 9 agosto 2007 nei confronti del Centro di analisi e patologia clinica A. Agostini & L. Roussier Fusco & C. s.n.c., con sede in Bari via G. Matteotti n. 24, in persona del legale rappresentante pro-tempore, per violazione dell´articolo 37 del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2006, n. 196, di seguito denominato "Codice");

RILEVATO che il Comando nucleo speciale funzione pubblica e privacy della Guardia di finanza, in attuazione della richiesta di informazioni ex art. 157 del Codice (n. 21287/31905 datata 7 novembre 2006) e su specifica delega di questa Autorità (n. 21288/31905 del 7 novembre 2006), ha svolto gli accertamenti di cui al verbale di operazioni del 7 dicembre 2006 dai quali è risultato che la predetta società effettua, in qualità di titolare, trattamenti di dati personali previsti dall´art. 37, comma 1, lett. a) e b) del Codice da epoca anteriore al 1° gennaio 2004; considerato, altresì, che la società ha effettuato la notificazione al Garante nelle forme previste dagli artt. 37 e 38 del Codice solo in data 12 gennaio 2006 e, quindi, oltre il termine del 30 aprile 2004 previsto dall´art. 181, comma 1, lett. c) del Codice;

VISTA la contestazione n. 3993/51022 del 5 marzo 2007 con cui si è contestata alla predetta società la violazione prevista dall´art. 163 del Codice in relazione all´art. 37, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

RILEVATO dal predetto rapporto che non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo inviato ai sensi dell´art. 18 della legge n. 689/1981, con il quale la società, nel sostenere che contrariamente a quanto riferito nel verbale di operazioni compiute non tratta dati personali di cui alla lett. a) dell´art. 37 del Codice, ha evidenziato, tra l´altro, che dalla corretta interpretazione delle norme, dei provvedimenti e dei pareri forniti dall´Autorità con particolare riferimento all´obbligo di cui all´art. 37, comma 1 del Codice, appare evidente che la stessa non era tenuta a effettuare la notificazione al Garante;

VISTO il verbale di audizione delle parti datato 17 settembre 2007 nel quale la società ha ribadito quanto lamentato nello scritto difensivo;

RITENUTO che le argomentazioni addotte non risultano idonee in relazione alla contestazione della violazione amministrativa per omessa notificazione nei termini, in quanto il Codice indica con evidenza i trattamenti di dati da notificare e demanda al Garante il solo compito di individuare, tra essi, quelli sottratti all´obbligo di notificazione, purché insuscettibili di recare pregiudizio ai diritti e alle libertà dell´interessato in ragione delle modalità di trattamento o alla natura dei dati. In particolare, l´art 37, comma 1, lett. b) prevede che debbano essere notificati i trattamenti di "dati idonei a rilevare lo stato di salute e la vita sessuale trattati", rispettivamente, "a fini di procreazione assistita, prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni, indagini epidemiologiche, rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi e tessuti e monitoraggio della spesa sanitaria". Ai sensi dell´art. 4, comma 1, lett. f) del Codice il "titolare del trattamento" è "la persona fisica, la persona giuridica, (…) e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza". Il titolare del trattamento è tenuto ad avere, tramite le proprie articolazioni, puntuale conoscenza dei trattamenti effettuati, essendo sua esclusiva prerogativa individuarli e impartire le necessarie istruzioni anche agli eventuali responsabili del trattamento. Inoltre, i casi di esclusione della notificazione di cui al provvedimento del Garante n. 1 del 31 marzo 2004 (in www.garanteprivacy.it, doc. web n. 852561) relativi alla lett. b) del menzionato comma 1 dell´art. 37 del Codice, come peraltro specificato anche nella nota n. 10020/34208 del 26 aprile 2004 di risposta ai quesiti relativi a trattamenti in ambito sanitario da notificare al Garante (in www.garanteprivacy.it, doc. web n. 996680), non operano per i trattamenti effettuati da strutture sanitarie pubbliche o private (quali le aziende sanitarie, case di cura, ambulatori polispecialistici, laboratori di analisi cliniche e diagnostiche) essendo stati previsti chiaramente solo, ed esclusivamente, nei riguardi di singole persone fisiche esercenti professioni sanitarie. La non sistematicità del trattamento quale causa di esclusione dall´obbligo di notificazione è rilevante, ma a condizione che il titolare del trattamento sia un esercente la professione sanitaria ovvero una persona fisica, condizione questa non riscontrabile nel caso di specie. Inoltre, il Codice impone l´obbligo di notificazione per i trattamenti di dati idonei a rilevare lo stato di salute non solo ai fini di prestazioni sanitarie per via telematica relativi a banche di dati o alla fornitura di beni, ma anche ai fini di rilevazione di malattie infettive e diffusive e sieropositività, trattamenti che risultano dagli atti effettuati nel caso di specie, come accertato nel verbale di operazioni compiute redatto dal Nucleo speciale funzione pubblica e privacy della Guardia di finanza che ha determinato la contestazione della violazione amministrativa. Quanto sopra, pur facendo salve le argomentazioni prodotte dalla società relativamente al trattamento dei dati afferenti alla lett. a) dell´art. 37 del Codice, anche alla luce del disposto di cui all´art. 168 del Codice, non consente di applicare, al caso di specie, la disciplina dell´"errore sul fatto" prevista dall´art. 3, secondo comma, della legge n. 689/1981;

RILEVATO che l´attività svolta dalla società configura un trattamento di dati personali (art. 4, comma 1, lett. a) e b), del Codice) per il quale doveva essere assolto tempestivamente l´obbligo di effettuare la notificazione del trattamento all´Autorità ai sensi e nei modi previsti dagli artt. 37, comma 1, lett. b) e 38 del Codice;

VISTO l´art. 163 del Codice, che punisce la violazione di cui all´art. 37 del Codice con la sanzione amministrativa del pagamento di una somma da diecimila euro a sessantamila euro e con la sanzione amministrativa accessoria della pubblicazione dell´ordinanza-ingiunzione;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

RITENUTO di dover determinare l´ammontare della sanzione pecuniaria, avuto riguardo ai parametri indicati nell´art. 11 della legge 24 novembre 1981 n. 689, valutati anche in relazione all´attività svolta e al genere di trattamento di dati personali, nella misura del minimo pari alla somma di diecimila/00 euro;

RITENUTO di dover applicare la sanzione accessoria della pubblicazione, avuto riguardo alla gravità della violazione valutata alla luce dei predetti parametri e circostanze, nella misura ritenuta congrua della sola pubblicazione per estratto, per una sola volta su una testata giornalistica a livello locale, identificata ne "Il Quotidiano di Bari";

VISTA la documentazione in atti;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Giuseppe Fortunato;

ORDINA

al Centro di analisi e patologia clinica  A. Agostini & L. Roussier Fusco & C. s.n.c., con sede in Bari, via G. Matteotti n. 24, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione dell´art. 163 del Codice, indicata in motivazione;

DISPONE

la pubblicazione a cura dell´Ufficio della presente ordinanza-ingiunzione a titolo di sanzione amministrativa accessoria prevista dall´art. 163 del Codice, per estratto e per una sola volta, sulla testata giornalistica  "Il Quotidiano di Bari";

INGIUNGE

alla medesima società di pagare, fermo restando quanto dovuto per la sanzione accessoria, la somma di euro 10.000,00 (diecimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento;

DÁ ATTO CHE

avverso il presente provvedimento, ai sensi dell´art. 152 del Codice, può essere proposta opposizione davanti al tribunale ordinario del luogo ove ha sede il titolare del trattamento entro il termine di trenta giorni dalla notificazione del presente provvedimento.

Roma, 11 dicembre 2008

IL PRESIDENTE
Pizzetti

IL RELATORE
Fortunato

IL SEGRETARIO GENERALE
Buttarelli