[doc. web n. 9022036]

Ordinanza ingiunzione nei confronti di Falotico Luca Carmelo - 26 aprile 2018

Registro dei provvedimenti
n. 253 del 26 aprile 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale; 

RILEVATO che l’Ufficio, con atto n. 19907/106966 del 6 luglio 2016 (notificato il 12 luglio 2016), che qui deve intendersi integralmente riportato, ha contestato a Falotico Luca Carmelo, nato a XX (XX) il XX (C.F. XX), residente in Roma, via XX, la violazione delle disposizioni di cui agli artt. 33, 34 e 162, comma 2-bis, del Codice in materia di protezione dei dati personali (d. lg. 30 giugno 2003, n. 196, di seguito denominato “Codice”);

RILEVATO che dall’esame degli atti del procedimento sanzionatorio avviato con la contestazione di violazione amministrativa è emerso, in sintesi, quanto segue:

- con nota del 18 aprile 2016 la Procura della Repubblica presso il Tribunale di Roma ha informato l’Autorità dell’avvio di un procedimento penale nei confronti di 24 persone, fra i quali il dott. Falotico il quale, sulla base del capo d’imputazione, nella sua qualità di medico di medicina generale del Servizio sanitario nazionale, “ometteva di adottare le misure minime dettate dall'art. 33 del [Codice] volte ad assicurare la protezione di dati personali e sensibili concernenti gli assistiti e, segnatamente, forniva a XX user id e password di accesso al sistema informatico denominato TS-progetto tessera sanitaria, così consentendo al dott. XX di accedere al sistema e rilasciare un certificato medico telematico nei confronti di YY con credenziali non proprie. In Roma il 31.12.2014”;

- conseguentemente, l’Ufficio ha avviato il procedimento sanzionatorio previsto per le violazioni in tema di misure minime di sicurezza;

RILEVATO che con il citato atto del 6 luglio 2016 è stata contestata al dott. Luca Carmelo Falotico, ai sensi dell’art. 162, comma 2-bis, del Codice, la violazione dell’art. 33, per avere omesso di adottare le misure minime di sicurezza di cui ai successivi artt. 34 e 35 e nella regola n. 2 del disciplinare tecnico di cui all’allegato B) del Codice; 

PRESO ATTO che per la predetta violazione è escluso il pagamento in misura ridotta; 

LETTO il verbale relativo all’audizione del dott. Falotico in data 12 giugno 2017 e le memorie difensive presentate dal medesimo, nelle quali si osserva quanto segue:

- “Tengo ad evidenziare che ero assente dal servizio per motivi di salute e per questo ho nominato in mia sostituzione la Dottoressa XX. Per la gestione dello studio utilizzavo il programma FPF dove vengono custoditi i dati anamnestici dei pazienti. Era indispensabile che il medico sostituto, potesse accedere al sistema gestionale ed all'archivio pazienti per le obbligatorie visite quotidiane. L'accesso del mio sostituto avveniva in automatico, in quanto il sistema non accettava altri utenti e password inibiti proprio dal sistema FPF come dimostrato dalla documentazione che si allega al presente verbale. Il sottoscritto non ha mai fornito le proprie credenziali di accesso al sistema FPF, né ha mai autorizzato la dott.ssa XX ad emettere certificati utilizzando il mio nome. La dott.ssa XX era tenuta, per legge, ad emettere certificazioni solo ed esclusivamente attraverso il proprio sito certificativo e non certamente attraverso il mio. In ultimo tengo a precisare che, una volta entrati nel sistema gestionale in uso presso lo studio, denominato FPF— a causa di una grave falla nel sistema informatico — l'accesso alla piattaforma certificata TS-Progetto tessera sanitaria, avviene senza alcuna ulteriore autenticazione o richiesta di credenziali. […]. Eventuali responsabilità, ove occorrenti, sono certamente da attribuire, quindi, alla imperizia e negligenza della dott.ssa XX ed all'inadeguatezza del sistema informatico.; 

- “Non sono stato io a concedere alla sostituta l'accesso al sistema informatico denominato TS progetto tessera sanitaria. La sostituta, probabilmente, sfruttando l'accesso automatico alle certificazioni, invece di uscire dal programma , andare su google, andare su sistema TS, aprire con le sue credenziali il programma, riempire tutto quanto richiesto per la stesura del certificato quindi, nome, cognome, del paziente, data di nascita, cod. fiscale, residenza, domicilio, tipo di malattia, prognosi dal giorno al giorno, ha ritenuto più comodo aprire direttamente la casella certificati, porre solo la diagnosi e premere invio all'INPS. (quindi in tre secondi ha fatto ciò che diversamente avrebbe richiesto almeno 10 minuti di applicazione)”;

