g-docweb-display Portlet

Ordinanza ingiunzione nei confronti di Medicina & Lavoro s.r.l. - 13 gennaio 2022 [9744655]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9744655]

Ordinanza ingiunzione nei confronti di Medicina & Lavoro s.r.l. - 13 gennaio 2022

Registro dei provvedimenti
n. 6 del 13 gennaio 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTO il reclamo presentato dal sig. XX in data 21/01/2020 ai sensi dell’art. 77 del Regolamento, con cui è stata lamentata una violazione della disciplina in materia di protezione dei dati personali da parte di Medicina & Lavoro s.r.l.;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. L’avvio del procedimento.

1.1. Con il reclamo presentato a questa Autorità in data 21/01/2020, il sig. XX rappresentava di aver formulato in data 13/12/2019, nei confronti di Medicina & Lavoro s.r.l., società incaricata dal datore di lavoro del reclamante ad effettuare la sorveglianza sanitaria obbligatoria (di seguito “la Società”), un’istanza volta ad ottenere “copia dei dati personali conservati nei propri archivi” e di aver ottenuto un riscontro inidoneo, “su un argomento che nulla atteneva alla richiesta”. Pertanto, il reclamante provvedeva a presentare una nuova istanza di esercizio dei diritti, ai sensi dell’art. 15 del Regolamento, in data 17/12/2019, alla quale tuttavia non perveniva alcun riscontro.

Con la nota del 07/09/2020 (prot. n. 32715), l’Ufficio invitava la Società a fornire osservazioni in merito a quanto rappresentato nel reclamo e ad aderire alle richieste del reclamante.

La Società, con nota del 25/09/2020, dichiarava che a seguito della prima istanza presentata dal sig. XX in data 13/12/2019, aveva inviato una e-mail il 16/12/2019, in cui si limitava a descrivere le procedure in base alle quali la Società provvedeva a consegnare “la cartella sanitaria” e i relativi costi da sostenere.

Con successiva nota del 23/10/2020, la Società comunicava a questa Autorità e al reclamante le categorie di dati personali relativi al sig. XX, oggetto di trattamento (consistenti in dati comuni e dati particolari), senza tuttavia fornire le specifiche informazioni oggetto della richiesta.

1.2. L’Ufficio, pertanto, provvedeva a notificare alla Società l’atto di avvio del procedimento sanzionatorio, ai sensi dell’art. 166, comma 5, del Codice in relazione alla violazione degli artt. 12, par. 3, e 15 del Regolamento (prot. n. 11052 del 24/02/2021).

1.3. La Società, in data 11/03/2021, inviava propri scritti difensivi, ai sensi dell’art. 18 della legge n. 689/1981, con cui dichiarava preliminarmente che:

“a seguito alla richiesta avanzata (…), in data 08 marzo 2021 il Titolare del trattamento scrivente ha provveduto a trasmettere, tramite PEC, al Sig. XX copia scansionata della cartella sanitaria completa di informativa recante tutte le informazioni previste all’art. 15 del Regolamento (…)”;

“l’universalità dei dati personali riferibili a lavoratori sottoposti a sorveglianza sanitaria, dipendenti di aziende clienti di Medicina e Lavoro s.r.l., è contenuta nella cartella sanitaria individuale dei lavoratori medesimi e che pertanto vi è piena corrispondenza tra i dati oggetto della richiesta avanzata dall’interessato ed il contenuto della cartella sanitaria”;

infine, è stato rilevato che il ritardo del riscontro è stato determinato dalla necessità di “trasferire la cartella clinica, contenente dati di natura sanitaria, seguendo il protocollo di riservatezza in uso (…), che prevede che tali documenti vengano consegnati brevi manu ai diretti interessati o in subordine (…) tramite posta o altro mezzo”.

2. L’esito dell’istruttoria.

2.1. All’esito dell’esame della documentazione prodotta e delle dichiarazioni rese dalla parte nel corso del procedimento, premesso che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice, è emerso che la Società, a fronte di due istanze di esercizio dei diritti formulate rispettivamente in data 13/12/2019 e 17/12/2019, abbia dapprima fornito un riscontro inidoneo e, successivamente, non abbia reso alcuna informazione.

2.2. Preliminarmente, si osserva che l’art. 15 del Regolamento riconosce all’interessato il diritto di ottenere dal titolare del trattamento la conferma che sia in corso un trattamento di dati che lo riguardano e, di conseguenza, ottenere l’accesso a tali dati e alle informazioni elencate alle lettere a) -h) del medesimo articolo. Il Cons. 63 precisa, altresì, che tale diritto include anche quello di “accedere ai dati relativi alla salute, ad esempio le cartelle mediche contenenti informazioni quali diagnosi, risultati di esami, pareri di medici curanti o eventuali terapie o interventi praticati”. Si osserva, inoltre, che ai sensi degli artt. 12, par. 5 e 15, par. 3 del Regolamento, il titolare può “addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi sostenuti per fornire le informazioni (…)”, laddove le richieste dell’interessato siano manifestamente infondate o eccessive o in caso di ulteriori copie.

2.3. Ciò posto, si rappresenta che, nel caso di specie, il riscontro fornito dalla Società in data 16/12/2019, nel quale sono state indicate genericamente le modalità con cui l’istante avrebbe potuto ottenere la copia della cartella sanitaria previo versamento dei costi di riproduzione, deve essere ritenuto non idoneo, alla luce delle citate disposizioni di cui agli artt. 12, par. 5 e 15 del Regolamento, nonché di chiarimenti resi nel Cons. 63. Infatti, la richiesta di accesso ai dati e alle informazioni personali contenute nella cartella sanitaria non deve essere interpretata come una richiesta di accesso agli “atti e/o documenti”, acquisibili sulla base di altre discipline ordinamentali, e che sottende al versamento di un contributo spese per i costi amministrativi.

2.4. Risulta, altresì, accertato che la Società non ha fornito alcun riscontro neanche alla seconda istanza presentata dal reclamante, ritenendo che i chiarimenti forniti con la citata e-mail del 16/12/2019 fossero adeguati e pertinenti rispetto alla richiesta avanzata.

3. Conclusioni: illiceità dei trattamenti effettuati.

3.1. Alla luce delle valutazioni che precedono, si rileva che le dichiarazioni rese dal titolare del trattamento negli scritti difensivi ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗  non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentirne l’archiviazione, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del regolamento del Garante n. 1/2019, concernente le procedure interne all’Autorità aventi rilevanza esterna.

3.2. Per i suesposti motivi, pertanto, si dichiara fondato il reclamo presentato ai sensi dell’art. 77 del Regolamento e, nell’esercizio dei poteri correttivi attribuiti all’Autorità ai sensi dell’art. 58, par. 2, del Regolamento, si dispone l’applicazione di una sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 5, del Regolamento.

4. Ordinanza di ingiunzione.

4.1. Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18. L. 24 novembre 1981 n. 689), in relazione al trattamento dei dati personali riferito al reclamante, di cui è stata accertata l’illiceità, nei termini sopra esposti.

4.2. Con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state tenute in considerazione le circostanze sotto riportate:

con riguardo alla natura, gravità e durata della violazione è stata considerata rilevante la natura della violazione che ha riguardato le disposizioni relative all’esercizio dei diritti degli interessati; nonché la circostanza che la violazione si è protratta per un lungo periodo e che, solo a seguito dell’intervento di questa Autorità, la Società ha fornito riscontro all’istanza del reclamante;

l’assenza di precedenti violazioni pertinenti commesse dal titolare del trattamento;

il grado di cooperazione fornito dalla Società, che ha partecipato al procedimento indicando le misure adottate per adeguarsi alle disposizioni in materia di protezione dei dati personali.

4.3. In considerazione dei richiamati principi di effettività, proporzionalità e dissuasività (art. 83, par. 1, del Regolamento) ai quali l’Autorità deve attenersi nella determinazione dell’ammontare della sanzione, sono state prese in considerazione le condizioni economiche del contravventore, determinate in base ai ricavi conseguiti e riferiti al bilancio d’esercizio per l’anno 2020.

4.4. In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 4.000,00 (quattromila) per la violazione degli artt. 12 e 15 del Regolamento.

4.5. In tale quadro, anche in considerazione della tipologia di violazione accertata, che ha riguardato i diritti dell’interessato, si ritiene che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente provvedimento sul sito internet del Garante.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO, IL GARANTE

dichiara, ai sensi degli artt. 57, par. 1, lett. f) e 83 del Regolamento, l’illiceità del trattamento effettuato, nei termini di cui in motivazione, per la violazione degli artt. 12, par. 3. e 15 del Regolamento;

ORDINA

a Medicina & Lavoro s.r.l., in persona del legale rappresentante pro-tempore, con sede legale in Cologno Monzese (MI), via M. Buonarroti n. 50, P.I. 03524410960, ai sensi dell’art. 58, par. 2, lett. i), del Regolamento, di pagare la somma di euro 4.000,00 (quattromila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento;

INGIUNGE

alla medesima Società di pagare la somma di euro 4.000,00 (quattromila) secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981. Si rappresenta che ai sensi dell’art. 166, comma 8 del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato.

DISPONE

ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito web del Garante e ritiene che ricorrano i presupposti di cui all’art. 17 del regolamento n. 1/2019.

Roma, 13 gennaio 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Mattei