[doc. web n. 3925407]

Ordinanza di ingiunzione nei confronti di Azienda Ospedaliera Universitaria Policlinico Sant´Orsola-Malpighi - 29 gennaio 2015

Registro dei provvedimenti
n. 51 del 29 gennaio 2015

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Nucleo speciale privacy della Guardia di finanza, in esecuzione della richiesta di informazioni ex art. 157 del Codice in materia di protezione dei dati personali – d.lg. 30 giugno 2003, n. 196 (di seguito denominato Codice) (n. 3026/78073 del 7 febbraio 2012), ha svolto gli accertamenti di cui al verbale di operazioni compiute del 18 aprile 2012 nei confronti dell´Azienda Ospedaliera Universitaria Policlinico Sant´Orsola-Malpighi, P.Iva: 02553300373, con sede in Bologna, via Albertoni n. 15, in persona del legale rappresentante pro-tempore, dai quali è risultato, tra l´altro, che l´Azienda Ospedaliera effettua una raccolta di dati personali (dati anagrafici e indirizzo di posta elettronica) tramite un form di raccolta denominato "contattaci", presente nel sito Internet www.aosp.it, a fronte della quale è stata riscontrata l´assenza dell´informativa di cui all´art. 13 del Codice;

VISTO il verbale n. 32 del 2 maggio 2012 con cui è stata contestata, alla predetta Azienda Ospedaliera, quale titolare del trattamento, la violazione amministrativa, prevista dall´art. 161 del Codice, in relazione all´art. 13, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981, n. 689;

RILEVATO dal rapporto del predetto Nucleo speciale, predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al suddetto verbale di contestazione, che non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo del 12 giugno 2012, inviato ai sensi dell´art. 18 della legge 24 novembre 1981, n. 689, con il quale l´Azienda Ospedaliera, argomentando il ricorrere dei presupposti applicativi dei casi di minore gravità di cui all´art. 164-bis, comma 1 del Codice, ha evidenziato come "All´evidenza, pur in mancanza di un modello di informativa formalmente articolato in modo esplicito secondo i dettami dell´art. 13 del Codice medesimo, nella pagina sopra riportata erano comunque presenti tutti gli elementi in grado di soddisfare il contenuto informativo richiesto da questo articolo". Ha evidenziato, altresì, come, in violazione di quanto previsto dagli artt. 2, 3 e 7 della legge n. 689/1981, "(…) nel verbale di contestazione, il rilievo è rivolto esclusivamente nei confronti Azienda Ospedaliera Universitaria Policlinico Sant´Orsola-Malpighi, e quindi alla sola persona giuridica, senza alcun riferimento al responsabile dell´illecito". Peraltro, tale ultima considerazione rileva anche con riferimento a previsto dall´art. 14 della citata legge n. 689/1981, atteso che "(…) la contestazione deve necessariamente avvenire sia nei confronti del trasgressore, sia nei confronti del coobbligato in solido al pagamento";

VISTO il verbale di audizione delle parti redatto in data 3 dicembre 2012 ai sensi dell´art. 18 della legge n. 689/1981, nel quale l´Azienda Ospedaliera, producendo un´ulteriore memoria difensiva, ha sostanzialmente ribadito quanto argomentato negli scritti difensivi;

