Diritti interna

Doveri interna

ricerca avanzata

Ordinanza ingiunzione nei confronti di LAM Centro Biomedico s.r.l. - 24 maggio 2017 [6693633]

[doc. web n. 6693633]

Ordinanza ingiunzione nei confronti di LAM Centro Biomedico s.r.l. - 24 maggio 2017

Registro dei provvedimenti
n. 251 del 24 maggio 2017

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che la Guardia di finanza, Nucleo speciale privacy, in esecuzione della richiesta di informazioni ai sensi dell´art. 157 del Codice in materia di protezione dei dati personali – d.lgs. 30 giugno 2003, n. 196 (di seguito denominato Codice), n. 22908/91026 del 24 luglio 2014, formulata da questa Autorità, ha svolto, presso la sede operativa della LAM Centro Biomedico s.r.l., sita in Cassano d´Adda (MI), piazzale Gobetti snc, P.I.: 03061420166, gli accertamenti di cui al verbale di operazioni compiute del 19 novembre 2014;

RILEVATO che all´esito di tale attività e a fronte dell´esame della documentazione acquisita in loco e di quella inoltrata dalla società in data 2 dicembre 2014, è stato accertato quanto segue:

- LAM Centro Biomedico s.r.l., esercente, tra l´altro, attività di laboratorio di analisi, in qualità di titolare, nel prosieguo dell´attività svolta dalla "L.A.M. – Laboratorio Analisi Mediche s.r.l.", società incorporata per fusione con atto notarile in data 31 marzo 2009, tratta dati personali sensibili, già oggetto di notificazione al Garante da parte della società incorporata in data 31 maggio 2006;

- a seguito di detta fusione la nuova denominazione sociale risulta essere LAM Centro Biomedico s.r.l., società che continua a gestire la struttura sanitaria denominata L.A.M. laboratorio analisi mediche. La LAM Centro Biomedico s.r.l. non ha provveduto ad effettuare una nuova notificazione al Garante ritenendo che le prerogative legali delle due società che si sono fuse continuassero ad esistere nella nuova società;

- le argomentazioni addotte in sede di accertamento ispettivo circa la mancata notificazione da parte della società non sono apparse esimenti in quanto "sostanzialmente la notificazione è una dichiarazione con la quale un soggetto pubblico o privato rende nota al Garante l´esistenza di un´attività di raccolta e di utilizzazione di dati personali, svolta quale autonomo titolare del trattamento. Pertanto è il titolare del trattamento che deve effettuare la notificazione e nel caso di specie la titolarità è in capo alla società [LAM Centro Biomedico s.r.l.] e non più alla L.A.M. – Laboratorio Analisi Mediche s.r.l. che, con l´incorporazione per fusione, ha cessato la propria attività e, conseguentemente, ha cessato anche la titolarità del trattamento dati personali";

RILEVATO che la Guardia di finanza, Nucleo speciale privacy, con verbale n. 99 del 15 dicembre 2014, che qui deve intendersi integralmente riportato, ha contestato a LAM Centro Biomedico s.r.l., in qualità di titolare del trattamento, in relazione all´omessa notifica al Garante del trattamento di dati personali idonei a rivelare lo stato di salute dei pazienti, quali ad esempio la sieropositività e le malattie infettive e diffusive di cui agli artt. 37 e 38 del Codice, la violazione amministrativa prevista dall´art. 163 del Codice, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981, n. 689;

ESAMINATO il rapporto predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689 dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

VISTE le memorie difensive datate 30 gennaio 2014 e il verbale dell´audizione delle parti redatto in data 13 ottobre 2015, in cui la parte, ai sensi dell´art. 18 della legge n. 689/1981, ha rilevato che:

- "i verbalizzanti hanno ritenuto che LAM centro biomedico s.r.l. avrebbe dovuto procedere alla prima notifica del trattamento di cui all´art. 37, comma 1, d.lgs. 196/2003, sul presupposto che la stessa avesse iniziato per la prima volta l´attività di laboratorio analisi cliniche e fosse un titolare del trattamento distinto rispetto a L.A.M. – Laboratorio Analisi Mediche s.r.l. Tale assunto, su cui si basa l´intera contestazione, appare errato alla luce della giurisprudenza della Suprema Corte di Cassazione in materia di fusione, richiamata anche da provvedimenti di codesta Autorità [allegati in copia in sede di verbale di audizione], la quale ha […] chiarito che la fusione tra società, prevista dagli artt. 2501 c.c. e segg., non determina, nelle ipotesi di fusione per incorporazione, l´estinzione della società incorporata";

- "da tale principio discende che l´incorporante LAM centro biomedico s.r.l. e l´incorporata L.A.M. – Laboratorio Analisi Mediche s.r.l. non possono essere considerati due soggetti titolari del trattamento distinti, in quanto quest´ultima conserva la propria identità pur in un nuovo assetto organizzativo. Di conseguenza, [la parte] ritiene che l´obbligo di notificazione anteriormente all´inizio del trattamento in data 31 maggio 2006 sia stato adempiuto e sia pienamente efficace nel quadro del nuovo assetto organizzativo derivato dalla fusione, avendo a ciò provveduto la incorporata […]";

- "[…] ove si dovesse ritenere che la contestazione effettuata […] possa contenere implicitamente […] la contestazione della mancata notificazione del mutamento della ragione sociale […] si chiede che codesta Autorità, anche alla luce di propri precedenti provvedimenti, voglia tenere in considerazione la scarsa gravità del fatto e di conseguenza irrogare la sanzione in misura pari ai due quinti del minimo edittale ai sensi dell´art. 164-bis, comma 1, d.lgs. 196/2003";

- "in merito, invece, alla modifica della notificazione di cui all´art. 38, si rileva la non sanzionabilità per la mancata contestazione di alcuna specifica violazione o in subordine, l´applicazione del minimo edittale con riduzione della sanzione applicata ai sensi dell´art. 164-bis, comma 1, sulla base della buona fede, della mancanza di alcun danno agli interessati e del ravvedimento operoso messo prontamente in opera dalla società";

RITENUTO che le argomentazioni addotte non risultano idonee ad escludere le responsabilità della parte in relazione a quanto contestato. In merito all´esistenza della precedente notificazione, effettuata nel corso del 2006 dalla società incorporata, si rileva che le argomentazioni prodotte non abbiano fornito alcun elemento ulteriore rispetto a quanto preso in considerazione dalla Guardia di Finanza in sede di redazione del verbale di operazioni compiute con il quale è stata accertata la violazione di cui trattasi. Diversamente da quanto rilevato dalla parte, gli agenti accertatori non hanno agito mossi dall´errato presupposto secondo cui a seguito della fusione per incorporazione si fosse perfezionata l´estinzione della società incorporata. Infatti, la violazione di cui agli artt. 37 e 38 del Codice si riferisce alla circostanza per cui, a seguito della fusione per incorporazione avvenuta con atto notarile del 31 marzo 2009, è sorto un nuovo soggetto giuridico (LAM Centro Biomedico s.r.l.) con distinta sede legale. Tale soggetto giuridico, per effetto della previsione dell´art. 38, comma 4 del Codice, era tenuto ad effettuare una nuova notificazione essendo mutati due degli elementi da indicare nella notificazione medesima ovvero, nel caso di specie, la nuova ragione sociale e la nuova sede legale (coordinate identificative del titolare del trattamento). Tale indicazione risulta chiaramente indicata nel provvedimento del Garante datato 8 aprile 2009 (in www.garanteprivacy.it, doc. web n. 1609999) recante "Prescrizioni in materia di operazioni di fusione e scissione fra società", e ribadita nelle Ordinanze ingiunzione del Garante n. 238 del 6 settembre 2012 e n.  305 del 20 giugno 2013 (in www.garanteprivacy.it, rispettivamente doc. web n. 2260717 e n. 2630385). Si evidenzia, inoltre, che pur non rappresentando oggetto di contestazione, dall´interrogazione del registro dei trattamenti è risultato che la notificazione effettuata nel 2006 dalla società incorporata (L.A.M. – Laboratorio Analisi Mediche s.r.l.) era relativa al trattamento dei dati di cui all´art. 37, comma 1, lett. b), del Codice mentre la notificazione presentata nel 2015 dalla società incorporante (LAM Centro Biomedico s.r.l.) oltre al trattamento di tali dati includeva anche il trattamento dei dati genetici di cui all´art. 37, comma 1, lett. a), del Codice. Infine, si rileva che quanto dedotto dalla parte non consente di qualificare gli elementi costitutivi della disciplina sull´errore scusabile di cui all´art. 3 della legge n. 689/1981, atteso che l´errore sulla liceità del fatto, comunemente indicato come buona fede, può rilevare come causa di esclusione della responsabilità solo quando esso risulti incolpevole. A tal fine occorre, cioè, un elemento positivo idoneo ad indurre un errore siffatto, non ovviabile dall´interessato con l´ordinaria diligenza, elemento che non è riscontrabile nel caso di specie (Cass. civ. sez. VI del 2 ottobre 2015, n. 19759; Cass. civ. sez. lavoro del 12 luglio 2010, n. 16320; Cass. Civ. sez. II del 13 marzo 2006, n. 5426). Si ritiene, tuttavia, applicabile l´invocata diminuente di cui all´art. 164-bis, comma 1, del Codice, attesa la minore gravità della violazione commessa;

RILEVATO, pertanto, che LAM Centro Biomedico s.r.l., sulla base delle considerazioni sopra richiamate, in qualità di titolare del trattamento, ai sensi degli artt. 4, comma 1, lett. f) e 28 del Codice, risulta aver commesso la violazione di cui agli art. 37 e 38 del Codice, per aver effettuato un trattamento di dati sensibili, attinenti allo stato di salute dei pazienti, relativi al settore di diagnostica clinica, omettendo di notificare al Garante il mutamento degli elementi indicati nella notificazione presentata il 31.05.2006 dalla società incorporata L.A.M. Laboratorio Analisi Mediche s.r.l.;

VISTO l´art. 163 del Codice che punisce la violazione delle disposizioni di cui agli artt. 37 e 38 del Codice con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro;

RITENUTO che, nel caso di specie, ricorrano le condizioni per applicare l´art. 164-bis, comma 1, del Codice il quale prevede che se taluna delle violazioni di cui agli art. 161, 162, 162-ter, 163 e 164 è di minore gravità, i limiti minimi e massimi stabiliti negli stessi articoli sono applicati in misura pari a due quinti;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità con riferimento agli elementi dell´entità del pregiudizio o del pericolo e dell´intensità dell´elemento psicologico, la violazione non risulta connotata da elementi specifici;

b) ai fini della valutazione dell´opera svolta dall´agente, deve evidenziarsi che la società, dall´interrogazione del registro generale dei trattamenti, risulta aver presentato, il 30 gennaio 2015, la modifica della notificazione precedentemente presentata (il 31.5.2006) dalla società incorporata L.A.M. Analisi Mediche s.r.l.;

c) circa la personalità dell´autore della violazione, deve essere considerata la circostanza che la società non risulta gravata da precedenti procedimenti sanzionatori definiti in via breve o a seguito di ordinanza ingiunzione;

d) in merito alle condizioni economiche dell´agente, sono stati presi in considerazione gli elementi delle dichiarazioni reddituali relative all´anno d´imposta 2015;

RITENUTO di dover determinare, ai sensi dell´art. 11 della L. n. 689/1981, l´ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 8.000,00 (ottomila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

a LAM Centro Biomedico s.r.l., in persona del legale rappresentante pro-tempore, con sede legale in Bergamo (BG), Rotonda dei Mille n. 3, P.I.: 03061420166, di pagare la somma di euro 8.000,00 (ottomila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 8.000,00 (ottomila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 24 maggio 2017

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia