[doc. web n. 6703871]

Ordinanza ingiunzione nei confronti di Laboratorio Villafranca snc - 11 maggio 2017

Registro dei provvedimenti
n. 230 del 11 maggio 2017

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Nucleo speciale privacy della Guardia di finanza, in esecuzione della richiesta di informazioni n. 22908/91026 del 24 luglio 2014, formulata ai sensi dell´art. 157 del d.lgs. 30 giugno 2003, n. 196, recante il Codice in materia di protezione dei dati personali (di seguito "Codice"), ha svolto gli accertamenti presso il Laboratorio Villafranca snc di Passon Stefano e c. (di seguito "Laboratorio Villafranca"), con sede in Villafranca di Verona (VR), Via Messedaglia n. 101, C.F. 01290960234, formalizzati nel verbale di operazioni compiute del 14 ottobre 2014, diretti a verificare la liceità dei trattamenti di dati personali effettuati dal predetto laboratorio, con particolare riferimento alle modalità con cui si è dato adempimento all´obbligo della notificazione di cui agli artt. 37 e 38 del Codice;

VISTA la nota inviata dalla Società in data 29 ottobre 2014, a scioglimento delle riserve formulate nel corso dell´accertamento ispettivo, con cui la stessa ha dichiarato che "nell´impossibilità di reperire evidenze documentali relative alla notificazione effettuata in forma cartacea anteriormente al 2003 e, avendo compreso (…) la necessità di procedere comunque alla presentazione di una nuova notificazione ha provveduto in tal senso in data odierna";

RILEVATO, pertanto, che sulla base della documentazione acquisita, il Laboratorio Villafranca, in qualità di titolare del trattamento ai sensi dell´art. 28 del Codice, ha effettuato un trattamento di dati personali di cui all´art. 37, comma 1, lett. b), del Codice, omettendo di effettuare la notificazione al Garante nei termini e con le modalità di cui agli artt. 37 e 38 del Codice;

VISTO il verbale n. 92 del 13 novembre 2014, che qui si intende integralmente richiamato, con cui è stata contestata al Laboratorio Villafranca, in persona del legale rappresentante pro-tempore, la violazione amministrativa prevista dall´art. 163 del Codice, in relazione agli artt. 37 e 38, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981 n. 689;

RILEVATO che dal rapporto predisposto ai sensi dell´art. 17 della legge n. 689/1981 dal predetto Nucleo non risulta che la Società abbia effettuato il pagamento in misura ridotta;

LETTO il verbale di audizione, svoltasi in data 13 ottobre 2015 ai sensi dell´art. 18 della legge n. 689/1981, con cui la parte ha ribadito che, pur avendo effettuato la notificazione al Garante in formato cartaceo (ovvero prima dell´avvio della procedura telematica introdotta con il Codice), non ha rinvenuto la relativa prova documentale. La notificazione così effettuata non era stata aggiornata, in quanto la propria associazione di categoria, l´Anisap, in una nota datata 27 aprile 2004 indirizzata ai propri consociati, aveva espressamente escluso la necessità che i laboratori di analisi adempissero a tale obbligo. Tale circostanza, secondo la parte, escluderebbe la sussistenza dell´elemento soggettivo della colpa di cui all´art. 3 della legge n. 689/1981, con la conseguenza della non punibilità della violazione contestata;

VISTA la nota, inviata a integrazione di quanto dichiarato nel corso dell´audizione, con cui la parte ha precisato di aver introdotto misure tese a migliorare l´assetto della società, sotto il profilo della protezione dei dati personali, e di aver provveduto a effettuare la notificazione;

RITENUTO che le argomentazioni addotte non sono idonee ad escludere la responsabilità della parte in ordine a quanto contestato. Va, preliminarmente, chiarito che seppure la società avesse effettuato la notificazione in formato cartaceo prevista dalla previgente disciplina legislativa  di cui alla legge n. 675/1996 (circostanza di cui non si ha nessun riscontro documentale), a seguito dell´entrata in vigore del Codice si sarebbe reso necessario per il titolare del trattamento verificare, in primo luogo, che le attività di trattamento rientrassero nelle nuove previsioni di cui all´art. 37 del Codice medesimo e procedere, conseguentemente, con l´effettuazione della nuova notificazione per via telematica entro il 30 giugno 2004 (artt. 38 e 181, comma 1, lett. c) del Codice). Sulla base della documentazione prodotta, in particolare della "Carta dei servizi" allegata al verbale di operazioni compiute (datata luglio 2013), i trattamenti di dati posti in essere dal Laboratorio Villafranca rientrano nella tipologia prevista dall´art. 37, comma 1, lett. b), del Codice (ovvero "dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di procreazione assistita, prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni , indagini epidemiologiche, rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi e tessuti e monitoraggio della spesa sanitaria"); la violazione è stata, pertanto, correttamente rilevata dal Nucleo privacy della Guardia di finanza, che ha proceduto con la notifica del verbale di contestazione. Ciò posto, si osserva che l´esimente della buona fede, invocata dalla parte nelle proprie memorie difensive, non è configurabile nel caso di specie, in quanto, come il Garante ha avuto già modo di chiarire in precedenti provvedimenti (tra queste, ord. ing. n. 53 del 4.11.2010, in doc. web n. 1823135), le indicazioni fornite da un´associazione di categoria (nel caso di specie l´Anisap) non possono ritenersi elemento idoneo a determinare l´errore scusabile di cui all´art. 3 della legge n. 689/1981. Ciò, sulla base, soprattutto, della pronuncia della Cassazione che ha chiarito come "le associazioni di categoria (…) che sono e restano organismi privati (…)" non hanno "(…) il compito di illustrare agli associati il senso della legge, esonerandoli dall´incombenza di verificare personalmente la consistenza dei loro doveri. Non è, pertanto, ravvisabile errore scusabile circa gli adempimenti da assolvere nella ipotesi in cui la inosservanza di tali adempimenti sia determinata da chiarimenti forniti dalle predette associazioni (…)" (Cass. civ. sez. III del 21 marzo 2001 n. 4015). Nel caso di specie, tra l´altro, il Garante in risposta ai numerosi quesiti formulati dalle associazioni di categoria relativi ai trattamenti in ambito sanitario da notificare aveva fornito chiarimenti con la nota del 26 aprile 2004 (doc. web n. 996680) e con il provvedimento n. 1 del 31 marzo 2004 (doc. web n. 852561), escludendo dall´obbligo della notificazione quei trattamenti di cui all´art. 37, comma 1, lett. b), effettuati "ad esclusivi fini di monitoraggio della spesa sanitaria o di adempimento di obblighi normativi in materia di igiene e sicurezza del lavoro e della popolazione" (punto 2, lett. b) del citato provvedimento);

RILEVATO, pertanto, che il Laboratorio Villafranca, in qualità di titolare del trattamento, ha effettuato un trattamento di dati personali ai sensi dell´art. 4, comma 1, lett. a), del Codice per il quale doveva essere assolto l´obbligo di effettuare la notificazione all´Autorità ai sensi e nei modi previsti dagli artt. 37, comma 1, lett. b) e 38 del Codice;

VISTO l´art. 163 del Codice che punisce la violazione delle disposizioni di cui agli artt. 37 e 38 con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità con riferimento agli elementi dell´entità del pregiudizio o del pericolo e dell´intensità dell´elemento psicologico, la violazione non risulta connotata da elementi specifici;

b) ai fini della valutazione dell´opera svolta dall´agente, deve evidenziarsi che il Laboratorio Villafranca ha prontamente effettuato la notificazione all´Autorità ai sensi degli artt. 37 e 38 del Codice;

c) circa la personalità dell´autore della violazione, deve essere considerata la circostanza che la società non risulta gravata da precedenti procedimenti sanzionatori;

d) in merito alle condizioni economiche dell´agente, sono stati presi in considerazione gli elementi delle dichiarazioni reddituali relative all´anno d´imposta 2015;

RITENUTO, quindi, di dover determinare, ai sensi dell´art. 11 della legge n. 689/1981, l´ammontare della sanzione pecuniaria,  in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 20.000,00 (ventimila) per la violazione di cui all´art. 163, in relazione agli artt. 37 e 38 del Codice;

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Licia Califano;

ORDINA

al Laboratorio Villafranca snc di Passon Stefano e c., con sede in Villafranca di Verona (VR), Via Messedaglia n. 101, C.F. 01290960234, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria, per la violazione indicata in motivazione;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 20.000,00 (ventimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 11 maggio 2017

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia