Source: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9037459
Timestamp: 2020-07-08 05:15:52+00:00
Document Index: 97155360

Matched Legal Cases: ['art. 33', 'art. 162', 'art. 33', 'art. 18', 'art. 4', 'art. 162']

Ordinanza ingiunzione - 22 maggio 2018 [9037459] - Garante Privacy
VEDI ANCHE: archiviazione del procedimento sanzionatorio - 6 maggio 2019
[doc. web n. 9037459]
n. 340 del 22 maggio 2018
RILEVATO che l’Ufficio, con atto n. 19950/106966 del 6 luglio 2016 (notificato il 12 luglio 2016), che qui deve intendersi integralmente riportato, ha contestato a XX, nata a XX il XX (C.F. XX), residente in XX, via XX, la violazione delle disposizioni di cui agli artt. 33, 34 e 162, comma 2-bis, del Codice in materia di protezione dei dati personali (d. lg. 30 giugno 2003, n. 196, di seguito denominato “Codice”);
- con nota del 18 aprile 2016 la Procura della Repubblica presso il Tribunale di Roma ha informato l’Autorità dell’avvio di un procedimento penale nei confronti di 24 persone, fra i quali la dott.ssa XX la quale, sulla base del capo d’imputazione, nella sua qualità di medico di medicina generale del Servizio sanitario nazionale, “ometteva di adottare le misure minime dettate dall'art. 33 del [Codice] volte ad assicurare la protezione di dati personali e sensibili concernenti gli assistiti e, segnatamente, forniva a YY user id e password di accesso al sistema informatico denominato TS-progetto tessera sanitaria, così consentendo al dott. YY di accedere al sistema e rilasciare un certificato medico telematico nei confronti di KK con credenziali non proprie. In Roma il 30.12.2014”;
RILEVATO che con il citato atto del 6 luglio 2016 è stata contestata alla dott.ssa XX, ai sensi dell’art. 162, comma 2-bis, del Codice, la violazione dell’art. 33, per avere omesso di adottare le misure minime di sicurezza di cui ai successivi artt. 34 e 35 e nella regola n. 2 del disciplinare tecnico di cui all’allegato B) del Codice;
PRESO ATTO che la dott.ssa XX non ha presentato memorie difensive né richiesto di essere ascoltata dall’Autorità, ai sensi dell’art. 18 della legge n. 689/1981;
RITENUTO di dover confermare la responsabilità della dott.ssa XX in ordine alla violazione contestata, essendo emerso, nell’ambito del procedimento sanzionatorio, che il dott. YY, nel corso di un’attività di sostituzione del medico di medicina generale dott.ssa XX, è acceduto al sistema informatico denominato TS – progetto tessera sanitaria, utilizzando le credenziali di autenticazione della predetta dott.ssa XX; rilevato altresì che, con riferimento ai trattamenti di dati personali effettuati dal dott. YY nell’attività di sostituzione della dott.ssa XX, quest’ultima abbia assunto la veste giuridica del titolare ai sensi dell’art. 4, comma 1, lett. f), del Codice, al quale competono “le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza”, e pertanto incombeva sulla predetta dott.ssa XX l’obbligo di applicare le misure minime di sicurezza atte a evitare accessi non autorizzati al sistema TS e, segnatamente, la custodia delle proprie credenziali di autenticazione affinché le stesse non potessero formare oggetto di condivisione con altri soggetti;
RILEVATO, quindi, che la dott.ssa XX, sulla base delle considerazioni sopra richiamate, risulta aver commesso la violazione prevista dall’art. 162, comma 2-bis, del Codice, per aver omesso di adottare le misure minime dettate dagli artt. 33 e 34 del Codice e dalla regola n. 2 del disciplinare tecnico di cui al relativo allegato B), consentendo al dott. YY di accedere al sistema informatico denominato TS-progetto tessera sanitaria con credenziali non proprie;
b) circa la personalità dell’autore della violazione, la dott.ssa XX non risulta gravata da precedenti procedimenti sanzionatori definiti in via breve o con ordinanza-ingiunzione;
a XX, nata a XX il XX (C.F. XX), residente in XX, via XX, di pagare la somma di euro 10.000 (diecimila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;