g-docweb-display Portlet

Ordinanza di ingiunzione nei confronti di Liguria Radiologia s.r.l - 20 marzo 2014 [3106520]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 3106520]

Ordinanza di ingiunzione nei confronti di Liguria Radiologia s.r.l - 20 marzo 2014

Registro dei provvedimenti
n. 138 del 20 marzo 2014

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano, componente e del dott. Giuseppe Busia, segretario generale;

RILEVATO che, a seguito di una segnalazione pervenuta in data 29 settembre 2009 da parte del Coordinamento di Associazione per la tutela dell´ambiente e dei diritti di utenti e consumatori - Codacons, con cui veniva lamentata una presunta violazione della disciplina in materia di protezione dei dati personali da parte dello Studio Radiologico Essepi sas (di seguito "Studio") che nei moduli di informativa e di acquisizione del consenso, in uso presso il proprio studio, avrebbe previsto la comunicazione dei dati personali dei pazienti ad una serie di soggetti residenti in Italia e all´estero, tra cui società di assicurazione, banche ed istituti di credito, veniva formulata una richiesta di informazione (prot. n. 28017 del 23 dicembre 2009) al fine di acquisire informazioni utili alla valutazione del caso;

CONSIDERATO che, sulla base del riscontro fornito con la nota del 20 gennaio 2010,  con cui lo Studio precisava le modalità e i termini della comunicazione dei dati dei pazienti a terzi, e tenuto conto della documentazione successivamente pervenuta, relativa alle modifiche apportate ai moduli recanti l´informativa, l´Autorità ha adottato in data 15 marzo 2012 un provvedimento (che qui deve intendersi integralmente richiamato) nei confronti dello Studio Radiologico Essepi sas, ai sensi degli artt. 143, comma 1, lett. b) e c), e 154, comma 1, lett. c) e d) del d.lgs. 30 giugno 2003 n. 196, recante il Codice in materia di protezione dei dati personali (di seguito "Codice"), con cui è stato dichiarato illecito il trattamento dei dati personali dei pazienti effettuato mediante un´informativa inidonea e sulla base di un consenso non validamente prestato;

VISTO il verbale n. 9811/65839 del 16 aprile 2012 con cui, sulla base del provvedimento, è stata contestata a Liguria Radiologia s.r.l., società incorporante Studio Radiologico Essepi sas, con sede in Savona, Via Pirandello n. 1/R, P.I. 03387180106, in persona del legale rappresentante pro tempore, la violazione di cui agli artt. 161 e 162, comma 2-bis, del Codice, in relazione agli artt. 13 e 23, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge 24 novembre 1981 n. 689;

RILEVATO dal rapporto predisposto dall´Ufficio del Garante ai sensi dell´art. 17 della legge 24 novembre 1981 n. 689 che non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo, datato 14 giugno 2012, inviato ai sensi dell´art. 18 della legge 24 novembre 1981 n. 689, con cui la parte ha fatto presente di non aver avuto immediata conoscenza della contestazione di violazione amministrativa in quanto questa, a differenza delle altre comunicazioni del Garante e anche del provvedimento del 15 marzo 2012, è stata notificata mediante posta elettronica certificata (pec). A causa di tale ritardo, ha inteso far decorrere il termine previsto dall´art. 18 della legge n. 689/1981 per l´invio delle memorie difensive dal momento in cui per la prima volta ha avuto notizia della contestazione elevata a suo carico. Quanto, invece, alle violazioni che le sono state contestate, la parte ha dichiarato che il modello di informativa, "redatto ed utilizzato dalla società Studio Radiologico Essepi di Riba Ugo sas e, come tale, ereditato dalla società Studio Radiologico Essepi di Albani Alessio sas (poi incorporata da Liguria Radiologia srl)", deve ritenersi conforme alla disposizione dell´art. 13 del Codice, in quanto "l´unico aspetto oggetto di discussione (…) è stato (…) l´inserimento nel modello medesimo di una serie di soggetti terzi (quali fondi integrativi di assistenza sanitaria e/o compagnie di assicurazioni) destinatari - peraltro autorizzati - dei dati e delle prestazioni sanitarie richieste dall´interessato (…)", di cui tra l´altro ha ritenuto di aver fornito tutte le spiegazioni nel corso del procedimento. Con riferimento, invece, alla violazione di cui all´art. 162, comma 2-bis, la parte ha eccepito l´applicazione di tale norma che richiamerebbe la violazione dell´art. 33 del Codice e non quella dell´art. 23 relativa alla mancata acquisizione del consenso. Infine, ha rilevato di aver prontamente adottato tutte le modifiche prescritte dal Garante con il provvedimento del 15 marzo 2012;

