Garante per la protezione
    dei dati personali


Ordinanza di ingiunzionenei confronti di Centro di analisi e patologia clinica A. Agostini &L. Roussier Fusco & C. s.n.c.

Provvedimentodel 11 dicembre 2008

Registro delledeliberazioni
Del. n. 70 del 11 dicembre 2008

 

IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI

ORDINANZA INGIUNZIONE

NELLA riunione odierna, alla presenza delprof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti,vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato,componenti e del dott. Giovanni Buttarelli, segretario generale;

ESAMINATO il rapporto dell'Ufficio delGarante predisposto ai sensi dell'art. 17 della legge 24 novembre 1981, n. 689,relativo al verbale di contestazione per violazione amministrativa redatto indata 9 agosto 2007 nei confronti del Centro di analisi e patologia clinica A.Agostini & L. Roussier Fusco & C. s.n.c., con sede in Bari via G.Matteotti n. 24, in persona del legale rappresentante pro-tempore, per violazione dell'articolo 37 del Codice inmateria di protezione dei dati personali (d.lg. 30 giugno 2006, n. 196, diseguito denominato "Codice");

RILEVATO che il Comando nucleo specialefunzione pubblica e privacy dellaGuardia di finanza, in attuazione della richiesta di informazioni ex art. 157del Codice (n. 21287/31905 datata 7 novembre 2006) e su specifica delega diquesta Autoritą (n. 21288/31905 del 7 novembre 2006), ha svolto gliaccertamenti di cui al verbale di operazioni del 7 dicembre 2006 dai quali Źrisultato che la predetta societą effettua, in qualitą di titolare, trattamentidi dati personali previsti dall'art. 37, comma 1, lett. a) e b)del Codice da epoca anteriore al 1° gennaio 2004; considerato, altresď, che lasocietą ha effettuato la notificazione al Garante nelle forme previste dagliartt. 37 e 38 del Codice solo in data 12 gennaio 2006 e, quindi, oltre iltermine del 30 aprile 2004 previsto dall'art. 181, comma 1, lett. c) del Codice;

VISTA la contestazione n. 3993/51022 del5 marzo 2007 con cui si Ź contestata alla predetta societą la violazioneprevista dall'art. 163 del Codice in relazione all'art. 37, informandola dellafacoltą di effettuare il pagamento in misura ridotta ai sensi dell'art. 16della legge n. 689/1981;

RILEVATO dal predetto rapporto che nonrisulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo inviato aisensi dell'art. 18 della legge n. 689/1981, con il quale la societą, nelsostenere che contrariamente a quanto riferito nel verbale di operazionicompiute non tratta dati personali di cui alla lett. a) dell'art. 37 delCodice, ha evidenziato, tra l'altro, che dalla corretta interpretazione dellenorme, dei provvedimenti e dei pareri forniti dall'Autoritą con particolareriferimento all'obbligo di cui all'art. 37, comma 1 del Codice, appare evidenteche la stessa non era tenuta a effettuare la notificazione al Garante;

VISTO il verbale di audizione delle partidatato 17 settembre 2007 nel quale la societą ha ribadito quanto lamentatonello scritto difensivo;

RITENUTO che le argomentazioni addottenon risultano idonee in relazione alla contestazione della violazioneamministrativa per omessa notificazione nei termini, in quanto il Codice indicacon evidenza i trattamenti di dati da notificare e demanda al Garante il solocompito di individuare, tra essi, quelli sottratti all'obbligo dinotificazione, purché insuscettibili di recare pregiudizio ai diritti e allelibertą dell'interessato in ragione delle modalitą di trattamento o alla naturadei dati. In particolare, l'art 37, comma 1, lett. b) prevede che debbanoessere notificati i trattamenti di "dati idonei a rilevare lo stato disalute e la vita sessuale trattati", rispettivamente, "a fini diprocreazione assistita, prestazione di servizi sanitari per via telematicarelativi a banche di dati o alla fornitura di beni, indagini epidemiologiche,rilevazione di malattie mentali, infettive e diffusive, sieropositivitą,trapianto di organi e tessuti e monitoraggio della spesa sanitaria". Aisensi dell'art. 4, comma 1, lett. f) del Codice il "titolare deltrattamento" Ź "la persona fisica, la persona giuridica, (…) equalsiasi altro ente, associazione od organismo cui competono, anche unitamentead altro titolare, le decisioni in ordine alle finalitą, alle modalitą deltrattamento di dati personali e agli strumenti utilizzati, ivi compreso ilprofilo della sicurezza". Il titolare del trattamento Ź tenuto ad avere,tramite le proprie articolazioni, puntuale conoscenza dei trattamentieffettuati, essendo sua esclusiva prerogativa individuarli e impartire lenecessarie istruzioni anche agli eventuali responsabili del trattamento.Inoltre, i casi di esclusione della notificazione di cui al provvedimento delGarante n. 1 del 31 marzo 2004) relativi alla lett. b) del menzionato comma 1 dell'art. 37 del Codice, come peraltrospecificato anche nella nota n. 10020/34208 del 26 aprile 2004 di risposta aiquesiti relativi a trattamenti in ambito sanitario da notificare al Garante , non operanoper i trattamenti effettuati da strutture sanitarie pubbliche o private (qualile aziende sanitarie, case di cura, ambulatori polispecialistici, laboratori dianalisi cliniche e diagnostiche) essendo stati previsti chiaramente solo, edesclusivamente, nei riguardi di singole persone fisiche esercenti professionisanitarie. La non sistematicitą del trattamento quale causa di esclusionedall'obbligo di notificazione Ź rilevante, ma a condizione che il titolare deltrattamento sia un esercente la professione sanitaria ovvero una personafisica, condizione questa non riscontrabile nel caso di specie. Inoltre, ilCodice impone l'obbligo di notificazione per i trattamenti di dati idonei arilevare lo stato di salute non solo ai fini di prestazioni sanitarie per viatelematica relativi a banche di dati o alla fornitura di beni, ma anche ai finidi rilevazione di malattie infettive e diffusive e sieropositivitą, trattamentiche risultano dagli atti effettuati nel caso di specie, come accertato nelverbale di operazioni compiute redatto dal Nucleo speciale funzione pubblica eprivacy della Guardia di finanza che ha determinato la contestazione dellaviolazione amministrativa. Quanto sopra, pur facendo salve le argomentazioniprodotte dalla societą relativamente al trattamento dei dati afferenti allalett. a) dell'art. 37 del Codice, anche alla luce del disposto di cui all'art.168 del Codice, non consente di applicare, al caso di specie, la disciplinadell'"errore sul fatto" prevista dall'art. 3, secondo comma, dellalegge n. 689/1981;

