[doc. web n. 9590711]

Ordinanza ingiunzione nei confronti di TECNOMEDICAL S.r.l. - 25 marzo 2021

Registro dei provvedimenti
n. 109 del 25 marzo 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali”, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’Ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il prof. Pasquale Stanzione;

PREMESSO

1. Il Reclamo

In data 4 marzo 2020, il sig. XX, per il tramite del proprio avvocato, esercitava nei confronti della TECNOMEDICAL S.r.l. (d’ora in avanti la “Società”) con sede legale in Casale Monferrato (AL), Via Sosso n. 12, CAP 15033 – C.F./P.IVA 01874630062, il diritto di cui all’art. 15 del Regolamento, chiedendo l’accesso ai propri dati personali al fine di ottenere copia della cartella clinica e della documentazione medica correlata all’intervento di chirurgia odontoiatrica implantare osteointegrata al quale si era sottoposto “nel corso del dicembre 2008 e del gennaio 2009 (…) presso l’unità locale di Arquata Scrivia (AL) della società TECNOMEDICAL S.r.l.”.

A tale richiesta non seguiva alcun riscontro nei termini indicati dall’art. 12, par. 3, del Regolamento e, a seguito di ciò, l’interessato, in data 14 aprile 2020, per il tramite del proprio legale, presentava, ai sensi dell’art. 77 del Regolamento, formale reclamo a questa Autorità.

2. L’attività istruttoria.

Con nota prot. n. 19185 del 26 maggio 2020, la struttura sanitaria veniva formalmente invitava dall’Ufficio ad aderire alle richieste del reclamante entro e non oltre 20 giorni dal ricevimento di tale invito.

Con e-mail del 16 luglio 2020, il reclamante, per il tramite del proprio avvocato, informava questa Autorità di non aver ricevuto alcun riscontro nei termini indicati nel sopra menzionato invito ad aderire.

In data 10 agosto 2020, con nota prot. n. 30287, l’Ufficio ha quindi notificato alla struttura sanitaria, in qualità di titolare del trattamento, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento avendo accertato che la struttura sanitaria non aveva fornito risposta alla richiesta di accesso ai dati avanzata dal sig. XX, né riscontrato l’invito formulato dall’Ufficio nell’ambito del procedimento relativo al reclamo presentato dall’interessato ai sensi dell’art. 77 del Regolamento; ciò, in violazione dell’art. 12, par. 3, e dell’art. 15 del Regolamento.

Con nota del 2 settembre 2020, la struttura sanitaria, per il tramite del proprio legale, ha fatto pervenire i propri scritti difensivi in relazione alla violazione notificata, rappresentando, in particolare, che:

- “I diritti (…) vantati dal reclamante risultano in ogni caso prescritti sia ai sensi dell’art. 2043 c.c. che ai sensi dell'art 2946 c.c., richiamati dalla legge n. 24 del 08/02/2017 “Legge Gelli”, essendo trascorso sia il termine quinquennale che quello decennale per la richiesta visto che, come specificato dal Sig. XX, l’ultimo intervento operato dalla mia assistita risale al Gennaio 2009, come specificato sia nella lettera inviata dal legale dello XX, che nella notificazione di sanzione che ha dato avvio all’odierno procedimento (…)”;

- “(…) è rilevante sottolineare come ai sensi dell'art. 4.3 D.M. 14/02/97, determinazione delle modalità affinché i documenti radiologici e di medicina nucleare e i resoconti esistenti siano resi tempestivamente disponibili per successive esigenze mediche, ai sensi dell'art. 111, comma 10, del decreto legislativo 17 marzo 1995, n. 230, che richiama l’art. 3 lettera a) del decreto stesso, i documenti radiologici e di medicina nucleare che consistono nella documentazione iconografica prodotta a seguito dell'indagine diagnostica utilizzata dal medico specialista, nonché in quella prodotta nell'ambito delle attività radiodiagnostiche complementari all'esercizio clinico, devono essere mantenuti per un periodo non inferiore a dieci anni; termine che risulta pertanto trascorso al momento dell’intervenuta richiesta di documentazione datata 18 Settembre 2019”;

