Garante per la protezione
    dei dati personali


Ordinanza ingiunzione neiconfronti di Centro diagnostico Helios s.n.c.

Provvedimentodel 14 settembre 2006

(Registro delledeliberazioni
 Del. n. 41 del 14 settembre 2006)

 


GARANTE PER LAPROTEZIONE DEI DATI PERSONALI

ORDINANZA INGIUNZIONE

NELLA riunione odierna, alla presenza delprof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti,vicepresidente, del dott. Giuseppe Fortunato, componente e del dott. GiovanniButtarelli, segretario generale;

ESAMINATO il rapporto del Comando nucleospeciale funzione pubblica e privacy della Guardia di finanza redatto ai sensi dell'art. 17 della legge 24novembre 1981, n. 689, relativo al verbale di contestazione per violazioneamministrativa redatto in data 1° ottobre 2004 nei confronti del Centrodiagnostico Helios s.n.c., sito in Nola (NA) via Antonio Ciccone n. 1, inpersona del legale rappresentante pro-tempore, per violazione dell'articolo 37 del Codice inmateria di protezione dei dati personali (d.lg. n. 196/2003);

RILEVATO che il predetto Nucleo speciale,in attuazione della richiesta di informazioni  ex art. 157 del Codice (n.24029 datata 16 giugno 2004) ed a fronte di specifica delega del Garante (n.26333 del 15 luglio 2004), ha svolto gli accertamenti di cui al verbale dioperazioni compiute del 1° ottobre 2004 dai quali Ź risultato che:

a) il Centro diagnostico tratta datiidonei a rivelare lo stato di salute e la vita sessuale soggetti anotificazione ai sensi dell'art. 37, comma 1, lett. b) del Codice;

b) le tipologie di dati trattatiriguardano: sieropositivitą, malattie infettive e diffusive, stato di salute,indagini epidemiologiche, esiti diagnostici e programmi terapeutici inoccasione di Aids conclamato, mediante supporti elettronici e non;

c) il trattamento Ź svolto per leseguenti finalitą: assistenza sanitaria, diagnosi, cura o terapia di pazienti,monitoraggio della spesa sanitaria, prenotazione e refertazione di analisicliniche, registrazione di pazienti, rilevazione di malattie infettive ediffusive, nonché stati di sieropositivitą; considerato altresď, comedichiarato dalla parte, che non Ź stata effettuata per detti trattamenti lanotificazione al Garante ai sensi dell'art. 37, comma 1, lett. b) del Codice;

VISTO il verbale n. 8 del 1° ottobre 2004con cui si Ź contestata alla predetta societą la violazione prevista dell'art.37 (e sanzionata dall'art. 163) del Codice, informandola della facoltą dieffettuare il pagamento in misura ridotta ai sensi dell'art. 16 della legge n.689/1981;

RILEVATO dal predetto rapporto che nonrisulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo inviato aisensi dell'art. 18 della legge n. 689/1981, con il quale Centro diagnosticoHelios s.n.c. ha ribadito di non aver provveduto, se non tardivamente (30settembre 2004), alla notificazione al Garante ai sensi dell'art. 37 delCodice, avendo perė effettuato la notifica all'Autoritą ai sensi dell'art. 34della legge 675/1996, ed ha motivato tale condotta con le seguenti deduzioni:

a) i trattamenti effettuati noncomprendono alcun tipo di informazione su dati genetici ed avviene sempremediante l'organizzazione di un archivio gestito elettronicamente al livellodel computer del centro;

b) il Centro diagnostico riteneva diaver gią assolto all'obbligo di notificazione avendo proceduto a suo tempo (aisensi dell'art. 7 della legge n. 675/1996, segnatamente in data del 22 giugno1998 n. 218096 del registro tenuto presso il Garante) alla notificazione deltrattamento dei dati personali. Tale circostanza renderebbe insussistentel'illecito amministrativo relativo all'omessa notificazione, in quanto ilmedesimo Centro ha riprodotto, seppur in data successiva al termine previstodal legislatore, il medesimo atto di notificazione in data 30 settembre 2004;

c) l'omissione di cui all'art. 163del Codice Ź, certamente, fattispecie ben diversa dalla irregolaritą (ritardatanotificazione) eventualmente commessa;

d) il ritardo dell'atto dinotificazione sarebbe conseguito alle problematiche incontrate dal Centrodiagnostico all'atto della notificazione al Garante effettuata per viatelematica;

e) tale  ritardo sarebbeinoltre da attribuire ad un errore sul fatto dovuto all'inesistenza di un attovincolante che indicasse sia i soggetti obbligati alla notifica sia, ai sensidel citato art. 163, un termine perentorio oltre il quale non era piĚ possibileavviare la procedura di notificazione;

f) la sanzione sarebbesproporzionata rispetto alla presunta violazione;


