Garante per la protezione
    dei dati personali


Le c.d. "centrali rischi" private possono conservare i dati personali degli interessati per un limitato periodo di tempo, che va sempre rapportato alle concrete vicende del rapporto di finanziamento (nel caso di specie, il Garante ha ritenuto non più giustificata la conservazione dei dati a distanza di diciotto mesi dalla cessazione del rapporto, relativamente a ritardi non provati in atti e contestati dall'interessato. Ciò a prescindere dal consenso a suo tempo manifestato, peraltro revocato con il ricorso).

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminato il ricorso presentato dalla sig.ra XY

nei confronti di

Citicorp Finanziaria S.p.A.-Citifin;

Vista la documentazione in atti;

Visti gli articoli 13 e 29 della legge 31 dicembre 1996, n. 675 e gli articoli 18, 19 e 20 del d.P.R. 31 marzo 1998, n. 501;

Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Giuseppe Santaniello;

PREMESSO:

La ricorrente, che aveva stipulato un contratto di finanziamento con Citicorp Finanziaria S.p.A.- Citifin, lamenta di non aver ricevuto alcun riscontro ad una richiesta di cancellazione di dati formulata ai sensi dell'art. 13 della legge n. 675/1996 nei confronti di tale società, rispetto ad un finanziamento che dichiara essersi estinto il 28 gennaio 2001.

Nel ricorso presentato a questa Autorità ai sensi dell'art. 29 della legge n. 675/1996 la ricorrente ha ribadito le proprie richieste, chiedendo al Garante di ordinare a Citifin S.p.A. di richiedere a Crif S.p.A. la cancellazione dei dati che la riguardano oggetto di attuale conservazione da parte di quest'ultima società.

A seguito dell'invito ad aderire formulato da questa Autorità, la società resistente, con nota pervenuta in data 27 giugno 2002, ha sostenuto:

- di non poter procedere, allo stato, alla cancellazione dei dati dell'interessata in quanto non sussisterebbero a suo avviso motivi legittimi a sostegno di tale richiesta, essendo peraltro il trattamento avvenuto sulla base di un consenso previo e informato;

- che l'interessata sarebbe stata "irregolare nei suoi pagamenti per diverse rate", elemento questo "indispensabile … per valutare … il rischio di credito " relativo alla medesima interessata;

- che non avrebbe rilievo "il fatto che il contratto de quo sia stato successivamente ceduto a terzi", dovendo mantenersi "la traccia storica dei pagamenti effettuati o meno dal richiedente i finanziamenti";

- che dovrebbero essere addebitate all'interessata le spese del procedimento.

Con nota fax del 9 luglio 2002 l'interessata ha contestato sia di essere stata mai "irregolare" nei pagamenti, sia che il contratto sia stato ceduto a terzi.

CIÒ PREMESSO IL GARANTE OSSERVA:

Il ricorso concerne il trattamento dei dati svolto da una società finanziaria in ordine ai dati di una persona che aveva ottenuto un finanziamento, con specifico riferimento alla legittimità o meno della conservazione di tali dati nella banca dati di una cd. centrale rischi privata (Crif S.p.A.).

Il ricorso merita accoglimento.

La società resistente non ha addotto idonei elementi di valutazione tali da far ritenere giustificata l'ulteriore conservazione presso Crif S.p.A. - basata su quanto ad essa comunicato da Citicorp Finanziaria S.p.A.-Citifin - dei dati personali relativi ad un rapporto da tempo estinto.

La società resistente ha operato un generico riferimento ad una asserita cessione a terzi del contratto (la cui esistenza è negata dalla ricorrente), ma non ha contestato quanto dichiarato dalla ricorrente in ordine all'estinzione al 28 gennaio 2001 del rapporto di finanziamento.

La società resistente ha parimenti menzionato in modo del tutto generico l'esistenza di asseriti ritardi nei pagamenti nel corso del predetto rapporto (anche questi contestati dalla ricorrente), ma non ha fornito specifiche informazioni al riguardo, né ha provato che il rapporto medesimo - diversamente da quanto in sostanza dedotto dalla ricorrente - si sia esaurito in pendenza di crediti residui tali da giustificare una così lunga conservazione dei dati presso Crif S.p.A.

In assenza di altri elementi, il mantenimento dei dati presso quest'ultima società non risulta più giustificato a distanza di circa diciotto mesi dalla cessazione del rapporto, in relazione a quanto previsto dall'art. 9, comma 1, lett. d), della legge n. 675/1996.

Non spiega significativi effetti, al riguardo, quanto a suo tempo assentito dalla ricorrente con la dichiarazione di consenso, che peraltro è stata in sostanza revocata in parte qua con l'odierno ricorso.

La società resistente dovrà pertanto dare comunicazione a Crif S.p.A. di quanto accertato con la presente decisione entro un termine che appare congruo fissare al 20 settembre 2002.

Questa Autorità verificherà nell'ambito di un autonomo procedimento la veridicità di quanto dichiarato o attestato in atti, in relazione a quanto previsto dall'art. 37 bis della legge n. 675/1996.

PER QUESTI MOTIVI IL GARANTE:

a) accoglie il ricorso e ordina a Citicorp Finanziaria S.p.A.-Citifin di dare comunicazione a Crif S.p.A. di quanto accertato con la presente decisione entro un termine che appare congruo fissare al 20 settembre 2002;

b) ordina alla società resistente di dare conferma a questa Autorità dell'avvenuto adempimento di quanto disposto al punto a), entro il 20 settembre 2002.

Roma, 11 luglio 2002

IL PRESIDENTE
Rodotà

IL RELATORE
Santaniello

IL SEGRETARIO GENERALE
Buttarelli