IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

VISTI gli atti degli accertamenti ispettivi svolti dall´Ufficio del Garante per la protezione dei dati personali nei giorni 21, 22 e 27 novembre 2013, ai sensi dell´art. 157 del d.lgs. n. 196/2003, recante il Codice in materia di protezione dei dati personali (di seguito "Codice"), presso l´Azienda Policlinico Umberto I (di seguito "Policlinico"), con sede in Roma, viale del Policlinico n. 155, C.F. 05865511009, diretti a verificare la liceità dei trattamenti dei dati personali posti in essere dalla suddetta Azienda;

PRESO ATTO della nota datata 5 dicembre 2013, inviata dal Direttore Generale del Policlinico e degli atti ad essa allegati;

RILEVATO che, dalle risultanze documentali agli atti, il Policlinico, in qualità di titolare del trattamento, non ha designato gli incaricati del trattamento con le modalità di cui all´art. 30 del Codice e non ha fornito loro le istruzioni né riguardo ai trattamenti di dati personali effettuati con strumenti elettronici né con riguardo ai trattamenti di dati personali effettuati senza l´ausilio di strumenti elettronici, in violazione delle regole nn. 4, 9, 27 e 28 del disciplinare tecnico contenuto nell´all. B) al Codice;

CONSIDERATO che l´inosservanza delle regole indicate nel disciplinare tecnico di cui all´all. B) al Codice costituisce una violazione delle misure minime di sicurezza di cui agli artt. 33 e ss. del Codice;

VISTO il verbale n. 6296/86857 del 3 marzo 2014 con cui è stata contestata al Policlinico, in persona del legale rappresentante pro-tempore, la violazione amministrativa prevista dall´art. 162, comma 2-bis, in relazione all´art. 33 del Codice, per la quale non è prevista la definizione in via breve ai sensi dell´art. 16 della legge 24 novembre 1981 n. 689;

RILEVATO che il trasgressore non risulta essersi avvalso delle facoltà previste dall´art. 18 della legge 24 novembre 1981 n. 689 (non inviando all´Autorità scritti difensivi e documenti o chiedendo di essere sentita);

RILEVATO che il Policlinico ha effettuato un trattamento di dati personali (art. 4 comma 1, lett. a) e b) del Codice), omettendo di adottare le misure minime di sicurezza ai sensi dell´art. 33 del Codice;

VISTO l´art. 162, comma 2-bis, del Codice che punisce la violazione delle disposizioni indicate nell´art. 33 del Codice con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO di dover determinare, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, l´ammontare della sanzione pecuniaria nella misura di euro 10.000,00 (diecimila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio, formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Licia Califano;

ORDINA

all´Azienda Policlinico Umberto I, con sede in Roma, viale del Policlinico n. 155, C.F. 05865511009 in persona del legale rappresentante pro-tempore, di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione di cui all´art. 162, comma 2-bis, come indicato in motivazione;

INGIUNGE

alla medesima Azienda di pagare la somma di euro 10.000,00 (diecimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.