Diritti interna

Doveri interna

Search Form Portlet

ricerca avanzata

g-docweb-display Portlet

Ordinanza ingiunzione - 21 marzo 2018 [9004702]

SCHEDA
Garante per la protezione dei dati personali
Doc-Web:
9004702
Data:
21/03/18
Tipologia:
Ordinanza ingiunzione o revoca

[doc. web n. 9004702]

Ordinanza ingiunzione nei confronti di XX - 21 marzo 2018

Registro dei provvedimenti
n. 167 del 21 marzo 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

RILEVATO che, a seguito di una indagine di polizia giudiziaria svolta dal Nucleo Mobile della Compagnia della Guardia di Finanza di Ivrea in relazione al procedimento penale in essere presso la Procura della Repubblica di Ivrea nei confronti di XX, nato a Ivrea (TO) il XX ed ivi residente in XX, C.F. XX,  in data  4 marzo 2016 veniva richiesto all’A.G. inquirente, e ottenuto, il “nulla osta” per l’utilizzo dei dati acquisiti in sede penale, ai fini fiscali e amministrativi;  

VISTO il verbale n.135 del 31 marzo 2016 del Nucleo Mobile della Compagnia della Guardia di Finanza di Ivrea, che qui si intende integralmente richiamato, con cui sono state contestate al suddetto XX n. 23 violazioni amministrative con riferimento alle disposizioni indicate dall’art. 167, comma 1, e, specificamente, all’art. 23 del D.lgs. 196/2003 (di seguito “Codice”), ai sensi dell’art. 162, comma 2-bis del Codice medesimo, per aver effettuato, nello svolgimento di prestazioni medico-odontoiatriche, il trattamento di dati personali di n. 23 pazienti omettendo, in qualità di titolare del trattamento dei dati di pazienti ai sensi ai sensi dell’art. 4, comma 1, lett. f), e 28 del Codice, di acquisire il previsto consenso; 

RILEVATO che, dal rapporto predisposto dal Nucleo Mobile della Compagnia della Guardia di Finanza di Ivrea, ai sensi dell’art. 17 della legge n. 689/1981, non risulta effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo datato 7 aprile 2016 e inviato ai sensi dell’art. 18 della legge n. 689/1981, con cui il legale di parte, ha inteso confutare le n. 23 contestazioni di cui al verbale n. 135/2016, attraverso le argomentazioni di seguito riportate.

Anzitutto, la parte ha inteso evidenziare “(…) la inesistenza dell'obbligo, da parte del sig. XX, di acquisire documentazione scritta dai clienti relativamente al trattamento dei dati” di questi ultimi. A tale proposito, infatti, il legale sostiene che “(…) il signor XX, proprio perché non medico odontoiatra, non aveva alcun obbligo in tal senso giacché, in quanto non abilitato a tale professione, non poteva essere in possesso di alcuna scheda di anamnesi dei clienti (…)”. 

Inoltre, ha aggiunto che “(…) la violazione della legge sul trattamento dei dati può avvenire solo se viene infranto tale diritto del cliente e non quando, come nella fattispecie, a quest'ultimo nulla è stato chiesto e nessuna informativa è stata data (…)”. E “ (…) tanto per completare l’assoluta assenza di acquisizione e di trattamento dei dati dei 23 clienti convocati e sentiti dalla Guardia di Finanza, solo per il 10% esiste documentazione fiscale compendiante le mere generalità”. Più avanti, il legale ha poi  evidenziato come i verbalizzanti non abbiano richiesto ai pazienti “(…) se era stata data loro l'informativa anche solo in forma orale e soprattutto se (art. 23) gli stessi avessero espresso il loro preventivo consenso” rappresentando, altresì, che i  clienti erano “(…) tutti amici e conoscenti (per cui) in buona sostanza (il XX) non ha commesso alcuna violazione alla legge (…)”. 

La parte ha prospettato, altresì, “(…) la erroneità dei presupposti normativi sui quali è stata fondata la contestazione amministrativa (…)” e, cioè, l’ipotesi di reato di cui all'articolo 167 del Codice “(…) sulla scorta del quale gli accertatori avrebbero escusso i pazienti circa “l'avvenuta sottoscrizione o meno di documentazione atta a rispettare il contenuto dell'art. 23 co. 3 del D.lgs. 196/2003”. In tal senso, la parte ritiene che “(…) la fattispecie verta sulla violazione di norma penale che può essere violata dall’agente solo con dolo specifico e da parte di chi, contrariamente al Sig. XX, come documentato, sub 1) ne abbia preciso obbligo di legge”. 

La parte ha inteso anche far valere la “illegittima comminazione della sanzione amministrativa a mezzo “cumulo materiale” anziché sulla base del “cumulo giuridico” disposto dall’art. 8 della legge n. 689/1981.

In ultimo, ha chiesto, in via preliminare ed istruttoria, “la sospensione dell'esecutorietà della sanzione amministrativa comminata”; in via principale e nel merito, di annullare il verbale di contestazione di violazione amministrativa n. 136/2016 della Compagnia della Guardia di Finanza di Ivrea e disporre l'archiviazione del procedimento sanzionatorio. In via subordinata, “nella denegata ipotesi di rigetto della domanda principale di annullamento del precitato verbale di contestazione” ha chiesto di “ridurre la sanzione amministrativa al minimo edittale, con applicazione della stessa di un minimo aumento a titolo di continuazione” e la rateizzazione  massima in n. 30 rate.

CONSIDERATO che le argomentazioni addotte non consentono di escludere la responsabilità della parte in relazione a quanto contestato. 

Infatti, in riferimento alla prima argomentazione relativa all’insussistenza dell’obbligo di acquisire il consenso dai clienti - relativamente al trattamento dei dati di questi ultimi in occasione della prestazione sanitaria - non essendo il XX medico odontoiatra, si fa presente che l’applicazione della normativa posta a protezione dei dati personali, proprio perché orientata alla salvaguardia dei diritti dei soggetti dei quali vengono trattati i dati, si applica anche nel caso in cui il trattamento sia effettuato nello svolgimento di un’attività professionale di fatto (in tal caso sanitaria), prescindendo quindi dal requisito del possesso della relativa abilitazione da parte dell’esercente. Ammettendo il caso contrario, si configurerebbe un paradosso per cui, a fronte di una violazione (in tal caso la mancata raccolta del consenso), chi esercita una professione possedendo il relativo titolo abilitante è sanzionabile, mentre chi la esercita abusivamente, e quindi si trova già in una situazione di illiceità, è esonerato dall’applicabilità di tale sanzione. 

In ordine poi, al fatto che ai clienti “ (…) nulla è stato chiesto e nessuna informativa è stata data (…)”, si fa presente che proprio questa omissione, costituisce oggetto di sanzione e, cioè, il non aver richiesto loro il consenso, scritto o documentato per iscritto con annotazione dell’esercente la professione sanitaria (art. 81 del Codice), a fronte del trattamento dei dati personali degli stessi al fine della prestazione medico odontoiatrica; ciò, considerando che un trattamento di dati personali è avvenuto, nonostante il legale abbia affermato che “solo per il 10% esiste documentazione fiscale compendiante le mere generalità” dei 23 pazienti. Peraltro, il fatto che i verbalizzanti non abbiano richiesto a questi ultimi “(…) se era stata data loro l'informativa anche solo in forma orale” non attiene all’oggetto delle contestazioni in questione, né assume rilevanza in ordine alla fondatezza delle stesse.

Quanto alla erroneità dei presupposti normativi sui quali è stata fondata la contestazione amministrativa (…)” e, cioè, l’ipotesi di reato di cui all'articolo 167 del Codice per cui la parte ritiene che “(…) la fattispecie verta sulla violazione di norma penale che può essere violata dall’agente solo con dolo specifico”, si fa presente che l’art. 167 del Codice, relativo a una delle fattispecie a rilevanza penale presenti in quest’ultimo, in tale circostanza è unicamente richiamato in quanto indicativo della norma violata. In tal caso, infatti, la norma violata è l’art. 23 del Codice e la relativa sanzione è contemplata dall’art. 162, comma 2-bis, che rinvia all’art. 167 al mero fine di richiamare l’elencazione delle disposizioni in esso contenute. La violazione dell’art. 23, sanzionabile amministrativamente, prescinde, infatti, dalla commissione o meno del reato di cui all’art. 167 del Codice, nel senso che l’illecito amministrativo di cui all’art. 162, comma 2 bis, si realizza nel caso della violazione di una delle disposizioni citate nell’art. 167 del Codice e non già nel caso di sussistenza dell’illecito penale previsto da tale ultima disposizione. 

Con riguardo alla richiamata disciplina prevista dall’art. 8 della legge n. 689/1981, si evidenzia come, nel caso di specie, tale disposto non sia applicabile, atteso che i rilievi attengono a ventitré distinte condotte (azioni) riferite all’omessa acquisizione, scritta o documentata, del consenso, ai sensi dell’art. 23 del Codice, di ventitré pazienti. In ragione di ciò, non è applicabile il cumulo giuridico delle sanzioni previsto sia dall’art. 8, comma 1 della legge n. 689/1981 il cui presupposto è l’unicità dell’azione, sia dall’art. 8, comma 2, della medesima legge applicabile, invece, esclusivamente alle sanzioni previste in materia di previdenza e assistenza obbligatorie. In tal senso, il Tribunale di Vicenza, nel giudizio di opposizione a un’ordinanza ingiunzione del Garante, non ha condiviso gli assunti della società ricorrente nei confronti della quale era stato applicato il cumulo materiale in quanto ha ritenuto che tale società avesse posto in essere “una singola e distinta violazione di legge ogni volta in cui ha utilizzato i dati all’insaputa del singolo soggetto e ha omesso, quindi, di rendere l’informativa privacy, trattandosi di condotte distinte in quanto hanno riguardato distinte persone. Deve, quindi, essere confermato il cumulo materiale applicato dal Garante della Privacy che prevede per ogni violazione la comminazione di una sanzione” (Tribunale di Vicenza - VI sezione - Sent. n. 2554/2016 - Pubbl. 8 novembre 2016).

RILEVATO, pertanto, che il sig. XX, in qualità di titolare del trattamento dei dati di pazienti ai sensi ai sensi dell’art. 4, comma 1, lett. f), e 28 del Codice, ha effettuato un trattamento di dati personali di n. 23 persone nella prestazione di cure medico odontoiatriche nei confronti delle stesse omettendo di acquisirne il consenso in violazione dell’art. 23 del Codice;

VISTO l’art. 162, comma 2-bis, del Codice, che punisce la violazione delle disposizioni indicate nell’art. 167 del Codice, tra le quali quelle di cui all’art. 23, del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge 24 novembre 1981 n. 689, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore e che, pertanto, in tal caso, in ragione dei suddetti elementi valutati nel loro complesso, per la quantificazione della sanzione pecuniaria relativa alla violazione di cui all’art. 23 del Codice, si ritiene di applicare l’art. 162, comma 2-bis in combinato disposto con l’art. 164-bis, comma 1, per cui l’importo minimo per ciascuna violazione, pari a euro 10.000,00, ridotto dei due quinti per una cifra pari a euro 4.000,00 deve essere quantificato per ciascuno dei ventitré rilievi, per un totale complessivo pari a euro 92.000,00 (novantaduemila);

RITENUTO, altresì, di accogliere la richiesta di rateizzazione in 25 (venticinque) rate mensili dell’importo di euro 3.680,00 (tremilaseicentottanta) ciascuna, per un importo complessivo pari a euro 92.000,00 (novantaduemila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il dott. Antonello Soro;

ORDINA

Al sig. XX, nato a Ivrea (TO) il 22 febbraio 1962 e ivi residente in XX, C.F. XX di pagare la somma complessiva di euro 92.000,00 (novantaduemila) a titolo di sanzione amministrativa pecuniaria per la violazione prevista dall’art. 162, comma 2-bis in combinato disposto con l’art. 164-bis, comma 1, del Codice come indicato in motivazione, frazionandola, in accoglimento della richiesta di rateizzazione, in 25 rate mensili dell’importo di euro 3.680,00 (tremilaseicentottanta) ciascuna;

INGIUNGE

Allo stesso di pagare la somma di euro 92.000,00 (novantaduemila) secondo le modalità indicate in allegato, i cui versamenti frazionati avranno inizio entro l’ultimo giorno del mese successivo a quello in cui avverrà la notifica della presente ordinanza, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell’avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero. 

Roma, 21 marzo 2018

IL PRESIDENTE
Soro

IL RELATORE
Soro

IL SEGRETARIO GENERALE
Busia