[doc. web n. 1827938]

Ordinanza di ingiunzione nei confronti di Clinica Luccioni S.p.a.  - 15 ottobre 2010

Registro delle deliberazioni
Del. n. 48 del 15 ottobre 2010

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Daniele De Paoli, segretario generale;

ESAMINATO il rapporto del Comando nucleo speciale funzione pubblica e privacy della Guardia di finanza predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale di contestazione per violazione amministrativa redatto in data 10 settembre 2008 nei confronti di "Clinica Luccioni S.p.a." con sede legale in Foggia, Via Napoli, bivio per Troia S.S. 90 Km 4, nella persona del legale rappresentante pro-tempore, per violazione degli artt. 37 e 38 del Codice in materia di protezione dei dati personali (D.lgs. 30 giugno 2003, n. 196 - di seguito denominato Codice);

CONSIDERATO che il predetto Comando nucleo speciale, in attuazione della richiesta di informazioni (n. 16564/53969 del 14/07/2008) ex art. 157 del D.lgs. 30 giugno 2003, n. 196, (Codice in materia di protezione di dati personali) e su specifica delega di questa Autorità (n. 16567/53969 del 14/07/2008), ha svolto gli accertamenti di cui al verbale di operazioni compiute del giorno 10 settembre 2008, presso la sede operativa di "Clinica Luccioni S.p.a.", sita in Potenza, Via Mazzini, n. 52, dai quali è risultato che la predetta clinica effettuava, da epoca anteriore al 1° gennaio 2004, dei trattamenti di dati personali previsti dall´art. 37, comma 1, lett. b), del Codice, a fronte dei quali aveva provveduto ad eseguire la notificazione al Garante solo in data 12 maggio 2008;

VISTO il verbale del 10 settembre 2008 con cui è stata contestata a "Clinica Luccioni S.p.a.", in persona del legale rappresentante pro-tempore, la violazione amministrativa prevista dall´art. 163 del Codice, in relazione agli artt. 37 e 38 del Codice medesimo, per non aver provveduto tempestivamente ad effettuare la notificazione al Garante, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 689/1981;

RILEVATO dal predetto rapporto che non risulta essere stato effettuato il pagamento in misura ridotta;

CONSIDERATO che negli scritti difensivi, inviati ai sensi dell´art. 18 della legge 689/81, è evidenziato, a giustificazione della tardiva notificazione, che l´AIOP -Associazione Italiana Ospedalità Privata-, con la nota n. prot. 492 del 10/05/04 "Notifica al Garante privacy – Incontro di chiarimento", a seguito di un incontro avvenuto con rappresentanti dell´Autorità in data 07/05/04, aveva inviato ai propri associati, tra i quali la clinica stessa, un elenco dei trattamenti effettuati dalle strutture ospedaliere che comportano l´obbligo di notificazione; conseguentemente, "(…) la scrivente Clinica non notificava i propri trattamenti in quanto non ricompresi nell´elenco formulato dall´AIOP nella predetta comunicazione (…)". Negli scritti difensivi è altresì evidenziato che solo successivamente, con la circolare del 3 marzo 2008 n. prot. 205, l´AIOP, seppure in modo cautelativo, invitava le strutture sanitarie ad effettuare la notificazione al Garante e che "(…) Subito dopo l´invito dell´AIOP del 2008 a notificare – omissis – la scrivente Clinica diligentemente, in data 12/05/08, ha notificato al Garante il trattamento di dati personali di cui all´art. 37, comma 1, lett. b), come risulta dal verbale di ispezione (…)";

CONSIDERATO, inoltre, che negli scritti difensivi si sostiene che "(…) la scrivente Clinica non può essere sanzionata perché nel caso di specie, ammesso e non concesso che essa abbia in effetti mancato di notificare il trattamento ex art. 37 del Codice della privacy, lo ha fatto in carenza dell´elemento soggettivo necessario per comminare la sanzione amministrativa (…)" in quanto "(…) mancano, nel caso di specie, la coscienza e la volontà richieste espressamente dall´art. 3 della legge 689/81 per configurare l´elemento soggettivo – omissis – In più, nel caso in parola, l´eventuale errore non è determinato da sua colpa in quanto l´affidamento della Clinica, come visto, era più che legittimo visto e considerato che esso era suffragato ed avvalorato dall´AIOP e, seppur indirettamente, dallo stesso Garante (…)";

VISTO, altresì, il verbale dell´audizione della parte, redatto in data 18 giugno 2009, ai sensi dell´art. 18 della legge 689/81, nel quale "Clinica Luccioni S.p.a.", ribadendo quanto già sostenuto in sede di scritti difensivi, ha evidenziato che "(…) l´art. 37, comma 1, lett. b), del Codice, pone ancora dubbi circa l´effettiva operatività dell´obbligo di notifica in capo alla Clinica che non tratta alcun dato con le finalità stabilite da detto articolo (…)";

RITENUTO che le argomentazioni addotte non risultano idonee ad escludere la responsabilità di "Clinica Luccioni S.p.a." in riferimento alla contestazione della violazione amministrativa per omessa notificazione. Ciò, in primo luogo, perché ai sensi dell´art. 37, comma 1, lett. b), del Codice, devono essere oggetto di notificazione i trattamenti di dati idonei a rivelare lo stato di salute e la vita sessuale trattati in relazione alle diverse finalità di procreazione assistita, prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni, indagini epidemiologiche, rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi e tessuti e monitoraggio della spesa sanitaria. I trattamenti di dati del tipo di quelli posti in essere da "Clinica Luccioni S.p.a." rientrano nella predetta casistica, così come chiarito con nota dell´Ufficio del Garante, n. 16898, inviata all´AIOP il 10 maggio 2004, al fine di fornire indicazioni e chiarimenti;

CONSIDERATO, inoltre, che, in materia di illecito amministrativo, l´errore sulla liceità del fatto, comunemente indicato come buona fede, può rilevare come causa di esclusione della responsabilità solo quando esso risulti incolpevole. A tal fine occorre un elemento positivo (come, ad es., un´assicurazione di liceità da parte della Pubblica Amministrazione) idoneo ad indurre un errore siffatto, non ovviabile dall´interessato con l´ordinaria diligenza [cfr. Cass. Civ. sez. I del 21 febbraio 1995 n. 1873; Cass. Civ. sez II del 13 marzo 2006, n. 5426; cfr. anche Cass. Civ. sez. III del 21 marzo 2001, n. 4015 nella quale, in tema di "buona fede" in materia di illecito amministrativo, è sancito il principio di massima secondo cui "(…) le associazioni di categoria (…) che sono e restano organismi privati (…)" non hanno "(…) il compito di illustrare agli associati il senso della legge, esonerandoli dall´incombenza di verificare personalmente la consistenza dei loro doveri. Non è, pertanto, ravvisabile errore scusabile circa gli adempimenti da assolvere nella ipotesi in cui la inosservanza di tali adempimenti sia determinata da chiarimenti forniti dalle predette associazioni (…)"]. Rilevato, pertanto, che le indicazioni fornite dall´AIOP con la nota del 10 maggio 2004 n. prot. 492, circa i casi in cui effettuare la notificazione al Garante ai sensi dell´art. 37 del Codice, non possono essere ritenute un "elemento idoneo" a determinare un errore scusabile, tenuto anche conto della nota n. prot. 16898 del 10 maggio 2004 dell´Ufficio del Garante, in rettifica di quanto comunicato dall´AIOP ai propri associati;

RILEVATO, pertanto, che l´attività svolta da "Clinica Luccioni S.p.a." configura un trattamento di dati personali (art. 4, comma 1, lett. a), del Codice) per il quale doveva essere assolto tempestivamente l´obbligo di effettuare la notificazione del trattamento all´Autorità ai sensi e nei modi previsti dagli artt. 37, comma 1, lett. a) e 38 del Codice;

VISTO l´art. 163 del Codice, nella formulazione antecedente alla modifica apportata con la legge n. 14 del 27 febbraio 2009 di conversione, con modificazioni, del D.L. n. 207 del 30 dicembre 2008, che punisce la violazione delle disposizioni di cui all´art. 37 e 38 con la sanzione amministrativa del pagamento di una somma da diecimila euro a sessantamila euro e con la sanzione amministrativa accessoria della pubblicazione dell´ordinanza-ingiunzione;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni ed integrazioni;

RITENUTO di dover determinare l´ammontare della sanzione pecuniaria, avuto riguardo ai parametri indicati nell´art. 11 della legge 24 novembre 1981 n. 689, valutati anche in relazione all´attività svolta dall´agente e alla gravità della violazione, nella misura del minimo pari alla somma di diecimila/00 euro;

RITENUTO di dover applicare la sanzione accessoria della pubblicazione, avuto riguardo alla gravità della violazione valutata alla luce dei predetti parametri e circostanze, nella misura ritenuta congrua della sola pubblicazione per estratto, per una sola volta e su una sola testata giornalistica a livello locale, identificata ne "La Gazzetta del Mezzogiorno";

VISTA la documentazione in atti;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il dott. Giuseppe Chiaravalloti;

ORDINA

A "Clinica Luccioni S.p.a." con sede legale in Foggia, Via Napoli, bivio per Troia S.S. 90 Km 4, nella persona del legale rappresentante pro-tempore, di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione dell´art. 163 del Codice, indicata in motivazione;

DISPONE

la pubblicazione a cura del contravventore della presente ordinanza-ingiunzione a titolo di sanzione amministrativa accessoria prevista dall´art. 163 del Codice, per estratto e per una sola volta, sulla testata giornalistica "La Gazzetta del Mezzogiorno";

INGIUNGE

alla medesima di pagare la somma di euro 10.000,00 (diecimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento e dell´avvenuta pubblicazione dell´estratto dell´ordinanza;

DA´ ATTO CHE

avverso il presente provvedimento, ai sensi dell´art. 152 del Codice, può essere proposta opposizione davanti al tribunale ordinario del luogo ove ha sede il titolare del trattamento entro il termine di trenta giorni dalla notificazione del presente provvedimento.

Roma, 15 ottobre 2010

IL PRESIDENTE
Pizzetti

IL RELATORE
Chiaravalloti

IL SEGRETARIO GENERALE
De Paoli