IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il prof. Pasquale Stanzione;

PREMESSO

1. Il reclamo.

Con reclamo del XX, il Sig. XX ha rappresentato di aver esercitato “XX […] i diritti di cui agli artt. da 15 a 22 del Regolamento […] [nei confronti dell’] Ordine Provinciale di Roma dei Medici Chirurghi e degli Odontoiatri (di seguito, l’”Ordine”) [, non avendo, tuttavia,] ricevuto risposta alcuna”.

In particolare, con e-mail del XX, l’interessato aveva chiesto all’Ordine di ottenere “conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e che riguardano le [proprie] figlie [minorenni] […] [, nonché] in caso di conferma, […] l'accesso a tali dati, una copia degli stessi, e tutte le informazioni previste alle lettere da a) a h) dell’art. 15, paragrafo 1, del Regolamento (UE) 2016/679”.

2. L’attività istruttoria.

Con nota del XX (prot. n. XX), il Garante ha invitato l’Ordine ad aderire alla richiesta di esercizio dei diritti dell’interessato entro e non oltre venti giorni dalla data della medesima nota, procedendo a informare lo stesso e l’Autorità circa le determinazioni adottate.

Con nota del XX, l’Ordine ha dichiarato, in particolare, che:

“[…] tutti i dati personali del [reclamante] e delle Sue figlie in possesso dell’[Ordine] sono stat[i] fornit[i] dallo stesso con […] vari esposti [presentati nei confronti di medici iscritti all’Ordine] e sono trattati dall’[Ordine] funzionalmente agli esposti dallo stesso notificati [, risultando] evidente che qualsiasi dato personale oggetto di trattamento da parte dell’Ordine […] è stato fornito proprio dall’istante […]”;

“[…] la richiesta del [reclamante] appare fuori luogo, [concretizzandosi in] un abusivo esercizio dei diritti di cui alla normativa [in materia di protezione dei dati], sia sotto il profilo soggettivo, oggettivo che funzionale. Il [reclamante], infatti, non solo era a conoscenza che l’[Ordine] era in possesso dei dati personali suoi e delle figlie, dal momento che aveva fornito lui stesso i dati personali, ma che lo stesso [Ordine] li stava trattando proprio a seguito delle Sue espresse istanze/denunce per i procedimenti disciplinari”;

“discende, quindi, che nessun obbligo di risposta, ulteriore rispetto a quelle già inviate al [reclamante], sussisteva e sussiste […] a carico [dell’Ordine] […]”;

“[…] trattandosi di procedimenti disciplinari non ancora conclusi non è possibile consentire e/o rilasciare copie degli atti facenti parte degli stessi, ultronei rispetto a quelli consegnati dal [reclamante], dal momento che lo stesso procedimento risulta essere ancora in fase istruttoria […]”;

“[premesso che] […] la richiesta [del reclamante] oltre ad essere formalmente generica (essendo costituita, con tutta evidenza, dalla mera enunciazione dei diritti in astratto riconosciuti da parte del GDPR all’interessato nei confronti del titolare del trattamento dei dati) e non ancorata ad alcun presupposto oggettivo, sul piano sostanziale risulta avere ad oggetto i dati spontaneamente comunicati dall’istante per le finalità di cui al proprio esposto, l’[Ordine] si rende, comunque, disponibile, previo appuntamento con gli Uffici competenti, a consentire al [reclamante] l’accesso a tali dati”.

Sulla base degli elementi acquisiti, anche attraverso la documentazione inviata e i fatti emersi nel corso dell’attività istruttoria, l’Ufficio ha notificato all’Ordine (nota prot. n. XX del XX), in qualità di titolare del trattamento, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, avente ad oggetto la presunta violazione degli artt. 12, parr. 1, 3, 4 e 5, e 15 del Regolamento, invitando l’Ordine a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla l. n. 689 del 24 novembre 1981).