LETTO il verbale di audizione, svoltasi in data 12 novembre 2012 ai sensi dell´art. 18 della legge 24 novembre 1981 n. 689, nel corso della quale la parte ha ribadito quanto già dichiarato nelle memorie difensive, precisando che la violazione dell´art. 23 deve ritenersi assorbita da quella dell´art. 13, in quanto la mancata acquisizione del consenso è collegata all´informativa, sottolineando, inoltre, che l´art. 162, comma 2-bis, in combinato disposto con l´art. 167, delinea una fattispecie di illecito penale che non è stato rilevato nel caso in esame;

RITENUTO che le argomentazioni addotte non risultano idonee ad escludere la responsabilità della società in relazione a quanto contestato; preso atto del motivo per il quale gli scritti difensivi sono stati inviati in ritardo e tenuto comunque conto delle argomentazioni ivi riportate ai fini dell´adozione del presente atto, si rileva che il modello recante l´informativa e l´acquisizione del consenso, utilizzato per raccogliere i dati di tutti i pazienti che accedono ai servizi sanitari offerti dallo Studio, presentava delle criticità che sono state puntualmente evidenziate nel provvedimento adottato dal Garante il 15 marzo 2012. Conseguentemente, sono state prescritte, con il citato provvedimento (che non è stato oggetto di impugnazione), le modifiche necessarie per rendere il trattamento conforme alle disposizioni del Codice. La circostanza che tale modello sia stato predisposto dallo Studio Radiologico Essepi sas e poi utilizzato dalla Liguria Radiologia srl, quale società incorporante, non vale ad escludere la responsabilità di quest´ultima rispetto alle violazioni contestate. Ciò sulla base dell´art. 2504-bis c.c., che prevede che la società risultante dalla fusione o quella incorporante assumono i diritti e gli obblighi delle società partecipanti alla fusione, proseguendo in tutti i loro rapporti, antecedenti alla fusione. Per quanto riguarda, invece, la violazione dell´art. 23 del Codice, risultano inconferenti le argomentazioni addotte, in quanto l´art. 162, comma 2-bis del Codice prevede espressamente l´applicazione di una sanzione amministrativa per la violazione non solo dell´art. 33, ma anche delle disposizioni contenute nell´art. 167, tra cui figura l´art. 23. Tale violazione, contrariamente a quanto sostenuto dalla parte, attiene ad una condotta tipica distinta da quella che si riferisce all´informativa. Con riferimento, invece, alle osservazioni fatte sul rapporto tra la fattispecie penale di cui all´art. 167 del Codice e quella amministrativa prevista dall´art. 162, comma 2-bis, occorre tener presente che quest´ultima ha introdotto una sanzione amministrativa che ricorre ogni qual volta viene violata una delle disposizioni contenute nell´art. 167 (tra cui anche l´art. 23) e "in ogni caso", ovvero a prescindere dalle condizioni specifiche richieste dalla norma penale, che sono il dolo specifico e la condizione obiettiva di punibilità (nocumento) la cui eventuale sussistenza, non rilevata nel caso di specie, rende la condotta suscettibile di valutazione anche in capo penale;

RILEVATO, quindi, che Liguria Radiologia s.r.l. ha effettuato un trattamento di dati personali rendendo una informativa inidonea e senza acquisire un consenso specifico per ciascuna finalità perseguita, in violazione degli artt. 13 e 23 del Codice;

VISTO l´art. 161 del Codice che punisce la violazione dell´art. 13 con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro;

VISTO l´art. 162, comma 2-bis, del Codice che punisce la violazione delle disposizioni indicate nell´art. 167 del Codice, tra le quali quella di cui all´art. 23 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, della gravità della violazione, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della stessa, della personalità e delle condizioni economiche del contravventore;

RITENUTO che, con riferimento alla gravità della violazione, la condotta posta in essere dalla società assume particolare rilievo, in quanto le modalità seguite non consentivano agli interessati di esprimere un consenso libero per i trattamenti ulteriori rispetto a quelli per finalità di cura;

RITENUTO di dover determinare, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, l´ammontare delle sanzioni nella misura di euro 6.000,00 (seimila) per la violazione di cui all´art. 161 e nella misura di euro 10.000,00 (diecimila) per la violazione di cui all´art. 162, comma 2-bis, per un ammontare complessivo pari a euro 16.000,00 (sedicimila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il dott. Antonello Soro;

ORDINA

Liguria Radiologia s.r.l., con sede in Savona, Via Pirandello n. 1/R, P.I. 03387180106, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 16.000,00 (sedicimila) a titolo di sanzione amministrativa pecuniaria per le violazioni previste dagli artt. 161 e 162, comma 2-bis, del Codice;

INGIUNGE

alla medesima società di pagare la somma di euro 16.000,00 (sedicimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 20 marzo 2014

IL PRESIDENTE
Soro

IL RELATORE
Soro

IL SEGRETARIO GENERALE
Busia