Garante per la protezione
    dei dati personali


Ordinanza di ingiunzione nei confrontidi Liguria Radiologia s.r.l

PROVVEDIMENTO DEL 20 MARZO 2014

Registro dei provvedimenti
 n. 138 del 20 marzo 2014

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, alla presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano,componente e del dott. Giuseppe Busia, segretario generale;

RILEVATOche, a seguito di una segnalazione pervenuta in data 29 settembre 2009 da partedel Coordinamento di Associazione per la tutela dell'ambiente e dei diritti diutenti e consumatori - Codacons, con cui veniva lamentata una presuntaviolazione della disciplina in materia di protezione dei dati personali daparte dello Studio Radiologico Essepi sas (di seguito "Studio") chenei moduli di informativa e di acquisizione del consenso, in uso presso ilproprio studio, avrebbe previsto la comunicazione dei dati personali deipazienti ad una serie di soggetti residenti in Italia e all'estero, tra cuisocietà di assicurazione, banche ed istituti di credito, veniva formulata unarichiesta di informazione (prot. n. 28017 del 23 dicembre 2009) al fine diacquisire informazioni utili alla valutazione del caso;

CONSIDERATOche, sulla base del riscontro fornito con la nota del 20 gennaio 2010, con cui lo Studio precisava le modalità e i termini della comunicazione deidati dei pazienti a terzi, e tenuto conto della documentazione successivamentepervenuta, relativa alle modifiche apportate ai moduli recanti l'informativa,l'Autorità ha adottato in data 15 marzo 2012 un provvedimento (che qui deveintendersi integralmente richiamato) nei confronti dello Studio RadiologicoEssepi sas, ai sensi degli artt. 143, comma 1, lett. b) e c), e 154, comma 1,lett. c) e d) del d.lgs. 30 giugno 2003 n. 196, recante il Codice in materia diprotezione dei dati personali (di seguito "Codice"), con cui è statodichiarato illecito il trattamento dei dati personali dei pazienti effettuatomediante un'informativa inidonea e sulla base di un consenso non validamenteprestato;

VISTOil verbale n. 9811/65839 del 16 aprile 2012 con cui, sulla base delprovvedimento, è stata contestata a Liguria Radiologia s.r.l., societàincorporante Studio Radiologico Essepi sas, con sede in Savona, Via Pirandellon. 1/R, P.I. 03387180106, in persona del legale rappresentante pro tempore, laviolazione di cui agli artt. 161 e 162, comma 2-bis, del Codice, in relazioneagli artt. 13 e 23, informandola della facoltà di effettuare il pagamento inmisura ridotta ai sensi dell'art. 16 della legge 24 novembre 1981 n. 689;

RILEVATOdal rapporto predisposto dall'Ufficio del Garante ai sensi dell'art. 17 dellalegge 24 novembre 1981 n. 689 che non risulta essere stato effettuato ilpagamento in misura ridotta;

VISTOlo scritto difensivo, datato 14 giugno 2012, inviato ai sensi dell'art. 18della legge 24 novembre 1981 n. 689, con cui la parte ha fatto presente di nonaver avuto immediata conoscenza della contestazione di violazioneamministrativa in quanto questa, a differenza delle altre comunicazioni delGarante e anche del provvedimento del 15 marzo 2012, è stata notificatamediante posta elettronica certificata (pec). A causa di tale ritardo, hainteso far decorrere il termine previsto dall'art. 18 della legge n. 689/1981per l'invio delle memorie difensive dal momento in cui per la prima volta haavuto notizia della contestazione elevata a suo carico. Quanto, invece, alleviolazioni che le sono state contestate, la parte ha dichiarato che il modellodi informativa, "redatto ed utilizzato dalla società Studio RadiologicoEssepi di Riba Ugo sas e, come tale, ereditato dalla società Studio RadiologicoEssepi di Albani Alessio sas (poi incorporata da Liguria Radiologia srl)",deve ritenersi conforme alla disposizione dell'art. 13 del Codice, in quanto"l'unico aspetto oggetto di discussione () è stato () l'inserimento nelmodello medesimo di una serie di soggetti terzi (quali fondi integrativi diassistenza sanitaria e/o compagnie di assicurazioni) destinatari - peraltroautorizzati - dei dati e delle prestazioni sanitarie richieste dall'interessato()", di cui tra l'altro ha ritenuto di aver fornito tutte le spiegazioninel corso del procedimento. Con riferimento, invece, alla violazione di cuiall'art. 162, comma 2-bis, la parte ha eccepito l'applicazione di tale normache richiamerebbe la violazione dell'art. 33 del Codice e non quella dell'art.23 relativa alla mancata acquisizione del consenso. Infine, ha rilevato di averprontamente adottato tutte le modifiche prescritte dal Garante con ilprovvedimento del 15 marzo 2012;

LETTOil verbale di audizione, svoltasi in data 12 novembre 2012 ai sensi dell'art.18 della legge 24 novembre 1981 n. 689, nel corso della quale la parte haribadito quanto già dichiarato nelle memorie difensive, precisando che laviolazione dell'art. 23 deve ritenersi assorbita da quella dell'art. 13, inquanto la mancata acquisizione del consenso è collegata all'informativa,sottolineando, inoltre, che l'art. 162, comma 2-bis, in combinato disposto conl'art. 167, delinea una fattispecie di illecito penale che non è stato rilevatonel caso in esame;

RITENUTOche le argomentazioni addotte non risultano idonee ad escludere laresponsabilità della società in relazione a quanto contestato; preso atto delmotivo per il quale gli scritti difensivi sono stati inviati in ritardo etenuto comunque conto delle argomentazioni ivi riportate ai fini dell'adozionedel presente atto, si rileva che il modello recante l'informativa el'acquisizione del consenso, utilizzato per raccogliere i dati di tutti ipazienti che accedono ai servizi sanitari offerti dallo Studio, presentavadelle criticità che sono state puntualmente evidenziate nel provvedimento adottatodal Garante il 15 marzo 2012. Conseguentemente, sono state prescritte, con ilcitato provvedimento (che non è stato oggetto di impugnazione), le modifichenecessarie per rendere il trattamento conforme alle disposizioni del Codice. Lacircostanza che tale modello sia stato predisposto dallo Studio RadiologicoEssepi sas e poi utilizzato dalla Liguria Radiologia srl, quale societàincorporante, non vale ad escludere la responsabilità di quest'ultima rispettoalle violazioni contestate. Ciò sulla base dell'art. 2504-bis c.c., che prevedeche la società risultante dalla fusione o quella incorporante assumono idiritti e gli obblighi delle società partecipanti alla fusione, proseguendo intutti i loro rapporti, antecedenti alla fusione. Per quanto riguarda, invece,la violazione dell'art. 23 del Codice, risultano inconferenti le argomentazioniaddotte, in quanto l'art. 162, comma 2-bis del Codice prevede espressamentel'applicazione di una sanzione amministrativa per la violazione non solodell'art. 33, ma anche delle disposizioni contenute nell'art. 167, tra cuifigura l'art. 23. Tale violazione, contrariamente a quanto sostenuto dallaparte, attiene ad una condotta tipica distinta da quella che si riferisceall'informativa. Con riferimento, invece, alle osservazioni fatte sul rapportotra la fattispecie penale di cui all'art. 167 del Codice e quellaamministrativa prevista dall'art. 162, comma 2-bis, occorre tener presente chequest'ultima ha introdotto una sanzione amministrativa che ricorre ogni qualvolta viene violata una delle disposizioni contenute nell'art. 167 (tra cuianche l'art. 23) e "in ogni caso", ovvero a prescindere dallecondizioni specifiche richieste dalla norma penale, che sono il dolo specificoe la condizione obiettiva di punibilità (nocumento) la cui eventualesussistenza, non rilevata nel caso di specie, rende la condotta suscettibile divalutazione anche in capo penale;

RILEVATO,quindi, che Liguria Radiologia s.r.l. ha effettuato un trattamento di datipersonali rendendo una informativa inidonea e senza acquisire un consensospecifico per ciascuna finalità perseguita, in violazione degli artt. 13 e 23del Codice;

VISTOl'art. 161 del Codice che punisce la violazione dell'art. 13 con la sanzioneamministrativa del pagamento di una somma da seimila euro a trentaseimila euro;

VISTOl'art. 162, comma 2-bis, del Codice che punisce la violazione delledisposizioni indicate nell'art. 167 del Codice, tra le quali quella di cuiall'art. 23 del medesimo Codice, con la sanzione amministrativa del pagamentodi una somma da diecimila euro a centoventimila euro;

CONSIDERATOche, ai fini della determinazione dell'ammontare della sanzione pecuniaria,occorre tenere conto, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, della gravità della violazione, dell'opera svolta dall'agente pereliminare o attenuare le conseguenze della stessa, della personalità e dellecondizioni economiche del contravventore;

RITENUTOche, con riferimento alla gravità della violazione, la condotta posta in esseredalla società assume particolare rilievo, in quanto le modalità seguite nonconsentivano agli interessati di esprimere un consenso libero per i trattamentiulteriori rispetto a quelli per finalità di cura;

RITENUTOdi dover determinare, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, l'ammontare delle sanzioni nella misura di euro 6.000,00 (seimila) per laviolazione di cui all'art. 161 e nella misura di euro 10.000,00 (diecimila) perla violazione di cui all'art. 162, comma 2-bis, per un ammontare complessivopari a euro 16.000,00 (sedicimila);

VISTAla documentazione in atti;

VISTAla legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTEle osservazioni dell'Ufficio formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazionedel 28 giugno 2000;

RELATOREil dott. Antonello Soro;

ORDINA

LiguriaRadiologia s.r.l., con sede in Savona, Via Pirandello n. 1/R, P.I. 03387180106,in persona del legale rappresentante pro-tempore, di pagare la somma di euro16.000,00 (sedicimila) a titolo di sanzione amministrativa pecuniaria per leviolazioni previste dagli artt. 161 e 162, comma 2-bis, del Codice;

INGIUNGE

allamedesima società di pagare la somma di euro 16.000,00 (sedicimila), secondo lemodalità indicate in allegato, entro 30 giorni dalla notificazione del presenteprovvedimento, pena l'adozione dei conseguenti atti esecutivi a norma dall'art.27 della legge 24 novembre 1981, n. 689, prescrivendo che, entro il termine digiorni 10 (dieci) dal versamento, sia inviata a questa Autorità, in originale oin copia autentica, quietanza dell'avvenuto versamento.

Ai sensidegli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presenteprovvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 20 marzo 2014

Il presidente
Soro

Il relatore
Soro

Il segretario generale
Busia