Ordinanza ingiunzione o revoca n. 445 del 17/07/2024

Dott. Roy De Vita: sanzione per mancato riscontro alle richieste istruttorie del Garante

Il provvedimento riguarda il mancato riscontro, da parte di un medico titolare del trattamento, a più richieste di informazioni e documenti formulate dal Garante nell’ambito di un reclamo presentato da un’interessata. Il procedimento è stato avviato ai sensi dell’art. 166, comma 5, del Codice privacy e si è concluso con l’irrogazione di una sanzione amministrativa pecuniaria e con la pubblicazione del provvedimento sul sito dell’Autorità.

Origine del caso: reclamo sull’esercizio dei diritti dell’interessata

La vicenda trae origine dal reclamo di un’interessata, che tramite il proprio difensore aveva lamentato di non aver ottenuto risposta a una richiesta di accesso ai sensi dell’art. 15 GDPR. La richiesta era stata rivolta al medico e riguardava la consegna di copia conforme di tutte le fotografie effettuate sulla sua persona prima e dopo un intervento chirurgico di rinosettoplastica.

Attività istruttoria e richieste del Garante

A seguito del reclamo, l’Ufficio del Garante ha invitato il titolare del trattamento, con nota PEC, ad aderire entro 20 giorni alle richieste dell’interessata e a trasmettere all’Autorità copia del riscontro. Poiché non vi è stato alcun seguito, l’Ufficio ha inviato una ulteriore richiesta di informazioni, chiedendo:

• le ragioni del mancato riscontro alla richiesta dell’interessata e al precedente invito dell’Autorità;
• il periodo di conservazione dei dati personali dei pazienti, con specifico riguardo alle fotografie pre e post intervento;
• copia dell’informativa ex art. 13 GDPR da rendere ai pazienti.

Anche tale richiesta è rimasta senza risposta.

Avvio del procedimento ex art. 166 Codice privacy

Accertata l’assenza di riscontro, l’Ufficio ha notificato al medico l’avvio del procedimento ai sensi dell’art. 166, comma 5, del Codice privacy, finalizzato all’adozione dei provvedimenti previsti dall’art. 58, par. 2, GDPR, per la violazione dell’art. 157 del Codice. Il titolare è stato invitato a presentare scritti difensivi, documenti o a chiedere di essere sentito, ma non si è avvalso di tali facoltà.

Valutazioni del Garante sulla condotta omissiva

Il Garante ha richiamato il proprio potere di richiedere informazioni e documenti ai titolari del trattamento ai sensi dell’art. 157 del Codice e dell’art. 58, par. 1, lett. a), GDPR. Ha quindi rilevato che la mancata collaborazione del titolare ha comportato un inutile aggravio dell’attività istruttoria dell’Autorità e ha ostacolato i principi di buon andamento, efficienza, efficacia ed economicità dell’azione amministrativa.

È stata accertata una condotta omissiva illecita, protrattasi anche dopo la reiterazione della richiesta notificata a mezzo del Nucleo Speciale Tutela Privacy e Frodi Tecnologiche della Guardia di Finanza.

Violazione accertata e norme applicate

Il provvedimento qualifica la condotta come violazione dell’art. 157 del Codice privacy, in relazione all’art. 166, comma 2, del medesimo Codice. La violazione è ricondotta alle fattispecie sanzionabili ai sensi dell’art. 83, par. 5, GDPR.

Sono stati richiamati anche:

• gli artt. 57 e 58 GDPR, relativi ai compiti e ai poteri dell’Autorità di controllo;
• l’art. 97 Cost., per il buon andamento dell’azione amministrativa;
• il Regolamento del Garante n. 1/2019, in particolare per le procedure interne e la pubblicazione dei provvedimenti.

Quantificazione della sanzione

Nel determinare l’importo, il Garante ha applicato i criteri di cui all’art. 83, par. 1 e 2, GDPR. Ha ritenuto la violazione grave, valorizzando:

• il carattere volontario e intenzionale dell’omissione;
• la mancata risposta sia all’invito ad aderire sia alle successive richieste istruttorie;
• la mancata cooperazione con l’Autorità.

Tra gli elementi considerati, è stato dato rilievo anche all’assenza di precedenti provvedimenti pertinenti nei confronti del titolare. In esito a tale valutazione, la sanzione pecuniaria è stata fissata in euro 4.000,00.

Dispositivo: sanzione, pagamento e pubblicazione

Il Garante ha:

• dichiarato l’illiceità del trattamento, nei termini indicati in motivazione, per violazione dell’art. 157 del Codice privacy;
• ordinato al titolare di pagare la somma di euro 4.000,00 a titolo di sanzione amministrativa pecuniaria;
• ricordato la facoltà di definizione in misura ridotta entro 30 giorni, con pagamento della metà della sanzione ai sensi dell’art. 166, comma 8, del Codice;
• ingiunto, in caso di mancata definizione, il pagamento dell’intero importo entro 30 giorni dalla notificazione, con possibile attivazione delle procedure esecutive ex art. 27 l. 689/1981;
• disposto la pubblicazione integrale del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice.

Impugnazione

Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione, o entro 60 giorni se il ricorrente risiede all’estero.