- “(…) Tali elementi certi sono anche idonei a circoscrivere in modo preciso e ad escludere la sussistenza di qualsivoglia dannosità per il reclamante in conseguenza del ritardo dell’esponente nel fornirgli la documentazione richiesta, solo parzialmente in modo legittimo, per le ragioni di seguito esposte. L'unica censura della quale Tecnomedical S.r.l. può farsi carico suo malgrado, è riconducibile a tutta una serie di problematiche/disguidi avuti con il proprio commercialista, a seguito dei quali non ha effettuato un corretto utilizzo e controllo dello strumento di Posta elettronica Certificata, per accorgersi solo alla ricezione del reclamo della Vostra Autorità, dello sviluppo che stava assumendo la vicenda. A comprova dell’affermazione che precede e della buona fede del legale rappresentante dell’esponente, oltre che della volontà collaborativa e la trasparenza della condotta della medesima (…), viene allegata alle presenti osservazioni (doc. 4) tutta la documentazione in possesso, che verrà contestualmente inviata al difensore dello XX”.

La Società non ha richiesto di essere sentita da questa Autorità ai sensi dell’art. 166, commi 6 e 7, del Codice, nonché dell’art. 18, comma 1, dalla l. n. 689 del 24 novembre 1981.

In data 15 settembre 2020, il legale del reclamante, ha scritto all’Autorità, comunicando che “Tecnomedical S.r.l. in data 02/09/2020 ha riscontrato solo parzialmente — e ben oltre il termine previsto nell’invito ad aderire del 25/05/2020 — la richiesta di consegna dell’intera cartella clinica e della eventuale altra documentazione correlata all’intervento di chirurgia odontoiatrica implantare osteointegrata effettuato sulla persona del mio assistito nel dicembre 2008 e nel gennaio 2009 presso l’unità locale della società odierna reclamata”.

3. La normativa in materia di protezione dei dati personali

Il Regolamento, agli artt. 12 e ss. disponendo in materia di “diritti dell’interessato”, prevede il diritto di quest’ultimo di ottenere dal titolare del trattamento le informazioni richieste ai sensi degli artt. da 15 a 22 del Regolamento medesimo (nel caso specifico, ai sensi dell’art. 15 e del Considerando 63), senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta. Ciò, a meno che non ricorra uno dei casi di limitazione dei diritti dell’interessato, tassativamente indicati all’art. 23 del Regolamento e 2-undecies del Codice, i quali non risultano conferenti rispetto alla vicenda in questione.

Se non ottempera alla richiesta dell’interessato, il titolare del trattamento informa quest’ultimo senza ritardo, al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale (art. 12, paragrafo 4, del Regolamento). In pari senso, il Considerando 59 del Regolamento medesimo, prevede che “il titolare del trattamento dovrebbe essere tenuto a rispondere alle richieste dell’interessato (…) e a motivare la sua eventuale intenzione di non accogliere tali richieste”.

4. Esito dell’attività istruttoria

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento negli scritti difensivi ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Nel caso in questione, infatti, la Società sopra citata, in qualità di titolare del trattamento, non ha fornito riscontro alla richiesta di accesso ai dati avanzata dal sig. XX in data 4 marzo 2020, né rappresentato i motivi di tale inottemperanza; inoltre, non ha risposto all’invito ad aderire formulato da questa Autorità con nota prot. n. 19185 del 26 maggio 2020. Solo a seguito dell’apertura del procedimento volto all’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, la Società ha fornito risposta al reclamante, in data 2 settembre 2020, ovvero 182 giorni dalla data in cui l’interessato aveva esercitato il proprio diritto di accesso ai dati, pertanto, ben oltre il termine previsto dall’art. 12 del Regolamento.