RITENUTO che le argomentazioni addotte non risultano idonee in relazione a quanto contestato. La Guardia di finanza ha puntualmente accertato, ai sensi dell´art. 13 della legge n. 689/1981, tutti gli elementi costituivi dell´illecito contestato, atteso che, così come si evince dal verbale di operazioni compiute, l´organo accertatore ha puntualmente valutato le molteplici informative rese ai sensi dell´art. 13 del Codice dall´Azienda Ospedaliero Universitaria a fronte dei numerosi e distinti trattamenti di dati personali effettuati, constatando però che, diversamente dagli altri casi, nessuna informativa ai sensi del citato art. 13 del Codice veniva resa per il trattamento oggetto di contestazione. Sul punto, inoltre, si rileva come, ai sensi dell´art. 13 del Codice, all´interessato, devono essere fornite, prima che abbiano inizio le operazioni relative, tutte le informazioni attinenti allo specifico trattamento di dati personali che ci si accinge ad effettuare, non potendo essere rimesso allo stesso il compito di individuare (o indovinare) tutti gli elementi richiesti dalle lettere dalla a) alla f) del citato art. 13, comma 1. In ordine a quanto argomentato circa la violazione di quanto previsto dagli artt. 2, 3 e 7 della legge n. 689/1981, si evidenzia come la disciplina dettata dal Codice costituisce lex specialis rispetto alle previsioni della legge n. 689/1981 in quanto fonte di pari grado richiamabile, per effetto dell´art. 166 del Codice, solo "in quanto applicabile". Il Codice dispone che gli adempimenti siano  posti in essere, in primo luogo, dal titolare del trattamento che, secondo quanto è previsto all´art. 28 del Codice, quando il trattamento è effettuato da una persona giuridica, da una pubblica amministrazione o da un qualsiasi altro ente, associazione od organismo, titolare del trattamento è "l´entità nel suo complesso". Il titolare del trattamento può, nell´ambito del potere di organizzazione del trattamento dei dati, delegare l´assolvimento di taluni adempimenti anche a persone (fisiche o giuridiche) individuate, ai sensi dell´art. 29 del Codice, quali responsabili del trattamento. Sul punto si osserva come, diversamente da quanto asserito, in atti non risulta alcuna designazione a responsabile del trattamento dei dati ai sensi dell´art. 29 del Codice dalla quale si possa rilevare che la responsabilità della predisposizione dell´informativa di cui all´art. 13 del Codice, la cui omissione ha generato la contestazione in argomento, fosse stata effettivamente delegata a uno specifico responsabile del trattamento adeguatamente designato. Ne deriva, pertanto, che il procedimento è stato correttamente avviato nei confronti del titolare del trattamento individuato nell´Azienda Ospedaliera Universitaria Policlinico Sant´Orsola-Malpighi;

RILEVATO che l´Azienda Ospedaliera Universitaria Policlinico Sant´Orsola-Malpighi ha quindi effettuato un trattamento di dati personali (art. 4 comma 1, lett. a) e b) del Codice) senza rendere la prescritta informativa agli interessati ai sensi dell´art. 13 del Codice attraverso il form di raccolta dati denominato "contattaci" presente sul sito web www.aosp.it;

VISTO l´art. 161 del Codice che punisce la violazione delle disposizioni di cui all´art. 13 con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro;

RITENUTO che, nel caso di specie ricorrano le condizioni per applicare l´art. 164-bis, comma 1, del Codice il quale prevede che se taluna delle violazioni di cui agli art. 161, 162, 163 e 164 è di minore gravità, i limiti minimi e massimi stabiliti negli stessi articoli sono applicati in misura pari a due quinti;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO di dover determinare, ai sensi dell´art. 11 della legge n. 689/1981, l´ammontare delle due sanzioni pecuniarie per la violazione dell´art. 161 del Codice in combinato disposto con l´art. 164-bis, comma 1, nella misura di euro 2.400,00 (duemilaquattrocento);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni ed integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Augusta Iannini;

ORDINA

all´Azienda Ospedaliera Universitaria Policlinico Sant´Orsola-Malpighi, P.Iva: 02553300373, con sede in Bologna, via Albertoni n. 15, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 2.400,00 (duemilaquattrocento) a titolo di sanzione amministrativa pecuniaria per la violazione prevista dall´art. 161 del Codice indicata in motivazione, frazionandola in 10 rate mensili dell´importo di 240,00 euro ciascuna;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 2.400,00 (duemilaquattrocento) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 29 gennaio 2015

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia