Diritti interna

Doveri interna

ricerca avanzata

Ordinanza ingiunzione nei confronti di Crabion s.r.l. - 16 febbraio 2017 [6495846]

[doc. web n. 6495846]

Ordinanza ingiunzione nei confronti di Crabion s.r.l. - 16 febbraio 2017

Registro dei provvedimenti
n. 64 del 16 febbraio 2017

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che la Guardia di finanza, Nucleo speciale privacy, in esecuzione della richiesta di informazioni ai sensi dell´art. 157 del Codice in materia di protezione dei dati personali – d.lgs. 30 giugno 2003, n. 196 (di seguito denominato Codice), n. 32301/85220 del 11 dicembre 2013, formulata da questa Autorità a fronte di una segnalazione, ha svolto, presso la sede operativa della società Crabion s.r.l., sita in Corciano (PG), via A. Ponchielli, n. 8, P.I.: 02388940542, gli accertamenti di cui ai verbali di operazioni compiute del 28 e 29 gennaio 2014;

RILEVATO che all´esito di tale attività e a fronte dell´esame della documentazione acquisita in loco e di quella inoltrata dalla società tramite PEC in data 10 febbraio 2014, è stato accertato quanto segue:

- la Crabion s.r.l., esercente l´attività di laboratorio clinico specializzato, nello svolgimento di indagini genetiche di vario tipo (analisi del cariotipo su sangue periferico e liquido amniotico, varie malattie genetiche), effettua un trattamento di dati genetici come da Autorizzazione n. 8/2013 del 12 dicembre 2013 (cfr. "Autorizzazione generale al trattamento dei dati genetici", pubblicata in Gazzetta Ufficiale n. 302 del 27 dicembre 2013, doc. web n. 2818993) vigente all´epoca dell´accertamento effettuato;

- le indagini genetiche vengono in concreto svolte dal dott. Mariotti Giacomo, esercente l´attività di biologo specializzato in genetica medica, in virtù di un conferimento di incarico professionale da parte della Crabion s.r.l. formalizzato in data 1° settembre 2009;

-  il dott. Mariotti, Responsabile del reparto di genetica medica, è stato nominato incaricato del trattamento dati con atto datato 4 ottobre 2013;

- la Crabion s.r.l., titolare del trattamento dei dati genetici, non ha provveduto ad effettuare, prima dell´inizio del trattamento dei dati genetici la notificazione prevista dall´art. 37 del Codice ritenendo sufficiente la notifica effettuata personalmente dal dott. Mariotti in data 15 maggio 2004, periodo in cui quest´ultimo collaborava con una distinta società cessata per liquidazione volontaria dei soci in data 9 febbraio 2010;

RILEVATO che la Guardia di finanza, Nucleo speciale privacy, con verbale n. 7/2014 del 14 aprile 2014 (notificato il 24 aprile 2014), che qui deve intendersi integralmente riportato, ha contestato alla società Crabion s.r.l., in qualità di titolare del trattamento, in relazione all´omessa notifica al Garante del trattamento di dati genetici di cui all´art. 37, comma 1 lett. a) del Codice, la violazione amministrativa prevista dall´art. 163 del Codice, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981, n. 689;

ESAMINATO il rapporto predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689 dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

VISTA la memoria difensiva datata 19 maggio 2014 in cui la parte, ai sensi dell´art. 18 della legge n. 689/1981, ha rilevato che "(…) l´attività di genetica medica del centro ricerche Crabion (compresa la consulenza e gestione di tutta la documentazione relativa ai dati personali) è svolta da parte del Responsabile della Relativa sezione (Genetista dott. Giacomo Mariotti) inserito nel registro pubblico con iscrizione n. 20040515068407". Inoltre, nel richiamare la formulazione dell´art. 37 del Codice, la parte ha evidenziato come sia "evidente quindi che il titolare del trattamento dei dati debba eseguire la notifica. Altrettanto valido è però la possibilità che il titolare si avvalga di altri soggetti per la esecuzione della notifica". La Crabion s.r.l. ha anche ribadito il rapporto intercorrente tra la società e il dott. Mariotti, formalizzato in un conferimento d´incarico professionale per lo svolgimento della funzione di consulenza genetica in data 1° settembre 2009, seguito da una scrittura privata in data 12 marzo 2011 (finalizzata all´acquisizione del pacchetto clienti del dott. Mariotti da parte della società), precisando che "Non eseguendo direttamente la attività la esponente non provvedeva ad alcuna notifica in considerazione della precedente notifica eseguita dal Dr. Mariotti sin dal 2004." Infine la parte ha rappresentato: "Evidente il fatto che la esponente non ha violato alcuna norma in quanto la notifica in se era stata già eseguita dal responsabile dei dati genetici (non essendo necessaria una ulteriore notifica) direttamente incaricato con la scrittura del 2009. Sul punto si allega dichiarazione del Dr. Mariotti che conferma e precisa quanto già detto dalla esponente circa il fatto che egli è incaricato del trattamento dei dati in materia genetica avendo lui eseguito sin dall´inizio ogni attività anche in materia di trattamento dei dati (…)";

VISTO il verbale dell´audizione delle parti redatto in data 17 novembre 2014, ai sensi dell´art. 18 della legge n. 689/1981, in cui si legge "Nel riportarmi integralmente alle memorie difensive sottolineo in primo luogo che, come evidenziato dalla dichiarazione del Dottor Mariotti allegata alle memorie difensive, lo stesso ha a suo tempo notificato la propria attività in qualità di titolare del trattamento. All´epoca della notificazione i dati, peraltro, erano custoditi presso altra società con la quale il dott. Mariotti collaborava. Quando il dottor Mariotti ha interrotto il rapporto con tale Società ed ha intrapreso un rapporto con la Crabion s.r.l. ha trasferito i dati precedentemente raccolti presso la nostra sede, pur mantenendoli all´interno di un computer dedicato munito di password a disposizione del solo dottor Mariotti, di modo che nessuna possibilità di accesso a tali dati fosse consentita alla Crabion s.r.l. ciò anche per i dati acquisiti nel corso della collaborazione con la Crabion stessa.";

RITENUTO che le argomentazioni addotte non risultano idonee ad escludere le responsabilità della parte in relazione a quanto contestato. Si evidenzia, innanzitutto, che quanto dedotto non abbia fornito alcun elemento ulteriore rispetto a quanto emerso in fase di accertamento e preso in considerazione dalla Guardia di finanza in sede di redazione del verbale di contestazione del 14 aprile 2014. La notifica effettuata dal dott. Mariotti nel 2004, quando peraltro non vi era alcun rapporto di collaborazione tra il medesimo e la Crabion s.r.l., non può essere addotta quale giustificazione per l´omessa notificazione da parte della società in relazione al trattamento dei dati genetici effettuato da parte della medesima società a partire dal mese di settembre del 2009. Al riguardo, giova evidenziare che la notifica effettuata dal dott. Mariotti in qualità di titolare del trattamento indicava come contitolare la società Servizio di Genetica Medica s.a.s., cessata per liquidazione volontaria dei soci in data 9 febbraio 2010, esercente all´epoca della notificazione l´attività di laboratorio di analisi genetiche e di consultorio genetico e in cui il dott. Mariotti ricopriva il ruolo di socio accomandante. Diverso è il ruolo ricoperto dal Dott. Mariotti nell´ambito della Crabion s.r.l. in cui egli è nominato incaricato del trattamento mentre la titolarità, come espressamente affermato dalla stessa società e palesato nel contenuto dell´informativa privacy specifica per le indagini genetiche, è della Crabion s.r.l. La società Crabion, soggetto distinto e separato rispetto ai  soggetti che hanno effettuato la notificazione nel 2004, in qualità di titolare del trattamento, era tenuta ad effettuare la notificazione prima dell´inizio del trattamento presso la propria sede come previsto espressamente dall´art. 37 del Codice, fornendo tutte le informazioni individuate dal successivo art. 38 del Codice e provvedendo, eventualmente, ad effettuare una nuova notificazione qualora fosse mutato taluno degli elementi indicati nella notificazione medesima. Privo di pregio risulta anche quanto asserito circa il possesso esclusivo della password  per accedere ai dati genetici da parte del Dott. Mariotti in quanto quest´ultimo, in qualità di incaricato del trattamento ai sensi dell´art. 30 del Codice, è il soggetto che in concreto effettua le operazioni di trattamento e, in applicazione delle disposizioni relative alle misure minime di sicurezza adottate in caso di trattamento di dati personali con strumenti elettronici nei modi previsti dal disciplinare tecnico contenuto nell´allegato B) del Codice, le credenziali di autenticazione non potevano che essere conosciute solamente dal medesimo;

RILEVATO, pertanto, che Crabion s.r.l., sulla base delle considerazioni sopra richiamate, in qualità di titolare del trattamento, ai sensi degli artt. 4, comma 1, lett. f) e 28 del Codice, risulta aver commesso la violazione di cui all´art. 37, comma 1, lett. a) del Codice, per aver effettuato un trattamento di dati genetici senza aver presentato preventivamente la notificazione al Garante così come previsto espressamente anche dall´Autorizzazione n. 8/2013 sul trattamento dei dati genetici, adottata ai sensi dell´art. 90 del Codice;

VISTO l´art. 163 del Codice che punisce la violazione delle disposizioni di cui all´art. 37 con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità con riferimento agli elementi dell´entità del pregiudizio o del pericolo e dell´intensità dell´elemento psicologico, la violazione non risulta connotata da elementi specifici;

b) ai fini della valutazione dell´opera svolta dall´agente, deve evidenziarsi che la società, dall´interrogazione del registro generale dei trattamenti, non risulta, allo stato, aver presentato la notificazione;

c) circa la personalità dell´autore della violazione, deve essere considerata la circostanza che la società non risulta gravata da precedenti procedimenti sanzionatori definiti in via breve o a seguito di ordinanza ingiunzione;

d) in merito alle condizioni economiche dell´agente, sono stati presi in considerazione gli elementi delle dichiarazioni reddituali relative all´anno d´imposta 2015;

RITENUTO di dover determinare, ai sensi dell´art. 11 della L. n. 689/1981, l´ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 20.000,00 (ventimila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la prof.ssa Licia Califano;

ORDINA

a Crabion s.r.l., in persona del legale rappresentante pro-tempore, con sede legale in Perugia, via delle Olimpiadi n. 10, P.I.: 02388940542, di pagare la somma di euro 20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 20.000,00 (ventimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 16 febbraio 2017

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia