[doc. web n. 9980617]

Provvedimento del 21 dicembre 2023

Registro dei provvedimenti
n. 601 del 21 dicembre 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stazione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE” (di seguito “Codice”);

VISTO il d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE”;

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il dott. Agostino Ghiglia;

PREMESSO

1. L’istanza e l’attività istruttoria

Con nota del XX la sig.ra XX ha formulato un reclamo nei confronti dell’Azienda socio-sanitaria locale n. 8 di Cagliari lamentando lo smarrimento di “dati biologici, di natura genetica, contenuti nei vetrini e tasselli istologici presenti all'interno della propria cartella clinica” (…) “per effetto della loro consegna a soggetti non meglio identificati e neppure identificabili da parte dell'Ospedale che li deteneva”. Tale circostanza sarebbe stata appresa dalla reclamante, soltanto “a seguito del deposito della relazione del CTU-Consulente Tecnico della Corte d'Appello avvenuto il XX”.

In particolare, secondo quanto affermato nel predetto reclamo, l’assenza dei vetrini e dei tasselli istologici contenenti il materiale genetico della sig.ra XX avrebbe “letteralmente impedito al CTU della Corte d’Appello di confermare la tesi difensiva della reclamante, con il verosimile effetto di farle perdere la causa in appello contro la ASL8. In proposito è lo stesso CTU a dichiarare che: «È assolutamente indispensabile ricordare che il sottoscritto non è stato messo in condizione di avere accesso ai preparati istologici che rappresentano un elemento importante per sostenere o meno la validità della richiesta risarcitoria»”.

A seguito del reclamo, l’Autorità ha avviato un’istruttoria, chiedendo, con nota del XX, all’Azienda socio-sanitaria locale n. 8 di Cagliari elementi utili alla valutazione del caso in esame. Con nota del XX, il Direttore Generale della predetta Azienda ha fornito riscontro dichiarando che:

- “da quanto riportato nel ricorso ex art. 77 del Regolamento UE 2016/679 il lamentato data breach a danno dell’interessata risulterebbe occorso nel XX, verosimilmente il XX (giorno in cui sarebbe avvenuta la consegna del materiale contenente dati genetici dell’interessata a soggetti imprecisati) presso il Presidio Ospedaliero “Businco” e richiamando la definizione di titolare del trattamento e “quanto espresso nelle Linee guida 07/2020 Versione 2.0 dell’EPDB” che “nel caso che ci interessa il soggetto giuridico a cui la legge ha attribuito il compito (finalità) di conservazione dei “dati biologici, di natura genetica, contenuti nei vetrini e tasselli istologici presenti all'interno della […] cartella clinica della reclamante” è da individuarsi sulla base delle disposizioni legislative all’epoca vigenti”;

- “la L.R. n. 23/2014, vigente al momento del lamentato smarrimento dei dati genetici della reclamante, recante «norme urgenti per la riforma del sistema sanitario regionale», ha disposto all’art. 9, comma 1 lett. c [“l’incorporazione nell’Azienda ospedaliera di rilievo nazionale "G. Brotzu" dei presidi ospedalieri "Microcitemico" ed "Oncologico - A. Businco (quest’ultimo dove sarebbe avvenuto lo smarrimento), attualmente facenti capo alla ASL n. 8 di Cagliari”]. Pertanto in virtù delle disposizioni richiamate, all’epoca del fatto oggetto del reclamo (XX) il soggetto a cui la legge attribuiva il compito di trattare i dati personali della reclamante è da individuarsi nell’A.O. Brotzu (…) oggi Arnas Brotzu”;

- in relazione alla vicenda processuale oggetto del reclamo “la scrivente Amministrazione non è stata e non sarebbe stata in grado di conoscere l’avvenuto smarrimento di dati biologici di natura genetica in seguito del deposito della CTU avvenuto in data XX poiché non è parte del procedimento pendente davanti la Corte d’Appello di Cagliari. Infatti nel citato giudizio, dalle poche informazioni ricavabili dal reclamo, sono coinvolte la ormai cessata Asl 8 (che la ricorrente identifica infatti con C.F. 02261430926) confluita poi in Azienda per la Tutela della Salute della Sardegna (ATS SARDEGNA) con L.R. n. 17/2016”;

- “questa Azienda (Azienda Socio Sanitaria Locale n. 8 di Cagliari – P.IVA 03990560926), così come previsto dalla L.R. n. 24 del 2020, modificata dall’art. 34 lett. B) della successiva L.R. n. 17 del 2021, è costituita dal 01.01.2022, e in aggiunta, è stata istituita la Gestione regionale sanitaria liquidatoria, dotata di personalità giuridica e di autonomia patrimoniale ed economica, competente per la liquidazione di tutte le posizioni attive e passive e di tutte le cause pendenti, dalla data di costituzione dell'Azienda per la tutela della salute (ATS) e di quelle facenti in precedenza capo alle soppresse unità sanitarie locali e alle soppresse aziende sanitarie (si veda anche il seguente link: https://www.atssardegna.it/azienda)”;

-  “si ritiene che le informazioni richieste da codesta Autorità Garante in merito ai fatti oggetto del reclamo presentato ai sensi dell’art. 77 del Regolamento UE 2016/679 non debbano essere rivolte a questa Azienda, bensì all’Arnas Brotzu (all’epoca dei fatti AO Brotzu) in qualità di Titolare del trattamento ai sensi dell’art. 4 del Regolamento UE 2016/679 alla data odierna come all’epoca dei fatti”.

Sono stati, quindi, chiesti elementi di informazione utili alla valutazione del caso all’Azienda di Rilievo Nazionale e Alta Specializzazione G. Brotzu, con nota del XX (prot. n. XX), che ha fornito riscontro con nota del XX, dichiarando che:

- “non si ritiene che nell’episodio sopra citato siano coinvolti dati personali di tipo genetico. A sostegno di tale affermazione si riporta quanto espresso nel “Opinion 4/2007 on the concept of personal data” del WP29 pag. 9 “Human tissue samples (like a blood sample) are themselves sources out of which biometric data are extracted, but they are not biometric data themselves (as for instance a pattern for fingerprints is biometric data, but the finger itself is not). Therefore the extraction of information from the samples is collection of personal data, to which the rules of the Directive apply. The collection, storage and use of tissue samples themselves may be subject to separate sets of rules”. In tale contesto si fa riferimento alla Recommendation Rec (2006) 4 of the Committee of Ministers to member states on research on biological materials of human origin and its Explanatory Memorandum (parzialmente applicabile al caso di specie)”;

- “i materiali (tasselli e vetrini) oggetto del presente reclamo risalgono ad un esame istologico eseguito dalla Sig.ra XX nell’anno XX presso il Presidio Ospedaliero A. Businco, allora incorporato nell’Asl n. 8 di Cagliari, che era dunque titolare del trattamento, ai sensi dell’allora vigente art. 1, comma 2, lett. D), dell’allora vigente Legge 675/1996”;

- “soltanto con la L.R. n. 23 del 17.11.2014, all’art. 9, co. 1, lett. C) e co. 3, lett. A), la Regione Sardegna, ha disposto, a far data dal XX, l’incorporazione nell’allora Azienda Ospedaliera G. Brotzu (oggi ARNAS G. Brotzu) dei presidi ospedalieri A. Cao e A. Businco, detto presidio ospedaliero dunque, fino a tale momento, non rientrava nella competenza dell’Azienda scrivente e peraltro alla data dell’incorporazione non sussisteva ancora alcun obbligo di notifica delle violazioni di dati personali, come noto, introdotto dagli artt. 33 ss. del Regolamento Generale sulla protezione dei dati personali 2016/679/UE (di seguito RGPD)”;

- “il CTU Dott. XX, con comunicazione XX del XX, richiedeva a questa Azienda: “quale consulente d’Ufficio nella Causa XX contro ASL 8 Cagliari più altri, N.R. 468/2016, Corte d’Appello di Cagliari... prego voler comunicare con cortese urgenza a questo CTU a chi erano stati consegnati i reperti istologici mai più riconsegnati al vostro nosocomio. I consulenti di parte mi hanno consegnato un documento dell’Ospedale Oncologico (...), da cui non si comprende a chi sia stato consegnato il suddetto materiale istologico”;

- “con nota Prot. n. XX e Prot. n. XX del XX, la Direzione Medica del Businco provvedeva immediatamente a verificare quanto richiesto dal CTU XX, richiedendo comunicazioni in merito sia al Direttore della SC Anatomia Patologica, sia alla Ditta SISAR, quale ditta aggiudicataria del servizio di archiviazione esternalizzato, comunicazioni e la documentazione correlata in merito alla “movimentazione del materiale in oggetto”; 

- “dall'esame dei rispettivi riscontri è emerso che: in data XX il reparto di Anatomia patologia ha trasmesso alla Sisar la richiesta di copie dei referti e tutti i tasselli XX della Sig.ra XX, che il giorno stesso la Sisar ha trasmesso copia digitale dei referti e comunicato la consegna dei tasselli stessi per il giorno successivo; che, il successivo XX, i tasselli e i vetrini sono stati consegnati dall’operatore Sisar all’ufficio cartelle cliniche del P.O. Businco nelle mani della sig.ra XX, la quale firmava il verbale per avvenuta consegna”;

- “la Direzione Sanitaria del Businco, con nota prot. n. XX del XX comunicava quindi al Prof. XX “non risulta documentazione agli atti della Scrivente Direzione Medica e della SC Anatomia Patologica””; 

- “a seguito del ricevimento della richiesta di informazioni di questo Spett.le Garante (…), questa Direzione Generale ha provveduto immediatamente a verificare quanto accaduto, richiedendo ai soggetti in qualche modo coinvolti informazioni in merito, nonché a reperire la documentazione correlata alle misure tecniche e organizzative adottate, con particolare riguardo alla gestione dei campioni biologici, ed alle istruzioni fornite al personale in materia”;

- “dall’esame della documentazione così reperita (…) è dunque emerso che i materiali oggetto di esame, (…) risalenti al XX, sono stati oggetto di diverse movimentazioni ben prima del XX, posto che risulta pendente un giudizio —allo stato in grado di appello tra ASL n. 8 di Cagliari e la sig.ra XX - (…) e che gli stessi materiali sono stati oggetto di esame da parte dei CTU incaricati nel precedente grado del giudizio, in cui, lo si precisa, questa Azienda non è parte e non era mai stata informata in merito, almeno fino al mese di maggio 2022, risultando quindi assente qualsivoglia “alert” in merito ad una specifica conservazione per ragioni di giustizia”;

- “dall’esame della lista consegne del SISAR si ricava che in data XX quest’ultima avrebbe consegnato materialmente tasselli e vetrini all’Ufficio Cartelle Cliniche del Businco, nella persona di XX che ha firmato il verbale di consegna (…). Diversamente non risulta agli atti ulteriore documentazione che attesti cosa sia avvenuto a seguito di tale consegna all’Ufficio Cartelle Cliniche. In merito a tale ultimo punto, si rileva che (…) la documentazione in atti, che si produce, non palesa in alcun modo la consegna di tali materiali all’esterno “ad ignoti”. Invero, diversamente la Ditta esterna si limita a dare atto della intervenuta consegna dei materiali in data XX all’Ufficio Cartelle Cliniche, mentre la dicitura “non reso” è evidentemente riferita alla stessa Ditta Sisar, la quale dà atto che a seguito della consegna all'Ufficio Cartelle Cliniche non ha ricevuto indietro i materiali”;

- “come emerge dalla relazione del Dott. XX, quale sostituto Responsabile della SC Anatomia Patologica (…), l’Azienda e specificamente, il Servizio di Anatomia Patologica, per prassi consolidata, procede alla gestione di consegna di vetrini e tasselli agli aventi diritto, “previo controllo di un documento valido, carta di identità, si fa compilare un modulo prestampato. Nel frattempo si procede a fare fotocopia del documento che verrà allegato ad una cartellina con il nome del richiedente. Si invita il paziente a tornare dopo 2/3 giorni necessari per le procedure interne: la persona che si occupa della richiesta recupera il materiale dall’archivio e lo sottopone al medico che ha effettuato la diagnosi in modo tale che verifichi se il materiale sia rispondente alla richiesta. Quando è tutto pronto (referti e copia del referto con la richiesta autorizzata dal medico) il paziente può venire per ritirarlo. Intanto, la persona addetta a preparare la cartella, effettua anche la fotocopia del materiale che deve consegnare (fotocopia dei tasselli ad esempio). Il paziente al momento del ritiro, firma il prestampato dove si precisa quanti tasselli gli stanno consegnando”. In relazione poi all’archiviazione dei materiali oggetto di esame, allo stesso modo, si trascrive quanto dichiarato dal Direttore del Servizio di Anatomia Patologica, il Dott. XX, (…), ovvero che: “sia i vetrini che i tasselli archiviati presso la S.C. Anatomia Patologica, sono ubicati dentro dei moduli in laminato ordinati per numero progressivo e per anno dentro stanza chiusa a chiave dove può accedere e possono movimentarli (quando è necessario al medico per vedere eventuali precedenti di un caso che sta studiando per addivenire a diagnosi, ad esempio) il personale che lavora presso la medesima U.O. (Personale autorizzato e coordinatore). Non possono accedervi gli estranei, considerando come tali anche personale dipendente dell’Azienda se non accompagnati da personale del reparto (Coordinatore ad esempio) ... Attualmente (dal XX), per disposizione Aziendale (…), l’archiviazione dei reperti avviene presso la SISAR s.a.s., compreso il caso oggetto di indagine”;

- “in merito ai tempi di conservazione dei tasselli e dei vetrini, preme rilevare che (…), non risulta una normativa legislativa specifica ed un termine tassativamente prefissato. Invero, dall’esame delle Linee Guida del Ministero della Salute in materia del Maggio 2015 (punto 5.3.2), emerge come il Ministero competente suggerisca, da un lato, l’esternalizzazione del servizio —così come questa Azienda ha disposto- e dall’altro, di procedere alla conservazione dei materiali del tipo oggetto dell’odierno esame per un tempo minimo di 10 anni (…)”;

- “ebbene tale prescrizione appare invero rispettata da questa Azienda, tenuto conto della circostanza per cui gli elementi oggetto di esame risalgono all’anno XX”;

-  “inoltre, (…), questa Azienda ha deliberato, nel corso degli anni, l’approvazione del Piano Annuale della formazione, prevedendo, tra l’altro, lo svolgimento di corsi aventi ad oggetto il monitoraggio della documentazione sanitaria”;

- “l’Azienda ha, altresì, provveduto, nel corso degli anni, a effettuare formazione sulla protezione dei dati personali (…)”;

- “gli accadimenti su descritti, che riguardano un periodo storico particolarmente lungo (si ricorda che i campioni biologici sono stati prelevati nel XX, e che, come detto in premessa, il presente accadimento riguarda dei campioni biologici, e non certo dati genetici), in cui si sono succeduti diversi titolari, e relativi a periodi per i quali non vi era ancora un obbligo di notificazione delle violazioni di dati personali (conseguenti come è noto alla disciplina di cui gli artt. 33 e 34 del RGPD, e dunque applicabili a far data dal 25/5/2018, non essendo certamente applicabile al presente caso l’obbligo di notifica previsto dalle Linee guida in materia di Dossier sanitario — 4 giugno 2015 [4084632]”);

- “(…) l’ARNAS non era parte del procedimento giudiziario collegato alla presente vicenda e non ne ha avuto notizia fino alla data del maggio 2022, ovvero con la richiesta del CTU. In questo contesto, in una situazione in cui era complesso stabilire l’effettiva titolarità del trattamento (stante l’avvicendarsi delle modifiche normative già descritte in premessa), o il momento esatto in cui tali campioni biologici siano effettivamente divenuti non più disponibili, l’accadimento non è stato interpretato quale incidente di sicurezza rilevante per l’ARNAS ai sensi degli artt. 33 e ss. del GDPR”;

- “come emerge dal mero esame della richiesta formulata dal Prof. XX, nella quale veniva richiesta la comunicazione in merito “a chi erano stati consegnati i reperti istologici mai più riconsegnati al vostro nosocomio” e del riscontro della Direzione sanitaria del Businco, laddove si dichiarava che: “non risulta documentazione agli atti della Scrivente Direzione Medica e della SC Anatomia Patologica”, appare palese come questa Azienda non abbia preso consapevolezza circa la violazione di disponibilità dei campioni biologici se non con la richiesta di informazioni formulata da codesto spettabile Garante”;

- “l’Azienda sta valutando, tra l’altro e in ogni caso, una formazione multilivello, dedicata sia alle figure apicali che a tutti gli operatori sanitari, che approfondisca in maniera dettagliata i profili connessi gli incidenti di sicurezza e ai relativi adempimenti”.

Alla nota di riscontro, la predetta Azienda ha allegato taluni documenti, tra i quali la Dichiarazione del Direttore del servizio di anatomia patologica (dott. XX), dalla quale non risulta “mai esistito protocollo scritto per la gestione dei reperti in quanto procedura abbondantemente consolidata nel tempo (oltre 40 anni) e, nella custodia dei reperti in carico nell'archivio della U.O. di Anatomia Patologica (sono stati archiviati oramai decine di migliaia di casi), abbiamo avuto sempre massima cura e attenzione nel custodirli nel migliore dei modi. Allo scrivente NON risulta che vi siano protocolli scritti per gestione e custodia dei reperti, presso U.O. di Anatomia Patologica dove lavora e/o in Sardegna e/o in Italia”.

L’Azienda di Rilievo Nazionale e Alta Specializzazione G. Brotzu ha, altresì, trasmesso la menzionata nota di riscontro della Sisar del XX e la lista di consegna del XX, documenti dai quali risulta che i tasselli istologici consegnati sono stati contrassegnati dai numeri XX (n. 3 tasselli) e n. XX (22 tasselli) specificatamente indicati come riferiti alla sig.ra XX, nata il XX.

2. Valutazioni del Dipartimento sul trattamento effettuato e notifica della violazione di cui all’art. 166, comma 5 del Codice

In relazione ai fatti descritti, l’Ufficio, con nota del XX (prot. n. XX), ha notificato all’Azienda di Rilievo Nazionale ed Alta Specializzazione G. Brotzu (di seguito “Azienda ARNAS Brotzu”), ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, invitandola a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentita dall’Autorità (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981).

In particolare, l’Ufficio, nel predetto atto, ha ritenuto che l’Azienda ARNAS Brotzu abbia effettuato un trattamento di dati in violazione dei principi di base del trattamento di cui agli artt. 5, 9, e 32 del Regolamento, nonché del “Provvedimento recante le prescrizioni relative al trattamento di categorie particolari di dati, ai sensi dell’art. 21, comma 1 del d.lgs. 10 agosto 2018, n. 101”.

Con nota del XX, l’Azienda ARNAS Brotzu ha fatto pervenire le proprie memorie difensive, nelle quali, in particolare, ha evidenziato che:

“nell’episodio (…)(in questione) non sono coinvolti dati di tipo genetico e neanche dati personali ai sensi dell’art. 4, par. 1, n. 1 del Regolamento”;

“la perdita dei materiali, rappresentati dai vetrini e dai tasselli di un esame istologico, non può essere considerata un illecito trattamento di dati personali, per la natura stessa dei campioni coinvolti”;

“il concetto di “campione biologico” veniva altresì esplicitato nei medesimi termini nel documento del Garante relativo all’Autorizzazione al trattamento dei dati genetici – 22 febbraio 2007 (…) e ribadito poi nelle più recenti Prescrizioni relative al trattamento dei dati genetici n. 8/2016 (…). Sulla base delle prescrizioni del 2016 appena menzionate, la definizione attuale di “dato genetico” è rappresentata da “il risultato di test genetici o ogni altra informazione che, indipendentemente dalla tipologia, identifica le caratteristiche genotipiche di un individui trasmissibili nell’ambito di un gruppo di persone legate da vincoli di parentela”; mentre per “campione biologico” si deve considerare “ogni campione di materiale biologico da cui possono essere estratti dati genetici di un individuo”. Emerge, pertanto che, anche nella vigente disciplina in materia, “dato genetico” possa essere considerato solo ed esclusivamente il risultato di un test genetico, ovverosia di un’operazione che renda possibile l’estrapolazione di dati personali capaci di rivelare le caratteristiche genotipiche di un individuo. Anche il campione biologico, di per sé considerato non è un dato personale, in mancanza di un procedimento di estrazione che consenta di conoscere i dati genetici caratteristici di un individuo identificato o identificabile”;

“nel caso in esame, ad andare perduti non sono stati i dati genetici, bensì dei tasselli di materiale biologico, privi di per sé considerati, del carattere di dato personale, ovvero dell’elemento informativo richiesto come essenziale anche dall’art. 4, n. 1 del Regolamento (UE)2016/679”;

“per le ragioni sopra esposte si ritiene che l’ipotesi in questione non possa essere considerata di competenza dell’Autorità, proprio perché i materiali richiesti dall’interessata e dal CTU non possono essere considerati dati personali”;

“anche a voler supporre che i campioni biologici in sé considerati siano dati personali, come è stato già precisato e come emerge dalla relazione del Dott. XX, allora sostituto Responsabile della SC Anatomia patologica (..) l’Azienda e specificamente, il servizio di Anatomia Patologica, già all’epoca era dotata di un processo strutturato per la gestione di consegna di vetrini e tasselli agli aventi diritto (…)”;

“in relazione poi all’archiviazione dei materiali oggetto di esame, allo steso modo, l’Azienda applicava un processo strutturato (…)”, già descritto nella nota del XX di riscontro alla richiesta di informazioni dell’Autorità;

“nella specie, la gestione dei campioni biologici da parte dell’Azienda rispondeva a quanto prescritto dall’art. 4.2. del «Provvedimento recante le prescrizioni relative al trattamento di categorie particolari di dati, ai sensi dell’art. 21, comma 1 del d.lgs. 10 agosto 2018, n. 101», per la parte applicabile”;

“l’accesso ai locali era strettamente regolamentato e la gestione, la conservazione e il trasporto dei campioni erano gestiti con modalità tracciate in maniera puntuale e tali da poter ricostruire l’intero percorso relativo ai campioni stessi, risultando l’episodio oggetto di contestazione un fatto eccezionale a fronte del numero assolutamente rilevante dei campioni regolarmente movimentati dal servizio. Sotto questo profilo, non sussiste neanche la violazione dell’art. 32 del Regolamento, posto che alla gestione dei campioni biologici venivano applicate idonee misure di sicurezza (…)”;

