[doc. web n. 2629849]

Ordinanza di ingiunzione nei confronti di Terme di Montecatini s.p.a. - 20 giugno 2013

Registro dei provvedimenti
n.  304 del 20 giugno 2013

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che il Nucleo speciale privacy della Guardia di finanza, in esecuzione della richiesta di informazioni ai sensi dell´art. 157 del Codice in materia di protezione dei dati personali – d.lg. 30 giugno 2003, n. 196 (di seguito denominato Codice) nr. 15250/53969 del 30 giugno 2010 formulata da questa Autorità, ha svolto un´attività di controllo nei confronti di Terme di Montecatini s.p.a. P.I.: 00467800470, con sede in Montecatini Terme (Pt), viale Giuseppe Verdi n. 41, in persona del legale rappresentante pro-tempore, formalizzata nel verbale di operazioni compiute redatto in data 19 ottobre 2010, a fronte della quale e delle successive valutazioni sulla documentazione acquisita in tale sede, è stato accertato che la società tratta dati personali, anche di natura sensibile, degli assistiti del servizio sanitario nazionale (interessati) che effettuano le cure termali, omettendo di acquisire il  loro consenso ai sensi dell´art. 23 del Codice e sostenendo, circa tale omissione, "(…) che l´obbligo di legge che ci esclude dal richiedere il consenso agli interessati deriva dall´applicazione del D.M. 15 dicembre 1994, richiamato dal successivo decreto del 22 marzo 2001";

VISTO il verbale n. 93/2010 del 22 novembre 2010 con cui è stata contestata alla predetta società la violazione amministrativa prevista dall´art.162, comma 2-bis che punisce la violazione delle disposizioni indicate nell´art. 167 del Codice, tra le quali quelle di cui all´art. 23 del medesimo Codice;

ESAMINATO il rapporto del predetto Nucleo speciale ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale di contestazione per violazione amministrativa redatto in data 22 novembre 2010 nei confronti di Terme di Montecatini s.p.a. per la violazione dell´art. 23 del Codice, dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo inviato ai sensi dell´art. 18 della legge n. 689/1981, con il quale, la società, nell´asserire che "(…) non è tenuta a richiedere il consenso scritto ai propri utenti poiché non tratta dati sensibili", evidenzia come il consenso di cui all´art. 23 del Codice "(…) è prestato nel momento in cui il soggetto, utente e/o cliente si presenta presso lo stabilimento a chiedere una determinata prestazione". Inoltre, rileva che "(…) se ci mettiamo a valutare il tipo di prestazione effettuata ci rendiamo conto che la stessa ha ad oggetto dati sulla salute", per i quali è ammessa "(…) la formula del consenso verbale". Osserva, altresì, "(…) che l´art. 24 del D.Lgs. 196/2003 prevede che il consenso NON E´ RICHIESTO  oltre che nella parte II dello stesso D.Lgs anche quando, tra gli altri: a) è necessario per adempiere ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria". Si sofferma, poi, sull´analisi dell´art. 162, comma 2-bis del Codice evidenziando come la condotta trasgressiva contestata non sia riconducibile nè a quanto disciplinato dall´art. 33 del Codice, né a quanto previsto dall´art. 167 del medesimo Codice, atteso che, tale ultimo articolo, "(…) pur citando l´art. 23 parla comunque di profitto e danno, voci che non possono chiaramente riferirsi al nostro caso";

RITENUTO che le argomentazioni addotte non risultano idonee in relazione agli illeciti accertati. Occorre preliminarmente evidenziare come, diversamente da quanto ritenuto, i trattamenti effettuati dalla società sono tra quelli per i quali il Codice richiede il consenso scritto degli interessati, perché finalizzato alla tutela della salute e dell´incolumità fisica degli stessi (artt. 75 e seg. del Codice), ove, nello specifico, deve porsi attenzione alla disposizione dell´art. 81 del Codice che individua, a carico sia di soggetti pubblici che privati, specifiche modalità semplificate per raccogliere il consenso. Secondo tale disposizione, il consenso può essere manifestato anche oralmente, ma è necessario in ogni caso che sia documentato per iscritto da parte dell´esercente la professione sanitaria o da parte dell´organismo sanitario che, nella fattispecie, è privato. L´applicabilità, al caso di specie, delle disposizioni contenute nella Parte II, titolo V del Codice, non vale comunque ad escludere la parte dall´obbligo di documentare per iscritto il consenso dei pazienti, obbligo che non risulta essere stato assolto al momento dell´accertamento. Sotto questo aspetto, dunque, la disposizione di cui all´art. 23 è perfettamente coerente con quella di cui all´art. 81. In particolare, l´art. 23 è una norma di carattere generale riferita al trattamento di dati personali che individua gli elementi atti a connotare un valido consenso. Inoltre, a riprova di quanto sostenuto, il comma 4 di tale disposizione, con riferimento al trattamento dei dati sensibili, prevede espressamente che il consenso sia documentato per iscritto. Sul punto poi, giova rilevare come quanto detto determini l´inconferenza della richiamata disciplina di cui all´art. 24, ove, peraltro, la previsione del citato articolo secondo la quale "(…) il consenso non è richiesto oltre che nei casi previsti nella parte II (…)" è esclusivamente riferibile ai casi, diversi da quello che ci occupa, nei quali il consenso è specificatamente escluso. Risulta, altresì inconferente anche il richiamo alle norme di cui al D.M. 15 dicembre 1994, richiamato dal successivo decreto del 22 marzo 2001, che hanno la sola funzione di individuare le patologie per il cui trattamento è assicurata, ai sensi dell´art. 4, comma 1, della L. 24 ottobre 2000, n. 323, l´erogazione delle cure termali a carico del Servizio sanitario nazionale, senza che tale elencazione determini l´esenzione dall´obbligo di acquisire il consenso, la cui disciplina, invece, è scandita dal combinato disposto degli artt. 23 e 81 del Codice. Quanto detto, pertanto, non consente di sostanziare i presupposti applicativi della disciplina dell´errore scusabile di cui all´art. 3 della legge n. 689/1981. Riguardo alla violazione sanzionata dall´art. 162, comma 2-bis del Codice, risulta infondato quanto evidenziato in ordine all´insussistenza degli elementi del profitto e del danno costitutivi della fattispecie di reato prevista dall´art. 167 del Codice, atteso che, diversamente da quanto ritenuto, il legislatore, nell´individuare interessi pubblici compatibili ma diversi, li ha voluti tutelare distintamente e disgiuntamente attraverso norme distinte sul piano penale (art. 167) e su quello amministrativo sanzionatorio (art. 162, comma 2 bis). Pertanto, gli elementi costitutivi dell´illecito amministrativo contestato, nel caso di specie, sono qualitativamente diversi da quelli penali, tanto è vero che l´art. 162, comma 2 bis dispone che la sanzione amministrativa si applica "altresì" e "in ogni caso", a prescindere dall´illecito penale;

RILEVATO che la società ha quindi effettuato un trattamento di dati (art. 4 comma 1, lett. a) e d) del Codice) anche di natura sensibile degli assistiti degli interessati che effettuano le cure termali, omettendo di acquisire il  loro consenso ai sensi del combinato disposto di cui agli artt. 23 e 81 del Codice;

VISTO l´art. 162, comma 2-bis, del Codice, che punisce la violazione delle disposizioni indicate nell´art. 167 del Codice, tra le quali quelle di cui all´art. 23 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore e che pertanto l´ammontare della sanzione pecuniaria di cui alla violazione di cui all´art. 162, comma 2-bis  deve essere quantificato nella misura di euro 10.000,00 (diecimila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la  dott.ssa Giovanna Bianchi Clerici;

ORDINA

a Terme di Montecatini s.p.a. P.I.: 00467800470, con sede in Montecatini Terme (Pt), viale Giuseppe Verdi n. 41, nella persona del legale rappresentante pro tempore, di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione prevista dall´art. 162, comma 2-bis del Codice;

INGIUNGE

alla medesima società di pagare la somma di euro 10.000,00 (diecimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 20 giugno 2013

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia