IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il dott. Antonello Soro, presidente, la dott.ssa Giovanna Bianchi Clerici e la prof.ssa Licia Califano, componenti, e il dott. Giuseppe Busia, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito Regolamento);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali (doc. web n. 1098801);

RELATORE la dott.ssa Giovanna Bianchi Clerici;

PREMESSO

1. L’istanza

Con nota del 29 maggio 2018, la sig.ra XX ha presentato un ricorso ai sensi degli artt. 145 e ss. del Codice, vigente al momento dei fatti oggetto dell’istanza, chiedendo di ottenere l’accesso ai dati sanitari che la riguardavano nei confronti dell’Istituto Nazionale della Previdenza Sociale-Direzione Provinciale di Brescia, di seguito “Istituto”, non avendo ricevuto riscontro alle richieste già formulate nei confronti dello stesso ai sensi della normativa sulla protezione dei dati personali.

2. L’attività istruttoria

L’Autorità, con nota del 31 luglio 2018, reiterata, in data 17 ottobre 2018, ai sensi dell’art. 157 del Codice, ha invitato l’Istituto, in qualità di titolare del trattamento, a valutare la possibilità di aderire alle richieste dell’interessata e a procedere, comunque, ad informarla circa le determinazioni adottate o che si sarebbe inteso adottare, allegando eventuale documentazione ed inviando contestualmente copia del riscontro anche a questa Autorità.

Considerato il mancato riscontro dell’Istituto entro il termine indicato (nonostante fosse stato rappresentato allo stesso che, in caso di inottemperanza all’invito, si sarebbe resa applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento) e rendendosi, pertanto, applicabile, ai sensi dell’art. 166, comma 2, del Codice, la predetta sanzione, è stata effettuata all’Istituto la prevista notifica, comunicando l’avvio del procedimento e invitandolo a inviare al Garante scritti difensivi o documenti e, eventualmente, a chiedere di essere audito dall’Autorità. (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24 novembre 1981) (atto del 25 gennaio 2019, prot. n. 2736/19, notificato in pari data mediante posta elettronica certificata).

L’Istituto, nell’ambito dei richiesti scritti difensivi, ha fornito riscontro all’Autorità (con nota del 22 febbraio 2019), evidenziando, peraltro, le varie fasi in cui la sig.ra XX era venuta in contatto con lo stesso. In particolare, il Direttore provinciale, XX, ha dichiarato che:

- “la richiesta (della sig.ra XX) è pervenuta in data 31 luglio in concomitanza con il periodo di maggior fruizione di assenze per ferie della gran parte del personale”;

- “la complessità e le dimensioni del tessuto produttivo si evidenziano anche sul fronte della gestione delle comunicazioni che dai vari e diversi canali messi a disposizione di aziende, professionisti, altre Amministrazioni e cittadini ci pervengono quotidianamente”, evidenziando il notevole numero di contatti telematici (circa 225000), potendo usufruire di 318 unità a disposizione nel 2018;

- l’Istituto “non ha riscontrato formalmente l’istanza ricevuta dalla sig.ra XX, ritenendo che la stessa fosse stata più volte messa a conoscenza di tutti i trattamenti che l’hanno riguardata e che, avendo a disposizione tutta la documentazione a corredo di un possibile ed eventuale ricorso nel caso il giudizio non fosse stato ritenuto idoneo, tale carteggio fosse pienamente considerato idoneo a soddisfare l’istanza di accesso. Nella sostanza non si è compreso quali fossero i documenti che la sig.ra lamentava di non aver ricevuto” ritenendosi che “i verbali trasmessi e tutta la restante corrispondenza contenessero anche le informazioni in ordine al Titolare del trattamento, alle modalità dei trattamenti e quanto altro afferente al diritto di accesso esercitato”.