“apparirebbe contestata altresì la violazione degli artt. 5 e 9 del Regolamento per non aver fornito “prova della valutazione, ad opera della struttura sanitaria e sentito il medico autore della condotta, circa l’opportunità di conservare i campioni biologici anche oltre il termine decennale proposto (…)”, dando per presupposto che questa azienda fosse a conoscenza, al XX, della pendenza di un procedimento giudiziale”;

“in realtà (…) l’Azienda non era, ne è, parte del giudizio, né era titolare del trattamento all’epoca dell’instaurazione dello stesso, e non era mais atta informata in merito, almeno fino al mese di maggio 2022, risultando quindi assente qualsivoglia “alert” in merito ad una specifica conservazione per ragioni di giustizia”;

“quanto alla contestazione circa la violazione dell’art. 9 del Regolamento, si ribadisce che (…) non vi è stata alcuna comunicazione a terzi di qualsivoglia dato personale”;

“si tratta di un caso isolato, correlato anche alla complessa vicenda della successione tra Aziende sanitarie conseguente alle plurime riforme regionali in materia, che ha portato alla pendenza di una lite alla quale l’ARNAS era ed è totalmente estranea e della quale è venuta a conoscenza soltanto nel corso dell’anno 2022. La presunta violazione ha riguardato esclusivamente campioni biologici (tassello e vetrini) di un solo soggetto interessato”;

“con riguardo alla condotta contestata, bisogna precisare che la stessa, se ritenuta esistente, dovrà essere senz’altro considerata nel suo carattere colposo (nel grado della colpa lieve). Infatti, il carattere è certamente colposo: viene contesta l’omessa formalizzazione di una procedura che nella sostanza comunque avrebbe meramente recepito l’operato consolidato di buona pratica clinica e di corretta gestione dei campioni già in essere da circa quarant’anni. Il succedersi di operazioni di aggregazione di aziende sanitarie e di relativi scorpori hanno fatto perlomeno rallentare tale attività, essendo opportuno, se non necessario, procedere in modo omogeneo nelle diverse strutture. Le prescrizioni di cui al punto a) del cap. 4.2. delle Prescrizioni è ampiamente coperto da quanto già esposto. Il punto b) è coperto per quanto riguarda il tracciamento delle movimentazioni (considerato quale maggiore fattore di rischio)”;

“l’Azienda ha provveduto con delibera n. XX del XX ad individuare, ai sensi dell’art. 2-quaterdecies commi 1 e 2 del D.lgs. 196/2003, quali designati i Direttori di struttura Complessa e dei Direttori di struttura Semplice Dipartimentali, e di stabilire che Persone autorizzate al trattamento siano da intendersi tutti i dipendenti e collaboratori, a qualsiasi titolo, dell’Azienda ospedaliera, che trattino dati personali (…)”;

l’”Azienda ha deliberato, nel corso degli anni, l’approvazione del Piano Annuale della formazione, prevedendo, tra l’altro, lo svolgimento di corsi aventi ad oggetto il monitoraggio della documentazione sanitaria” e ha “altresì, provveduto, nel corso degli anni, a effettuare formazione sulla protezione dei dati”;

“l’ARNAS, con l’aiuto del DPO in nomina, ha fin da subito avuto un atteggiamento collaborativo con l’Autorità garante provvedendo  a reagire immediatamente alla segnalazione, ad analizzare criticamente i profili problematici, e a  fornire prontamente tutti i chiarimenti richiesti in maniera puntuale; (…) l’Azienda si è immediatamente attivata, coinvolgendo il DPO e il nuovo Direttore della SC Anatomia patologia (…) per una complessiva verifica del processo di gestione dei campioni biologici e per una sua formalizzazione in una procedura atta a cristallizzare e, se del caso, migliorare il processo già esistente. Tra l’altro, è in previsione l’utilizzo di armadi informatizzati di archivio che utilizzino la lettura dei codici a barre presenti sui tasselli e sui vetrini (…)”;  

“il trattamento aveva ad oggetto unicamente campioni biologici di un solo interessato”;

“si sottolinea (…) l’estraneità dell’ARNAS alla controversia pendente tra l’interessata e altra Azienda Sanitaria”;

“le operazioni di incorporazione e fusione e divisione che hanno interessato il trattamento hanno posto forti ostacoli organizzativi in generale e per il trattamento specifico. Si fa presente che per la responsabilità amministrativa l’onere di una eventuale sanzione potrebbe ricadere in ultima battuta su una persona fisica e quindi potrebbe essere applicabile il considerando 148 (…) almeno nel determinare l’entità della sanzione”.

In data XX, si è svolta l’audizione richiesta dall’Azienda ARNAS Brotzu, durante la quale la stessa ha ritenuto di mostrare una presentazione avente a oggetto le misure di remediation, tra cui la procedura per la gestione delle richieste del materiale biologico, adottata con delibera n. XXdell’XX, che è stata trasmessa in occasione dell’audizione.

Nella medesima occasione, a integrazione di quanto già evidenziato nelle memorie, è stato dichiarato che:

- “la delibera sopra citata (n. XX dell’XX) formalizza la procedura già in uso e introduce degli elementi di miglioramento e semplificazione, allo scopo di ridurre le possibilità di errore;

- le azioni di miglioramento della procedura consistono anche nell’accentramento della stessa presso l’Anatomia patologica;

- la procedura permette la minimizzazione dei passaggi previsti e il migliore tracciamento delle operazioni svolte sui tasselli e vetrini;

- l’Azienda, nell’ambito del piano triennale del fabbisogno, ha fatto richiesta di realizzare armadi informatizzati ai fini della gestione completamente digitalizzata dell’archivio, con la possibilità di essere avvertiti tramite un alert del mancato rientro del materiale biologico eventualmente consegnato al paziente;

- nel breve periodo è stata già prevista una attività formativa sul campo sulla nuova procedura, già comunicata all’interno del servizio di anatomia patologica, e, inoltre, un corso/convegno sulle novità in materia di protezione dei dati personali in sanità;

- in relazione all’evento oggetto del reclamo, si precisa che nel XX non era previsto il codice a barre e i tasselli erano contrassegnati manualmente con la matita, resistente ai solventi utilizzati per processare il materiale;

- attraverso le predette modifiche l’Azienda intende intraprendere un processo di continuo miglioramento, anche prevedendo degli audit periodici che permettano di controllare la concreta applicazione della procedura e la sua efficacia;

- anche solo la procedura di reclamo ha avuto l’effetto di attivare ancor di più l’Azienda a intraprendere ogni azione possibile per migliorare le procedure e evitare la replicabilità dell’evento occorso;

- il DPO è stato immediatamente coinvolto nel processo di analisi dei fatti oggetto di reclamo e nelle azioni migliorative”.

Dalla documentazione recante “Presentazione della procedura di cui alla delibera n. XX dell’XX”, trasmessa in occasione della predetta audizione, risulta che “il materiale biologico (tasselli in paraffina, vetrini istologici e citologici) viene conservato in appositi archivi secondo la numerazione (attribuita dal sistema informatico) con la quale sono stati accettati all’ingresso. Si tratta di una numerazione univoca e progressiva distinta per anno e per tipologia di campione. Su tasselli paraffinici e vetrini viene stampato il numero e il corrispondente codice a barre”.

3. Esito dell’attività istruttoria

Preso atto di quanto rappresentato dall’Azienda ARNAS Brotzu nella documentazione in atti, nelle memorie difensive e nel corso dell’audizione, si osserva che:

1.il Regolamento prevede che i dati personali devono essere “trattati in maniera da garantire un’adeguata sicurezza (…), compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali (principio di «integrità e riservatezza»)” (art. 5, par. 1, lett. f) del Regolamento). L’adeguatezza di tali misure deve essere valutata da parte del titolare e del responsabile del trattamento rispetto alla natura dei dati, all’oggetto, alle finalità del trattamento e al rischio per i diritti e le libertà fondamentali degli interessati, tenendo conto dei rischi che derivano dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall’accesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati (art. 32, par. 1 e 2 del Regolamento);

2. alla luce del principio di responsabilizzazione (c.d. accountability), “il titolare del trattamento deve conformarsi ed essere in grado di comprovare sia il rispetto dei principi e degli adempienti previsti dal Regolamento” (artt. 5, par. 2, 24 e del Regolamento);

3. secondo la definizione fornita dal Regolamento, i dati relativi alla salute sono “i dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute”, ivi comprese “le informazioni sulla persona fisica raccolte nel corso della sua registrazione al fine di ricevere servizi di assistenza sanitaria o della relativa prestazione di cui alla direttiva 2011/24/UE del Parlamento europeo e del Consiglio; un numero, un simbolo o un elemento specifico attribuito a una persona fisica per identificarla in modo univoco a fini sanitari; le informazioni risultanti da esami e controlli effettuati su una parte del corpo o una sostanza organica, compresi i dati genetici e i campioni biologici; e qualsiasi informazione riguardante, ad esempio, una malattia, una disabilità, il rischio di malattie, l’anamnesi medica, i trattamenti clinici o lo stato fisiologico o biomedico dell'interessato, indipendentemente dalla fonte, quale, ad esempio, un medico o altro operatore sanitario, un ospedale, un dispositivo medico o un test diagnostico in vitro” (art. 4, par. 1, punto 15 e Cons. n. 35);

4. con particolare riferimento alla custodia e alla sicurezza dei campioni biologici, il “Provvedimento recante le prescrizioni relative al trattamento di categorie particolari di dati, ai sensi dell’art. 21, comma 1 del d.lgs. 10 agosto 2018, n. 101” del Garante n. 146 del 5 giugno 2019 (pubblicato in G.U. n. 176 del 29 luglio 2019 e consultabile in www.gpdp.it, doc. web n. 9124510) ha, al riguardo, prescritto specifiche cautele che devono essere adottate dal titolare del trattamento con particolare riferimento alla conservazione, all’utilizzo e al trasporto dei campioni biologici che devono avvenire con modalità volte anche a garantirne la qualità, l’integrità, la disponibilità e la tracciabilità (punto 4.2., lett. b));

5. la disciplina in materia di protezione dei dati personali prevede, inoltre, che le informazioni sullo stato di salute possano essere comunicate solo all’interessato e possano essere comunicate a terzi solo sulla base di un idoneo presupposto giuridico (art. 9 Regolamento e art. 84 del Codice in combinato disposto con l’art. 22, comma 11, d.lgs. 10 agosto 2018, n. 101);

6. le linee guida del Ministero della Salute-Consiglio Superiore di Sanità in materia di “Tracciabilità, Raccolta, Trasporto, Conservazione e Archiviazione di cellule e tessuti per indagini diagnostiche di ANATOMIA PATOLOGICA” (XX), consultabili in https://www.salute.gov.it/imgs/C_17_pubblicazioni_2369_allegato.pdf, prevedono che, per quanto concerne il materiale campionato (blocchetti in paraffina e vetrini), “posta (…) la necessità di porre un termine minimo di durata dell’obbligo di conservazione, segnalandosi l’esigenza di un intervento normativo sul punto, si ritiene che tale termine possa, congruamente, essere determinato in dieci anni. (…) Per quanto concerne le esigenze medico legali e l’eventuale difesa della struttura sanitaria ovvero del medico nel corso di un eventuale giudizio civile o penale (…), occorre sottolineare che il termine in esame comporta solo la cessazione di un obbligo di conservazione del materiale, permanendo, (…), il diritto della struttura a detenere il materiale per un periodo più lungo (ad esempio in tutte le ipotesi in cui sia pendente una controversia con un paziente o con un suo avente causa). In ipotesi di durata indeterminata dell’obbligo, la struttura è tenuta a conservare e consegnare il campione in qualsiasi momento all’autorità giudiziaria civile e la mancata consegna dello stesso può rilevare ai sensi dell’art. 116 c.p.c. Con la fissazione di un termine di durata, l’eventuale mancata consegna del materiale (in caso di distruzione o smarrimento) successivamente alla scadenza del termine stesso, non può rilevare ai sensi dell’art. 116 c.p.c.,”, specificando che “il termine di dieci anni è un termine minimo, alla scadenza del quale si estingue l’obbligo di conservazione per la struttura che lo detiene. In ogni caso, qualora siano in corso giudizi civili o penali, la struttura sanitaria, sentito il medico autore della condotta, è tenuta a valutare l’opportunità di conservazione del materiale anche oltre il termine decennale, in considerazione del contenzioso in corso, ferma la discrezionalità della stessa sul punto e l’estinzione dell’obbligo di conservazione citato” (cfr. punto 5.3.2. del predetto documento).

4. Conclusioni

Alla luce delle valutazioni sopra esposte, tenuto conto delle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria e considerato che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice (“Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”), si rileva che gli elementi forniti dall’Azienda ARNAS Brotzu nelle memorie difensive sopra richiamate e nel corso dell’audizione non sono idonei ad accogliere integralmente le richieste di archiviazione, non consentendo di superare i rilievi notificati dall’Ufficio con il citato atto di avvio del procedimento.

Preliminarmente, occorre rilevare che, indipendentemente dalla qualificazione dei vetrini e dei tasselli di un esame istologico quali “dati genetici”, certamente gli stessi possono, nel caso di specie, essere riconducibili, in ogni caso, alle categorie particolari di dati personali previsti nell’art. 9 del Regolamento. Infatti i materiali biologici estratti dalla reclamante, associati ad elementi, nel caso di specie numerici (XX e XX), riferiti all’identità della persona fisica al quale appartiene (la signora XX), poiché rivelano informazioni in ordine all’avvenuta prestazione di servizi di assistenza sanitaria, costituiscono dati sulla salute, così come definiti dall’art. 4, par. 1, punto 15 del Regolamento e Cons. n. 35, protetti dalle peculiari garanzie dell’art. 9 del Regolamento.

Ciò premesso, si fa presente che, alla luce della documentazione acquisita, non risulta “mai esistito protocollo scritto per la gestione dei reperti in quanto procedura abbondantemente consolidata nel tempo (oltre 40 anni) e, nella custodia dei reperti in carico nell’archivio della U.O. di Anatomia Patologica (sono stati archiviati oramai decine di migliaia di casi), abbiamo avuto sempre massima cura e attenzione nel custodirli nel migliore dei modi. Allo scrivente NON risulta che vi siano protocolli scritti per gestione e custodia dei reperti, presso U.O. di Anatomia Patologica dove lavora e/o in Sardegna e/o in Italia” (cfr. Dichiarazione del direttore del servizio di anatomia patologica, All. n. 7 alla mail del XX).

Al riguardo, anche ove l’Azienda ARNAS Brotzu, come dalla stessa dichiarato, non fosse stata a conoscenza, nel XX, della pendenza di un giudizio che avrebbe potuto richiedere ulteriori indagini da effettuarsi sui campioni biologici prelevati e, quindi, anche ove non fosse stata posta in condizione di effettuare una valutazione -come richiesto dalle citate linee guida del Ministero della Salute-Consiglio Superiore di Sanità in materia di “Tracciabilità, Raccolta, Trasporto, Conservazione e Archiviazione di cellule e tessuti per indagini diagnostiche di ANATOMIA PATOLOGICA” di XX- in ordine  all’opportunità di conservare i campioni biologici anche oltre il termine decennale proposto, in ogni caso, le predette circostanze non esonerano l’Azienda dall’obbligo di documentare quale operazione di trattamento (ivi compresa, l’eventuale cancellazione e distruzione) fosse stata effettuata sui dati personali contenuti nei vetrini associati a persone identificate in modo univoco a fini sanitari.

Infatti, alla luce del principio di c.d. “accountability”, che impone ai titolari del trattamento di essere in grado di dimostrare l’implementazione di misure idonee ad attuare in modo efficace i principi di protezione dei dati (art. 5, par. 2, del Regolamento), l’Azienda, anche nel caso in cui non fosse stato più riscontrabile un obbligo di conservazione dei campioni biologici, avrebbe dovuto, comunque, adottare modalità volte a garantire la tracciabilità degli stessi e individuare procedure documentate di gestione delle operazioni poste in essere, in tutte le fasi del trattamento, tenendo conto, in particolare, dei rischi derivanti dalla perdita dei dati personali conservati, secondo quanto previsto dagli artt. 5, par. 1, lett. f) e 32 del Regolamento.

Per tali ragioni, in relazione al descritto smarrimento di dati personali contenuti nei vetrini appartenenti alla reclamante, si rileva l’illiceità del trattamento di dati personali effettuato dall’Azienda, nei termini di cui in motivazione, per la violazione degli artt. 5, par. 1, lett. f) e par. 2 del Regolamento e dell’art. 32 del medesimo Regolamento, nonché del “Provvedimento recante le prescrizioni relative al trattamento di categorie particolari di dati, ai sensi dell’art. 21, comma 1 del d.lgs. 10 agosto 2018, n. 101” del Garante n. 146 del 5 giugno 2019 (pubblicato in G.U. n. 176 del 29 luglio 2019 e consultabile in www.gpdp.it, doc. web n. 9124510).

