[doc. web n. 1780324]

Ordinanza di ingiunzione nei confronti di Casa di cura Sant´Antonio s.p.a.  - 1° aprile 2009

Registro delle deliberazioni
Del. n. 20-bis del 1° aprile 2009

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Daniele De Paoli, segretario generale reggente;

ESAMINATO il rapporto dell´Ufficio del Garante predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale di contestazione per violazione amministrativa redatto in data 13 ottobre 2008 nei confronti della Casa di cura Sant´Antonio s.p.a., con sede a Cagliari, via Chironi n. 3 per la violazione degli articoli 37 e 38 del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2006, n. 196, di seguito denominato "Codice");

RILEVATO che il Comando Nucleo speciale funzione pubblica e privacy della Guardia di finanza, in attuazione della richiesta di informazioni ex art. 157 del Codice (n. 13022/53969 datata 4 giugno 2008) e su specifica delega di questa Autorità (n. 13043/53969 del 4 giugno 2008), ha svolto gli accertamenti di cui al verbale di operazioni compiute del 17 giugno 2008 dai quali è risultato che la predetta società, attraverso l´utilizzo del suo laboratorio di analisi cliniche e batteriologiche, effettua, in qualità di titolare, trattamenti di dati personali previsti dall´art. 37, comma 1, lett. b) del Codice;

VISTO il verbale n. 22574/59317 del 13 ottobre 2008 con cui si è contestata alla predetta società la violazione prevista dall´art. 163 del Codice in relazione all´art. 37, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

RILEVATO dal predetto rapporto che, diversamente da quanto previsto dall´art. 16 della legge n. 689/1981 e indicato nel verbale di contestazione relativamente all´importo del pagamento in misura ridotta, la società ha provveduto a versare una somma pari al minimo edittale e quindi inidonea ad estinguere il procedimento sanzionatorio;

VISTO lo scritto difensivo inviato ai sensi dell´art. 18 della legge n. 689/1981, con il quale la società, evidenziando che "(…) aveva provveduto alla notificazione al Garante del trattamento dei dati relativi agli esami di laboratorio con comunicazione raccomandata A/R del 14 marzo 1998 (…)", ha rappresentato che "(…) anche in riferimento a quanto stabilito da codesto Garante con (…) Deliberazione n. 1 del 31.3.2004 (…) non ha provveduto a rinnovare la "notifica" (…) ritenendo di essere esonerata da tale adempimento versandosi in tema di esami di laboratorio e relativo trattamento di dati non finalizzati agli accertamenti indicati nei commi 1 e 2  dell´art. 37 del D. Lgs. 196/2003";

RITENUTO che le argomentazioni addotte non risultano idonee in relazione alla contestazione della violazione amministrativa per omessa notificazione. In primo luogo occorre evidenziare che l´istituto della notificazione dei trattamenti previsto dal Codice configura un diverso e distinto adempimento rispetto a quello già previsto dall´art. 7 della legge n. 675/1996. Sono tenuti a notificare al Garante, infatti, solo i titolari che effettuino una o più attività di trattamento tra quelle specificamente indicate dal Codice all´art. 37, comma 1 (la precedente normativa, invece, prevedeva per tutti i titolari l´obbligo di effettuare la notificazione, a meno che potessero avvalersi dei casi di esonero o di possibile utilizzazione di una notificazione semplificata). Il comma 2 di tale articolo demanda al Garante il compito di individuare, nell´ambito dei trattamenti di cui al predetto comma 1, quelli non suscettibili di recare pregiudizio ai diritti e alle libertà dell´interessato e pertanto sottratti all´obbligo di notificazione (si vedano il provvedimento del 31 marzo 2004 e le precisazioni sulla notificazione in ambito sanitario del 26 aprile 2004, pubblicati sul sito web www.garanteprivacy.it doc. web n. 852561 e n. 996680). Dalla nuova disciplina del Codice deriva, quindi, un nuovo e distinto obbligo di notificazione al Garante, con la conseguenza che le notificazioni inviate secondo la legge n. 675/1996 non producono effetto rispetto alla notificazione ex art. 37 del Codice. Nessuna disposizione derogatoria è stata introdotta per i trattamenti di dati personali iniziati prima del 1° gennaio 2004 e comunicati con le procedure previste dalla precedente normativa, per cui è stata chiara la volontà del legislatore di escludere qualsiasi eccezione (Trib. Ord. Roma - II Sez. civile, sent. n. 10093 dell´8 maggio 2009). Il titolare che aveva già iniziato un trattamento anteriormente al 1° gennaio 2004, indipendentemente dalla circostanza che lo avesse notificato in passato, doveva, pertanto, procedere, se tenuto in base alla norma introdotta dal Codice (art. 37), ad una nuova notificazione da effettuarsi entro il termine transitorio del 30 aprile 2004 (art. 181, comma 1, lett. c)). Diversamente da quanto ritenuto dalla società, risulta che la stessa effettua trattamenti di dati idonei a rivelare lo stato di salute in relazione alla rilevazione di malattie infettive e diffusive e allo stato di sieropositività (rientranti, quindi, nella nozione di cui alla lett. b) dell´art. 37), con riferimento agli esami chimico-clinici e batteriologici svolti  dal laboratorio di analisi presente nella struttura, secondo le argomentazioni formulate nel verbale di contestazione che qui si intendono integralmente richiamate. Pertanto, le argomentazioni addotte dalla società non risultano idonee per escludere la responsabilità in relazione alla contestazione della violazione amministrativa per omessa notificazione al Garante (art. 3 l. n. 689/1981);

RILEVATO che l´attività svolta dalla società configura un trattamento di dati personali (art. 4, comma 1, lett. a) e b), del Codice) per il quale doveva essere assolto tempestivamente l´obbligo di effettuare la notificazione del trattamento ai sensi e nei modi previsti dagli artt. 37, comma 1, lett. b) e 38 del Codice;

VISTO l´art. 163 del Codice, nella formulazione antecedente alla modifica apportata con d.l. n. 207 del 30 dicembre 2008, convertito con modificazioni in legge n. 14/2009, che punisce la violazione delle disposizioni di cui agli artt. 37 e 38 con la sanzione amministrativa del pagamento di una somma da diecimila euro a sessantamila euro e con la sanzione amministrativa accessoria della pubblicazione dell´ordinanza-ingiunzione;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

RITENUTO di dover comunque determinare l´ammontare della sanzione pecuniaria, avuto riguardo ai parametri indicati nell´art. 11 della legge 24 novembre 1981 n. 689, valutati anche in relazione all´opera svolta dall´agente e alla gravità della violazione, nella misura del minimo pari alla somma di diecimila/00 euro;

CONSIDERATO che il versamento di euro 10.000,00 (diecimila) già effettuato dalla società in data 24 dicembre 2008, pur non producendo alcun effetto estintivo del procedimento sanzionatorio, risulta coincidente con l´ammontare della sanzione pecuniaria irrogata con il presente provvedimento e pertanto può considerarsi già assolto l´obbligo di pagare la sanzione amministrativa pecuniaria;

RITENUTO di dover applicare la sanzione accessoria della pubblicazione, avuto riguardo alla gravità della violazione valutata alla luce dei predetti parametri e circostanze, nella misura ritenuta congrua della sola pubblicazione per estratto, per una sola volta su una testata giornalistica a livello locale, identificata ne "L´Unione Sarda";

VISTA la documentazione in atti;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Giuseppe Fortunato;

DISPONE

la pubblicazione a cura dell´Ufficio della presente ordinanza-ingiunzione a titolo di sanzione amministrativa accessoria prevista dall´art. 163 del Codice, per estratto e per una sola volta, sulla testata giornalistica  "L´Unione Sarda";

DA´ ATTO CHE

avverso il presente provvedimento, ai sensi dell´art. 152 del Codice, può essere proposta opposizione davanti al tribunale ordinario del luogo ove ha sede il titolare del trattamento entro il termine di trenta giorni dalla notificazione del presente provvedimento.

Roma, 1° aprile 2010

IL PRESIDENTE
Pizzetti

IL RELATORE

Fortunato

IL SEGRETARIO GENERALE REGGENTE
De Paoli