[doc. web n. 1525187]

Ordinanza ingiunzione nei confronti di Labor S.p.A. - 15 novembre 2007

Registro delle deliberazioni
Del. n. 61 Bis del 15 novembre 2007

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

ORDINANZA INGIUNZIONE

NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Giovanni Buttarelli, segretario generale;

ESAMINATO il rapporto del Comando nucleo speciale funzione pubblica e privacy della Guardia di finanza predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale di contestazione per violazione amministrativa redatto in data 13 ottobre 2005 nei confronti di Labor S.p.A. Casa di cura villa Igea con sede in Ancona via Maggini n. 200, in persona del legale rappresentante pro-tempore, per violazione dell´articolo 37 del Codice in materia di protezione dei dati personali (di seguito denominato Codice);

RILEVATO che il predetto Comando, in attuazione della richiesta di informazioni ex art. 157 del Codice (n. 17101 datata 22 settembre 2005) e su specifica delega di questa Autorità (n. 17237 del 26 settembre 2005), ha svolto accertamenti di cui al verbale di operazioni compiute del 13 ottobre 2005 dai quali è risultato che la predetta società effettua, in qualità di titolare, trattamenti di dati personali previsti dall´art. 37, comma 1, lett. b) del Codice, da epoca anteriore al 1° gennaio 2004; considerato, altresì, che la società non risulta aver effettuato la notificazione al Garante nelle forme previste dagli artt. 37 e 38 del Codice;

VISTO il verbale n. 183 del 13 ottobre 2005 con cui si è contestata alla predetta società la violazione prevista dall´art. 163 del Codice in relazione all´art. 37, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

RILEVATO dal predetto rapporto che non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo inviato ai sensi dell´art. 18 della legge n. 689/1981 con il quale la società ha ribadito di non aver provveduto alla notificazione al Garante ai sensi dell´art. 37 del Codice e di averla però effettuata in data 23 marzo 1998 ai sensi dell´art. 7 della legge n. 675/1996, deducendo che la ratio della notificazione al Garante, ai sensi dell´art. 37, comma 1 lett. b) del Codice, è quella "(…) di far registrare quanti effettuano trattamenti specifici e quindi possiedono banche dati specificatamente organizzate con tali caratteristiche (…) e non chi effettua la diagnosi della patologia". I trattamenti svolti, si sostiene, hanno come fine solo quello di effettuare attività diagnostica per la cura dei pazienti e non quello di effettuare "rilevazioni" di malattie mentali, infettive e diffusive e sieropositività. La società, pertanto, dovendo conservare solo le cartelle cliniche con accluse le schede di dimissione ospedaliera di cui all´art. 92 del Codice, non ha ritenuto di dover effettuare la notificazione al Garante. Ciò, anche in considerazione di quanto precisato nella nota n. 16898 del 10 maggio 2004 inviata dall´Autorità all´associazione di categoria AIOP, allegata allo scritto difensivo;

RILEVATO che l´attività svolta dalla società configura un trattamento di dati personali (art. 4, comma 1, lett. a) e b), del Codice) per il quale doveva essere assolto tempestivamente l´obbligo di effettuare la notificazione del trattamento all´Autorità ai sensi e nei modi previsti dagli artt. 37, comma 1, lett. b) e 38 del Codice;

VISTA la richiesta di audizione, formulata dalla società ai sensi dell´art. 18 della legge n. 689/1981;

VISTA la nota di convocazione per audizione ai sensi dell´art. 18 della legge n. 689/1981, n. 20216 del 17 novembre 2005, inviata dal Garante a mezzo fax in data 18 novembre 2005 e regolarmente pervenuta;

VISTO il verbale di audizione delle parti datato 24 novembre 2005 nel quale la società, ribadendo quanto lamentato nello scritto difensivo, ha rappresentato che i dati trattati dalla società non sono organizzati sistematicamente in banche dati dedicate alla rilevazione di malattie infettive e diffusive e a indagini epidemiologiche, e che i citati servizi non rappresentano l´attività prevalente dell´istituto rispetto alla generalità delle prestazioni;

RITENUTO che le argomentazioni addotte dalla società non risultano idonee in relazione alla contestazione della violazione amministrativa per omessa notificazione nei termini, con cui si è dato avvio al procedimento, in quanto:

