Garante per la protezione
    dei dati personali


Ordinanza di  ingiunzione neiconfronti di Terme di Agnano s.p.a.

PROVVEDIMENTO DEL 20 GIUGNO 2013

Registro dei provvedimenti
 n.  303 del 20 giugno2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, alla presenza del dott. Antonello Soro, presidente, delladott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti edel dott. Giuseppe Busia, segretario generale;

RILEVATOche il Nucleo speciale privacy della Guardia di finanza, in esecuzione dellarichiesta di informazioni ai sensi dell'art. 157 del d.lg. 30 giugno 2003, n.196 recante Codice in materia di protezione dei dati personali (di seguitodenominato Codice) nr. 15250/53969 del 30 giugno 2010 formulata da questaAutorità, ha svolto un'attività di controllo nei confronti di Terme di Agnanos.p.a. P.I.: 00642490635, con sede in Napoli, via Agnano Astroni n. 24,formalizzata nel verbale di operazioni compiute redatto in data 6 ottobre 2010,a fronte della quale e delle successive valutazioni sulla documentazioneacquisita in sede di controllo, è stato accertato che la società tratta datipersonali, anche di natura sensibile, degli interessati che effettuano le curetermali sia in convenzione con il SSN che a pagamento, omettendo di renderel'informativa ai sensi dell'art. 13 del Codice (rilievo n. 1) e senza acquisireil consenso ai sensi dell'art. 23 del Codice (rilievo n. 2). Ha, inoltreaccertato che la società in parola tratta i dati personali degli interessatiche inviano i loro curricula tramite il link recruiting@termediagnano.com,presente nel sito Internet www.termediagnano.it, senza rende l'informativa dicui all'art. 13 del Codice (rilievo n. 3);

VISTOil verbale n. 103/2010 del 9 dicembre 2010 con cui sono state contestate allapredetta società, in persona del legale rappresentante pro-tempore dueviolazioni amministrative previste dall'art. 161 che punisce la violazionedell'art. 13 del Codice (rilievi nn.rr. 1 e 3) e una violazione previstadall'art.162, comma 2-bis che punisce la violazione delle disposizioni indicatenell'art. 167 del Codice (rilievo n. 2), tra le quali quelle di cui all'art. 23del medesimo Codice;

ESAMINATOil rapporto del predetto Nucleo speciale ai sensi dell'art. 17 della legge 24novembre 1981, n. 689, relativo al verbale di contestazione per violazioneamministrativa redatto in data 9 dicembre 2010 nei confronti di Terme di Agnanos.p.a. per le due violazioni dell'art. 13 e per la violazione dell'art. 23 delCodice, dal quale non risulta essere stato effettuato il pagamento in misuraridotta;

VISTOlo scritto difensivo inviato ai sensi dell'art. 18 della legge n. 689/1981, conil quale, la società ritiene che le attività di controllo poste in essere dallaGuardia di finanza in attuazione della richiesta di informazioni formulatadall'Autorità ai sensi dell'art. 157 del Codice, in effetti siano peculiari deldistinto potere di accesso previsto dall'art. 158 del Codice per il qualel'organo accertatore non era delegato. Inoltre, lamenta "() la mancatacomunicazione dell'avvio del procedimento  nonché del responsabile dellostesso ()" in violazione degli "() art. 4,5 e 7 della legge241/1990 ()". Riguardo la violazione di cui all'art. 161 del Codiceafferente il rilievo n. 1, ha richiamato i Documenti programmatici sullasicurezza relativi al 2006 e al 2010, ribadendo le finalità dei trattamentieffettuati (di erogazione del servizio alberghiero e di cure termali), nonché le modalità degli stessi (raccolta dei dati personali con strumentielettronici). Relativamente alla violazione di cui all'art. 162, comma 2-bisdel Codice afferente il rilievo n. 2, la società, sottolineando di aver "()sempre sottoposto l'informativa ex art. 13 codice privacy", ritieneapplicabile al caso di specie quanto previsto dall'art. 24 del Codice;

VISTOil verbale di audizione delle parti dell'11 giugno 2012 nel quale la società,oltre a ribadire quanto argomentato negli scritti difensivi, ha evidenziato"() che la richiesta di informazioni ai sensi dell'art. 157 del Codice èstata notificata () in assenza del legale rappresentante, ed in ogni caso apersone non espressamente delegate dallo stesso", rilevando, altresì"() che tutte le operazioni si sono svolte in assenza del legalerappresentante della Società". Evidenzia anche di trattare i dati deipropri clienti esclusivamente "() per finalità amministrative econtabili, limitandosi a raccogliere le prenotazioni per le cure mediche cheverranno erogate dalla Associazione Mediterm. E' quindi quest'ultima che trattai dati sensibili dei clienti";

RITENUTOche le argomentazioni addotte risultano idonee solo parzialmente in relazioneagli illeciti accertati. Con riferimento al potere in base al quale è stataeffettuata l'attività di controllo, si evidenzia come la richiesta di informazionied esibizione di documenti, di cui all'art. 157 del Codice sia un'attività diacquisizione di informazioni e documenti che, nel caso di specie, è stataritualmente effettuata e documentata con la redazione di un verbale dioperazioni compiute descrittivo di quanto riferito spontaneamente dai soggettiinterpellati. L'attività presuppone la collaborazione del soggetto ispezionatoche, nel caso di specie, risulta essersi pienamente realizzata. Peraltro, larichiesta di informazioni notificata al momento del controllo, indicachiaramente che il destinatario è invitato a fornire tutte le informazioni e idocumenti richiesti all' "organo incaricato di notificare la presenterichiesta" e prevede anche la possibilità per il destinatario di inviareinformazioni e documenti all'Autorità entro un certo termine (15 gg.) dallanotifica, facoltà di cui la società si è peraltro avvalsa con l'invio di unanota in data 20 ottobre 2010. Il citato art. 158 consente, invece, dieffettuare accessi in forma autoritativa anche contro la volontà del soggettoispezionato. Nel caso dell'ispezione nei confronti delle Terme di Agnanos.p.a., le informazioni risultano essere state fornite spontaneamente dal sig.Salvatore Papaluca nella sua qualità di responsabile amministrativo dellasocietà "() delegato telefonicamente da SPADAFORA Vincenzo (legalerappresentante della società) a rappresentare la società". Quanto dettoconsente, pertanto,  di qualificare l'attività di controllo effettuatadalla Guardia di finanza, come rispondente al modello legale previsto dalcitato art. 157 del Codice, ciò rendendo  lecitamente acquisita agli attidel procedimento sia la documentazione che le informazioni di cui al verbaledel 6 ottobre 2010. Anche riguardo le argomentazioni relative agli aspetti connessial procedimento sanzionatorio, si evidenzia come la Corte di Cassazione si siaripetutamente espressa nel senso che "nelle fattispecie regolate dallenorme di cui alla legge 24 novembre 1981 n. 689 in materia di irrogazione disanzioni amministrative, non trovano applicazione le disposizioni sullapartecipazione degli interessati al procedimento amministrativo (art. 7 legge241/1990), le quali configurano una normativa generale su cui prevale la leggespeciale, in quanto idonea – mediante i meccanismi di informazione e didifesa previsti dagli artt. 17 e 18 – ad assicurare garanzie dipartecipazione non inferiori al minimum prescritto dalla anzidettanormativa" (Cass. Civile Sez. Lavoro, sent. n. 3254 del 5 maggio 2003). Inquesto ambito la comunicazione di avvio del procedimento è da individuarsinell'atto di contestazione della violazione amministrativa, regolarmentenotificato all'amministratore della società in data 28 dicembre 2010 e lapartecipazione dello stesso in nome e per conto della società risulta essersipienamente realizzata attraverso l'invio di scritti difensivi e l'audizione.Riguardo la violazione di cui all'art. 161 del Codice afferente il rilievo n.1, quanto argomentato risulta inconferente rispetto a quanto contestato. Sulpunto risulta pienamente documentato in atti che "I verbalizzanti dannoatto che, al banco dell'accettazione non sono presenti né moduli di informativané di raccolta del consenso. (). Lo stesso personale non è stato in grado diriferire sulle modalità di resa dell'informativa agli interessati".Relativamente alla violazione di cui all'art. 162, comma 2-bis del Codicerelativa al rilievo n. 2, occorre evidenziare come, diversamente da quantoritenuto, i trattamenti effettuati dalla società, anche tenendo conto del ruolosvolto dall'associazione Mediterm, sono tra quelli per i quali il Codicerichiede il consenso scritto degli interessati, perché finalizzato alla tuteladella salute e dell'incolumità fisica degli stessi (artt. 75 e seg. delCodice), ove, nello specifico, deve porsi attenzione alla disposizionedell'art. 81 del Codice che individua, a carico sia di soggetti pubblici cheprivati, specifiche modalità semplificate per raccogliere il consenso. Secondotale disposizione, il consenso può essere manifestato anche oralmente, ma ènecessario, in ogni caso, che sia documentato per iscritto da partedell'esercente la professione sanitaria o da parte dell'organismo sanitarioche, nella fattispecie, è privato. L'applicabilità, al caso di specie, delledisposizioni contenute nella Parte II, titolo V del Codice, non vale comunquead escludere la parte dall'obbligo di documentare per iscritto il consenso deipazienti, obbligo che non risulta essere stato assolto al momentodell'accertamento. Sotto questo aspetto, dunque, la disposizione di cuiall'art. 23 è perfettamente coerente con quella di cui all'art. 81;

