[doc. web n. 7778043]

Ordinanza ingiunzione nei confronti di M&M Centro analisi s.r.l. -  26 ottobre 2017

Registro dei provvedimenti
n. 442 del 26 ottobre 2017

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici, componente e del dott. Giuseppe Busia, segretario generale;

RILEVATO che l´Ufficio, con atto n. 20439/96954 del 14 luglio 2015 (notificato mediante posta elettronica certificata in pari data), che qui deve intendersi integralmente riportato, ha contestato alla M&M Centro analisi s.r.l. (di seguito M&M), in persona del legale rappresentante pro-tempore, con sede legale in Caltanissetta, via Camillo Benso Conte di Cavour, n. 92, C.F. 01515410858, la violazione delle disposizioni di cui agli artt. 37 e 163 del Codice in materia di protezione dei dati personali (d. lg. 30 giugno 2003, n. 196, di seguito denominato "Codice");

RILEVATO che dall´esame degli atti del procedimento sanzionatorio avviato con la contestazione di violazione amministrativa è emerso, in sintesi, quanto segue:

- a seguito di un accertamento ispettivo svolto dalla Guardia di finanza presso la sede della società in data 9 ottobre 2014, è stato rilevato che M&M, laboratorio di analisi cliniche, effettua trattamenti di dati personali "di natura sensibile, attinenti allo stato di salute dei pazienti, elaborati per fornire il risultato delle analisi richieste". La società, con riferimento ai predetti trattamenti, non ha presentato la notificazione al Garante, ai sensi degli artt. 37 e 38 del Codice;

RILEVATO che con il citato atto del 14 luglio 2015 è stata contestata alla società, ai sensi dell´art. 163 del Codice, la violazione dell´art. 37, per aver omesso di presentare la notificazione al Garante nelle forme previste dall´art. 38 del Codice, per i trattamenti di dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di rilevazione di malattie mentali, infettive e diffusive e sieropositività (ad es. marcatori virali, HCC anticorpo I livello. HIV anticorpo I livello);

LETTO il rapporto relativo all´atto di contestazione di cui sopra, predisposto dall´Ufficio ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

LETTI gli scritti difensivi del 13 gennaio 2016, nonché il verbale di audizione ai sensi dell´art. 18 della legge n. 689/1981, redatto in data 13 giugno 2016, che qui si intendono integralmente richiamati e che, in sintesi, rappresentano:

- "i dati idonei a rivelare lo stato di salute e la vita sessuale di una persona ai fini di procreazione assistita nel caso del Laboratorio di base, e non specialistico, da me rappresentato, si riferiscono solo ad indagini generali comunemente eseguite sulla maggior parte della popolazione e i cui risultati vengono utilizzati dal medico per attenzionare anche patologie che nulla potrebbero avere a che fare con fini di procreazione o sessuali ( es. beta hcg, progesterone, fsh, prolattina, hcv anticorpo 1° livello, hiv anticorpo l° livello, ecc.). I risultati degli esami vengono consegnati personalmente ed in busta sigillata al diretto interessato che li sottoporrà al Medico prescrittore, il quale nel richiederli non ha nessun obbligo nei riguardi del Laboratorio di Analisi di Base di dettagliare o rivelare gli scopi e le finalità della sua prescrizione. E di fatto è solo ed unicamente il Medico che può utilizzare i risultati delle analisi per formulare la sua diagnosi in caso di sospetta patologia o inviare i suddetti dati a strutture pubbliche o private per fecondazione assistita o per qualsivoglia finalità che riterrà opportuna. In ogni caso la prescrizione dell´esame viene prima custodita con modalità protetta, e poi inviata inderogabilmente entro il mese, come da protocollo, agli uffici ASP di competenza.";

-  "si ribadisce che per quanto attiene l´art. 37 lettera b), il laboratorio di analisi M & M Centro Analisi srl non procede e non ha mai proceduto a rilevare dati relativi allo stato di salute e alla vita sessuale dei propri clienti, nonché relativi a malattie mentali, infettive diffusive, di sieropositività, trapianto di organi e tessuti e monitoraggio della spesa sanitaria, per poi rivelare gli stessi a banche dati o strumenti similari. Allo stesso tempo il laboratorio di analisi M & M centro analisi srl non procede e non ha mai proceduto ad effettuare prestazioni di servizi sanitari per via telematica atte a rilevare dati relativi a malattie mentali, infettive diffusive, di sieropositività, trapianto di organi e tessuti e monitoraggio della spesa sanitaria, per poi incamerare telematicamente e rivelare gli stessi a banche dati o strumenti similari. L´attività della società M & M Centro Analisi srl è meramente riconducibile all´attività sanitaria di analisi cliniche fatte a persone, in favore delle stesse, e comunicate in busta sigillata solo alle stesse, senza alcuna rivelazione in favore di alcuno dei dati rilevati in sede di prestazione professionale in favore del cliente";

-  "le precisazioni del garante del 26/4/2004 (996680) ed il provvedimento 1/2004 a firma Giovanni Buttarelli (segretario generale) forniscono preziosi chiarimenti sui dati da notificare al garante. E´ noto ed acclarato, giusti provvedimenti amministrativi e legislativi, che la notificazione al garante deve essere effettuata solo e soltanto se il trattamento dei dati personali è indicato specificatamente nel codice della privacy […]. La stessa autorità ha adottato, con decorrenza 1/3/2004, un provvedimento con il quale si procede alla individuazione delle esclusioni della notifica al garante del trattamento dei dati effettuati da esercenti le professione sanitarie e gli avvocati. Dalla lettura dell´art. 37 comma 1 lettera b e seguenti del citato DL. si evince che è tenuto alla notificazione al garante solo chi eroga servizi sanitari per via telematica relativi ad una banca dati o alla fornitura di beni. Nel caso che ci impegna, lo studio M & M centro analisi non rientra tra i soggetti obbligati alla notifica al garante per mancanza di elemento soggettivo: "II laboratorio non utilizza canali telematici e non rivela ad alcuno, se non al proprio cliente, i dati rilevati in sede di accertamento a mezzo di analisi cliniche"";

RITENUTO che le argomentazioni addotte non risultano idonee a determinare l´archiviazione del procedimento sanzionatorio avviato con la contestazione di cui sopra per le ragioni di seguito esposte:

a) con riferimento all´obbligo di presentare la notificazione al Garante, l´art 37, comma 1, lett. b), prevede che debbano essere notificati i trattamenti di "dati idonei a rilevare lo stato di salute e la vita sessuale trattati", rispettivamente, "a fini di procreazione assistita, prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni, indagini epidemiologiche, rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi e tessuti e monitoraggio della spesa sanitaria". Pertanto, il Codice impone l´obbligo di notificazione per i trattamenti di dati idonei a rilevare lo stato di salute non solo ai fini di prestazioni sanitarie per via telematica relativi a banche di dati o alla fornitura di beni, ma anche ai fini di rilevazione di malattie infettive e diffusive e sieropositività, trattamenti che risultano dagli atti effettuati nel caso di specie, come accertato nel verbale di operazioni compiute redatto dal Nucleo privacy della Guardia di finanza che ha determinato la contestazione della violazione amministrativa;

b) i casi di esclusione della notificazione di cui al provvedimento del Garante n. 1 del 31 marzo 2004 (in www.gpdp.it, doc. web n. 852561) relativi alla lett. b) del menzionato comma 1 dell´art. 37 del Codice, come peraltro specificato anche nella nota n. 10020/34208 del 26 aprile 2004 di risposta ai quesiti relativi a trattamenti in ambito sanitario da notificare al Garante (in www.gpdp.it, doc. web n. 996680), non operano per i trattamenti effettuati da strutture sanitarie pubbliche o private (quali le aziende sanitarie, case di cura, ambulatori polispecialistici, laboratori di analisi cliniche e diagnostiche) essendo stati previsti chiaramente solo, ed esclusivamente, nei riguardi di singole persone fisiche esercenti professioni sanitarie;

c)  nel caso di specie, pertanto, essendo emerso dagli accertamenti ispettivi che M&M svolge trattamenti di dati ricompresi nell´art. 37, comma 1, lett. b), del Codice, e non operando per la predetta società alcune delle ipotesi di esclusione dell´obbligo di notificazione indicate nel provvedimento n. 1/2004 deve confermarsi la responsabilità della stessa in ordine alla violazione contestata;

RILEVATO, quindi, che M&M, sulla base delle considerazioni sopra richiamate, risulta aver commesso, in qualità di titolare del trattamento, ai sensi degli artt. 4, comma 1, lett. f), e 28 del Codice la violazione di cui agli artt. 37, comma 1, lett. b), e 38 del Codice, per aver effettuato trattamenti di dati idonei a rilevare lo stato di salute e la vita sessuale, a fini di rilevazione di malattie mentali, infettive e diffusive e sieropositività, senza avere presentato preventivamente la notificazione al Garante;

VISTO l´art. 163 del Codice, che punisce la violazione delle disposizioni di cui agli artt. 37 e 38, con la sanzione del pagamento di una somma da ventimila a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO, quindi, di dover determinare, ai sensi dell´art. 11 della legge n. 689/1981, l´ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 20.000 (ventimila);

VISTA la documentazione in atti;

VISTA la legge n. 689/1981, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il dott. Antonello Soro;

ORDINA

alla M&M Centro analisi s.r.l., in persona del legale rappresentante pro-tempore, con sede legale in Caltanissetta, via Camillo Benso Conte di Cavour, n. 92, C.F. 01515410858, di pagare la somma di euro 20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

alla medesima società di pagare la somma di euro 20.000,00 (ventimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 26 ottobre 2017

IL PRESIDENTE
Soro

IL RELATORE
Soro

IL SEGRETARIO GENERALE
Busia