a) ai sensi della lett. b) dell´articolo 37, devono essere oggetto di notificazione i trattamenti di dati idonei a rivelare lo stato di salute e la vita sessuale trattati in relazione alle diverse finalità di procreazione assistita, prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni, indagini epidemiologiche, rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi e tessuti e monitoraggio della spesa sanitaria. Nel caso di specie, sotto il profilo interpretativo, la finalità di rilevazione di malattie mentali, infettive e diffusive e sieropositività deve riconoscersi in ogni attività comunque volta all´individuazione della patologia, senza che risulti necessario costituire anche banche dati specificatamente organizzate per effettuare particolari  trattamenti. Concetto, questo, ribadito sia nella nota dell´Autorità datata 26 aprile 2004 (www.garanteprivacy.it doc. web n. 996680, punto 2 ultimo capoverso), sia nella citata nota n. 16898 del 10 maggio 2004 dove, al punto 3, viene specificato che "(…) non corrisponde affatto alla previsione legislativa che la rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi e tessuti e monitoraggio della spesa sanitaria sia limitata ai fini di studio e di ricerca scientifica in campo epidemiologico, medico o biomedico". Con tale ultima nota, questa Autorità ha unicamente fornito risposta all´AIOP ad alcuni quesiti formulati in materia, evidenziando chiaramente la necessità della notificazione per casi come quelli effettuati in concreto nel caso di specie. Del resto la società, illustrando i trattamenti effettuati nel verbale di operazioni compiute datato 13 ottobre 2005, ha consentito di qualificarli ai sensi dell´art. 37, comma 1 lett.b) del Codice dichiarando:
"questa struttura sanitaria si occupa di attività di diagnosi e cura per le unità funzionali per patologie medico chirurgiche: in particolare si effettua (…) attività di day hospital medico e chirurgico (…). La casa di cura oltre a quello sopra riportato esercita attività ambulatoriale e di ricovero (…). Nell´ambito di queste attività vengono trattati i dati inerenti la rilevazione di malattie infettive e diffusive e sieropositività attraverso le normali attività di indagini diagnostiche su campioni ematici.";

b) i casi di esclusione della notificazione di cui al provvedimento del Garante n. 1 del 31 marzo 2004 (in www.garanteprivacy.it, doc. web n. 852561) relativi alla lett. b) del comma 1 dell´art. 37, come specificato anche nella predetta nota del 26 aprile 2004 ai quesiti relativi a trattamenti in ambito sanitario da notificare al Garante, non operano per i trattamenti effettuati da strutture sanitarie pubbliche o private (quali le aziende sanitarie, case di cura, ambulatori polispecialistici, laboratori di analisi cliniche e diagnostiche) essendo stati previsti chiaramente solo, ed esclusivamente, nei riguardi di singole persone fisiche esercenti professioni sanitarie. La non sistematicità del trattamento quale causa di esclusione dall´obbligo di notificazione è rilevante, ma solo a condizione che il titolare del trattamento sia un esercente la professione sanitaria ovvero una persona fisica, condizione questa non riscontrabile nel caso di specie;

CONSIDERATO che la società, anche successivamente all´accertamento, non risulta aver proceduto alla notificazione;

VISTO l´art. 163 del Codice, che punisce la violazione di cui all´art. 37 del Codice con la sanzione amministrativa del pagamento di una somma da diecimila euro a sessantamila euro e con la sanzione amministrativa accessoria della pubblicazione dell´ordinanza-ingiunzione;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni ed integrazioni;

RITENUTO di dover determinare l´ammontare della sanzione pecuniaria, avuto riguardo ai parametri indicati nell´art. 11 della legge 24 novembre 1981 n. 689, valutati anche in relazione all´attività svolta e al genere di trattamento di dati personali, nella misura del minimo pari alla somma di diecimila/00 euro;

RITENUTO di dover applicare la sanzione accessoria della pubblicazione, avuto riguardo alla gravità della violazione valutata alla luce dei predetti parametri e circostanze, nella misura ritenuta congrua della sola pubblicazione per estratto, per una sola volta e su due sole testate giornalistiche, di cui una di maggiore tiratura a livello nazionale, identificata ne "Il Giornale" e, l´altra, nel "Corriere Adriatico";

VISTA la documentazione in atti curata dal Dipartimento attività ispettive e sanzioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il dott. Giuseppe Fortunato;

ORDINA

alla Labor S.p.A. Casa di cura villa Igea con sede in Ancona via Maggini n. 200, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione dell´art. 163 del Codice, indicata in motivazione;

DISPONE

la pubblicazione a cura dell´Ufficio della presente ordinanza-ingiunzione a titolo di sanzione amministrativa accessoria prevista dall´art. 163 del Codice, per estratto e per una sola volta, sulle testate giornalistiche  "Il Giornale" e "Corriere Adriatico";

INGIUNGE

alla medesima società di pagare, fermo restando quanto dovuto per la sanzione accessoria, la somma di euro 10.000,00 (diecimila) tramite il bollettino postale che verrà fornito in allegato, intestato a "Tesoreria provinciale dello Stato di Ancona" entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento;

DÁ ATTO CHE

avverso il presente provvedimento, ai sensi dell´art. 152 del Codice, può essere proposta opposizione davanti al tribunale ordinario del luogo ove ha sede il titolare del trattamento entro il termine di trenta giorni dalla notificazione del presente provvedimento.

Roma, 15 novembre 2007

IL PRESIDENTE
Pizzetti

IL RELATORE
Fortunato

IL SEGRETARIO GENERALE
Buttarelli