RITENUTO che le argomentazioni addotte non risultano idonee a determinare l’archiviazione del procedimento sanzionatorio avviato con la contestazione di cui sopra per le ragioni di seguito esposte: 

a) risulta accertato, e ammesso dalla parte, che la dott.ssa XX, nel corso di un’attività di sostituzione del medico di medicina generale dott. Falotico, sia acceduta al sistema informatico denominato TS – progetto tessera sanitaria, utilizzando le credenziali di autenticazione del predetto dott. Falotico; 

b) risulta altresì accertato che l’accesso al sistema TS sia avvenuto utilizzando la postazione di lavoro del dott. Falotico e l’accesso al database dei pazienti del dott. Falotico, database gestito dall’applicativo FPF;

c) in base a quanto dichiarato dal dott. Falotico, la dott.ssa XX sarebbe acceduta all’applicativo FPF utilizzando le credenziali del dott. Falotico, poiché tale applicativo non consentiva la registrazione di più utenti;

d) sulla base di quanto emerso, deve ritenersi che, con riferimento ai trattamenti di dati personali effettuati dalla dott.ssa XX con l’utilizzo della postazione di lavoro e dell’archivio pazienti del dott. Falotico, il predetto abbia assunto la veste giuridica del titolare ai sensi dell’art. 4, comma 1, lett. f), del Codice, al quale competono “le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza”;

e) era pertanto il dott. Falotico che avrebbe dovuto sincerarsi del corretto funzionamento dell’applicativo FPF prima dell’utilizzo dello stesso da parte della dott.ssa XX e che avrebbe dovuto evitare indebiti utilizzi del medesimo e indebiti accessi al sistema TS;

f) peraltro, come riconosciuto dallo stesso dott. Falotico, la dott.ssa XX aveva la possibilità di accedere in automatico all’applicativo FPF, senza che tale modalità di accesso fosse impedita a utenti terzi diversi dal titolare mediante l’utilizzo di credenziali conosciute esclusivamente da quest’ultimo;

g) deve pertanto ascriversi al dott. Falotico la responsabilità in ordine alla condotta omissiva costituita dalla mancata adozione delle misure minime di sicurezza atte a impedire che la dott.ssa XX potesse accedere all’applicativo FPF (dal quale era possibile accedere al sistema TS) utilizzando credenziali non  proprie;

h) al riguardo, a nulla può rilevare la circostanza che l’applicativo FPF non fosse stato predisposto per consentire l’accesso a più utenze distinte (circostanza peraltro non supportata da idonea documentazione) giacché rientrava nei doveri del titolare, e cioè del dott. Falotico, proteggere i dati adottando le misure minime di sicurezza, in particolare nel momento in cui lo stesso dott. Falotico si era avveduto di una anomalia di funzionamento dell’applicativo;

i) con riferimento al funzionamento dell’applicativo FPF non può, quindi, invocarsi l’esimente di cui all’art. 3 della legge n. 689/1981, che esclude la responsabilità dell’agente quando la violazione è commessa per errore non determinato da sua colpa. L’errore, infatti, può rilevare come causa di esclusione della responsabilità amministrativa solo quando esso risulti inevitabile, e a tal fine occorre un elemento positivo idoneo ad indurre un errore siffatto, non ovviabile dall'interessato con l'ordinaria diligenza (Cassazione civile, sez. I, 05/06/2001, n. 7603). Nel caso in argomento, non risulta che il dott. Falotico, una volta appreso delle anomalie di funzionamento dell’applicativo FPF, si sia adoperato per sanare tali anomalie al fine di consentire l’accesso all’applicativo medesimo soltanto a soggetti in possesso di credenziali di autenticazione in linea con le disposizioni del Codice e con le regole del disciplinare tecnico di cui al relativo allegato B);

j) deve pertanto confermarsi la responsabilità del dott. Falotico in ordine alla violazione contestata;

RILEVATO, quindi, che il dott. Luca Carmelo Falotico, sulla base delle considerazioni sopra richiamate, risulta aver commesso la violazione prevista dall’art. 162, comma 2-bis, del Codice, per aver omesso di adottare le misure minime dettate dagli artt. 33 e 34 del Codice e dalla regola n. 2 del disciplinare tecnico di cui al relativo allegato B), consentendo alla dott.ssa XX di accedere al sistema informatico denominato TS-progetto tessera sanitaria, attraverso l’applicativo FPF, con credenziali non proprie.;

VISTO l’art. 162, comma 2-bis, del Codice, ove è previsto che “in caso di trattamento di dati personali effettuato in violazione delle misure indicate nell'articolo 33 […] è altresì applicata in sede amministrativa, in ogni caso, la sanzione amministrativa del pagamento di una somma da 10.000 euro a 120.000 euro”;

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge n. 689/1981, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all’aspetto della gravità con riferimento agli elementi dell’entità del pregiudizio o del pericolo e dell’intensità dell’elemento psicologico, la violazione non risulta connotata da elementi specifici;

b) circa la personalità dell’autore della violazione, il dott. Falotico non risulta gravato da precedenti procedimenti sanzionatori definiti in via breve o con ordinanza-ingiunzione;

c) in merito alle condizioni economiche dell’agente, è stato preso in considerazione il bilancio per l’anno 2016; 

RITENUTO, quindi, di dover determinare, ai sensi dell’art. 11 della L. n. 689/1981, l’ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 10.000 (diecimila);

VISTA la documentazione in atti;

VISTA la legge n. 689/1981, e successive modificazioni e integrazioni;

VISTE le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la prof.ssa Licia Califano;

ORDINA

a Falotico Luca Carmelo, nato a XX (XX) il XX (C.F. XX), residente in Roma, via XX, di pagare la somma di euro 10.000 (diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

al medesimo di pagare la somma di euro 10.000 (diecimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689. 

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero. 

Roma, 26 aprile 2018

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia