[doc. web n. 1525580]

Ordinanza ingiunzione nei confronti di Neuromed s.r.l. - 13 settembre 2007

Registro delle deliberazioni
Del. n. 42 del 13 settembre 2007

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

ORDINANZA INGIUNZIONE

NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Giovanni Buttarelli, segretario generale;

ESAMINATO il rapporto del Comando nucleo speciale funzione pubblica e privacy della Guardia di finanza predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale di contestazione per violazione amministrativa redatto in data 18 ottobre 2005 nei confronti dell´Istituto neurologico mediterraneo-Neuromed s.r.l. con sede in Pozzilli (IS) via Atinense n. 18, in persona del legale rappresentante pro-tempore, per violazione dell´articolo 37 del Codice in materia di protezione dei dati personali (di seguito denominato Codice);

RILEVATO che il predetto Comando, in attuazione della richiesta di informazioni ex art. 157 del Codice (n. 17101 datata 22 settembre 2005) e su specifica delega di questa Autorità (n. 17237 del 26 settembre 2005), ha svolto accertamenti di cui al verbale di operazioni compiute del 18 ottobre 2005 dai quali è risultato che la predetta società effettua, in qualità di titolare, trattamenti di dati personali previsti dall´art. 37, comma 1, lett. a) del Codice, da epoca anteriore al 1° gennaio 2004; considerato, altresì, che la società non ha effettuato la notificazione al Garante nelle forme previste dagli artt. 37 e 38 del Codice;

VISTO il verbale n. 184 del 18 ottobre 2005 con cui si è contestata alla predetta società la violazione prevista dall´art. 163 del Codice in relazione all´art. 37, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 689/1981;
RILEVATO dal predetto rapporto che non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo inviato ai sensi dell´art. 18 della legge n. 689/1981, con il quale la società ha ribadito di non aver provveduto alla notificazione al Garante ai sensi dell´art. 37 del Codice, sviluppando le seguenti deduzioni:

a) la società tratta dati genetici al solo fine di tutelare la salute degli interessati e secondo modalità che non prevedono l´utilizzo di banche dati accessibili a terzi per via telematica; pertanto, in base a quanto stabilito nella deliberazione del Garante n. 1 del 31 marzo 2004, si è ritenuto che l´istituto non fosse obbligato ad effettuare la notificazione al Garante. Ciò anche in ragione del contenuto della lettera datata 29 aprile 2004 pervenuta dall´Autorità all´A.r.i.s. – Associazione religiosa istituti socio sanitari, per ribadire quali strutture sanitarie (pubbliche e private) dovessero provvedere alla notificazione;

b)  l´asserita ambiguità delle disposizioni che regolano la notificazione al Garante ex art. 37 del Codice avrebbe generato l´assenza dell´elemento psicologico di cui all´art. 3 della legge n. 689/1981, nei termini dell´errore scusabile integrante il requisito della buona fede della società nell´omissione in argomento;

RILEVATO che l´attività svolta dalla società configura un trattamento di dati personali (art. 4, comma 1, lett. a) e b), del Codice) per il quale doveva essere assolto tempestivamente l´obbligo di effettuare la notificazione del trattamento all´Autorità ai sensi e nei modi previsti dagli artt. 37, comma 1, lett. a) e 38 del Codice;

RITENUTO che le argomentazioni addotte dalla società non risultano idonee in relazione alla contestazione della violazione amministrativa per omessa notificazione nei termini, con cui si è dato avvio al procedimento, in quanto:

a) i casi di esclusione della notificazione di cui al provvedimento del Garante n. 1/2004 relativi alla lett. a) del menzionato comma 1 dell´art. 37 del Codice, come peraltro specificato anche nella risposta ai quesiti relativi a trattamenti in ambito sanitario da notificare al Garante (in www.garanteprivacy.it doc. web n. 996680), non operano per i trattamenti effettuati da strutture sanitarie pubbliche o private, essendo stati disposti solo ed esclusivamente nei riguardi di persone fisiche;

