[doc. web n. 1368906]

Ordinanza ingiunzione nei confronti di Asl n. 8 di Asolo (TV) - 14 settembre 2006

Registro delle deliberazioni
Del. n. 40 del 14 settembre 2006

GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

ORDINANZA INGIUNZIONE

NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Giuseppe Fortunato, componente e del dott. Giovanni Buttarelli, segretario generale;

ESAMINATO il rapporto del Comando nucleo speciale funzione pubblica e privacy della Guardia di finanza predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale di contestazione per violazione amministrativa redatto in data 14 ottobre 2004 nei confronti dell´Azienda unità locale socio sanitaria n. 8 di Asolo, sita in Asolo (TV) via Forestuzzo n. 41, in persona del legale rappresentante pro-tempore, per violazione dell´articolo 37 del Codice in materia di protezione dei dati personali (d.lg. n. 196/2003, di seguito denominato Codice);

RILEVATO che il predetto Comando nucleo speciale, in attuazione della richiesta di informazioni  ex art. 157 del Codice (n. 24029 datata 16 giugno 2004) ed a fronte di specifica delega di questa Autorità (n. 26333 del 15 luglio 2004), ha svolto accertamenti di cui al verbale di operazioni compiute del 14 ottobre 2004 dai quali è risultato che: a) l´azienda sanitaria tratta dati personali idonei a rivelare lo stato di salute e la vita sessuale soggetti a notificazione ai sensi dell´art. 37, comma 1, lett. a) e b), del Codice; b) le finalità del trattamento sono relative alla diagnosi, cura e prevenzione nel campo sanitario; c) per il trattamento l´azienda sanitaria si avvale di banche dati sia elettroniche, sia cartacee; considerato altresì, come dichiarato dalla parte, che era stata effettuata la notificazione ai sensi dell´art. 7 della legge n. 675/1996, ma non quella relativa all´obbligo di notificazione al Garante ai sensi dell´art. 37 del Codice;

PRESO ATTO altresì che dalla documentazione prodotta dalla parte emerge che l´Azienda gestisce, fra gli altri, i data-base relativi al laboratorio analisi, al consultorio e al centro di sanità mentale di Montebelluna, nonché al consultorio di Castelfranco Veneto e che i relativi trattamenti non possono essere ricompresi fra quelli sottratti dall´obbligo di notificazione con deliberazione del Garante n. 1 del 31 marzo 2004 (in G.U. 6 aprile 2004, n. 81), attesa la sistematicità dei trattamenti medesimi effettuati con l´ausilio di strumenti elettronici accessibili per via telematica;

VISTO il verbale n. 16 del 14 ottobre 2004 con cui si è contestata alla predetta azienda la violazione prevista dal menzionato art. 37 (e sanzionata dall´art. 163) del Codice, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

RILEVATO dal predetto rapporto che non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo inviato ai sensi dell´art. 18 della legge n. 689/1981, con il quale l´azienda ha ribadito di non aver provveduto alla notificazione al Garante ai sensi dell´art. 37 del Codice, motivando tale condotta con le seguenti deduzioni:

a) la formulazione dell´art. 37 del Codice avrebbe generato dubbi interpretativi che hanno fatto ritenere all´azienda di non essere soggetta alla notificazione;

b) la deliberazione del Garante del 31 marzo 2004, pubblicata nella G.U. 6 aprile 2004, n. 81, non avrebbe esplicitato in alcun modo la soggezione all´obbligo della notificazione per le "strutture sanitarie";

VISTA la richiesta di audizione, formulata nello scritto difensivo di cui sopra dall´Azienda sanitaria locale di Piacenza  ai sensi dell´art. 18 della legge n. 689/1981;

VISTA la convocazione per audizione ai sensi dell´ art. 18 della legge 689/1981 n. 34499/38841/30 del 15 novembre 2004 inviata dal Garante a mezzo raccomandata a/r notificata in data 18 novembre 2004;

CONSIDERATO il verbale di audizione delle parti del 30 novembre 2004 nel quale l´azienda sanitaria ha ribadito quanto ipotizzato nella memoria difensiva, aggiungendo di aver prestato sempre particolare attenzione alle problematiche relative alla protezione dei dati personali, organizzando, ad esempio, un apposito "Ufficio Privacy", nonché un programma formativo per il proprio personale, implementando tale attività ed avvalendosi da ultimo, per gli adempimenti di legge, della consulenza di una società specializzata;

RILEVATO che l´attività svolta dall´azienda configura un trattamento di dati personali (art. 4, comma 1, lett. a) del Codice) per il quale doveva essere assolto l´obbligo di effettuare la notificazione del trattamento all´Autorità, ai sensi e nei modi previsti dagli artt. 37 e 38 del Codice;

