Ordinanza ingiunzione o revoca n. 277 del 29/04/2025

Tirrenia Hospital S.r.l.: sanzione per ritardo nel riscontro a istanza di accesso ai dati personali

Il Garante per la protezione dei dati personali ha accertato la violazione degli artt. 12 e 15 del GDPR da parte di Tirrenia Hospital S.r.l., struttura sanitaria con sede in Mangone (CS), per non aver riscontrato nei termini un’istanza di accesso ai dati presentata dall’interessato. Il procedimento è stato avviato a seguito di reclamo, nell’ambito del quale è emerso che il riscontro era stato fornito solo dopo l’invito dell’Autorità ad aderire alle richieste del reclamante.

Origine del reclamo e attività istruttoria

L’interessato aveva lamentato di avere esercitato il diritto di accesso ai sensi dell’art. 15 GDPR senza ricevere risposta. A seguito del reclamo, l’Ufficio ha invitato la struttura sanitaria, quale titolare del trattamento, a dare riscontro all’istanza ai sensi della disciplina sui diritti dell’interessato. La struttura ha successivamente comunicato di aver ottemperato alla richiesta, trasmettendo tre file PDF; l’interessato ha confermato la ricezione del riscontro e non ha formulato osservazioni ulteriori.

Successivamente, l’Ufficio ha avviato il procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice privacy, contestando formalmente il mancato riscontro nei termini di legge e invitando il titolare a difendersi. La struttura ha depositato memoria difensiva e ha chiesto di essere sentita.

Difese del titolare e audizione

Nel corso della difesa, la struttura sanitaria ha sostenuto che l’istanza non fosse stata visualizzata in tempo reale dal sistema informatico e che ciò avesse reso impossibile sia rispondere sia chiedere una proroga all’interessato. Ha attribuito il ritardo a un evento imprevedibile e incolpevole, documentato da un verbale tecnico relativo a un guasto hardware. In audizione ha poi precisato che il disservizio era dipeso dall’avaria del disco fisso del computer in uso all’operatrice addetta alla ricezione delle PEC, con ripristino del guasto in tempi brevi.

La struttura ha inoltre rappresentato di aver adottato rimedi organizzativi: ammonimento dell’operatrice per non aver scaricato tutte le PEC dopo il ripristino della postazione, installazione di un sistema client che opera direttamente su Webmail per evitare lo scarico locale delle PEC e sensibilizzazione di tutto il personale in materia di sicurezza e rispetto della normativa privacy.

Valutazioni del Garante sulla violazione

Il Garante ha ritenuto che il titolare non avesse fornito riscontro all’istanza di accesso entro il termine previsto dall’art. 12 GDPR e che la risposta fosse intervenuta solo dopo l’intervento dell’Autorità. La spiegazione offerta dalla struttura non è stata accolta, perché la condotta non è stata ritenuta incolpevole né inevitabile con l’ordinaria diligenza.

Richiamando la giurisprudenza della Corte di Cassazione in tema di errore scusabile e colpa nell’illecito amministrativo, il Garante ha evidenziato che, se l’operatrice avesse diligentemente scaricato tutte le PEC dopo il ripristino della postazione, l’istanza avrebbe potuto essere evasa nei termini. Ne è conseguita l’accertata violazione dell’art. 12 GDPR, in relazione all’art. 15 GDPR.

Misure successive e assenza di ulteriori correttivi

Pur prendendo atto delle misure organizzative dichiarate dal titolare, il Garante ha osservato che non ricorrevano i presupposti per ulteriori misure correttive ex art. 58, par. 2, GDPR, poiché la condotta aveva esaurito i propri effetti e il riscontro all’interessato era ormai stato fornito.

Sanzione amministrativa e criteri di quantificazione

La violazione dell’art. 12, in relazione all’art. 15 GDPR, è stata qualificata come soggetta alla sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, GDPR. Ai fini della quantificazione, il Garante ha richiamato il principio di effettività, proporzionalità e dissuasività di cui all’art. 83, par. 1, nonché i criteri dell’art. 83, par. 2.

Sono stati considerati, tra gli altri elementi:

• la gravità media della violazione, in ragione del mancato riscontro nei termini e della necessità dell’intervento dell’Autorità;
• l’assenza di violazioni pertinenti precedenti;
• la circostanza che la violazione era emersa a seguito di reclamo;
• le iniziative correttive adottate dal titolare, quali l’ammonimento dell’operatrice, l’adozione di un sistema client su Webmail e la sensibilizzazione del personale.

In base a tali elementi, la sanzione è stata determinata in euro 2.000,00.

Dispositivo finale

Il Garante ha quindi:

• dichiarato l’illiceità del trattamento per violazione dell’art. 12 in relazione all’art. 15 GDPR;
• ordinato alla Tirrenia Hospital S.r.l. il pagamento della sanzione amministrativa pecuniaria di euro 2.000,00;
• ingiunto il pagamento entro 30 giorni dalla notificazione del provvedimento, con possibilità di definizione agevolata nei limiti previsti dalla legge;
• disposto la pubblicazione dell’ordinanza-ingiunzione sul sito istituzionale del Garante e l’annotazione nel registro interno delle violazioni.

Il provvedimento è impugnabile dinanzi all’autorità giudiziaria ordinaria nei termini previsti dall’art. 78 GDPR, dagli artt. 152 Codice privacy e 10 d.lgs. 150/2011.