Nelle proprie memorie difensive, pervenute con nota del XX (acquisita al prot. n. XX), l’Ordine ha rappresentato, in particolare, che:

“in data XX, il [reclamante] inviava [all’] Ordine due distinte richieste di informazioni e accesso agli atti. In particolare, veniva richiesto, con una prima istanza (prot. n. XX del XX), l’accesso agli atti in forza della L. 241/1990 al fine di visionare e prendere copia di tutti i documenti relativi ai fascicoli di n. 2 esposti presentati il XX e del XX, dallo stesso istante nei confronti di due iscritti all’[…] Ordine. Il medesimo giorno, il [reclamante] inoltrava un’ulteriore richiesta, (prot. n. XX del XX), di esercizio dei diritti in materia di protezione dei dati personali (artt. dal 15 al 22 del Regolamento) […]”;

“nello specifico il [reclamante], oltre a reiterare la richiesta di accesso ai propri dati personali e a quelli delle sue figlie, richiedeva conferma di un eventuale trattamento dei suddetti dati personali e, in caso affermativo, di estrarre una copia degli stessi”;

“con nota del XX (prot. n. XX), l’Ordine, in risposta alla prima richiesta di accesso agli atti ([…] in forza della L. n. 241/1990), comunicava al [reclamante] la possibilità di esercitare il suo diritto di accesso, previo appuntamento, al fine di prendere visione dei documenti e di estrarne copia […]”;

“conseguentemente, veniva fissato […] un appuntamento per il giorno XX presso la sede dell’Ordine, ma [il reclamante], senza giustificato motivo, non si presentava […]”;

“con nota del XX, [l’Ordine] […] [, riscontrando l’invito del Garante,] ribadiva la propria disponibilità a consentire l’accesso ai dati contestualmente a quello documentale, previo appuntamento con gli Uffici competenti”;

“con nota del XX [il reclamante] contestava la suindicata nota, sottolineando la tardività e l’incompletezza della risposta del XX […]”;

l’Ordine ha “sempre dimostrato la volontà di collaborare e rendere effettivo l’esercizio del diritto di accesso, lato sensu inteso, ai dati personali a seguito delle istanze del [reclamante] […] considerato che l’esibizione e/o la consegna della documentazione estratta a seguito delle richieste di accesso documentale può costituire una modalità di adempimento adeguata per corrispondere alla diversa e ulteriore richiesta di accesso ai dati da parte dell’interessato”;

“[…] l’Ordine […] immediatamente rispondeva alla prima richiesta pervenuta da parte dell’istante (nota del XX, prot. n. XX); tale circostanza appare dirimente poiché l’esercizio del diritto di accesso avrebbe comportato anche l’evasione della seconda richiesta (nota del XX, prot. n. XX), implicitamente soddisfatta, seppure non mediante modalità telematica”;

“[…] la contestuale ricezione di due distinte (e ancipiti) istanze del [reclamante], solo formalmente diverse ma afferenti ambedue ai procedimenti disciplinari a carico dei sanitari dallo stesso segnalati, [può] aver comportato un “malinteso” tra i soggetti interessati”;

“con comunicazione informatica del XX (prot. n. XX), sono stati forniti all’istante i dati e le informazioni richieste, come sollecitato dall’Autorità Garante”;

“la presunta violazione commessa [dall’Ordine], sarebbe comunque ascrivibile ad una responsabilità colposa, quale conseguenza delle due istanze formulate dall’esponente in pari data, che hanno indotto in errore l’Amministrazione procedente”;

“la mancata risposta all’istanza dell’interessato deriva dall’eccessiva mole di richieste di accesso, soprattutto ex art. 22 Legge 241 del 1990” (all. 8 alla nota del XX);

“nessuna conseguenza dannosa appare riscontrabile in capo all’interessato, neppure indirettamente” (all. 8 alla nota del XX).

3. Esito dell’attività istruttoria.

3.1. La normativa in materia di protezione dei dati.

Ai sensi dell’art. 15, parr. 1 e 3, del Regolamento, “l'interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l'accesso ai dati personali e [a talune] informazioni” indicate nel medesimo articolo, e “il titolare del trattamento [è tenuto a fornire] una copia dei dati personali oggetto di trattamento”.

L’art. 12, par. 3, del Regolamento prevede che “il titolare del trattamento [debba fornire] all'interessato le informazioni relative all'azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa”.

Se le richieste dell'interessato “sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può […] b) rifiutare di soddisfare la richiesta. Incombe al titolare del trattamento l'onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta” (art. 12, par. 5, del Regolamento).

In ogni caso, se non ottempera alla richiesta dell’interessato, il titolare del trattamento deve informare “l'interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo e di proporre ricorso giurisdizionale” (art. 12, par. 4, del Regolamento).

Il titolare è tenuto ad adottare “misure appropriate per fornire all'interessato tutte le […] comunicazioni di cui agli articoli da 15 a 22 […]” (art. 12, par. 1, del Regolamento).

3.2 Il mancato riscontro alla richiesta di esercizio dei diritti dell’interessato.

Nel caso di specie, l’Ordine non ha dato riscontro, entro il termine previsto dall’art. 12, par. 3, del Regolamento, alla richiesta di accesso ai dati personali, presentata dall’interessato, ai sensi dell’art. 15 del Regolamento, in data XX.

Quanto al riscontro fornito successivamente all’invito, formulato dal Garante, ad aderire alle richieste dell’interessato, si osserva che l’Ordine non ha comunque fornito i dati e le informazioni richiesti dall’interessato. Nel corso dell’istruttorio, l’Ordine ha, infatti, inizialmente sostenuto che la richiesta dell’interessato del XX “appare fuori luogo”, “formalmente generica” e “non ancorata ad alcun presupposto oggettivo”, sostanziandosi in “un abusivo esercizio dei diritti di cui alla normativa menzionata, sia sotto il profilo soggettivo, oggettivo che funzionale”, atteso che “gli unici dati personali di cui l’[Ordine] ha avuto conoscenza sono quelli comunicati direttamente dall’istante negli esposti presentati”, e che “trattandosi di procedimenti disciplinari non ancora conclusi non è possibile consentire e/o rilasciare copie degli atti facenti parte degli stessi, ultronei rispetto a quelli consegnati dal [reclamante]” (nota del XX).

A tal riguardo, si rileva che l’istanza formulata dall’interessato non può ritenersi “manifestamente infondata” (art. 12, par. 5, del Regolamento), atteso che la normativa in materia di dati personali non richiede che l’interessato debba motivare la propria richiesta di accedere ai dati che lo riguardano, ben potendo il diritto di accesso essere esercitato anche con riguardo ai dati personali che sono stati forniti al titolare del trattamento direttamente dall’interessato, potendo lo stesso avere, ad esempio, interesse a verificare che i propri dati siano esatti e aggiornati (cfr. art. 5, par. 1, lett. d) del Regolamento).

In merito alla circostanza che l’Ordine fosse impossibilitato a fornire dati ulteriori rispetto a quelli consegnati dallo stesso interessato, in quanto i procedimenti disciplinari in questione non sarebbero stati ancora conclusi, si osserva che l’Ordine non ha addotto alcun argomento giuridico volto a comprovare tale circostanza, con particolare riguardo alla sussistenza di uno dei casi previsti dalla normativa in materia di protezione dei dati in cui è ammessa una limitazione all’esercizio dei diritti di cui agli artt. 15-22 del Regolamento (cfr. artt. 15, par. 4, del Regolamento e art. 2-undecies del Codice).

Né, tantomeno, l’istanza dell’interessato poteva ritenersi “manifestamente […] eccessiv[a], in particolare per il [suo] carattere ripetitivo” (art. 12, par. 5, del Regolamento), atteso che dagli atti non risulta che l’interessato avesse presentato analoghe e reiterate istanze all’Ordine prima del XX.

Peraltro, l’interessato aveva chiesto non soltanto l’accesso ai propri dati personali ma anche l’ottenimento delle informazioni di cui all’art. 15, par. 1, del Regolamento, in relazione alle quali non sussistono, in ogni caso, ragioni ostative all’accoglimento dell’istanza. Tuttavia, nemmeno tali informazioni sono state fornite né a seguito dell’istanza dell’interessato né in ragione dell’invito formulato dall’Autorità.

L’Ordine non ha poi, comunque, informato l'interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell'inottemperanza (ovvero dell’asserito carattere manifestamente infondato o eccessivo della richiesta, nonché dei motivi che avrebbero impedito l’accesso ai dati nel corso dei procedimenti disciplinari) e della possibilità di proporre reclamo a un'autorità di controllo, nonché di proporre ricorso giurisdizionale, così come richiesto dall’art. 12, par. 4, del Regolamento.

Successivamente alla ricezione della contestazione amministrativa, l’Ordine ha parzialmente rettificato la propria tesi difensiva, sostenendo che, avendo l’interessato presentato una richiesta di accesso documentale ai sensi della l. 7 agosto 1990, n. 241 il medesimo giorno in cui egli aveva presentato l’istanza di esercizio del diritto di accesso ai sensi dell’art. 15 del Regolamento, la consegna della documentazione estratta a seguito della richiesta di accesso documentale avrebbe implicitamente comportato anche il soddisfacimento della richiesta di accesso ai dati personali.

Al riguardo si osserva, anzitutto, che non è provato che i dati personali relativi all’interessato e alle proprie figlie minorenni, in possesso dell’Ordine, coincidessero interamente con quelli contenuti nei documenti oggetto della richiesta di accesso documentale, atteso che lo stesso Ordine, nel corso dell’istruttoria, ha dichiarato, come sopra menzionato, di essere in possesso di dati ulteriori rispetto a quelli consegnati dall’interessato, rispetto ai quali, ad avviso dell’Ordine, non si sarebbe potuto concedere il diritto di accesso, essendo i procedimenti disciplinari ancora in corso.

In ogni caso, anche assumendo che i dati personali relativi all’interessato e alle proprie figlie coincidessero interamente con quelli contenuti nei documenti amministrativi oggetto della richiesta di accesso documentale, l’Ordine avrebbe comunque dovuto separatamente riscontrare l’istanza di esercizio del diritto di accesso ai dati personali entro i termini previsti dal Regolamento, confermando di non detenere dati personali ulteriori rispetto a quelli contenuti nei predetti documenti ed eventualmente già consegnati all’interessato, nonché fornendo, in ogni caso, le informazioni di cui all’art. 15, par. 1, del Regolamento.

Inoltre, nel corso dell’istruttoria è emerso che la consegna dei documenti oggetto della richiesta di accesso documentale non ha comunque avuto luogo, ancorché, secondo l’Ordine, per fatto imputabile all’istante. L’Ordine avrebbe, pertanto, dovuto soddisfare la separata richiesta di accesso ai dati personali e alle informazioni sul trattamento, entro il termine previsto dal Regolamento, valutando, in tale contesto, se fornire i dati personali in maniera disaggregata oppure mediante esibizione di copia della documentazione in cui essi risultavano incorporati. D’altra parte, l’Ordine ha riconosciuto che la due richieste dell’interessato, presentate il medesimo giorno, “hanno indotto in errore l’Amministrazione procedente” e che “la mancata risposta all’istanza dell’interessato deriva [anche] dall’eccessiva mole di richieste di accesso, soprattutto ex art. 22 Legge 241 del 1990”.

Peraltro, anche a seguito dell’invito del Garante ad aderire alla richiesta di accesso dell’interessato, l’Ordine si è limitato a rendersi “disponibile, previo appuntamento con gli Uffici competenti, a consentire al [reclamante] l’accesso a tali dati”, in maniera non conforme a quanto previsto dall’art. 12, par. 3, del Regolamento, ai sensi del quale “se l'interessato [, come nel caso di specie,] presenta la richiesta mediante mezzi elettronici, le informazioni [devono essere] fornite, ove possibile, con mezzi elettronici, salvo diversa indicazione dell'interessato” (art. 12, par. 3, del Regolamento). L’Ordine non ha, tuttavia, comprovato in alcun modo l’impossibilità di poter fornire con mezzi elettronici quanto richiesto dall’interessato a mezzo posta elettronica, né risulta che l’interessato avesse dato una specifica indicazione in tal senso.

Da ultimo, con riguardo alla comunicazione prot. n. XX del XX (sub all. 7 alla nota del XX), con la quale, ad avviso dell’Ordine, “sono stati forniti all’istante i dati e le informazioni richieste, come sollecitato dall’Autorità Garante”, si osserva che, contrariamente a quanto sostenuto dall’Ordine, con tale nota sono state fornite all’interessato esclusivamente le informazioni di cui all’art. 15, par. 1, del Regolamento, avendo, peraltro, l’Ordine comunque omesso di informare l’interessato in merito all’”esistenza del diritto dell'interessato di chiedere al titolare del trattamento la rettifica o la cancellazione dei dati personali o la limitazione del trattamento dei dati personali che lo riguardano o di opporsi al loro trattamento” (lett. e)) e al “diritto di proporre reclamo a un'autorità di controllo” (lett. f)). Non è, pertanto, stata fornita alcuna prova del fatto che l’Ordine abbia effettivamente fornito riscontro all’interessato anche in merito alla richiesta di ottenere “una copia dei dati personali oggetto di trattamento” (art. 15, par. 3, del Regolamento).

Alla luce delle considerazioni che precedono, dalla documentazione in atti e dalle dichiarazioni rese nel corso dell’istruttoria risulta che l’Ordine non ha fornito riscontro - nei modi e nei tempi previsti dalla normativa in materia di protezione dei dati - alla richiesta dell’interessato di esercitare il diritto di accesso ai dati personali propri e delle proprie figlie minorenni, non ha informato l’interessato dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo, nonché di proporre ricorso giurisdizionale, e, anche a seguito dell’invito formulato dal Garante, ha fornito all’interessato, peraltro in maniera incompleta, le informazioni di cui all’art. 15, par. 1, del Regolamento soltanto in data XX, ben oltre il termine indicato dall’Autorità, non avendo, altresì, provato di aver fornito all’interessato copia dei dati personali relativi a lui e alle proprie figlie minorenni, avendo agito, pertanto, in violazione degli artt. 12 e 15 del Regolamento.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Pertanto, si confermano le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dall’Ordine, il quale ha agito in violazione degli artt. 12 e 15 del Regolamento.

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento medesimo.

5. Misure correttive (art. 58, par. 2, lett. c), del Regolamento).

L’art. 58, par. 2, lett. c), del Regolamento prevede che il Garante ha i poteri correttivi di “ingiungere al titolare del trattamento o al responsabile del trattamento di soddisfare le richieste dell'interessato di esercitare i diritti loro derivanti dal […] regolamento”.

Prendendo atto di quanto emerso in fase di istruttoria e tenendo conto della circostanza che l’Ordine né ha provato di avere fornito all’interessato copia dei dati personali oggetto della richiesta di accesso né ha esposto motivi in fatto o in diritto ostativi all’accoglimento della stessa, si rende necessario, ai sensi degli artt. 12, parr.1 e 3, 15, parr. 1 e 3, e 58, par. 2, lett. c), del Regolamento, ingiungere all’Ordine, ove non vi abbia già provveduto, di fornire all’interessato, entro trenta giorni dalla notifica del presente provvedimento, copia dei dati personali propri e delle proprie figlie minorenni, fornendo, altresì, al Garante, entro il medesimo termine, ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, un riscontro adeguatamente documentato in merito alle iniziative intraprese al fine di dare attuazione a quanto ordinato, o, alternativamente, entro il medesimo termine, ai sensi degli artt. 12, parr. 1 e 3, 15, 58, par. 1, lett. a), del Regolamento e 157 del Codice, di informare l’Autorità e il reclamante, in merito all’eventuale sussistenza di motivi in fatto o in diritto ostativi alla possibilità di accogliere detta richiesta, fornendo un riscontro adeguatamente documentato.

Resta fermo che spetta all’Ordine, in qualità di titolare del trattamento, verificare la sussistenza dei presupposti previsti dalla legge ai fini dell’eventuale accoglimento (cfr., in particolare, artt. 12, par. 6, e 15, par. 4, del Regolamento e 2-undecies del Codice, nonché, anche tenuto conto dello specifico contesto di riferimento, le norme che regolano l’esercizio della potestà genitoriale).

Nel caso in cui, invece, l’Ordine abbia già provveduto a fornire riscontro alla predetta richiesta dell’interessato, si rende necessario ingiungere all’Ordine, ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, di informare l’Autorità di tale circostanza, fornendo, entro il medesimo termine sopra indicato, un riscontro adeguatamente documentato.

6. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, la violazione delle disposizioni citate è soggetta all’applicazione della stessa sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

In relazione ai predetti elementi, è stato considerato il lasso di tempo intercorso tra la data in cui l’interessato ha esercitato i propri diritti (XX) e quella in cui l’Ordine ha fornito riscontro, seppur tardivamente e parzialmente, alla richiesta dell’interessato di ottenere le informazioni di cui all’art. 15, par. 1, del Regolamento (XX). È stato, inoltre, considerato l’insufficiente grado di cooperazione dell’Ordine con l'Autorità al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi, essendosi l’Ordine limitato, entro il termine indicato dal Garante, a rendersi meramente “disponibile, previo appuntamento con gli Uffici competenti, a consentire al [reclamante] l’accesso a tali dati”.

Di contro, si è tenuto in considerazione che l’Ordine, seppur tardivamente e parzialmente, ha fornito riscontro alla richiesta dell’interessato di ottenere le informazioni di cui all’art. 15, par. 1, del Regolamento. Non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 5.000,00 (cinquemila) per la violazione degli artt. 12 e 15 del Regolamento, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Tenuto conto che l’Ordine ha riscontrato solo parzialmente e con notevole ritardo la richiesta dell’interessato, si ritiene altresì che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, dichiara illecita la condotta tenuta dall’Ordine Provinciale di Roma dei Medici Chirurghi e degli Odontoiatri, consistente nella violazione degli artt. 12 e 15 del Regolamento, nei termini di cui in motivazione;

ORDINA

all’Ordine Provinciale di Roma dei Medici Chirurghi e degli Odontoiatri, in persona del legale rappresentante pro-tempore, con sede legale in Via Giovanni Battista De Rossi, 9 - 00161 Roma (RM), C.F. 02604980587, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 5, del Regolamento, di pagare la somma di euro 5.000,00 (cinquemila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione; si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di trenta giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al predetto Ordine:

a) di pagare la somma di euro 5.000,00 (cinquemila), in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, secondo le modalità indicate in allegato, entro trenta giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

b) ai sensi degli artt. 12, parr. 1 e 3, 15, parr. 1 e 3, e 58, par. 2, lett. c), del Regolamento, di fornire all’interessato, ove non vi abbia già provveduto, previa verifica in ordine alla sussistenza dei presupposti previsti dalla legge, entro trenta giorni dalla notifica del presente provvedimento, copia dei dati personali del reclamante e delle proprie figlie minorenni, fornendo, altresì, al Garante, entro il medesimo termine, ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, un riscontro adeguatamente documentato in merito alle iniziative intraprese al fine di dare attuazione a quanto ordinato;

c) alternativamente, entro il medesimo termine di cui alla precedente lett. b), ai sensi degli artt. 12, par. 3, 15, 58, par. 1, lett. a), del Regolamento e 157 del Codice, di informare l’Autorità e il reclamante, fornendo un riscontro adeguatamente documentato, in merito all’eventuale sussistenza di motivi in fatto o in diritto ostativi alla possibilità di accogliere la richiesta dell’interessato di ottenere copia dei predetti dati personali;

d) alternativamente, ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, nel caso in cui l’Ordine abbia già provveduto a fornire riscontro alla predetta richiesta dell’interessato, di informare l’Autorità di tale circostanza, fornendo, entro il medesimo termine sopra indicato, un riscontro adeguatamente documentato.

DISPONE

ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione del presente provvedimento sul sito web del Garante, ritenendo che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019;

l’annotazione del presente provvedimento nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento, delle violazioni e delle misure adottate in conformità all'art. 58, par. 2, del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Fonte > Garante