Tale risposta è stata ritenuta inidonea dal reclamante, in quanto non esaustiva rispetto alla totalità della documentazione richiesta. In particolare, a fronte della richiesta di accesso ai sensi dell’art. 15 del Regolamento alla “cartella clinica completa dell'intervento di chirurgia impiantare osteointegrata effettuato dal personale di Tecnomedical S.r.l. sulla persona dell'istante nel dicembre 2008/gennaio 2009 (comprensiva di anamnesi, consenso informato, preventivo, diario clinico, passaporto impiantare 1.5, fotografie e quant'altro colà contenuto), oltre a tutta la eventuale documentazione (pre e post operatoria) relativa all'intervento in parola”, il titolare del trattamento ha fornito all’interessato la seguente documentazione:

- “Radiografia del 21/05/2009

- Preventivo degli interventi da eseguire datato 01/12/2008

- Radiografia del 20/11/08

- Scheda di registrazione e di Anamnesi e Dichiarazione di Consenso” (cfr. nota del 2 settembre 2020).

In relazione a quest’ultima documentazione, risulta, tuttavia, dagli atti, che sia la sola documentazione in possesso della Società, in quanto nella memoria difensiva presentata a questa Autorità ai sensi dell’art. 166, comma 6, del Codice, il titolare del trattamento, per il tramite del proprio avvocato, ha dichiarato che “(…) tutta la documentazione in possesso, (…) verrà contestualmente inviata al difensore (…) (del reclamante)”.

Alla luce di quanto sopra, si conferma quindi la violazione delle predette disposizioni; tale violazione rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5 del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, non ricorrono i presupposti per l’adozione delle misure correttive di cui all’art. 58, par. 2, del Regolamento.
   

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i), e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi ai sensi degli artt. 58, par. 2, lett. i), e 83 del Regolamento, nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria, inflitta in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo conto dei principi di effettività, proporzionalità e dissuasività, indicati nell’art. 83, par. 1, del Regolamento, alla luce degli elementi previsti all’art. 83, par. 2, del Regolamento. In relazione a tali elementi, si considera che le cause determinanti la reiterata mancata risposta da parte della Società - sia all’istanza di acceso ai dati avanzata dall’interessato nell’esercizio dei diritti sia all’invito ad aderire formulato da questa Autorità - consistenti, sulla base di quanto dichiarato dalla Società medesima, in “tutta una serie di problematiche/disguidi avuti con il proprio commercialista, a seguito dei quali (il titolare) non ha effettuato un corretto utilizzo e controllo dello strumento di Posta elettronica Certificata, per accorgersi solo alla ricezione del reclamo della Vostra Autorità, dello sviluppo che stava assumendo la vicenda”, non escludono, né attenuano, la responsabilità del titolare del trattamento. Tuttavia, si tiene conto che la Società, venuta a conoscenza del procedimento in oggetto, ha inviato al reclamante tutta la documentazione della quale, la Società medesima, ha dichiarato di essere in possesso e che non risultano precedenti violazioni pertinenti commesse da quest’ultima o precedenti provvedimenti di cui all’art. 58 del Regolamento a carico della stessa.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria, nella misura di euro 7.000,00 (settemila) per la violazione dell’art. 12, par. 3 e dell’art. 15 del Regolamento.

Si ritiene, altresì, che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7, del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

ORDINA

alla TECNOMEDICAL S.r.l. con sede legale in Casale Monferrato (AL), Via Sosso n. 12, CAP 15033 – C.F./P.IVA 01874630062 ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 5, del Regolamento e 166, comma 2, del Codice, di pagare la somma di euro 7.000,00 (settemila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione; si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

alla medesima Società di pagare la somma di euro 7.000,00 (settemila), in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

la pubblicazione del presente provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice;

l’annotazione del presente provvedimento nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento, delle violazioni e delle misure adottate in conformità all'art. 58, par. 2, del Regolamento.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’Autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni, se il ricorrente risiede all’estero.

Roma, 25 marzo 2021

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei