[doc. web n. 2257977]

Ordinanza di ingiunzione nei confronti di Azienda sanitaria provinciale di Vibo Valentia - 11 ottobre 2012

Registro dei provvedimenti
n. 283 dell´11 ottobre 2012

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

ESAMINATO il rapporto del Nucleo speciale privacy della Guardia di finanza predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale di contestazione di violazione amministrativa redatto in data 10 maggio 2010 nei confronti dell´Azienda sanitaria provinciale di Vibo Valentia (di seguito "Azienda sanitaria"), con sede in Vibo Valentia, via Dante Alighieri pal. ex INAM, in persona del legale rappresentante pro-tempore, per violazione dell´art.154, comma 1, lett. c), del Codice in materia di protezione dei dati personali (di seguito denominato Codice);

RILEVATO che il Nucleo speciale privacy della Guardia di finanza, in esecuzione della richiesta di informazioni ai sensi dell´art. 157 del Codice nn. rr. 3271/53969 del 15 febbraio 2010 formulata da questa Autorità, ha effettuato l´attività di controllo di cui al verbale di operazioni compiute datato 14 aprile 2010, attraverso la quale, anche a seguito della successiva nota dell´Ufficio datata 20 aprile 2010, è stato accertato che l´Azienda sanitaria: 1) ha omesso di adottare le misure minime di sicurezza in violazione di quanto previsto dall´art. 33 del Codice, non avendo aggiornato il Documento programmatico sulla sicurezza (DPS) alla data del 31 marzo 2010; 2) ha omesso di adottare, in violazione dell´art. 154, comma 1, lett. c), del Codice, le prescrizioni di cui al provvedimento del Garante datato 1° marzo 2007, recante "Linee guida del Garante per posta elettronica e internet";

VISTI i verbali nn.rr. 37 e 38, datati 10 maggio 2010, con cui sono state contestate all´Azienda sanitaria, rispettivamente, la violazione amministrativa prevista dall´art. 162, comma 2-ter, in relazione all´art. 154, comma 1, lett. c), del Codice, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981 e la violazione amministrativa prevista dall´art. 162, comma 2-bis, in relazione all´art. 33 del Codice, non definibile in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;

RILEVATO dal predetto rapporto che, per la violazione di cui all´art. 162, comma 2 ter, non risulta essere stato effettuato il pagamento in misura ridotta;

VISTO lo scritto difensivo datato 1° luglio 2010, inviato ai sensi dell´art. 18 della legge n. 689/1981, relativo al solo verbale di contestazione di cui all´art. 162, comma 2-ter;

RITENUTO che, a prescindere dalle argomentazioni dedotte nel procedimento, sulla base degli atti e di quanto rappresentato nel corso del procedimento, non sussistono elementi per applicare la sanzione prevista dall´art. 162 comma 2-ter in quanto il punto 2) del dispositivo del provvedimento del Garante datato 1° marzo 2007, recante "Linee guida del Garante per posta elettronica e internet", indica l´adozione e la pubblicazione di un disciplinare interno (linee guida di cui al punto 3.2 del provvedimento citato) tra le misure meramente opportune, per cui la loro mancata adozione non determina un´inosservanza di tale provvedimento sanzionabile ai sensi dell´art. 162, comma 2-ter, del Codice;

CONSIDERATO che l´Azienda sanitaria ha provveduto ad ottemperare tempestivamente alle prescrizioni impartite dal Garante e ad effettuare il pagamento del quarto del massimo della sanzione prevista per la violazione amministrativa, in applicazione di quanto disciplinato dall´art. 169, comma 2, del Codice, estinguendo il reato;

RILEVATO, pertanto, che l´Azienda sanitaria ha effettuato un trattamento di dati personali (art. 4 comma 1, lett. a) e b) del Codice) omettendo di adottare le misure minime di sicurezza ai sensi dell´art. 33 del Codice;

VISTO l´art. 162, comma 2-bis, del Codice che punisce, in ogni caso, la violazione delle disposizioni indicate nell´art. 167 del Codice, tra le quali quella di cui all´art. 33 del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

RITENUTO che, nel caso in cui l´infrazione non abbia caratterizzazioni specifiche che possano portare a valutazioni di maggiore o minor rigore, nella determinazione della sanzione può ritenersi corretta l´individuazione di un importo pari al terzo del massimo o, se più favorevole, al doppio del minimo, in linea con quanto previsto dall´art. 16 della L. n. 689/1981, ferma restando la valutazione degli ulteriori elementi previsti dall´art. 11 della medesima legge (Cass. civ., sez. I, 4 novembre 1998, n. 11054);

CONSIDERATO che, ai fini della determinazione dell´ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell´art. 11 della legge 24 novembre 1981 n. 689, della gravità della violazione, dell´opera svolta dall´agente per eliminare o attenuare le conseguenze della stessa, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a) in ordine all´aspetto della gravità, gli elementi dell´intensità dell´elemento psicologico e delle modalità concrete della condotta non sono connotati da elementi specifici, mentre riguardo all´entità del pregiudizio o del pericolo si osserva come l´illecito contestato inerisca l´inosservanza di misure minime di sicurezza da parte di un soggetto che, data l´attività svolta, tratta dati inerenti lo stato di salute degli interessati;

b) ai fini della valutazione dell´opera svolta dall´agente, si rileva come l´Azienda sanitaria ha provveduto ad ottemperare tempestivamente alle prescrizioni impartite dal Garante e ad effettuare il pagamento del quarto del massimo della sanzione prevista per la violazione amministrativa, in applicazione di quanto disciplinato dall´art. 169, comma 2, del Codice;

c) circa la personalità dell´autore della violazione, deve essere positivamente considerata la circostanza che l´Azienda sanitaria non risulta avere precedenti specifici in termini di violazioni delle disposizioni del Codice;

d) trattandosi di un soggetto pubblico, le condizioni economiche dell´agente, al fine di commisurare l´importo della sanzione alla reale capacità economica del trasgressore nel rispetto del principio di uguaglianza, non sostanziano elementi specifici idonei ad incidere sulla quantificazione della sanzione;

RITENUTO di dover determinare, ai sensi dell´art. 11 della legge n. 689/1981, l´ammontare della sanzione per la violazione dell´art. 162,comma 2-bis, nella misura di euro 15.000,00 (quindicimila);

VISTA la documentazione in atti;

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

DISPONE

l´archiviazione del procedimento sanzionatorio amministrativo con riferimento alla contestazione relativa alla violazione di cui all´art. 154, comma 1, lett. c), del Codice;

ORDINA

all´Azienda sanitaria provinciale di Vibo Valentia, con sede in Vibo Valentia, via Dante Alighieri pal. ex INAM, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 15.000,00 (quindicimila) a titolo di sanzione amministrativa pecuniaria per la violazione previste dall´art. 162, comma 2-bis del Codice;

INGIUNGE

alla medesima Azienda di pagare la somma di euro 15.000,00 (quindicimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 11 ottobre 2012

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia