Source: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/1714111
Timestamp: 2019-12-06 15:04:09+00:00
Document Index: 163231866

Matched Legal Cases: ['art. 17', 'art. 157', 'art. 37', 'art. 163', 'art. 37', 'art. 16', 'art. 18', 'art. 37', 'art. 37', 'art. 37', 'art. 3', 'art. 4', 'art. 163', 'art. 37', 'art. 11', 'art. 163', 'art. 163', 'art. 27']

Ordinanza di ingiunzione nei confronti di Vacupan Italia s.r.l - 18... - Garante Privacy
Trattamento e diffusione dei dati personali , Particolari categorie di dati , Archivi e banche dati , Stato di salute , Diagnosi HIV
[doc. web n. 1714111]
Ordinananza di ingiunzione nei confronti di Vacupan Italia s.r.l
Del. n. 10 del 18 febbraio 2010
NELLA riunione odierna, alla presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Daniele De Paoli, segretario generale reggente;
ESAMINATO il rapporto dell´Ufficio del Garante predisposto ai sensi dell´art. 17 della legge 24 novembre 1981, n. 689, relativo al verbale di contestazione per violazione amministrativa redatto in data 14 luglio 2008 nei confronti di Vacupan Italia s.r.l., con sede in Roma, via Tempio del Cielo n. 3, in persona del legale rappresentante pro-tempore, per la violazione degli articoli 37 e 38 del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2006, n. 196, di seguito denominato "Codice”);
RILEVATO che il Nucleo speciale funzione pubblica e privacy della Guardia di finanza, in attuazione della richiesta di informazioni ex art. 157 del Codice (n. 19050 datata 19 novembre 2007) e su specifica delega di questa Autorità (n. 19054 del 19 novembre 2007), ha svolto gli accertamenti di cui al verbale di operazioni compiute del 27 novembre 2007;
ESAMINATA la documentazione acquisita dalla Guardia di finanza dalla quale è risultato che la predetta società effettua, in qualità di titolare, trattamenti di dati personali previsti dall´art. 37, comma 1, lett. b) del Codice senza aver effettuato la notificazione al Garante nelle forme previste dagli artt. 37 e 38 del Codice;
VISTO il verbale n. 16648/55963 del 14 luglio 2008 con cui si è contestata alla predetta società la violazione prevista dall´art. 163 del Codice in relazione all´art. 37, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell´art. 16 della legge n. 689/1981;
VISTA la richiesta di audizione ai sensi dell´art. 18 della legge n. 689/1981 inoltrata dalla società in data 30 luglio 2008 nella quale la stessa ha asserito: "Riteniamo in buona fede di non essere soggetti all´art. 37 da Voi contestato.”;
LETTO il verbale di audizione del 26 gennaio 2010 in cui la società, nel ribadire le argomentazioni difensive sopra richiamate, ha rappresentato che "(…) i dati relativi alla scheda anamnestica vengono acquisiti in virtù di una traccia elaborata dall´ordine dei medici e odontoiatri che, di fatto, ne rende obbligatoria l´acquisizione”;
RITENUTO che le argomentazioni addotte non risultano idonee in relazione alla contestazione della violazione amministrativa per omessa notificazione in quanto, diversamente da quanto ritenuto, la società, così come si evince dal Documento programmatico sulla sicurezza (D.P.S.) (allegato al verbale di operazioni compiute del 27 novembre 2007), tratta dati inerenti specifiche patologie quali, tra le altre, "AIDS conclamato", "sieropositività" e "malattie ereditarie" ovvero dati idonei a rivelare lo stato di salute per i quali è disposto l´obbligo di notificazione ai sensi dell´art. 37, comma 1 lett. b) del Codice. Inoltre, sotto il profilo interpretativo, la finalità di rilevazione di malattie mentali, infettive e diffusive e sieropositività ricorre, come già osservato dall´Ufficio nella nota datata 26 aprile 2004 (in www.garanteprivacy.it, doc. web n. 996680), "(…) nel caso di insiemi organizzati di informazioni su tali aspetti -di cui sono spesso gestori strutture, anziché persone fisiche (…)". Sul punto la società ha dichiarato in atti (verbale di operazioni compiute del 27 novembre 2007) che "Presso i centri medici odontoiatrici vengono compilate delle "cartelle cliniche" a cura del dottore curante e, successivamente, parte di queste informazioni (dati personali e sensibili) vengono inserite in un database gestionale in uso a tutte le strutture e collegato in remoto ad un unico server ubicato presso la sede operativa di Milano”. Risulta, pertanto, che la società effettui un trattamento dei dati anche in ordine alla specifica finalità prevista dall´art. 37, comma 1 lett. b) del Codice e pertanto, nel caso di specie, le argomentazioni addotte nell´ambito dell´audizione, anche considerata la loro assoluta genericità, non risultano idonee per escludere la responsabilità in relazione alla violazione contestata (art. 3 l. n. 689/1981). Peraltro, quanto asserito relativamente alla "(…) traccia elaborata dall´ordine dei medici e odontoiatri (…)" non rientra in alcuno dei casi di esclusione dall´obbligo di notificazione al Garante;
RILEVATO che l´attività svolta dalla società configura un trattamento di dati personali (art. 4, comma 1, lett. a) e b), del Codice) per il quale doveva essere assolto tempestivamente l´obbligo di effettuare la notificazione del trattamento all´Autorità ai sensi e nei modi previsti dagli artt. 37, comma 1, lett. b) e 38 del Codice;
CONSIDERATO che la società, anche successivamente all´accertamento, non risulta aver proceduto alla notificazione;
VISTO l´art. 163 del Codice, nella formulazione antecedente alla modifica apportata con d.l. n. 207 del 30 dicembre 2008, convertito con legge n. 14/2009, che punisce la violazione delle disposizioni di cui all´art. 37 e 38 con la sanzione amministrativa del pagamento di una somma da diecimila euro a sessantamila euro e con la sanzione amministrativa accessoria della pubblicazione dell´ordinanza-ingiunzione;
RITENUTO di dover determinare l´ammontare della sanzione pecuniaria, avuto riguardo ai parametri indicati nell´art. 11 della legge 24 novembre 1981 n. 689, valutati anche in relazione all´opera svolta dall´agente, alla gravità della violazione e alle condizioni economiche del contravventore, nella misura del doppio del minimo pari alla somma di ventimila/00 euro;
RITENUTO di dover applicare la sanzione accessoria della pubblicazione, avuto riguardo alla gravità della violazione valutata alla luce dei predetti parametri e circostanze, nella misura ritenuta congrua della sola pubblicazione per estratto, per una sola volta e su una sola testata giornalistica a livello locale, identificata ne "Il Messaggero";
a Vacupan Italia s.r.l., con sede in Roma, via Tempio del Cielo n. 3, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 20.000,00 (ventimila) a titolo di sanzione amministrativa pecuniaria per la violazione dell´art. 163 del Codice, indicata in motivazione;
la pubblicazione a cura dell´Ufficio della presente ordinanza-ingiunzione a titolo di sanzione amministrativa accessoria prevista dall´art. 163 del Codice, per estratto e per una sola volta, sulla testata giornalistica "Il Messaggero";
alla medesima società di pagare la somma di euro 20.000,00 (ventimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l´adozione dei conseguenti atti esecutivi a norma dall´art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale o in copia autentica, quietanza dell´avvenuto versamento e dell´avvenuta pubblicazione dell´estratto dell´ordinanza;
DA´ ATTO CHE