Garante per la protezione
    dei dati personali


Ordinanza di ingiunzione nei confrontidi Terme di Montecatini s.p.a.

PROVVEDIMENTO DEL 20 GIUGNO 2013

Registro dei provvedimenti
 n.  304 del 20 giugno2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, alla presenza del dott. Antonello Soro, presidente, delladott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti edel dott. Giuseppe Busia, segretario generale;

RILEVATOche il Nucleo speciale privacy della Guardia di finanza, in esecuzione dellarichiesta di informazioni ai sensi dell'art. 157 del Codice in materia diprotezione dei dati personali – d.lg. 30 giugno 2003, n. 196 (di seguitodenominato Codice) nr. 15250/53969 del 30 giugno 2010 formulata da questaAutorità, ha svolto un'attività di controllo nei confronti di Terme diMontecatini s.p.a. P.I.: 00467800470, con sede in Montecatini Terme (Pt), vialeGiuseppe Verdi n. 41, in persona del legale rappresentante pro-tempore,formalizzata nel verbale di operazioni compiute redatto in data 19 ottobre2010, a fronte della quale e delle successive valutazioni sulla documentazioneacquisita in tale sede, è stato accertato che la società tratta dati personali,anche di natura sensibile, degli assistiti del servizio sanitario nazionale(interessati) che effettuano le cure termali, omettendo di acquisire il loro consenso ai sensi dell'art. 23 del Codice e sostenendo, circa taleomissione, "() che l'obbligo di legge che ci esclude dal richiedere ilconsenso agli interessati deriva dall'applicazione del D.M. 15 dicembre 1994,richiamato dal successivo decreto del 22 marzo 2001";

VISTOil verbale n. 93/2010 del 22 novembre 2010 con cui è stata contestata allapredetta società la violazione amministrativa prevista dall'art.162, comma2-bis che punisce la violazione delle disposizioni indicate nell'art. 167 delCodice, tra le quali quelle di cui all'art. 23 del medesimo Codice;

ESAMINATOil rapporto del predetto Nucleo speciale ai sensi dell'art. 17 della legge 24novembre 1981, n. 689, relativo al verbale di contestazione per violazioneamministrativa redatto in data 22 novembre 2010 nei confronti di Terme diMontecatini s.p.a. per la violazione dell'art. 23 del Codice, dal quale nonrisulta essere stato effettuato il pagamento in misura ridotta;

VISTOlo scritto difensivo inviato ai sensi dell'art. 18 della legge n. 689/1981, conil quale, la società, nell'asserire che "() non è tenuta a richiedere ilconsenso scritto ai propri utenti poiché non tratta dati sensibili",evidenzia come il consenso di cui all'art. 23 del Codice "() è prestatonel momento in cui il soggetto, utente e/o cliente si presenta presso lostabilimento a chiedere una determinata prestazione". Inoltre, rileva che"() se ci mettiamo a valutare il tipo di prestazione effettuata cirendiamo conto che la stessa ha ad oggetto dati sulla salute", per i qualiè ammessa "() la formula del consenso verbale". Osserva, altresì,"() che l'art. 24 del D.Lgs. 196/2003 prevede che il consenso NON E'RICHIESTO  oltre che nella parte II dello stesso D.Lgs anche quando, tragli altri: a) è necessario per adempiere ad un obbligo previsto dalla legge, daun regolamento o dalla normativa comunitaria". Si sofferma, poi,sull'analisi dell'art. 162, comma 2-bis del Codice evidenziando come la condottatrasgressiva contestata non sia riconducibile nè a quanto disciplinatodall'art. 33 del Codice, né a quanto previsto dall'art. 167 del medesimoCodice, atteso che, tale ultimo articolo, "() pur citando l'art. 23 parlacomunque di profitto e danno, voci che non possono chiaramente riferirsi alnostro caso";

RITENUTOche le argomentazioni addotte non risultano idonee in relazione agli illecitiaccertati. Occorre preliminarmente evidenziare come, diversamente da quantoritenuto, i trattamenti effettuati dalla società sono tra quelli per i quali ilCodice richiede il consenso scritto degli interessati, perché finalizzato allatutela della salute e dell'incolumità fisica degli stessi (artt. 75 e seg. delCodice), ove, nello specifico, deve porsi attenzione alla disposizionedell'art. 81 del Codice che individua, a carico sia di soggetti pubblici cheprivati, specifiche modalità semplificate per raccogliere il consenso. Secondotale disposizione, il consenso può essere manifestato anche oralmente, ma ènecessario in ogni caso che sia documentato per iscritto da partedell'esercente la professione sanitaria o da parte dell'organismo sanitarioche, nella fattispecie, è privato. L'applicabilità, al caso di specie, delledisposizioni contenute nella Parte II, titolo V del Codice, non vale comunquead escludere la parte dall'obbligo di documentare per iscritto il consenso deipazienti, obbligo che non risulta essere stato assolto al momentodell'accertamento. Sotto questo aspetto, dunque, la disposizione di cui all'art.23 è perfettamente coerente con quella di cui all'art. 81. In particolare,l'art. 23 è una norma di carattere generale riferita al trattamento di datipersonali che individua gli elementi atti a connotare un valido consenso.Inoltre, a riprova di quanto sostenuto, il comma 4 di tale disposizione, conriferimento al trattamento dei dati sensibili, prevede espressamente che ilconsenso sia documentato per iscritto. Sul punto poi, giova rilevare comequanto detto determini l'inconferenza della richiamata disciplina di cuiall'art. 24, ove, peraltro, la previsione del citato articolo secondo la quale"() il consenso non è richiesto oltre che nei casi previsti nella parteII ()" è esclusivamente riferibile ai casi, diversi da quello che cioccupa, nei quali il consenso è specificatamente escluso. Risulta, altresìinconferente anche il richiamo alle norme di cui al D.M. 15 dicembre 1994,richiamato dal successivo decreto del 22 marzo 2001, che hanno la sola funzionedi individuare le patologie per il cui trattamento è assicurata, ai sensidell'art. 4, comma 1, della L. 24 ottobre 2000, n. 323, l'erogazione delle curetermali a carico del Servizio sanitario nazionale, senza che tale elencazionedetermini l'esenzione dall'obbligo di acquisire il consenso, la cui disciplina,invece, è scandita dal combinato disposto degli artt. 23 e 81 del Codice.Quanto detto, pertanto, non consente di sostanziare i presupposti applicatividella disciplina dell'errore scusabile di cui all'art. 3 della legge n.689/1981. Riguardo alla violazione sanzionata dall'art. 162, comma 2-bis delCodice, risulta infondato quanto evidenziato in ordine all'insussistenza deglielementi del profitto e del danno costitutivi della fattispecie di reatoprevista dall'art. 167 del Codice, atteso che, diversamente da quanto ritenuto,il legislatore, nell'individuare interessi pubblici compatibili ma diversi, liha voluti tutelare distintamente e disgiuntamente attraverso norme distinte sulpiano penale (art. 167) e su quello amministrativo sanzionatorio (art. 162,comma 2 bis). Pertanto, gli elementi costitutivi dell'illecito amministrativocontestato, nel caso di specie, sono qualitativamente diversi da quelli penali,tanto è vero che l'art. 162, comma 2 bis dispone che la sanzione amministrativasi applica "altresì" e "in ogni caso", a prescinderedall'illecito penale;

RILEVATOche la società ha quindi effettuato un trattamento di dati (art. 4 comma 1,lett. a) e d) del Codice) anche di natura sensibile degli assistiti degliinteressati che effettuano le cure termali, omettendo di acquisire il loro consenso ai sensi del combinato disposto di cui agli artt. 23 e 81 delCodice;

VISTOl'art. 162, comma 2-bis, del Codice, che punisce la violazione delledisposizioni indicate nell'art. 167 del Codice, tra le quali quelle di cuiall'art. 23 del medesimo Codice, con la sanzione amministrativa del pagamentodi una somma da diecimila euro a centoventimila euro;

CONSIDERATOche, ai fini della determinazione dell'ammontare della sanzione pecuniaria,occorre tenere conto, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, dell'opera svolta dall'agente per eliminare o attenuare le conseguenzedella violazione, della gravità della violazione, della personalità e dellecondizioni economiche del contravventore e che pertanto l'ammontare dellasanzione pecuniaria di cui alla violazione di cui all'art. 162, comma 2-bis deve essere quantificato nella misura di euro 10.000,00 (diecimila);

VISTAla documentazione in atti;

VISTAla legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000;

RELATOREla  dott.ssa Giovanna Bianchi Clerici;

ORDINA

aTerme di Montecatini s.p.a. P.I.: 00467800470, con sede in Montecatini Terme(Pt), viale Giuseppe Verdi n. 41, nella persona del legale rappresentante protempore, di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzioneamministrativa pecuniaria per la violazione prevista dall'art. 162, comma 2-bisdel Codice;

INGIUNGE

allamedesima società di pagare la somma di euro 10.000,00 (diecimila) secondo lemodalità indicate in allegato, entro 30 giorni dalla notificazione del presenteprovvedimento, pena l'adozione dei conseguenti atti esecutivi a norma dall'art.27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine digiorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale oin copia autentica, quietanza dell'avvenuto versamento.

Aisensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 20 giugno 2013

Il presidente
Soro

Il relatore
Bianchi Clerici

Il segretario generale
Busia