RILEVATO che l'attivitą svolta dallasocietą configura un trattamento di dati personali (art. 4, comma 1, lett. a) e b),del Codice) per il quale doveva essere assolto tempestivamente l'obbligo dieffettuare la notificazione del trattamento all'Autoritą ai sensi e nei modiprevisti dagli artt. 37, comma 1, lett. b) e 38 del Codice;

VISTO l'art. 163 del Codice, che puniscela violazione di cui all'art. 37 del Codice con la sanzione amministrativa delpagamento di una somma da diecimila euro a sessantamila euro e con la sanzioneamministrativa accessoria della pubblicazione dell'ordinanza-ingiunzione;

VISTA la legge 24 novembre 1981 n. 689, esuccessive modificazioni e integrazioni;

RITENUTO di dover determinare l'ammontaredella sanzione pecuniaria, avuto riguardo ai parametri indicati nell'art. 11della legge 24 novembre 1981 n. 689, valutati anche in relazione all'attivitąsvolta e al genere di trattamento di dati personali, nella misura del minimopari alla somma di diecimila/00 euro;

RITENUTO di dover applicare la sanzioneaccessoria della pubblicazione, avuto riguardo alla gravitą della violazionevalutata alla luce dei predetti parametri e circostanze, nella misura ritenutacongrua della sola pubblicazione per estratto, per una sola volta su unatestata giornalistica a livello locale, identificata ne "Il Quotidiano diBari";

VISTA la documentazione in atti;

VISTE le osservazioni dell'Ufficio,formulate dal segretario generale ai sensi dell'art. 15 del regolamento delGarante n. 1/2000;

RELATORE il dott. Giuseppe Fortunato;

ORDINA

al Centro di analisi e patologia clinica A. Agostini & L. Roussier Fusco & C. s.n.c., con sede in Bari, via G.Matteotti n. 24, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 10.000,00 (diecimila) atitolo di sanzione amministrativa pecuniaria per la violazione dell'art. 163del Codice, indicata in motivazione;

DISPONE

la pubblicazione a cura dell'Ufficiodella presente ordinanza-ingiunzione a titolo di sanzione amministrativaaccessoria prevista dall'art. 163 del Codice, per estratto e per una solavolta, sulla testata giornalistica  "Il Quotidiano di Bari";

INGIUNGE

alla medesima societą di pagare, fermorestando quanto dovuto per la sanzione accessoria, la somma di euro 10.000,00(diecimila) secondo le modalitą indicate in allegato, entro 30 giorni dallanotificazione del presente provvedimento, pena l'adozione dei conseguenti attiesecutivi a norma dall'art. 27 della legge 24 novembre 1981, n. 689,prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, siainviata a questa Autoritą, in originale o in copia autentica, quietanzadell'avvenuto versamento;

DÁ ATTO CHE

avverso il presente provvedimento, aisensi dell'art. 152 del Codice, puė essere proposta opposizione davanti altribunale ordinario del luogo ove ha sede il titolare del trattamento entro iltermine di trenta giorni dalla notificazione del presente provvedimento.

Roma, 11 dicembre 2008

Il presidente
Pizzetti

Il relatore
Fortunato

Il segretario generale
Buttarelli