IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO che l´Ufficio del Garante, con atto n. 21329/89556 dell´8 luglio 2014 (notificato in pari data), che qui deve intendersi integralmente riportato, ha contestato all´Azienda Sanitaria ULSS 6 di Vicenza, in persona del legale rappresentante pro-tempore con sede in Vicenza, via Rodolfi n. 37, C.F. 02441500242, la violazione delle disposizioni di cui agli artt. 23, 162, comma 2-bis, e 167 del Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196, di seguito denominato "Codice");

RILEVATO, più precisamente, che con l´atto di contestazione si rappresenta che:

- il Garante ha esaminato il reclamo presentato il 5 febbraio 2014 dalla sig.ra R.P., la quale ha lamentato l´illecita comunicazione dei propri dati personali idonei a rilevare lo stato di salute, da parte dell´Azienda Sanitaria ULSS 6 di Vicenza – Ospedale di San Bortolo al Comune di Arcugnano (datore di lavoro della reclamante) in data 28 marzo 2011;

- a seguito di richiesta di informazioni da parte dell´Ufficio, l´Azienda Sanitaria ha confermato l´avvenuta comunicazione dei dati personali idonei a rivelare lo stato di salute della reclamante al Comune di Arcugnano a seguito di specifica richiesta formulata dal predetto ente locale con nota prot. n. 4561 del 28 marzo 2011;

- con le note n. 12165/89556 e n. 12169/89556 del 15 aprile 2014, l´Ufficio ha, rispettivamente, chiuso l´istruttoria preliminare, accertando l´illiceità della comunicazione effettuata dall´Azienda ULSS 6 di Vicenza al Comune di Arcugnano in assenza di un idoneo presupposto (norma di legge o consenso dell´interessato – artt. 23, 76, 81, 82, comma 2, del Codice) e trasmesso il fascicolo al dipartimento competente per l´applicazione della relativa sanzione (artt. 162, comma 2-bis, e 167 del Codice);

- in base a quanto rilevato, l´Azienda ULSS 6 di Vicenza ha effettuato una comunicazione di dati personali idonei a rivelare lo stato di salute in assenza del consenso dell´interessato, previsto dagli artt. 23, 76, 81, 82, comma 2, del Codice;

RILEVATO che con il citato atto dell´8 luglio 2014 è stata contestata all´Azienda Sanitaria ULSS 6 di Vicenza, ai sensi dell´art. 162, comma 2-bis, la violazione delle disposizioni di cui all´art. 23 del Codice, per aver comunicato a terzi dati personali idonei a rilevare lo stato di salute della reclamante, in assenza del consenso dell´interessato;

VISTO il rapporto relativo all´atto di contestazione di cui sopra, predisposto dall´Ufficio ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

VISTI gli scritti difensivi del 6 agosto 2014 dell´Azienda ULSS 6 di Vicenza e il verbale di audizione del 12 gennaio 2015, che qui si intendono integralmente richiamati, nei quali si legge:

- "la contestazione effettuata nei confronti dell´ULSS n. 6 viola il principio della responsabilità personale nell´ambito delle sanzioni amministrative insito nel sistema delineato dalla legge n. 698/1981, in virtù del quale l´autore della violazione va sempre identificato con una persona fisica a cui è riferibile l´azione materiale o l´omissione e non con l´Ente, la cui responsabilità solidale per gli illeciti commessi dai loro legali rappresentanti o dipendenti è prevista esclusivamente in funzione di garanzia del pagamento della somma dovuta dall´autore della violazione";

- "il riferimento, nel caso specifico, alla disposizione di cui all´art. 23 è errato ed improprio, non potendo l´Azienda ULSS n. 6 Vicenza essere inquadrata né tra i soggetti privati, né tra gli enti pubblici economici, essendo essa a totale capitale pubblico e non avendo come fine principale o esclusivo l´esercizio di un´attività economica […] ";

- "il rilascio al Comune di Arcugnano del referto delle analisi riguardanti la reclamante è avvenuto dietro richiesta scritta del Segretario Comunale, formulata nell´ambito di una procedura di accertamento sanitario avviata dall´Ente comunale nei confronti della propria dipendente […] il modulo di richiesta di rilascio dei documenti sanitari […] indica quale motivazione della richiesta stessa "uso medico". È chiaro, quindi, che l´operatore dell´ULSS n. 6 sia stato indotto a ritenere che l´istanza di rilascio venisse presentata nell´ambito di un accertamento sanitario avviato dal Sindaco del Comune e che quest´ultimo, in tale contesto, non agisse quale semplice datore di lavoro, bensì quale autorità sanitaria locale […] Si ritiene, pertanto, che il comportamento dell´operatore dell´azienda sanitaria sia senz´altro scusabile";

- "le norme richiamate nel verbale di contestazione [fanno] riferimento all´illecito penale di cui all´art. 167 del Codice. In ragione di ciò, si evidenzia come la contestazione in argomento non faccia riferimento ad alcun elemento di fatto che dimostri il perfezionamento sia dell´elemento psicologico dell´ipotesi di reato di cui all´art. 167, né il verificarsi della condizione obiettiva di punibilità quale elemento costitutivo del medesimo illecito penale";

RITENUTO che le argomentazioni addotte non risultano idonee a determinare l´archiviazione del procedimento sanzionatorio avviato con la contestazione di cui sopra, per le ragioni di seguito esposte:

- in ordine a quanto argomentato circa la violazione del principio di personalità di cui all´art. 2 della legge n. 689/1981, la disciplina dettata dal Codice costituisce lex specialis rispetto alle previsioni della legge n. 689/1981 in quanto fonte di pari grado richiamabile, per effetto dell´art. 166 del Codice, solo "in quanto applicabile". Il Codice dispone che gli adempimenti siano posti in essere, in primo luogo, dal titolare del trattamento che, secondo quanto è previsto all´art. 28 del Codice, quando il trattamento è effettuato da una persona giuridica, da una pubblica amministrazione o da un qualsiasi altro ente, associazione od organismo, titolare del trattamento è "l´entità nel suo complesso". Ne deriva, pertanto, che il procedimento sanzionatorio amministrativo è stato correttamente avviato nei confronti del titolare del trattamento individuato nell´Azienda ULSS n. 6 di Vicenza (sul punto, Ordinanza ingiunzione di questa Autorità n. 526 dell´8 ottobre 2015, in www.garanteprivacy.it, doc. web n. 4703344);

- per ciò che riguarda l´asserito improprio richiamo dell´art. 23 del Codice, giova evidenziare che l´Azienda ULSS 6 di Vicenza è riconducibile alla categoria degli organismi sanitari pubblici che possono trattare i dati personali idonei a rivelare lo stato di salute attenendosi a quanto disciplinato al riguardo dal Titolo V del Codice (Trattamento di dati personali in ambito sanitario) che declina gli istituti contenuti nella parte generale del Codice, tra cui il consenso di cui all´art. 23, alla specificità della disciplina. Infatti l´Ufficio, correttamente, ha prima accertato e poi contestato l´illiceità della comunicazione di dati personali idonei a rivelare lo stato di salute effettuata dall´Azienda ULSS 6 di Vicenza al Comune di Arcugnano in assenza del consenso dell´interessato; le specifiche disposizioni del Codice prevedono infatti che gli organismi sanitari pubblici, anche nell´ambito di una rilevante finalità di interesse pubblico, trattino i dati personali idonei a rivelare lo stato di salute con il consenso degli interessati (v. in particolare gli artt. 76, comma 1, lett. a), 81 e 23 del Codice);

- le argomentazioni relative all´ambito in cui la comunicazione è avvenuta (procedura di accertamento sanitario avviata dall´Ente comunale nei confronti della propria dipendente) sono già state valutate dall´Ufficio in sede di istruttoria preliminare. Al riguardo, l´Ufficio con la nota n. 12165/89556 del 15 aprile 2014, nell´accertare l´illiceità della comunicazione, ha chiarito che "l´ordinamento giuridico prevede […] specifiche procedure nel caso in cui una pubblica amministrazione, in qualità di datore di lavoro, intenda accertare, anche d´ufficio, attraverso le strutture sanitarie pubbliche competenti, la persistente idoneità al servizio di un dipendente (cfr. art. 5, comma 3, l. n. 300/1970 e art. 15 d.P.R. n. 461/2001, provvedimento del Garante del 14 giugno 2007 "Linee guida in materia di trattamento di dati personali per finalità di gestione del rapporto di lavoro in ambito pubblico", consultabile su www.gpdp .it doc. web 1417809). Procedura che non è stata utilizzata nel caso segnalato". Inoltre, quanto argomentato circa la scusabilità del comportamento dell´operatore non consente di qualificare gli elementi costitutivi della disciplina sull´errore scusabile di cui all´art. 3 della legge n. 689/1981, atteso che l´errore sulla liceità del fatto, comunemente indicato come buona fede, può rilevare come causa di esclusione della responsabilità solo quando esso risulti incolpevole. A tal fine occorre, cioè, un elemento positivo idoneo ad indurre un errore siffatto, non ovviabile dall´interessato con l´ordinaria diligenza, elemento che non è riscontrabile nel caso di specie poiché il ruolo ricoperto dal soggetto terzo (Segretario Comunale) che ha effettuato la richiesta della documentazione idonea a rivelare lo stato di salute dell´interessata non può essere considerato elemento sufficiente a tal fine (Cass. civ. sez. VI del 2 ottobre 2015, n. 19759; Cass. civ. sez. lavoro del 12 luglio 2010, n. 16320; Cass. Civ. sez. II del 13 marzo 2006, n. 5426);

- in ordine alla mancanza, nel caso di specie, del dolo specifico e della condizione obbiettiva di punibilità, necessari per il perfezionamento dell´illecito penale disciplinato dall´art. 167 del Codice, si evidenzia l´inconferenza di quanto dedotto dalla parte atteso che nel caso di specie è stata contestata la violazione amministrativa di cui all´art. 162, comma 2-bis del Codice che non individua direttamente la condotta sanzionata ma lo fa attraverso un rinvio all´art. 167 del Codice, il quale, a sua volta, rinvia ad una serie di disposizioni tra cui l´art. 23. Tale rinvio non implica, naturalmente, la valutazione in ordine alla sussistenza degli elementi tipici del reato di illecito trattamento di cui all´art. 167 del Codice, valutazione che, tra l´altro, compete all´autorità giudiziaria. Nel caso di specie, invece, è stata ritenuta applicabile la sola norma sanzionatoria amministrativa che qualifica l´elemento psicologico dell´illecito secondo la previsione dell´art. 3, comma 1, della l. n. 689/1981 (dolo o colpa), senza prevedere alcuna condizione obiettiva di punibilità;

RILEVATO, quindi, che l´Azienda ULSS 6 di Vicenza, sulla base delle considerazioni sopra richiamate, risulta aver commesso, in qualità di titolare del trattamento, ai sensi degli artt. 4, comma 1, lett. f) e 28 del Codice, la violazione delle disposizioni previste dagli artt. 23 e 162, comma 2-bis, e 167 del Codice, per aver comunicato al Comune di Arcugnano i dati personali idonei a rilevare lo stato di salute della reclamante, in assenza del prescritto consenso;

VISTO l´art. 162, comma 2-bis, del Codice che punisce le violazioni delle norme indicate nell´art. 167, tra le quali quelle di cui all´art. 23, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge n. 689/1981, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità con riferimento agli elementi dell´entità del pregiudizio o del pericolo e dell´intensità dell´elemento psicologico, la violazione risulta connotata da elementi specifici connessi alla natura sensibile dei dati trattati;

b) ai fini della valutazione dell´opera svolta dall´agente, risultano agli atti elementi idonei ad evidenziare un comportamento collaborativo della parte, una volta emersi gli indebiti trattamenti;

c) circa la personalità dell´autore della violazione, deve essere considerata la circostanza che l´Azienda ULSS 6 di Vicenza non risulta gravata da precedenti procedimenti sanzionatori definiti in via breve o a seguito di ordinanza ingiunzione;

d) in merito alle condizioni economiche dell´agente, si deve evidenziare che si tratta di un organismo sanitario pubblico;

RITENUTO, quindi, di dover determinare, ai sensi dell´art. 11 della legge n. 689/1981, l´ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 10.000,00 (diecimila);

VISTA la documentazione in atti;

VISTA la legge n. 689/1981, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Augusta Iannini;

ORDINA

all´Azienda Sanitaria ULSS 6 di Vicenza, in persona del legale rappresentante pro-tempore con sede in Vicenza, via Rodolfi n. 37, C.F. 02441500242, di pagare la somma di euro 10.000,00 (diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

al medesimo di pagare la somma di euro 10.000,00 (diecimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.