RITENUTO che le argomentazioni addotte dall´azienda nelle memorie difensive non risultano idonee in relazione alla contestazione della violazione amministrativa per omessa notificazione con cui si è dato avvio al procedimento, in quanto:

a) il Codice indica i trattamenti di dati da notificare e demanda al Garante il compito di individuare, tra essi, quelli sottratti all´obbligo di notificazione, purché insuscettibili di recare pregiudizio ai diritti e alle libertà dell´interessato in ragione delle modalità di trattamento o alla natura dei dati. In particolare l´art 37, comma 1, lett. a) prevede che debbano essere notificati i trattamenti di "dati genetici, biometrici..." e (lett. b)) i trattamenti di "dati idonei a rilevare lo stato di salute e la vita sessuale trattati" rispettivamente "a fini di procreazione assistita, prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni, indagini epidemiologiche, rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi e tessuti e monitoraggio della spesa sanitaria". Sotto il profilo interpretativo, come riportato peraltro nelle istruzioni per la compilazione della notificazione, per dati genetici si debbono intendere, tra l´altro, i dati rilevati sulla base dello studio della varietà biologica dell´uomo, in particolare quelli idonei a rivelare patologie descritte nel registro nazionale delle malattie rare e/o quelli idonei a rivelare la gravità o il decorso clinico delle patologie genetiche o idonei a identificare le malattie ereditarie; relativi a malformazioni congenite la cui causa non è nota, ed accertare maternità e paternità. Per quanto riguarda invece la lett. b) del predetto articolo 37, devono essere oggetto di notificazione i trattamenti di dati idonei a rivelare lo stato di salute e la vita sessuale trattati in relazione alle diverse finalità di procreazione assistita, prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni, indagini epidemiologiche, rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi e tessuti e monitoraggio della spesa sanitaria;

b) il Garante, con propria deliberazione n. 1 del 31 marzo 2004, non ha esonerato le aziende sanitarie dall´obbligo di notificazione per i casi previsti dall´art. 37, comma 1, lett. a) e b) del Codice; inoltre, l´Autorità ha successivamente ribadito che sono invece esonerati dall´obbligo di notificazione i trattamenti effettuati da singoli professionisti e da altri medici i quali, in forma associata, condividano il trattamento con altri professionisti (vedi nota del 26 aprile 2004, pubblicata sul sito web dell´Autorità - doc. web n. 996680), e che non è inoltre previsto un esonero per i trattamenti di dati genetici e biometrici effettuati da strutture sanitarie pubbliche o private (ospedali, case di cura e di riposo, aziende sanitarie, laboratori di analisi cliniche, associazioni sportive), essendo il medesimo esonero disposto solo in favore di persone fisiche esercenti le professioni sanitarie, anziché per i trattamenti in quanto tali;

VISTO l´art. 163 del Codice, che punisce la violazione di cui all´art. 37 del Codice con la sanzione amministrativa del pagamento di una somma da diecimila euro a sessantamila euro e con la sanzione amministrativa accessoria della pubblicazione dell´ordinanza-ingiunzione;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni ed integrazioni;

RITENUTO di dover determinare l´ammontare della sanzione pecuniaria, avuto riguardo ai parametri indicati nell´art. 11 della legge 24 novembre 1981 n. 689, valutati anche in relazione all´attività svolta e al genere di trattamento di dati personali, nella misura del minimo pari alla somma di diecimila/00 euro;

RITENUTO di dover applicare la sanzione accessoria della pubblicazione, avuto riguardo alla gravità della violazione valutata alla luce dei predetti parametri e circostanze nella misura ritenuta congrua della sola pubblicazione per estratto, per una sola volta e su due sole testate giornalistiche, di cui una di maggiore tiratura a livello nazionale, identificata ne "La Stampa" e, l´altra, ne "La Tribuna di Treviso";

VISTA la documentazione in atti curata dal Dipartimento attività ispettive e sanzioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il dott. Giuseppe Fortunato;

ORDINA

all´Azienda unità locale socio sanitaria n. 8 di Asolo, sita in Asolo (TV) via Forestuzzo n. 41, in persona del rappresentante legale pro-tempore, di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione dell´art. 163 del Codice, indicata  in motivazione;

DISPONE

la pubblicazione a cura dell´Ufficio della presente ordinanza-ingiunzione a titolo di sanzione amministrativa accessoria prevista dall´art. 163 del Codice, per estratto, per una sola volta, sulle testate giornalistiche "La Stampa" e "La Tribuna di Treviso";

INGIUNGE

alla medesima azienda di pagare, fermo restando quanto dovuto per la sanzione accessoria,  la somma di euro 10.000,00 (diecimila) tramite il bollettino postale che verrà fornito in allegato, intestato a "Tesoreria provinciale dello Stato di Treviso" entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento;

DÀ ATTO CHE

avverso il presente provvedimento, ai sensi dell´art. 152 del Codice, può essere proposta opposizione davanti al tribunale ordinario del luogo ove ha sede il titolare del trattamento entro il termine di trenta giorni dalla notificazione del presente provvedimento.

Roma, 14 settembre 2006

IL PRESIDENTE
Pizzetti

IL RELATORE
Fortunato

IL SEGRETARIO GENERALE
Buttarelli