[doc. web n. 2271740]

Ordinanza di ingiunzione nei confronti di Casa di cura Eretenia S.p.a. - 11 ottobre 2012

Registro dei provvedimenti
n. 285 dell´11 ottobre 2012

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

ESAMINATO il rapporto del Nucleo speciale privacy della Guardia di finanza predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale di contestazione redatto in data 9 marzo 2010 nei confronti della Casa di cura Eretenia S.p.a. (di seguito "Casa di cura"), con sede in Vicenza, viale Eretenio n. 12, in persona del legale rappresentante pro-tempore, per violazione degli artt. 13 e 37 del Codice in materia di protezione dei dati personali (di seguito denominato Codice);

RILEVATO che il predetto Nucleo speciale privacy, in esecuzione della richiesta di informazioni ai sensi dell´art. 157 del Codice nr. 0020001/U del 16 settembre 2009 formulata da questa Autorità, ha svolto gli accertamenti di cui al verbale di operazioni compiute redatto in data 2 e 3 marzo 2010 dai quali è risultato che all´interno e all´esterno della Casa di cura è presente un impianto di videosorveglianza e che le informative affisse all´interno della struttura (all. 11 al verbale di operazioni compiute) non riportano gli estremi identificativi del titolare del trattamento e i diritti di cui all´art. 7 del Codice privacy, contravvenendo all´art. 13 del Codice e a quanto previsto nel provvedimento del Garante datato 29 aprile 2004 in vigore all´epoca dei fatti (ora sostituito dal provvedimento generale in materia di videosorveglianza dell´8 aprile 2008). Nell´ambito dei medesimi accertamenti è stato altresì rilevato che la Casa di cura effettua trattamenti di dati sottoposti all´obbligo di notificazione al Garante ai sensi dell´art. 37 del Codice e che tale adempimento non è stato ottemperato tempestivamente, avendovi provveduto solo successivamente alla notificazione della contestazione di violazione amministrativa;

VISTO il verbale nr. 22 del 9 marzo 2010 con il quale sono state contestate alla predetta Casa di cura le violazioni amministrative previste dagli artt. 161 e 163 del Codice, in relazione, rispettivamente, agli artt. 13 e 37, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

RILEVATO dal predetto rapporto che non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo, pervenuto il 7 aprile 2010, inviato ai sensi dell´art. 18 della legge n. 689/1981, nel quale la Casa di cura, oltre a chiedere di essere sentita dall´Autorità, ha rilevato che, circa la violazione dell´art. 161 del Codice, l´unico sistema di videosorveglianza soggetto all´applicazione del provvedimento del 2004 è quello posto all´interno della struttura e che pertanto l´informativa (all. 11 al verbale di operazioni compiute) che precede l´ingresso, comprendente tutti gli elementi di cui all´art. 13 e al provvedimento del 2004, "riguarda il sistema interno come avvertenza che si sta per accedere (all´interno della struttura) ad area videosorvegliata" e "detta informativa completa posizionata all´ingresso dei locali di Casa di cura viene poi – in forma sintetica- replicata nei vari corridoi della struttura". In ordine alla violazione dell´art. 163, dopo aver riportato quanto affermato in sede di operazioni compiute, la parte, negli scritti, ha eccepito che "non è vero (né comunque vi è prova) che la Casa di cura abbia mai proceduto a rilevare lo stato di salute dei pazienti ai fini di rilevazione di malattie infettive e diffusive", che "come reso chiaro dalla stessa Autorità adita (…) il trattamento da notificare è solo quello effettuato "ai fini di... rilevazione" di tali patologie" e che "eventuali del tutto occasionali e sporadici episodi riscontrati in sede di diagnosi svolte dai singoli professionisti (…)" non sono "comunque finalizzate alla rilevazione delle medesime malattie né, tantomeno, ad una rilevazione sistematica e continuativa delle medesime". Inoltre, circa la violazione dell´obbligo di notificazione, è stato rilevato come, nel caso di specie, vi fosse l´assenza dell´elemento soggettivo in capo al titolare del trattamento e che "l´eventuale omissione non può essere ascritta a colpa o dolo della Casa di cura certo ricorrendo la fattispecie di errore scusabile integrante, in capo alla stessa Casa di Cura, il requisito della buona fede". Pertanto, la Casa di cura ha chiesto di annullare la contestazione adottata o, in via subordinata, di ridurre l´importo delle sanzioni irrogate;

VISTO il verbale dell´audizione delle parti tenutasi, ai sensi dell´art. 18 della legge n. 689/1981, in data 10 marzo 2011 in cui la Casa di cura, nel ribadire quanto esposto negli scritti difensivi, ha rappresentato che, riguardo all´obbligo di cui all´art. 13 del Codice, le informative presenti all´interno della struttura sono da ritenersi idonee, mentre, per quanto concerne l´obbligo di notificazione al Garante, ha affermato che le dichiarazioni rese in sede di operazioni compiute si riferivano ad una "mera eventualità e non a condotte concrete poste in essere" in quanto non vengono effettuati trattamenti di cui all´art. 37. Da ultimo, la parte ha chiesto l´archiviazione delle contestazioni, in subordine l´applicazione del minimo edittale e l´esclusione delle sanzioni accessorie, in particolare della pubblicazione del provvedimento;

RITENUTO che le argomentazioni addotte risultano solo parzialmente idonee ad escludere la responsabilità della Casa di cura in relazione a quanto contestato. Con riferimento alle specifiche argomentazioni afferenti all´omessa notificazione al Garante di cui all´art. 163 del Codice, occorre prendere atto del fatto che in sede di operazioni compiute è stato affermato che "(..) per quanto riguarda le malattie infettive e diffusive raramente presso questa struttura sono state rilevate tali malattie e che la sieropositività viene rilevata solo con il consenso scritto dell´interessato"; occorre, inoltre, rilevare che nella Carta dei servizi della Casa di cura (all. 2 al verbale di operazioni compiute) è riportato che la società effettua trattamenti di dati sottoposti all´obbligo di notificazione attraverso i quali la stessa, così come più volte affermato in sede di operazioni compiute e nelle memorie difensive, è stata in grado di rilevare, tra le altre, malattie infettive, diffusive e sieropositività; si precisa che, ai sensi dell´art. 37, comma 1, lett. b), del Codice, devono essere notificati al Garante i trattamenti di dati idonei a rivelare lo stato di salute e la vita sessuale, trattati in relazione alle diverse finalità di procreazione assistita, prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni, indagini epidemiologiche, rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi e tessuti e monitoraggio della spesa sanitaria. I trattamenti di dati del tipo di quelli posti in essere dalla Casa di cura rientrano nella predetta casistica, come peraltro chiarito con nota dell´Ufficio del Garante, prot. n. 16898, inviata all´Associazione Italiana Ospedalità Privata il 10 maggio 2004 al fine di fornire indicazioni e chiarimenti. Si evidenzia, infine, che le case di cura (così come le cliniche private e i centri di riabilitazione) che trattano tali dati sono tenute all´obbligo di notificazione anche qualora il trattamento non abbia carattere sistematico;

RITENUTO, invece, che, riguardo alla violazione di cui all´art. 161 del Codice, l´informativa affissa presso gli ingressi della Casa di cura (all. n. 10 al verbale di operazioni compiute), relativa all´intero sistema di videosorveglianza, indichi sostanzialmente tutti gli elementi richiesti dall´art. 13 e dal provvedimento del Garante sulla videosorveglianza del 29 aprile 2004, in vigore all´epoca dei fatti, e sostituito, a far data dal 29 aprile 2010, con il provvedimento dell´8 aprile 2010;

RILEVATO, quindi, che la Casa di cura ha effettuato un trattamento di dati personali, senza presentare tempestivamente al Garante la notificazione di cui all´art. 37, comma 1, lett. b);

VISTO l´art. 163 del Codice che punisce la violazione delle disposizioni di cui agli artt. 37 e 38 con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità, gli elementi dell´entità del pregiudizio o del pericolo, dell´intensità dell´elemento psicologico e della modalità concreta della condotta devono essere valutati in ragione del fatto che si tratta di una struttura sanitaria che, in ragione delle prestazioni mediche effettuate, si trova a trattare numerosi dati afferenti allo stato di salute e alla vita sessuale degli interessati, nonché dati idonei a rilevare la presenza di malattie infettive e diffusive;

b) ai fini della valutazione dell´opera svolta dall´agente, la parte, in data 7 aprile 2010, risulta aver presentato la notificazione al Garante;

c) circa la personalità dell´autore della violazione, deve essere positivamente considerata la circostanza che la Casa di cura non risulti avere precedenti specifici in termini di violazioni alle disposizioni del Codice;

d) in merito alle condizioni economiche dell´agente, al fine di commisurare l´importo della sanzione alla reale capacità economica del trasgressore nel rispetto del principio di uguaglianza, si rileva che la Casa di cura, per l´anno 2010, risulta avere conseguito consistenti ricavi;

RITENUTO di dover determinare, ai sensi dell´art. 11 della legge n. 689/1981, l´ammontare della sanzione pecuniaria per la violazione dell´art. 163 del Codice nella misura di euro 30.000,00 (trentamila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la prof.ssa Licia Califano;

DISPONE

l´archiviazione del procedimento sanzionatorio amministrativo con riferimento alla contestazione relativa alla violazione di cui all´art. 161 del Codice;

ORDINA

a Casa di cura Eretenia S.p.a., con sede in Vicenza, viale Eretenio n. 12, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 30.000,00 (trentamila) a titolo di sanzione amministrativa pecuniaria per la violazione prevista dall´art. 163 del Codice;

INGIUNGE

alla medesima società di pagare la somma di euro 30.000,00 (trentamila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 11 ottobre 2012

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia