Source: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9026810
Timestamp: 2019-05-26 07:12:22+00:00
Document Index: 6688174

Matched Legal Cases: ['art. 33', 'art. 162', 'art. 33', 'art. 169', 'art. 4', 'art. 162']

Ordinanza ingiunzione nei confronti di Greco Luigi - 16 maggio 2018... - Garante Privacy
Ordinanza ingiunzione nei confronti di Greco Luigi - 16 maggio 2018 [9026810]
[doc. web n. 9026810]
Ordinanza ingiunzione nei confronti di Greco Luigi - 16 maggio 2018
n. 299 del 16 maggio 2018
RILEVATO che l’Ufficio, con atto n. 19911/106966 del 6 luglio 2016 (notificato il 14 luglio 2016), che qui deve intendersi integralmente riportato, ha contestato a Greco Luigi, nato a S. Andrea Apostolo dello Ionio (CZ) il 28 luglio 1947 (C.F. GRCLGU47L28I266C), residente in Roma, via delle Cave di Pietralata n. 75, la violazione delle disposizioni di cui agli artt. 33, 34 e 162, comma 2-bis, del Codice in materia di protezione dei dati personali (d. lg. 30 giugno 2003, n. 196, di seguito denominato “Codice”);
- con nota del 18 aprile 2016 la Procura della Repubblica presso il Tribunale di Roma ha informato l’Autorità dell’avvio di un procedimento penale nei confronti di 24 persone, fra i quali il dott. Greco il quale, sulla base del capo d’imputazione, nella sua qualità di medico di medicina generale del Servizio sanitario nazionale, “ometteva di adottare le misure minime dettate dall'art. 33 del [Codice] volte ad assicurare la protezione di dati personali e sensibili concernenti gli assistiti e, segnatamente, forniva a XX user id e password di accesso al sistema informatico denominato TS-progetto tessera sanitaria, così consentendo al dott. XX di accedere al sistema e rilasciare un certificato medico telematico nei confronti di YY con credenziali non proprie. In Roma il 30.12.2014”;
RILEVATO che con il citato atto del 6 luglio 2016 è stata contestata al dott. Luigi Greco, ai sensi dell’art. 162, comma 2-bis, del Codice, la violazione dell’art. 33, per avere omesso di adottare le misure minime di sicurezza di cui ai successivi artt. 34 e 35 e nella regola n. 2 del disciplinare tecnico di cui all’allegato B) del Codice;
LETTE le memorie difensive in data 9 agosto 2016 nonché il verbale relativo all’audizione del dott. Greco del 19 aprile 2017, ove si osserva quanto segue:
- “tengo ad evidenziare che faccio parte di un organismo di medicina di gruppo, previsto dalla Regione Lazio in conformità all'accordo collettivo nazionale, che garantisce al paziente una ampia continuità assistenziale giornaliera. I requisiti di questo istituto consistono ovviamente nell'obbligo della condivisione fra i medici che fanno parte del gruppo che sono pertanto tutti cotitolari dei dati dei pazienti. Pertanto non sussiste la violazione di cui all'art. 169 del Codice in materia di protezione dei dati personali in quanto non vi è stata alcuna comunicazione da parte mia di credenziali agli altri colleghi. Ogni medico opera su una propria postazione con un programma gestionale comune e ciascuno con le proprie credenziali. Il 30.12.2014 in studio era presente il Dr. XX, facente parte del Gruppo, il quale ha visitato e redatto certificato di un mio paziente, utilizzando però la mia postazione in quanto la sua risultava in quel momento priva di connessione Internet. In ogni caso non ho fornito le mie credenziali di accesso alla postazione né ho autorizzato l'emissione di tale certificato. Ho infatti appreso di tale circostanza solo al momento della convocazione in fase di indagine preliminare. In realtà, infatti, il Dr. XX ha avuto accesso alla mia postazione, che svolge funzioni di server di rete, grazie ai dati in possesso alla segretaria di studio la quale, per poter accedere al programma, deve necessariamente avviare il server principale che coincide con la mia postazione e che permette al computer della segretaria di accedere esclusivamente ai dati anagrafici di inserimento schede dei pazienti, non consentendo l'accesso ai dati sensibili dei pazienti in quanto bloccata automaticamente dal programma gestionale Medico 2000”;
a) risulta accertato, e ammesso dalla parte, che il dott. XX, nel corso di un’attività di sostituzione del medico di medicina generale dott. Greco, sia acceduto al sistema informatico denominato TS – progetto tessera sanitaria, utilizzando le credenziali di autenticazione del predetto dott. Greco;
b) risulta altresì accertato che l’accesso al sistema TS sia avvenuto utilizzando il computer del dott. Greco, poiché quello del dott. XX risultava temporaneamente privo di connessione alla rete Internet;
c) sulla base di quanto emerso, deve ritenersi che, con riferimento ai trattamenti di dati personali effettuati dal dott. XX con l’utilizzo della postazione di lavoro del dott. Greco, quest’ultima abbia assunto la veste giuridica del titolare ai sensi dell’art. 4, comma 1, lett. f), del Codice, al quale competono “le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza”;
d) era pertanto il dott. Greco che avrebbe dovuto sincerarsi che l’utilizzo del proprio computer da parte di un altro soggetto non comportasse la condivisione delle credenziali di autenticazione assegnate al predetto dott. Greco sia per accedere al programma gestionale dell’archivio pazienti, sia al sistema TS;
e) deve pertanto ascriversi al dott. Greco la responsabilità in ordine alla condotta omissiva costituita dalla mancata adozione delle misure minime di sicurezza atte a impedire che il dott. XX potesse accedere al computer del dott. Greco senza inserire delle proprie credenziali univoche e personali e, conseguentemente, potesse accedere al sistema TS utilizzando credenziali non proprie;
f) deve pertanto confermarsi la responsabilità del dott. Greco in ordine alla violazione contestata;
RILEVATO, quindi, che il dott. Luigi Greco, sulla base delle considerazioni sopra richiamate, risulta aver commesso la violazione prevista dall’art. 162, comma 2-bis, del Codice, per aver omesso di adottare le misure minime dettate dagli artt. 33 e 34 del Codice e dalla regola n. 2 del disciplinare tecnico di cui al relativo allegato B), consentendo al dott. XX di accedere al sistema informatico denominato TS-progetto tessera sanitaria, attraverso il computer in uso al predetto dott. Greco, con credenziali non proprie;
b) circa la personalità dell’autore della violazione, il dott. Greco non risulta gravato da precedenti procedimenti sanzionatori definiti in via breve o con ordinanza-ingiunzione;
a Greco Luigi, nato a S. Andrea Apostolo dello Ionio (CZ) il 28 luglio 1947 (C.F. GRCLGU47L28I266C), residente in Roma, via delle Cave di Pietralata n. 75, di pagare la somma di euro 10.000 (diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;