Alla citata nota del 22 febbraio, è stata, altresì, allegata una comunicazione del Responsabile della Protezione Dati, il quale, oltre a quanto già rappresentato dal Direttore provinciale, nell’esprimere rammarico per il mancato riscontro da parte dell’Istituto, ha dichiarato che:

- “circa il rilascio di documentazione medica, l’INPS ha agito secondo le regole imposte dal procedimento amministrativo di cui alla prestazione richiesta dalla sig.ra XX; infatti, più in dettaglio, si rileva che la documentazione cartacea presentata dalla signora in sede di visita (…), è resa visibile al solo personale sanitario e, nel caso di eventuale necessità di trattenere tutta o parte della documentazione medica presentata, questa viene acquisita in copia dalla Commissione e, di conseguenza, inserita nel fascicolo sanitario personale ed archiviata in maniera tale che non possa essere consultata se non dal personale sanitario di sede a ciò autorizzato e per le finalità connesse al procedimento in corso”;

- “in ogni caso, si ritiene che l’acquisizione di documentazione inerente al procedimento amministrativo (…) sia da richiedere nell’ambito dell’esercizio del diritto di accesso ai documenti amministrativi, di cui alla legge n. 241/90 e ss. m. e i., con le modalità in esso indicate, e non già attraverso lo strumento della proposizione dell’istanza di accesso ai dati personali di cui all’art. 7 del d.lgs. n. 196/2003”.

Il medesimo Istituto, con successiva nota del 29 marzo 2019, trasmessa anche al Garante, ha fornito alla Sig.ra XX le informazioni richieste, facendole altresì presente la possibilità di “richiedere, senza alcun onere, il PIN che l’INPS ha attivato e che Le consentirà di accedere, tramite il sito istituzionale, a tutte le informazioni che La riguardano, ivi comprese quelle riguardanti lo stato di eventuali prestazioni richieste”. L’Istituto ha, altresì, trasmesso ulteriori successive note di riscontro alla sig.ra XX, al fine di soddisfare le sue richieste e di chiarire i disguidi creatisi (12 dicembre 2019, 22 gennaio 2020 e 12 febbraio 2020).

Preso atto delle dichiarazioni dell’Istituto (che confermava di non aver fornito, prima dell’invito dell’Ufficio, le informazioni relative all’azione intrapresa dalla sig.ra XX, riguardo a una sua richiesta ai sensi dell’art. 15 del Regolamento), l’Ufficio, con atto del 22 maggio 2019, prot. n. 17163, notificato in pari data mediante posta elettronica certificata, che qui deve intendersi integralmente riprodotto, ha avviato, ai sensi dell’art. 166, comma 5, del Codice, questa volta, con riferimento al mancato riscontro alle richieste formulate dall’interessata in merito all’esercizio dei diritti, un procedimento per l’adozione delle misure correttive di cui all’art. 58, par. 2, del Regolamento nei confronti dell’Istituto, invitando nuovamente lo stesso a inviare al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità. L’Istituto non ha prodotto alcun documento al riguardo.

3. La normativa in materia di protezione dei dati personali

In via preliminare, si rappresenta che a partire dal 25 maggio 2018 è divenuto applicabile il Regolamento che ha reso necessario l’adeguamento del quadro normativo nazionale esistente in materia; l’Autorità, in virtù della diretta applicabilità del Regolamento ed in attesa dell’intervento del legislatore nazionale, ha disposto, con provvedimento del 31 maggio 2018 (doc. web n. 8997237), la disapplicazione, a partire dalla predetta data, delle norme relative al procedimento su ricorso contenute nel Codice in quanto ritenute incompatibili con le disposizioni relative ai reclami di cui agli artt. 77 ss. del Regolamento stesso. L’Ufficio, con nota del 31 luglio 2018, ha rappresentato all'interessato gli effetti dell’intervenuto mutamento del quadro normativo; pertanto l’atto presentato viene deciso secondo le disposizioni applicabili al procedimento su reclamo attualmente contenute nell’art. 77 del Regolamento, nonché nell'art. 143 del Codice novellato - oltreché nel regolamento interno n. 1/2007 - per la parte compatibile con il nuovo quadro normativo; l’Ufficio ha provveduto, con successiva nota interna del 17 ottobre 2018, a disporre la restituzione dei diritti di segreteria già versati dall’interessata per la presentazione del ricorso, tenuto conto della gratuità del reclamo espressamente prevista dal Regolamento (cfr. art. 57, par. 3, Regolamento).

Con riferimento ai fatti oggetto dell’istanza, si rappresenta che la disciplina in materia di protezione dei dati personali prevede il diritto dell'interessato di ottenere dal titolare del trattamento l’accesso ai dati personali e a specifiche informazioni sul trattamento dei dati allo stesso riferiti (cfr. art. 15 e ss. del Regolamento e Considerando n. 63 e artt. 7 e ss. del Codice in materia di protezione dei dati personali, prima delle modifiche apportate allo stesso dal d.lgs. 10 agosto 2018, n. 101).

Al riguardo, per la determinazione della norma applicabile, sotto il profilo temporale, deve essere richiamato in particolare il principio di legalità di cui all’art. 1, comma 2, della l. n. 689/1981 che sancisce come «Le leggi che prevedono sanzioni amministrative si applicano soltanto nei casi e nei tempi in esse considerati». Ciò determina l’obbligo di prendere in considerazione le disposizioni vigenti al momento della commessa violazione, che nel caso in esame deve essere individuato all’atto in cui si è realizzata la condotta omissiva illecita, verificatasi anteriormente alla data del 25 maggio 2018 in cui il Regolamento è divenuto applicabile. Dagli atti dell’istruttoria è, infatti, emerso che la richiesta di accesso da parte della Sig.ra XX è stata effettuata il 16 aprile 2018 e sollecitata l’8 e il 9 maggio 2018 e che alla stessa il titolare avrebbe dovuto fornire riscontro entro quindici giorni dal suo ricevimento (art. 146, comma 2, del Codice, nella versione antecedente alla riformulazione del medesimo operata a mezzo del d.lgs. n. 101/2018). Pertanto, ai trattamenti di dati personali in esame si applica il Codice, nella descritta versione antecedente al d.lgs. n. 101/2018, il quale non prevedeva che la violazione delle disposizioni di cui agli artt. 7 e ss. fosse punita da alcuna sanzione amministrativa.

Sotto altro profilo, invece, la condotta omissiva dell’Istituto rispetto all’obbligo di assicurare riscontro alle richieste dell’Autorità di fornire informazioni e di esibire documenti, ai sensi dell’art. 157 del Codice e nell’ambito dei poteri di cui all’art. 58 del Regolamento è stata posta in essere nel novembre 2018, epoca nella quale il Regolamento era pienamente applicabile e il Codice era già stato modificato dal d.lgs. n. 101/2018.

4. Esito dell’istruttoria

Premesso che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell’art. 168 del Codice (“Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”), all’esito dell’esame della documentazione acquisita nonché delle dichiarazioni rese all’Autorità nel corso del procedimento che, di fatto, nell’evidenziare il carattere colposo della violazione, riconoscono le carenze contestate, emerge che l’Istituto con la propria condotta ha violato gli artt. 7 e ss. del Codice (nella versione antecedete alle modifiche apportate dal d.lgs. n. 101/2018), avendo fornito riscontro all’istanza di accesso della reclamante solo a seguito dell’invito, da parte dell’Ufficio del Garante, ad aderire alle sue richieste, nonché l’art. 157 del Codice (nella versione successiva al decreto 101), non avendo ottemperato all’invito del Garante di fornire informazioni, nei termini dallo stesso indicato.

5. Conclusioni

Alla luce delle valutazioni sopra richiamate, si ritiene che, limitatamente al profilo avente ad oggetto la condotta relativa al mancato riscontro all’istanza di accesso ai dati formulata ai sensi degli artt. 7 e ss. del Codice, si debba disporre l’archiviazione del procedimento sanzionatorio amministrativo, tenuto conto, per le ragioni sopra esposte, dell’applicabilità del Codice, nella versione antecedente alle modifiche apportate dal d.lgs. n. 101/2018, che non prevedeva che la violazione delle disposizioni di cui agli artt. 7 e ss. fosse punita da sanzione amministrativa.

Diversamente, si rappresenta che gli elementi forniti dal titolare del trattamento nelle memorie difensive in relazione alla condotta relativa all’inottemperanza all’invito del Garante a fornire le informazioni richieste, ai sensi dell’art. 157 del Codice, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Pertanto, in relazione a tale ultima violazione, si confermano le valutazioni preliminari dell’Ufficio e si rileva la violazione dell’art. 157 del Codice, per non aver l’Istituto dato riscontro all’invito del Garante a fornire le informazioni richieste, entro la data indicata dalla stessa Autorità, nell’ambito dei poteri di cui all’art. 58 del Regolamento.

In relazione alla predetta condotta avente ad oggetto l’inottemperanza all’invito del Garante a fornire le informazioni richieste, ai sensi dell’art. 157 del Codice, si fa presente che la violazione dell’art. 157 del Codice, causata dalla condotta posta in essere dall’Istituto, è soggetta all’applicazione della sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 5, lett. a) del Regolamento.

Il Garante, ai sensi degli artt. 58, par. 2, lett. i), 83 del Regolamento, nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

La predetta sanzione amministrativa pecuniaria in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento, rispetto ai quali, rileva, da un canto, il carattere colposo della violazione, la rappresentata carenza di organico dell’Ufficio e il fatto che non sussistono precedenti violazioni dello stesso tipo commesse in precedenza e, dall’altro, il fatto che l’inottemperanza all’invito del Garante a fornire le informazioni richieste ha determinato un aggravio del procedimento con conseguente allungamento dei tempi dello stesso.

In ragione dei suddetti elementi, valutati nel loro complesso, anche ai sensi dell’art. 83, par. 2 del Regolamento, si ritiene, di determinare l’ammontare della sanzione pecuniaria prevista dall’art. 83, par. 5) del Regolamento, nella misura di euro 5.000,00 (cinquemila) per la violazione dell’art. 157 del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del medesimo Regolamento, effettiva, proporzionata e dissuasiva.

In relazione alle specifiche circostanze del presente caso, si ritiene che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si ritiene, altresì, che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

a) dispone l’archiviazione del procedimento sanzionatorio amministrativo di cui alla notifica della violazione effettuata ai sensi dell’art. 166, comma 5, del Codice, limitatamente alla contestata violazione del mancato riscontro alla richiesta in materia di esercizio dei diritti, per le ragioni di cui in motivazione;

b) ai sensi dell’art. 57, par. 1, lett. f) del Regolamento, dichiara illecita la condotta tenuta dal dall’Istituto Nazionale della Previdenza Sociale-Direzione Provinciale di Brescia, per aver violato l’art. 157 del Codice, omettendo di fornire riscontro alla richiesta di informazioni formulata dal Garante, nei termini indicati da quest’ultimo;

ORDINA

all’Istituto Nazionale della Previdenza Sociale-Direzione Provinciale di Brescia, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché 166 del Codice, di pagare la somma di euro 5.000,00 (cinquemila) a titolo di sanzione amministrativa pecuniaria per la violazione dell’art. 157 del Codice;

INGIUNGE

al medesimo Istituto di pagare la somma di euro 5.000,00 (cinquemila) secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981.

Ai sensi dell’art. 166, comma 8, del Codice, avvisa il predetto Istituto che «entro il termine di cui all’articolo 10, comma 3, del decreto legislativo n. 150 del 2011 previsto per la proposizione del ricorso, il trasgressore e gli obbligati in solido possono definire la controversia adeguandosi alle prescrizioni del Garante, ove impartite, e mediante il pagamento di un importo pari alla metà della sanzione irrogata».

DISPONE

ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione del presente provvedimento sul sito web del Garante e ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.