RITENUTO,invece, che, riguardo il rilievo n. 3, la condotta oggetto di contestazioneriguarda l'invio spontaneo di curricula trasmessi dagli interessati ai finidell'eventuale instaurazione del rapporto di lavoro in ordine al quale ilGarante, già con il provvedimento datato 10 gennaio 2002, avevachiarito l'insussistenza dell'obbligo di rendere un'informativa preventiva,indirizzo successivamente confermato a seguito dell'introduzione del comma 5bis all'art. 13 del Codice, con il d.l. 13 maggio 2011 n. 70, convertito dallalegge 12 luglio 2011 n. 106. Ragioni per le quali la sanzione previstadall'art. 161 del Codice riconducibile allo specifico illecito di che trattasideve essere archiviata;

RILEVATOche la società ha quindi effettuato un trattamento di dati (art. 4 comma 1,lett. a) e d) del Codice) anche di natura sensibile degli interessati cheeffettuano le cure termali, omettendo di rendergli l'informativa ai sensidell'art. 13 del Codice e senza acquisire il  loro consenso ai sensi delcombinato disposto di cui agli artt. 23 e 81 del Codice;

VISTOl'art. 161 del Codice che punisce la violazione dell'art. 13 del medesimoCodice con la sanzione amministrativa del pagamento di una somma da seimilaeuro a trentaseimila euro;

VISTOl'art. 162, comma 2-bis, del Codice, che punisce la violazione delledisposizioni indicate nell'art. 167 del Codice, tra le quali quelle di cuiall'art. 23 del medesimo Codice, con la sanzione amministrativa del pagamentodi una somma da diecimila euro a centoventimila euro;

CONSIDERATOche, ai fini della determinazione dell'ammontare della sanzione pecuniaria,occorre tenere conto, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, dell'opera svolta dall'agente per eliminare o attenuare le conseguenzedella violazione, della gravità della violazione, della personalità e dellecondizioni economiche del contravventore e che pertanto l'ammontare dellasanzione pecuniaria di cui alla violazione di cui all'art. 161 deve esserequantificato nella misura di euro 6.000,00 (seimila), mentre l'ammontare dellasanzione pecuniaria di cui alla violazione di cui all'art. 162, comma 2-bis deve essere quantificato nella misura di euro 10.000,00 (diecimila), per unimporto complessivo pari a euro 16.000,00 (sedicimila);

VISTAla documentazione in atti;

VISTAla legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000;

RELATOREla prof.ssa Licia Califano;

DISPONE

l'archiviazionedel procedimento amministrativo sanzionatorio con riferimento alla violazioneamministrativa prevista dall'art. 161 del Codice per gli interessati cheinviano i loro curricula tramite il link recruiting@termediagnano.com, presentenel sito Internet www.termediagnano.it di cui al rilievo n. 3;

ORDINA

aTerme di Agnano s.p.a. P.I.: 00642490635, con sede in Napoli, via AgnanoAstroni n. 24, nella persona del legale rappresentante pro tempore, di pagarela somma di euro 16.000,00 (sedicimila) a titolo di sanzione amministrativapecuniaria per le violazioni previste dagli artt. 161 e 162, comma 2-bis delCodice;

INGIUNGE

allamedesima società di pagare la somma di euro 16.000,00 (sedicimila) secondo lemodalità indicate in allegato, entro 30 giorni dalla notificazione del presenteprovvedimento, pena l'adozione dei conseguenti atti esecutivi a norma dall'art.27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine digiorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale oin copia autentica, quietanza dell'avvenuto versamento.

Aisensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 20 giugno 2013

Il presidente
Soro

Il relatore
Califano

Il segretario generale
Busia