b) il Codice indica con evidenza  i trattamenti di dati da notificare e demanda al Garante il solo compito di individuare, tra essi, quelli sottratti all´obbligo di notificazione, purché insuscettibili di recare pregiudizio ai diritti e alle libertà dell´interessato in ragione delle modalità di trattamento o alla natura dei dati. In particolare l´art. 37, comma 1, lett. a) prevede che debbano essere notificati i trattamenti di "dati genetici, biometrici...". Ai sensi dell´art. 4, comma 1, lett. f) del Codice il "titolare del trattamento" è definito come "la persona fisica, la persona giuridica e qualsiasi altro ente, associazione ed organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza". Il titolare del trattamento è, pertanto, tenuto ad avere, tramite le proprie articolazioni, puntuale conoscenza dei trattamenti effettuati, essendo sua esclusiva prerogativa individuarli e impartire le necessarie istruzioni agli eventuali responsabili del trattamento. Quanto sopra non consente, quindi, di applicare, al caso di specie, la disciplina dell´ "errore sul fatto" prevista dall´art. 3, comma 2, della legge n. 689/1981;

c) con nota n. 10702 in data 29 aprile 2004 questa Autorità ha unicamente fornito risposta all´A.r.i.s. ad alcuni quesiti formulati in materia dall´A.n.i.s.a.p. evidenziando chiaramente la necessità della notificazione per casi come quelli effettuati in concreto nel caso di specie;

CONSIDERATO che la società, anche successivamente all´accertamento, non risulta aver proceduto alla notificazione;

VISTO l´art. 163 del Codice, che punisce la violazione di cui all´art. 37 del Codice con la sanzione amministrativa del pagamento di una somma da diecimila euro a sessantamila euro e con la sanzione amministrativa accessoria della pubblicazione dell´ordinanza-ingiunzione;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni ed integrazioni;

RITENUTO di dover determinare l´ammontare della sanzione pecuniaria, avuto riguardo ai parametri indicati nell´art. 11 della legge 24 novembre 1981 n. 689, valutati anche in relazione all´attività svolta e al genere di trattamento di dati personali, nella misura del doppio del minimo pari alla somma di ventimila/00 euro;

RITENUTO di dover applicare la sanzione accessoria della pubblicazione, avuto riguardo alla gravità della violazione valutata alla luce dei predetti parametri e circostanze, nella misura ritenuta congrua della sola pubblicazione per estratto, per una sola volta e su due sole testate giornalistiche, di cui una di maggiore tiratura a livello nazionale, identificata ne "Il Giornale" e, l´altra, ne "Il Quotidiano del Molise";
VISTA la documentazione in atti curata dal Dipartimento attività ispettive e sanzioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il dott. Mauro Paissan;

ORDINA

all´Istituto neurologico mediterraneo-Neuromed s.r.l. con sede in Pozzilli (IS) via Atinense n. 18, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria per la violazione dell´art. 163 del Codice, indicata in motivazione;

DISPONE

la pubblicazione a cura dell´Ufficio della presente ordinanza-ingiunzione a titolo di sanzione amministrativa accessoria prevista dall´art. 163 del Codice, per estratto e per una sola volta, sulle testate giornalistiche  "Il Giornale" e "Il Quotidiano del Molise";

INGIUNGE

alla medesima società di pagare, fermo restando quanto dovuto per la sanzione accessoria, la somma di euro 20.000,00 (ventimila) tramite il bollettino postale che verrà fornito in allegato, intestato a "Tesoreria provinciale dello Stato di Isernia" entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento;

DÁ ATTO CHE 

avverso il presente provvedimento, ai sensi dell´art. 152 del Codice, può essere proposta opposizione davanti al tribunale ordinario del luogo ove ha sede il titolare del trattamento entro il termine di trenta giorni dalla notificazione del presente provvedimento.

Roma, 13 settembre 2007

IL PRESIDENTE
Pizzetti

IL RELATORE
Paissan

IL SEGRETARIO GENERALE
Buttarelli