Ordinanza ingiunzione o revoca n. 5 del 16/01/2026

Azienda sanitaria provinciale di Vibo Valentia - sanzione per mancato riscontro a richiesta di informazioni del Garante

Il provvedimento riguarda l’Azienda sanitaria provinciale di Vibo Valentia, destinataria di una richiesta di informazioni del Garante ai sensi dell’art. 157 del Codice privacy. Il procedimento sanzionatorio è stato avviato a seguito del mancato riscontro nei termini, nell’ambito di un reclamo che, per la parte sostanziale relativa al trattamento dei dati del minore, è stato poi archiviato.

Origine del reclamo e sviluppo dell’istruttoria

Il reclamante aveva lamentato una presunta comunicazione alla sola scuola del risultato delle valutazioni diagnostiche e della bozza di relazione relativa al Profilo di Funzionamento/Profilo Dinamico Funzionale del figlio minore, senza trasmissione alla famiglia e senza preventiva autorizzazione privacy, trattandosi di dati sensibili. L’Ufficio, ricevuto il reclamo, ha chiesto all’Azienda, con nota inviata via PEC all’indirizzo risultante dall’IPA, informazioni utili alla valutazione del caso, assegnando un termine di 30 giorni ai sensi dell’art. 157 del Codice.

Mancato riscontro alla richiesta del Garante

L’Azienda non ha risposto entro il termine assegnato, sebbene la richiesta risultasse regolarmente consegnata. Tale omissione ha condotto alla notifica dell’avvio del procedimento ai sensi dell’art. 166, comma 5, del Codice, con invito a presentare memorie difensive e a fornire comunque il riscontro richiesto. La condotta omissiva è stata ritenuta lesiva dell’efficienza dell’azione amministrativa e dei principi di buon andamento, efficacia ed economicità richiamati dal Garante.

Difese dell’Azienda e riscontro successivo

Nella memoria difensiva, l’Azienda ha sostenuto di aver appreso della richiesta solo al ricevimento di una successiva nota del Garante, attribuendo il disguido a problemi tecnici o di configurazione del sistema di gestione del protocollo e della posta certificata. Ha inoltre rappresentato l’intenzione di adottare misure organizzative correttive, tra cui:

• istituzione di una PEC dedicata ai rapporti con il Garante;
• smistamento delle comunicazioni anche alle email istituzionali del titolare e del DPO;
• verifica di sistemi di notifica o alert per segnalare la ricezione della PEC.

Con la stessa nota, l’Azienda ha fornito anche chiarimenti sulla vicenda sostanziale oggetto del reclamo, consentendo all’Ufficio di archiviare il reclamo per i profili di merito.

Valutazioni del Garante sulla violazione dell’art. 157 Codice

Il Garante ha ribadito che, nell’esercizio dei propri compiti e poteri, può richiedere al titolare informazioni e documenti e che l’inosservanza di tale richiesta integra la violazione sanzionabile ex art. 166, comma 2, del Codice. Ha ritenuto che la mancata risposta non fosse giustificata da una condotta incolpevole o da errore scusabile, richiamando il principio secondo cui la buona fede deve fondarsi su un elemento positivo, estraneo all’agente, non superabile con l’ordinaria diligenza.

Le criticità addotte dall’Azienda sono state considerate superabili con adeguate misure organizzative. Al contempo, il Garante ha tenuto conto degli interventi migliorativi già intrapresi per prevenire il ripetersi del disguido.

Sanzione amministrativa e criteri di quantificazione

Accertata la violazione dell’art. 157 del Codice in relazione all’art. 166, comma 2, il Garante ha applicato la sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, GDPR. Ha richiamato il massimale edittale fino a 20.000.000 euro e, applicando i criteri di cui all’art. 83, par. 2, ha valutato:

• gravità lieve della violazione;
• assenza di dolo;
• unicità dell’episodio;
• assenza di precedenti provvedimenti pertinenti;
• cooperazione del titolare con l’Autorità.

Sulla base di tali elementi, ha determinato la sanzione in 500 euro, ritenendola effettiva, proporzionata e dissuasiva.

Misure accessorie e adempimenti

Oltre alla sanzione pecuniaria, il Garante ha disposto:

• la pubblicazione dell’ordinanza-ingiunzione sul sito internet del Garante, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento del Garante n. 1/2019;
• la pubblicazione del provvedimento sul sito internet dell’Autorità, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento n. 1/2019;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

Il titolare deve pagare 500 euro entro 30 giorni dalla notificazione, con facoltà di definire la controversia pagando entro lo stesso termine la metà della sanzione, ai sensi dell’art. 166, comma 8, del Codice. È inoltre prevista la possibilità di opposizione davanti all’autorità giudiziaria ordinaria nei termini di legge.