VISTA la richiesta di audizioneformulata nel predetto scritto difensivo dal Centro diagnostico Helios s.n.c.,ai sensi dell'art. 18 della legge n. 689/1981;

VISTA la convocazione per audizione aisensi dell'art. 18 della legge n. 689/1981 n. 34496/38836/30 del 15 novembre2004 inviata da questa Autoritą;

CONSIDERATO il verbale di audizione delleparti datato 22 novembre 2004 nel quale la societą ha ribadito quantoipotizzato nella memoria difensiva;

RILEVATO che l'attivitą svolta dallaboratorio configura un trattamento di dati personali (art. 4 comma 1, lett.a) del Codice) per il quale doveva essere assolto l'obbligo di effettuare lanotificazione del trattamento all'Autoritą, ai sensi e nei modi previsti dagliartt. 37, comma 1, lett. b) e 38 del Codice;

RITENUTO che le ulteriori argomentazioniaddotte nelle memorie difensive non risultano idonee in relazione allacontestazione della violazione amministrativa per omessa notificazione con cuisi Ź dato avvio al procedimento, in quanto:

a) il verbale di contestazioneredatto dalla Guardia di finanza indica esclusivamente, quale norma violata,l'art. 37, comma 1, lett. b)  del Codice che afferisce a dati idonei arivelare lo stato di salute e la vita sessuale. Le argomentazioni relative aidati genetici e/o biometrici addotte dal Centro diagnostico sono inconferentinel caso di specie, essendo la notificazione per il trattamento di tali datidisciplinata da diverso precetto (art. 37, comma 1 lett. a)) non oggetto dicontestazione;

b) risulta accertata, e non Źoggetto di contestazione, la circostanza che il Centro diagnostico effettuitrattamenti di dati personali del tipo di quelli elencati alla lettera b)dell'art. 37, comma 1. In base al nuovo istituto della notificazione deitrattamenti previsto dal Codice, sono tenuti a notificare al Garante solo ititolari che effettuino una o piĚ attivitą di trattamento tra quellespecificamente indicate dal Codice all'art. 37, comma 1 (la precedentenormativa, invece, prevedeva per tutti i titolari l'obbligo di effettuare lanotificazione, a meno che potessero avvalersi dei casi di esonero o dipossibile utilizzazione di una notificazione semplificata). L'art. 37, comma 2,del Codice demanda al Garante il compito di individuare, nell'ambito deitrattamenti di cui al comma 1 del medesimo articolo, quelli sottrattiall'obbligo di notificazione. Il Garante, con deliberazione n. 1 del 31 marzo 2004 (in G.U. 6 aprile 2004, n. 81), pur avendoprevisto alcuni esoneri tra cui quello a favore di persone fisiche esercenti leprofessioni sanitarie, non ha sottratto all'obbligo della notificazione itrattamenti effettuati da strutture sanitarie pubbliche o private (ospedali,case di cura e di riposo, aziende sanitarie, laboratori di analisi cliniche,associazioni sportive), come altresď specificato nelle precisazioni sullanotificazione in ambito sanitario del 24 aprile 2004, pubblicate sul sito web dell'Autoritą (doc. web n. 996680).Dalla nuova disciplina normativa del Codice Ź derivato, quindi, un nuovo edistinto obbligo di notificazione al Garante. Il titolare del trattamento cheaveva gią iniziato un trattamento anteriormente al 1° gennaio 2004,indipendentemente dalla circostanza che lo avesse notificato in passato, dovevaprocedere in via transitoria, se tenuto in base al tipo di trattamentoeffettuato, ad una nuova notificazione da effettuarsi entro il terminetransitorio del 30 aprile 2004 (art. 181, comma 1, lett. c)), che Ź statainvece ritardata nel caso di specie;

c) il disposto del richiamato art.163 del Codice recita "Chiunque, essendovi tenuto, non provvedetempestivamente alla notificazione ai sensi degli artt. 37 e 38 ...omissis..." . La locuzione "...non provvedetempestivamente..." rendepertanto rilevante, sotto il profilo sanzionatorio, non solo l'omissione dellanotificazione, ma anche la sua intempestivitą, atteso peraltro che l'art. 38,comma 1 del Codice specifica che "la notificazione del trattamento Źpresentata al Garante prima dell'inizio del trattamento";

d) la societą non ha effettuatoquanto necessario per adempiere all'obbligo di notificazione del trattamento aisensi dell'art. 37, comma 1, lett. b) del Codice, nei termini di legge,  tenuto anche conto del breve differimento al 15 maggio 2004 che il Garante,avvalendosi delle facoltą previste dall'art. 38 del Codice, aveva previsto percoloro che, pur avendo avviato tempestivamente in rete la procedura dinotificazione entro 30 aprile 2004, non erano riusciti a concluderla perdifficoltą tecniche a loro non imputabili, come riportato a pag. 110 dellaRelazione annuale al Parlamento e al Governo del 2004). Dalla verificaeffettuata d'ufficio sulla procedura svolta dalla parte, Ź risultato che, comecomunicato dal Dipartimento registro dei trattamenti con nota n. 16879/38836 dell'11agosto 2006, non risultano tentativi di notificazione in data precedente al 30settembre 2004, neppure a nome del legale rappresentante della societą. Lacircostanza che la parte avesse effettuato il solo versamento dovuto per idiritti di segreteria relativi alla notificazione, inviando unicamente un faxall'Ufficio del Garante in data 14 maggio 2004 per evidenziare asseritedifficoltą tecniche riscontrate nella notificazione, comprova la consapevolezzadella doverositą della notificazione ed il colpevole comportamento omissivo (dicui all'art. 3, comma 1 della legge n. 689/1981), protratto fino al giorno 29settembre 2004, successivo al preavviso dell'ispezione inviato alla societądalla Guardia di finanza;

e) non spiega quindi effetti nelcaso di specie l'invocata disciplina dell' "errore sul fatto" prevista dall'art. 3, comma 2, della legge n.689/1981, che opera in assenza di condotte colpose. Inoltre, quanto asseritodall'azienda nello scritto difensivo non sostanzia l'elemento positivoinducente l'errore;

f) l'ammontare della sanzione, conl'eventuale possibilitą di pagamento in misura ridotta descritto nel verbale dicontestazione, Ź stabilita dalla legge;


VISTO l'art. 163 del Codice, chepunisce la violazione di cui all'art. 37 del Codice con la sanzioneamministrativa del pagamento di una somma da diecimila euro a sessantamila euroe con la sanzione amministrativa accessoria della pubblicazione dell'ordinanza-ingiunzione;

VISTA la legge 24 novembre 1981 n. 689, esuccessive modificazioni ed integrazioni;

RITENUTO di dover determinare l'ammontaredella sanzione pecuniaria, avuto riguardo ai parametri indicati nell'art. 11della legge 24 novembre 1981 n. 689, valutati anche in relazione all'attivitąsvolta e al genere di trattamento di dati personali, nella misura del minimopari alla somma di diecimila/00 euro;

RITENUTO di dover applicare la sanzioneaccessoria della pubblicazione, avuto riguardo alla gravitą della violazionevalutata alla luce dei predetti parametri e circostanze, nella misura ritenutacongrua della sola pubblicazione per estratto, per una sola volta e su due soletestate giornalistiche, di cui una di maggiore tiratura a livello nazionale, identificatanel quotidiano "Corriere della Sera" e l'altra, a livello locale, nel giornale "Il mattino diNapoli";

VISTA la documentazione in atti curatadal Dipartimento attivitą ispettive e sanzioni;

VISTE le osservazioni dell'Ufficioformulate dal segretario generale ai sensi dell'art. 15 del regolamento delGarante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il dott. Giuseppe Chiaravalloti;

ORDINA

al Centro diagnostico Helios s.n.c., sitoin Nola (NA) via Antonio Ciccone n. 1 in persona del legale rappresentante pro-tempore, di pagare la somma di euro 10.000,00 (diecimila) atitolo di sanzione amministrativa pecuniaria per la violazione dell'art. 163del Codice, indicata  in motivazione;

DISPONE

la pubblicazione a cura dell'Ufficiodella presente ordinanza-ingiunzione a titolo di sanzione amministrativaaccessoria prevista dall'art. 163 del Codice, per estratto e per una solavolta, sulle testate giornalistiche "Corriere della Sera" e "Il mattino di Napoli";

INGIUNGE

al medesimo Centro diagnostico di pagare,fermo restando quanto dovuto per la sanzione accessoria, la somma di euro10.000,00 (diecimila) tramite il bollettino postale che verrą fornito inallegato, intestato a "Tesoreria provinciale dello Stato di Napoli " entro 30 giorni dalla notificazione delpresente provvedimento, pena l'adozione dei conseguenti atti esecutivi a normadall'art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro iltermine di giorni 10 (dieci) dal versamento, sia inviata a questa Autoritą inoriginale o in copia autentica, quietanza dell'avvenuto versamento;

Dň ATTO CHE

avverso il presente provvedimento, aisensi dell'art. 152 del Codice, puė essere proposta opposizione davanti altribunale ordinario del luogo ove ha sede il titolare del trattamento entro iltermine di trenta giorni dalla notificazione del presente provvedimento.

Roma, 14 settembre 2006

IL PRESIDENTE
Pizzetti

IL RELATORE
Chiaravalloti

IL SEGRETARIO GENERALE
Buttarelli