In tale quadro, considerato che l’Azienda ha provveduto ad adottare una procedura per la gestione e conservazione del materiale biologico, adottata con delibera n. XX dell’XX, non ricorrono allo stato i presupposti per l’adozione delle misure correttive di cui all’art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i) e 83 del Regolamento; art. 166, comma 7, del Codice). 

La violazione degli artt. 5, par. 1, lett. f) e par. 2 del Regolamento e dell’art. 32 del medesimo Regolamento, nonché del “Provvedimento recante le prescrizioni relative al trattamento di categorie particolari di dati, ai sensi dell’art. 21, comma 1 del d.lgs. 10 agosto 2018, n. 101” del Garante n. 146 del 5 giugno 2019 (pubblicato in G.U. n. 176 del 29 luglio 2019 e consultabile in www.gpdp.it, doc. web n. 9124510), è soggetta all’applicazione della sanzione amministrativa pecuniaria ai sensi dell’art. 83, parr. 4 e 5 del Regolamento (cfr. sul punto, art. 21, comma 5, del d.lgs. n. 101 del 10 agosto 2018, secondo il quale “le violazioni delle prescrizioni contenute nelle autorizzazioni generali di cui al presente articolo e nel provvedimento generale di cui al comma 1 sono soggette alla sanzione amministrativa di cui all’art. 83, par. 5, del Regolamento”).

Si consideri che il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Tenuto conto che la violazione delle disposizioni citate ha avuto luogo in conseguenza di un’unica condotta (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave. Considerato che, nel caso di specie, la violazione più grave riguarda gli artt. 5, par. 1, lett. f) del Regolamento e il citato “Provvedimento recante le prescrizioni relative al trattamento di categorie particolari di dati, ai sensi dell’art. 21, comma 1 del d.lgs. 10 agosto 2018, n. 101” del Garante n. 146 del 5 giugno 2019, l’importo totale della sanzione è da quantificarsi fino a 20.000.000 euro (massimo edittale c.d. “statico”).

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Con specifico riguardo alla violazione commessa dall’Azienda ARNAS Brotzu, si evidenzia che il livello di gravità è stato considerato medio, tenuto conto del numero di interessati coinvolti, della categoria di dati personali interessata, della finalità del trattamento nonché del livello del danno subito dall’interessata (art. 83, par. 2, lett. a) del Regolamento; cfr. Comitato europeo per la protezione dei dati, “Guidelines 04/2022 on the calculation of administrative fines under the GDPR” del 23 maggio 2023, punto n. 60).

Sono stati, poi, considerati gli ulteriori elementi previsti dall’art. 83, par. 2 del Regolamento e in particolare che:

- l’Autorità ha preso conoscenza della fattispecie in esame a seguito di un reclamo proposto dall’interessata (art. 83, par. 2, lett. h) del Regolamento);

- l’Azienda ha preso in carico i rilievi sollevati dall’Ufficio adottando la specifica procedura citata relativa alla consegna di vetrini e tasselli esami istologici e citologici (art. 83, par. 2, lett. c) del Regolamento);

- l’Azienda ha dimostrato un elevato grado di cooperazione con l’Autorità in tutte le fasi del procedimento (art. 83, par. 2, lett. f) del Regolamento);

- nei confronti del titolare non è stato in precedenza adottato alcun provvedimento per violazioni pertinenti (art. 83, par. 2, lett. e) del Regolamento);

- le operazioni di riordino del sistema regionale sardo, previste dalla legge regionale della Regione Sardegna, dell’11 settembre 2020, n. 24 (recante “Riforma del sistema sanitario regionale e riorganizzazione sistematica delle norme in materia. Abrogazione della legge regionale n. 10 del 2006, della legge regionale n. 23 del 2014 e della legge regionale n. 17 del 2016 e di ulteriori norme di settore”), che hanno interessato il titolare del trattamento, hanno determinato taluni ostacoli organizzativi, anche al fine della ricostruzione della vicenda che ha dato origine alla violazione in esame (art. 83, par. 2, lett. k) del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 18.000,00 (diciottomila) per la violazione dell’art. 5, par. 1, lett. f) e par. 2 del Regolamento, dell’art. 32 del medesimo Regolamento, nonché del “Provvedimento recante le prescrizioni relative al trattamento di categorie particolari di dati, ai sensi dell’art. 21, comma 1 del d.lgs. 10 agosto 2018, n. 101” del Garante n. 146 del 5 giugno 2019.

In ragione della particolare delicatezza dei dati trattati, si ritiene, altresì, che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019, concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara l’illiceità del trattamento di dati personali effettuato dall’Azienda di Rilievo Nazionale ed Alta Specializzazione G. Brotzu, per la violazione dell’art. 5, par. 1, lett. f) e 2 del Regolamento, dell’art. 32 del medesimo Regolamento, nonché del “Provvedimento recante le prescrizioni relative al trattamento di categorie particolari di dati, ai sensi dell’art. 21, comma 1 del d.lgs. 10 agosto 2018, n. 101” del Garante n. 146 del 5 giugno 2019.

ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, all’Azienda di Rilievo Nazionale ed Alta Specializzazione G. Brotzu, con sede legale in Cagliari, P.le Ricchi, n. 1 — 09134, P. IVA 023155209200, di pagare la somma di euro 18.000,00 (diciottomila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata nel presente provvedimento; si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata.

INGIUNGE

alla predetta Azienda, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 18.000,00 (diciottomila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981.

DISPONE

ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione per intero del presente provvedimento sul sito web del Garante e ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 21 dicembre 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Mattei