Vortika s.r.l.
Ordinanza ingiunzione
Sintesi del provvedimento
Il Garante accerta violazioni degli artt. 5, par. 1 lett. a), 13, 14 e 37 del GDPR commesse da Vortika s.r.l. nella gestione della Clinica Dottor D. La società ha fornito informative incomplete ai pazienti, prive degli elementi richiesti dall'art. 13, non ha designato il responsabile della protezione dei dati e non ha correttamente specificato le basi giuridiche e le finalità dei trattamenti. Il Garante iroga una sanzione di € 30.000,00 e ingiunge l'adozione di misure correttive entro 90 giorni.
Approfondimento
Soggetti coinvolti
Pazienti della Clinica Dottor D gestita da Vortika s.r.l.; il riclamante sig. XX è specificamente interessato, ma le violazioni riguardano più in generale gli altri pazienti della clinica
Riferimenti normativi
Lettura del caso
Temi affrontati — Violazione degli obblighi informativi e di designazione del responsabile della protezione dei dati in ambito sanitario. Incompletezza dell'informativa fornita ai pazienti secondo l'art. 13 GDPR; mancata designazione del DPO; errata indicazione delle basi giuridiche e finalità dei trattamenti
Conseguenze — Il Garante iroga una sanzione amministrativa pecuniaria di € 30.000,00 a Vortika s.r.l., pagabile entro 30 giorni dalla notificazione del provvedimento, con facoltà di definizione della controversia pagando il 50% della sanzione entro i termini per il ricorso. Ingiunge inoltre l'adozione, entro 90 giorni, delle seguenti misure correttive: rielaborazione del documento informativo ai sensi dell'art. 13 GDPR eliminando il consenso come base giuridica per trattamenti di cura, specificando le basi giuridiche per finalità di ricerca scientifica e statistica; designazione del responsabile della protezione dei dati con comunicazione dei dati di contatto all'Autorità e pubblicazione nel sito. Ordina la pubblicazione del provvedimento sul sito web dell'Autorità e l'annotazione nel registro interno. Il mancato adempimento delle misure correttive è sanzionato ai sensi dell'art. 83, par. 6 GDPR.
Natura dei dati trattati (dati relativi alla salute di pazienti); durata delle violazioni; condotta poco collaborativa nei confronti dell'Autorità (mancata presentazione di memorie difensive, mancata comunicazione della pubblicazione dell'informativa); circostanza che la società Vortika s.r.l. non ha avuto rapporti diretti col paziente riclamante (in quanto i trattamenti sono stati effettuati da Mallivento s.r.l.) ma comunque ha violato gli obblighi informativi nei confronti di altri pazienti durante la sua gestione della struttura
Responsabilità del titolare del trattamento in caso di cambio di gestione: la società Vortika s.r.l., pur subentrando solo nella gestione operativa e amministrativa della struttura senza ricevere esplicitamente la titolarità dei dati pregressi di Mallivento s.r.l., rimane responsabile per gli obblighi informativi e la designazione del DPO in relazione ai trattamenti effettuati durante la sua gestione.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.