Ordinanza ingiunzione o revoca n. 345 del 14/05/2026

Vortika s.r.l. - informative privacy carenti e mancata nomina del DPO nel trattamento di dati sanitari

Il Garante per la protezione dei dati personali ha adottato un’ordinanza ingiunzione nei confronti di Vortika s.r.l., società che ha assunto la gestione di una clinica odontoiatrica, per violazioni in materia di trasparenza informativa e per l’omessa designazione del responsabile della protezione dei dati. Il procedimento è stato avviato a seguito del reclamo di un paziente della struttura e si è sviluppato tramite istruttoria e verifiche sul sito web della società.

Origine del reclamo e svolgimento dell’istruttoria

Il reclamante ha segnalato di essersi sottoposto a cure odontoiatriche presso la Clinica Dottor D, gestita in precedenza da Mallivento s.r.l. e successivamente affidata a Vortika s.r.l. mediante affitto di ramo d’azienda. Ha lamentato, sotto il profilo privacy, la consegna di un’informativa incompleta ex art. 13 GDPR e la redazione manuale della cartella clinica in modo poco leggibile.

L’Autorità, preso atto che Mallivento s.r.l. era in liquidazione, ha richiesto informazioni a Vortika s.r.l. ai sensi dell’art. 157 del Codice privacy. La società ha sostenuto, in sintesi, che il paziente era stato seguito solo durante la gestione di Mallivento s.r.l. e che gli obblighi relativi alla cartella clinica e alla relativa informativa sarebbero stati riferibili alla precedente gestione. Successivamente il Garante ha verificato il sito web della società, riscontrando l’assenza di un documento informativo completo sui trattamenti di dati personali, salvo la cookie policy.

Quadro giuridico richiamato dal Garante

Nel motivare il provvedimento, il Garante ha richiamato:

• la nozione di trattamento, comprensiva della conservazione dei dati (art. 4, n. 2 GDPR);
• la nozione di titolare del trattamento e i principi di accountability e liceità/correttezza/trasparenza (artt. 4, n. 7, 5, par. 2, e 24 GDPR);
• l’obbligo di fornire l’informativa ex art. 14 GDPR quando i dati non sono raccolti presso l’interessato, entro un termine ragionevole e comunque non oltre un mese;
• l’art. 13 GDPR per i dati raccolti presso l’interessato, con particolare riferimento ai dati di contatto del DPO e alla base giuridica/finalità del trattamento;
• l’art. 37 GDPR sulla designazione obbligatoria del DPO in caso di trattamento su larga scala di categorie particolari di dati personali.

È stato inoltre richiamato il precedente del Garante sulle operazioni societarie di fusione/scissione e la giurisprudenza di legittimità che qualifica il trasferimento dei dati a un nuovo titolare come inizio di un distinto trattamento, con conseguente necessità di una nuova informativa.

Violazione degli obblighi di trasparenza e carenze dell’informativa

Il Garante ha ritenuto che, a seguito del subentro nella gestione della clinica, Vortika s.r.l. fosse divenuta titolare del trattamento dei dati dei pazienti già seguiti dalla precedente gestione e dovesse quindi adempiere agli obblighi di trasparenza verso tali interessati, rendendo l’informativa ex art. 14 GDPR.

È stato accertato che la società:

• non aveva fornito agli interessati le informazioni dovute in relazione ai dati ereditati dalla precedente gestione;
• aveva trasmesso all’Autorità solo moduli di consenso informato relativi alla prestazione sanitaria, senza l’informativa completa;
• aveva successivamente pubblicato sul sito un’informativa ai sensi dell’art. 13 GDPR, ma con contenuti non conformi.

In particolare, il Garante ha rilevato che l’informativa:

• indicava erroneamente il consenso come base giuridica per il trattamento dei dati sanitari necessari alle cure;
• affermava che il mancato consenso avrebbe impedito l’erogazione delle prestazioni, in contrasto con l’attuale quadro normativo;
• richiamava in modo improprio l’art. 10 GDPR per dati che rientrano invece nell’art. 9 GDPR;
• non specificava adeguatamente la base giuridica per eventuali trattamenti finalizzati a ricerca scientifica e statistica.

Il Garante ha ricordato che, per i trattamenti necessari alla prestazione sanitaria richiesta, il presupposto giuridico si rinviene nell’art. 9, par. 2, lett. h) e par. 3, GDPR, non nel consenso del paziente.

Omessa designazione del responsabile della protezione dei dati

Dall’informativa pubblicata sul sito, il Garante ha desunto che Vortika s.r.l. avesse ritenuto non necessaria la nomina del DPO perché non effettuerebbe trattamenti su larga scala di categorie particolari di dati personali.

L’Autorità ha però osservato che la società offre servizi odontoiatrici in cinque sedi tra Lazio ed Emilia-Romagna, con un elevato bacino di utenza, trattando dati relativi alla salute in modo continuativo e strutturato. Per tali ragioni, il trattamento è stato qualificato come trattamento su larga scala di dati particolari, con obbligo di designazione del DPO ai sensi dell’art. 37 GDPR.

Esito: illecito trattamento e sanzioni

Il Garante ha accertato la violazione degli artt. 5, par. 1, lett. a), 13, 14 e 37 GDPR e ha adottato ordinanza ingiunzione ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR, nonché dell’art. 166 del Codice privacy.

Ai fini della quantificazione della sanzione, l’Autorità ha distinto due condotte:

• violazione degli obblighi di trasparenza ex artt. 5, par. 1, lett. a), 13 e 14 GDPR, sanzionata con euro 20.000,00;
• omessa designazione del DPO ex art. 37 GDPR, sanzionata con euro 10.000,00.

La sanzione complessiva è stata quindi determinata in euro 30.000,00, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, GDPR.

Criteri di quantificazione della sanzione

Per la violazione degli obblighi informativi, il Garante ha considerato:

• il livello di gravità alto, per l’elevato numero di pazienti coinvolti e la durata della violazione;
• l’assenza di precedenti violazioni pertinenti;
• la condotta poco collaborativa della società;
• il fatto che la violazione sia emersa a seguito di reclamo.

Per l’omessa designazione del DPO, il livello di gravità è stato valutato come medio, trattandosi di un errore di valutazione sulla ricorrenza dei presupposti dell’art. 37 GDPR. Anche qui sono state richiamate le medesime circostanze aggravanti e attenuanti. In entrambi i casi, il Garante ha tenuto conto del fatturato della società per l’anno di riferimento.

Misure correttive ordinate

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Garante ha ingiunto a Vortika s.r.l. di adottare entro 90 giorni dalla notifica:

• la rielaborazione dell’informativa ai pazienti, eliminando il consenso come base giuridica per le cure e il richiamo all’art. 10 GDPR;
• la specificazione della base giuridica per eventuali trattamenti di ricerca scientifica e statistica, oppure l’eliminazione di tali finalità se non sorrette da un idoneo presupposto legittimante;
• la designazione del DPO, con comunicazione dei dati di contatto all’Autorità e pubblicazione degli stessi, oltre all’aggiornamento dell’informativa ex art. 13, par. 1, lett. b), GDPR.

Ulteriori disposizioni

Il Garante ha disposto:

• la pubblicazione dell’ordinanza ingiunzione sul proprio sito web, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento interno del Garante;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni e delle misure adottate nel registro interno.

È stato infine previsto che l’omessa esecuzione dell’ordine sia sanzionabile ai sensi dell’art. 83, par. 6, GDPR e che il mancato riscontro alla richiesta di informazioni ex art. 157 del Codice sia a sua volta sanzionabile. Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini di legge.