Diritti interna

Doveri interna

ricerca avanzata

Ordinanza ingiunzione nei confronti di Bianalisi s.p.a. - 11 maggio 2017 [6693517]

[doc. web n. 6693517]

Ordinanza ingiunzione nei confronti di Bianalisi s.p.a. - 11 maggio 2017

Registro dei provvedimenti
n. 229 dell´11 maggio 2017

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che la Guardia di finanza, Nucleo speciale privacy, in esecuzione della richiesta di informazioni ai sensi dell´art. 157 del Codice in materia di protezione dei dati personali – d.lgs. 30 giugno 2003, n. 196 (di seguito denominato Codice), n. 22908/91026 del 24 luglio 2014, formulata da questa Autorità, ha svolto, presso la sede legale della Bianalisi s.p.a., sita in Lissone (MB), via San Rocco n. 42, P.I.: 00731780961, gli accertamenti di cui ai verbali di operazioni compiute del 20 novembre 2014;

RILEVATO che all´esito di tale attività e a fronte dell´esame della documentazione acquisita in loco e di quella inoltrata dalla società in data 5 dicembre 2014, è stato accertato quanto segue:

- la Bianalisi s.p.a., esercente l´attività di laboratorio di analisi cliniche, in qualità di titolare, trattava da circa un mese anche dati genetici mediante l´effettuazione di "test genetici su campioni biologici";

- la società, in data 14 maggio 2004, aveva effettuato la notifica al Garante per la protezione dei dati personali ai sensi dell´art. 37, comma 1, lett. b) del Codice;

- a tale notifica non era stata apportata "la modifica inerente il trattamento di dati genetici che la società attualmente effettua e che doveva essere oggetto di notificazione al Garante ai sensi dell´art. 37, comma 1, lett. a) del Codice";

RILEVATO che la Guardia di finanza, Nucleo speciale privacy, con verbale n. 100 del 15 dicembre 2014, che qui deve intendersi integralmente riportato, ha contestato alla società Bianalisi s.p.a., in qualità di titolare del trattamento, in relazione all´omessa notifica al Garante del trattamento di dati genetici di cui all´art. 37, comma 1 lett. a) del Codice, la violazione amministrativa prevista dall´art. 163 del Codice, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981, n. 689;

ESAMINATO il rapporto predisposto ai sensi dell´art. 17 della legge n. 689/1981 dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO il verbale dell´audizione delle parti redatto in data 13 ottobre 2015, ai sensi dell´art. 18 della legge n. 689/1981, in cui si legge "in merito alla violazione contestata circa l´omessa notificazione del trattamento dei dati genetici, devo precisare che al momento dell´ispezione tale trattamento non era ancora stato avviato. Di fatti, la società in quel momento stava predisponendo la sezione specialistica e solo alcune settimane dopo l´ispezione ha acquistato l´attrezzatura necessaria per l´effettuazione di tali test (...) L´installazione e il collaudo del macchinario avvenivano in data 2.12.2014. (…) Infine la certificazione di qualità ISO9001:2008, in assenza della quale non è possibile, in Regione Lombardia, eseguire e refertare esami genetici, è stata rilasciata solo in data 14.1.2015. (…) le dichiarazioni rese in merito dal Dott. Dolcini [dipendente della società] nel verbale di operazioni compiute sono imprecise in quanto lo stesso era al corrente dell´imminente avvio dell´attività, ma non conosceva i tempi di attivazione della stessa";

RITENUTO che le argomentazioni addotte non risultano idonee ad escludere le responsabilità della parte in relazione a quanto contestato. Si evidenzia, innanzitutto, che quanto dedotto dalla parte risulta in contraddizione non solo con le dichiarazioni fornite dal predetto Dott. Dolcini in sede di ispezione, ma anche con le evidenze documentali acquisite in loco dagli agenti accertatori. Difatti, il sopra citato dipendente della Bianalisi s.p.a., preliminarmente reso edotto dai verbalizzanti delle conseguenze penali previste dall´art. 168 del Codice con riferimento alle false dichiarazioni rese in un procedimento dinnanzi al Garante o nel corso di accertamenti, ha affermato che: "da circa un mese la società ha avuto l´autorizzazione per la Sezione citogenetica e genetica medica e, pertanto, effettua test genetici su campione biologico. (….) Per esami genetici e HIV, dopo aver fornito l´informativa di cui all´allegato 2 viene richiesto un consenso specifico come da modulo che vi fornisco: esami genetici (all. 5). Per l´effettuazione dei test genetici viene richiesta la prescrizione di uno specialista che deve fornire all´interessato specifica informativa che lo stesso, in sede di rilascio del consenso, dichiara di aver ricevuto" (cfr. pg. 4 del verbale di operazioni compiute del 20 novembre 2014). Inoltre, il Dott. Dolcini affermava che per il trattamento dei dati genetici erano state adottate particolari misure di sicurezza quali ad esempio la separazione fisica dei locali della "Sezione citogenetica e genetica medica" da tutti gli altri locali della società compreso il laboratorio analisi, l´accesso ad un limitatissimo numero di persone espressamente autorizzato e la refertazione on line tramite protocollo di sicurezza https. Oltre all´allegato 5 del verbale di operazioni compiute (consenso informato all´esecuzione di analisi di genetica medica) veniva acquisito agli atti anche un elenco, composto da 24 pagine, riportanti gli esami clinici effettuabili presso la Bianalisi s.p.a. (cfr. all. 9 del predetto verbale), all´interno del quale erano presenti svariati test genetici. Per ciò che attiene la certificazione di qualità ISO 9001:2008, si evidenzia che la stessa, secondo le "Linee Guida per Test Genetici" del Comitato Nazionale per la Biosicurezza e le Biotecnologie dell´Istituto Superiore di Sanità, rientra tra i controlli esterni di qualità a cui ogni laboratorio che svolge test genetici deve sottoporre ogni categoria di analisi effettuata ad almeno un programma riconosciuto a livello nazionale e coordinato dall´Istituto stesso. I campioni dei controlli di qualità devono essere analizzati in un modo comparabile a quello utilizzato per testare i campioni dei pazienti. Da tale comparazione, unitamente ai controlli interni di qualità, si potrà verificare validità, l´accuratezza, la precisione, la riproducibilità e l´efficacia degli esami effettuati. Le verifiche per il rilascio di tale certificazione, secondo la produzione documentale fornita dalla parte in sede di audizione, risultano essere state effettuate nelle giornate del 19 e 23 dicembre 2014, dietro richiesta specifica della Bianalisi s.p.a. di "estensione alla sezione specializzata di Citogenetica e Genetica medica". L´ente certificatore ha attestato che "l´audit è stato condotto prendendo in esame, a campionamento, i processi in essere e focalizzandolo sugli aspetti significativi richiesti dallo Standard di riferimento". La certificazione invocata dalla parte risulta essere stata rilasciata per processi in essere e, pertanto, in considerazione anche di quanto accertato dalla Guardia di finanza ai sensi dell´art. 13 della legge n. 689/1981, deve ritenersi confermata la violazione al riguardo contestata;

RILEVATO, pertanto, che Bianalisi s.p.a., sulla base delle considerazioni sopra richiamate, in qualità di titolare del trattamento, ai sensi degli artt. 4, comma 1, lett. f) e 28 del Codice, risulta aver commesso la violazione di cui all´art. 37, comma 1, lett. a) del Codice, per aver effettuato un trattamento di dati genetici senza aver presentato preventivamente la notificazione al Garante così come previsto espressamente anche dall´Autorizzazione n. 8/2013 sul trattamento dei dati genetici, adottata ai sensi dell´art. 90 del Codice (reperibile all´indirizzo www.gpdp.it, doc. web n. 2818993);

VISTO l´art. 163 del Codice che punisce la violazione delle disposizioni di cui all´art. 37 con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità con riferimento agli elementi dell´entità del pregiudizio o del pericolo e dell´intensità dell´elemento psicologico, la violazione non risulta connotata da elementi specifici;

b) ai fini della valutazione dell´opera svolta dall´agente, deve evidenziarsi che la società, dall´interrogazione del registro generale dei trattamenti, risulta aver presentato la notificazione per il trattamento dei dati genetici il 1° marzo 2015;

c) circa la personalità dell´autore della violazione, deve essere considerata la circostanza che la società non risulta gravata da precedenti procedimenti sanzionatori definiti in via breve o a seguito di ordinanza ingiunzione;

d) in merito alle condizioni economiche dell´agente, sono stati presi in considerazione gli elementi delle dichiarazioni reddituali relative all´anno d´imposta 2015;

RITENUTO di dover determinare, ai sensi dell´art. 11 della legge n. 689/1981, l´ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 20.000,00 (ventimila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981, n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Augusta Iannini;

ORDINA

a Bianalisi s.p.a., in persona del legale rappresentante pro-tempore, con sede legale in Lissone (MB), via San Rocco n. 42, P.I.: 00731780961, di pagare la somma di euro 20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 20.000,00 (ventimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 11 maggio 2017

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia