[doc. web n. 1857022]

Ordinanza di ingiunzione nei confronti dell´Azienda ospedaliera "Cannizzaro" - 7 aprile 2011

Registro deli provvedimenti
n. 135 del 7 aprile 2011

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Daniele De Paoli, segretario generale;

VISTA la richiesta di informazioni n. 1075/53969 datata 20 gennaio 2009, formulata ex art. 157 del d.lgs. n.196/2003, recante Codice in materia di protezione dei dati personali (di seguito denominato "Codice"), indirizzata, tra le altre, all´Azienda ospedaliera "Cannizzaro", con sede legale in Catania, via Messina n. 829;

ESAMINATI gli atti relativi agli accertamenti ispettivi effettuati ex art. 157 del Codice nei giorni 23 e 24 giugno 2009 dal Nucleo speciale privacy della Guardia di finanza, il verbale di contestazione per violazione amministrativa redatto in data 10 agosto 2009 nei confronti dell´Azienda ospedaliera "Cannizzaro", in persona del rappresentate legale pro-tempore, ai sensi dell´art. 162, comma 2-bis, del Codice, per la violazione delle disposizioni di cui all´art. 33 del medesimo Codice, e le ulteriori informazioni fornite dall´azienda con nota n. 13485 dell´8 luglio 2009, che qui si intendono integralmente richiamati;

VISTO lo scritto difensivo inviato in data 31 agosto 2009 ai sensi dell´art. 18 della legge n. 689/1981 nel quale l´Azienda ospedaliera "Cannizzaro" ha dichiarato:

a) di aver "posto in essere tutte le misure idonee alla salvaguardia della riservatezza personale all´interno delle proprie strutture sia sanitarie sia amministrative";

b) che "il mancato aggiornamento del DPS dal momento della sua prima adozione non è stato quindi dovuto alla mancata effettiva esecuzione degli adempimenti sostanziali previsti dalle disposizioni di legge a tutela della riservatezza, quanto piuttosto alla errata considerazione che, non essendo state riscontrate grosse modifiche all´impianto inizialmente adottato per garantire tale tutela, non fosse necessario procedere all´aggiornamento annuale del DPS";

c) peraltro, che "dal momento dell´accertamento della violazione di cui trattasi l´azienda si è attivata da subito con il massimo impegno per procedere nel più breve tempo possibile ai molteplici adempimenti resi necessari ai fini dell´adozione del suindicato atto";

RILEVATO che l´attività svolta dalla società configura un trattamento di dati personali (art. 4, comma 1, lett. a) e b), del Codice) per il quale dovevano essere assolti gli obblighi di cui all´art. 33 del Codice e, in particolare, alla regola n. 19 del disciplinare tecnico di cui all´allegato B) al medesimo Codice, relativa alla redazione e all´aggiornamento del documento programmatico sulla sicurezza;

RILEVATO che, in ordine alla condotta oggetto della contestazione di violazione amministrativa in esame, risulta accertato in atti, e non contestato dall´ente, che l´Azienda ospedaliera "Cannizzaro", dopo aver redatto in data 30 giugno 2004 il documento programmatico sulla sicurezza, non ha successivamente mai provveduto al suo aggiornamento;

VISTO l´art. 162, comma 2-bis, del Codice, nella formulazione antecedente alla modifica apportata con la legge 20 novembre 2009, n. 166, che punisce la violazione delle misure indicate nell´art. 33 del Codice con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro;

PRESO ATTO di quanto dichiarato dall´Azienda ospedaliera "Cannizzaro" in ordine al comportamento complessivo tenuto dall´ente con riferimento ai restanti adempimenti in tema di protezione dei dati personali nonché della condotta tenuta successivamente alla rilevazione della violazione in questione, consistita nella tempestiva adozione di un aggiornato documento programmatico sulla sicurezza;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO che, nel caso in cui l´infrazione non abbia caratterizzazioni specifiche che possano portare a valutazioni di maggiore o minor rigore, nella determinazione della sanzione può ritenersi corretta l´individuazione di un importo pari al terzo del massimo o, se più favorevole, al doppio del minimo, in linea con quanto previsto dall´art. 16 della L. n. 689/1981, ferma restando la valutazione degli ulteriori elementi previsti dall´art. 11 della medesima legge [cfr. Cass. civ., sez. I, 4 novembre 1998, n. 11054];

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità, la violazione non risulta connotata da elementi specifici in relazione alle modalità concrete della condotta e all´intensità dell´elemento psicologico, mentre, sotto il profilo dell´entità del pregiudizio o del pericolo arrecato, deve essere valutata in termini di aumento della sanzione la circostanza che la violazione in esame sia stata posta in essere nell´ambito di una importante azienda ospedaliera, nella quale vengono trattati dati idonei a rivelare lo stato di salute di numerosi pazienti;

b) ai fini della valutazione dell´opera svolta dall´agente, deve essere favorevolmente apprezzato il comportamento dell´azienda che ha proceduto prontamente all´effettuazione degli adempimenti in precedenza omessi, rimuovendo le cause della violazione contestata;

c) circa la personalità dell´autore della violazione, deve essere positivamente considerata la circostanza che la società non risulti avere precedenti specifici in termini di violazioni alle disposizioni del Codice;

d) in merito alle condizioni economiche dell´agente, al fine di commisurare l´importo della sanzione alla reale capacità economica del trasgressore nel rispetto del principio di uguaglianza, non si rilevano elementi specifici idonei ad incidere sulla quantificazione della sanzione;

RITENUTO di dover determinare, ai sensi dell´art. 11 della L. n. 689/1981, l´ammontare della sanzione pecuniaria nella misura di euro 20.000,00 (ventimila), sia in ragione dei suddetti elementi valutati nel loro complesso, sia alla luce delle modifiche apportate all´apparato sanzionatorio del Codice con legge 20 novembre 2009, n. 166;

VISTA la documentazione in atti;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il dott. Mauro Paissan;

ORDINA

all´Azienda ospedaliera "Cannizzaro", ora Azienda ospedaliera per l´emergenza "Cannizzaro", entrambe con sede in Catania, via Messina n. 829,  in persona del legale rappresentante pro tempore, di pagare la somma di euro 20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria per la violazione dell´art. 162, comma 2-bis, del Codice, come determinata in motivazione;

INGIUNGE

alla medesima azienda di pagare la somma di euro 20.000,00 (ventimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento;

DA´ ATTO CHE

avverso il presente provvedimento, ai sensi dell´art. 152 del Codice, può essere proposta opposizione davanti al tribunale ordinario del luogo ove ha sede il titolare del trattamento entro il termine di trenta giorni dalla notificazione del presente provvedimento.

Roma, 7 aprile 2011

IL PRESIDENTE
Pizzetti

IL RELATORE
Paissan

IL SEGRETARIO GENERALE
De Paoli