IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che la Guardia di finanza, Nucleo speciale privacy, in esecuzione della richiesta di informazioni ai sensi dell´art. 157 del Codice in materia di protezione dei dati personali – d.lgs. 30 giugno 2003, n. 196 (di seguito denominato Codice), n. 22908/91026 del 24 luglio 2014, formulata da questa Autorità, ha svolto, presso la sede legale della Analisi Cliniche S. Antonio S.r.l., sita in Reggio Calabria (RC), Corso Garibaldi n. 597, P.I.: 00615350808, gli accertamenti di cui al verbale di operazioni compiute del 22 ottobre 2014;

RILEVATO che all´esito di tale attività e a fronte dell´esame della documentazione acquisita in loco e di quella inoltrata dalla società in data 24 novembre 2014, è stato accertato quanto segue:

- la Analisi Cliniche S. Antonio S.r.l., esercente l´attività di laboratorio di analisi cliniche, in qualità di titolare, tratta dati sensibili attinenti allo stato di salute dei pazienti, per fornire servizi di consulenza specialistica, relativi al settore di diagnostica clinica, di cui alla relativa pagina web del sito internet del laboratorio di analisi: www.analisiclinichesantantonio.com;

- in merito all´obbligo di notificazione al Garante per la protezione dei dati personali scaturente dai trattamenti di cui all´art. 37 del Codice, il laboratorio di analisi ha comunicato di non essere in grado di fornire alcuna documentazione che attesti la notificazione a causa degli eventi che hanno coinvolto il laboratorio negli ultimi anni;

RILEVATO che la Guardia di finanza, Nucleo speciale privacy, con verbale n. 101 del 15 dicembre 2014, che qui deve intendersi integralmente riportato, ha contestato ad Analisi Cliniche S. Antonio s.r.l., in qualità di titolare del trattamento, in relazione all´omessa notifica al Garante del trattamento di dati sensibili attinenti lo stato di salute dei pazienti di cui agli artt. 37 e 38 del Codice, la violazione amministrativa prevista dall´art. 163 del Codice, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981, n. 689;

ESAMINATO il rapporto predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689 dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

VISTE le memorie difensive datate 4 febbraio 2015 e il verbale dell´audizione delle parti redatto in data 14 marzo 2016, in cui la parte, ai sensi dell´art. 18 della legge n. 689/1981, ha rilevato che:

- "a causa del cambio del sistema gestionale attualmente impiegato da Analisi Cliniche S. Antonio S.r.l. (…) unitamente al trasloco della sede legale ed operativa (…) durante il quale si sono verificati anche dei problemi al vecchio server, che la Società (…) ha dovuto sostituire e pertanto non è stata in grado di fornire la prova dell´avvenuta notificazione (…)";

- "(la società) si trova in grande difficoltà finanziaria dovuta alla modifica della normativa relativa alla cosiddetta legge ‘tariffario Balduzzi´. Tale modifica ha comportato una perdita di circa il 50% degli introiti delle prestazioni che l´azienda aveva inserito nel bilancio della società, a far data dal febbraio 2013";

- "a riscontro di quanto detto, la società ha subito una procedura esecutiva da parte dell´Agente della riscossione Equitalia Sud S.p.A. per un importo di euro 166.649,26";

- "il laboratorio aveva adempiuto a tutti gli obblighi in materia di protezione dati personali, anche con riferimento al trattamento di referti on-line e relativi provvedimenti adottati dal Garante" incluso, a dimostrazione della propria buona fede, l´obbligo di notificazione;

- "per tale ultima ragione la sanzione irrogata comporterebbe un danno grave ed irreparabile per la società Analisi Cliniche S. Antonio s.r.l.";

- "l´attività svolta riveste comunque interesse sociale in un tessuto in cui l´offerta non ampia dei servizi equivalenti a quelli erogati dalla esponente":

- la parte ha anche richiesto, in caso di riconoscimento della responsabilità in relazione a quanto contestato, l´applicazione della diminuente di cui all´art. 164-bis, comma 1, del Codice, in ragione della circostanza che "il fatto contestato, nell´economia del sostanziale adempimento alle prescrizioni normative (…) non può essere considerato di particolar gravità";

RITENUTO che le argomentazioni addotte non risultano idonee ad escludere le responsabilità della parte in relazione a quanto contestato. Quanto dedotto circa l´impossibilità di fornire prova dell´avvenuta notificazione risulta privo di fondamento in quanto qualora la parte avesse provveduto a notificare al Garante i trattamenti effettuati prima del loro inizio, tale circostanza risulterebbe verificabile tramite il Registro dei trattamenti tenuto dal Garante ai sensi dell´art. 154, comma 1, lett. l) del Codice, formato sulla base delle notificazioni ricevute. Tale Registro, come previsto dall´art. 37, comma 4, del Codice, è accessibile a chiunque e la sua consultazione gratuita avviene per via telematica attraverso il sito web dell´Autorità. Dall´interrogazione del medesimo, emerge che la prima notificazione da parte della società, che risulta aver avviato i trattamenti nel corso dell´anno 2003 (cfr. pag. 4 del verbale delle operazioni compiute del 22 ottobre 2014), è stata presentata solamente il 3 febbraio 2015 e, pertanto, deve ritenersi confermata la violazione al riguardo contestata. Inoltre, diversamente da quanto prospettato dalla società circa la circostanza che "il fatto contestato, nell´economia del sostanziale adempimento alle prescrizioni normative (…) non può essere considerato di particolar gravità", si evidenzia che l´aver effettuato trattamenti di dati personali di cui all´art. 37, comma 1, lett. b), del Codice per un periodo di tempo protratto dal 2003 al 2015, omettendo di notificare tale circostanza al Garante prima dell´inizio dei trattamenti, assume comunque specifica rilevanza;

RILEVATO, pertanto, che Analisi Cliniche S. Antonio s.r.l., sulla base delle considerazioni sopra richiamate, in qualità di titolare del trattamento, ai sensi degli artt. 4, comma 1, lett. f) e 28 del Codice, risulta aver commesso la violazione di cui agli art. 37 e 38 del Codice, per aver effettuato un trattamento di dati sensibili, attinenti allo stato di salute dei pazienti, relativi al settore di diagnostica clinica, senza aver presentato preventivamente la notificazione al Garante;

VISTO l´art. 163 del Codice che punisce la violazione delle disposizioni di cui agli artt. 37 e 38 del Codice con la sanzione amministrativa del pagamento di una somma da ventimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità con riferimento agli elementi dell´entità del pregiudizio o del pericolo e dell´intensità dell´elemento psicologico, la violazione non risulta connotata da elementi specifici;

b) ai fini della valutazione dell´opera svolta dall´agente, deve evidenziarsi che la società, dall´interrogazione del registro generale dei trattamenti, risulta aver presentato, il 3 febbraio 2015, la notificazione per il trattamento dei dati di cui all´art. 37, comma 1, lett. b) del Codice;

c) circa la personalità dell´autore della violazione, deve essere considerata la circostanza che la società non risulta gravata da precedenti procedimenti sanzionatori definiti in via breve o a seguito di ordinanza ingiunzione;

d) in merito alle condizioni economiche dell´agente, sono stati presi in considerazione gli elementi delle dichiarazioni reddituali relative all´anno d´imposta 2015;

RITENUTO di dover determinare, ai sensi dell´art. 11 della legge n. 689/1981, l´ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 10.000,00 (diecimila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

ad Analisi Cliniche S. Antonio s.r.l., in persona del legale rappresentante pro-tempore, con sede legale in Reggio Calabria (RC), Corso Garibaldi n. 597, P.I.: 00615350808, di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 10.000,00 (diecimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.