Garante per la protezione
    dei dati personali


In caso di rifiuto di una richiesta di finanziamento, il periodo di conservazione dei dati dell'interessato acquisiti dagli operatori creditizi e finanziari non può eccedere il tempo necessario alle finalità perseguite, da individuarsi in sei mesi dalla registrazione dei dati e, comunque, in un mese dalla rinuncia dell'interessato o dalla mancata concessione del finanziamento (nel caso in questione, il trattamento operato da una società finanziaria è risultato eccedente rispetto alle finalità per le quali i dati erano stati raccolti, considerato il fatto che la loro conservazione si era protratta per circa tre anni dal momento del rifiuto del finanziamento richiesto).

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminato il ricorso presentato dal sig. XY

nei confronti di

Crif S.p.A. e Agos Itafinco S.p.A.;

Vista la documentazione in atti;

Visti gli articoli 13 e 29 della legge 31 dicembre 1996, n. 675 e gli articoli 18, 19 e 20 del d.P.R. 31 marzo 1998, n. 501;

Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Stefano Rodotà;

PREMESSO:

Il ricorrente espone di non aver ricevuto idoneo riscontro a due istanze presentate ai sensi dell'art. 13 della legge n. 675/1996 nei confronti di Crif S.p.A. e Agos Itafinco S.p.A., con le quali aveva chiesto conferma dell'esistenza dei dati personali che lo riguardano e della loro origine e di ottenerne la cancellazione, formulando diffida riguardo all'ulteriore trattamento.

Nel ricorso presentato a questa Autorità ai sensi dell'art. 29 della legge n. 675/1996 il ricorrente ha ribadito la richiesta di cancellazione dei dati che lo riguardano dalle banche dati di Crif S.p.A. e di Agos Itafinco S.p.A., chiedendo di porre a carico delle controparti le spese sostenute per il procedimento.

A seguito dell'invito ad aderire formulato da questa Autorità in data 7 ottobre 2002, Crif S.p.A. ha risposto con una nota anticipata via fax in data 16 ottobre 2002, nella quale ha sostenuto di:

- aver provveduto anteriormente al ricorso alla cancellazione dei dati del ricorrente relativi "al prestito erogato in data 13.09.1995 da Citicorp Finanziaria S.p.A.-Citifin in epoca antecedente il ricorso, per decorrenza dei tempi di conservazione" e di averne poi dato comunicazione all'interessato con nota del 3 ottobre 2002, con cui ha indicato anche l'ulteriore "report" conservato nella propria banca dati;

- aver eliminato anche la posizione relativa al finanziamento "erogato da Fiditalia S.p.A. il 6 settembre 1998 (…)", per il quale si erano verificati alcuni ritardi nel pagamento delle rate, sia pure "al solo fine di comporre nel più breve tempo possibile la controversia (…)".

Con nota datata 14 ottobre 2002, Agos Itafinco S.p.A. ha evidenziato:

- di aver comunicato al ricorrente i dati ad esso relativi che erano in proprio possesso già nella nota del 1° luglio 2002;

- di aver inibito l'uso dei dati a fini commerciali e pubblicitari;

- che non sussisterebbero invece motivi legittimi a sostegno della richiesta di cancellazione dei dati, essendo il trattamento avvenuto sulla base di un previo e informato consenso, per asserite finalità "gestionali, statistiche, di tutela del credito, di prevenzione del sovraindebitamento, commerciali e promozionali …" e ritenendo di doverli conservare nei termini contestati "anche ai sensi della normativa in materia di prescrizione dei diritti", sebbene "principalmente, per avere memoria della pratica e del suo esito".

CIÒ PREMESSO IL GARANTE OSSERVA:

Il ricorso concerne il trattamento di dati svolto da una c.d. "centrale rischi privata" e da una finanziaria, con particolare riferimento ad informazioni relative a due finanziamenti estinti da alcuni anni, nonché ad una richiesta di finanziamento rifiutata da Agos Itafinco S.p.A. da poco meno di tre anni.

Con riferimento alle richieste formulate nei confronti di Crif S.p.A. va dichiarato non luogo a provvedere sul ricorso ai sensi dell'art. 20, comma 2, del d.P.R. n. 501/1998. Dopo aver fornito le informazioni richieste, la società ha infatti aderito anche alla richiesta di cancellazione avanzata in riferimento ai finanziamenti erogati da Citicorp Finanziaria S.p.A.-Citifin e da Fiditalia S.p.A.

Il ricorso va poi accolto per quanto riguarda la richiesta di cancellazione formulata nei confronti di Agos Itafinco S.p.A.

Come già rilevato in altri provvedimenti e, da ultimo, nel provvedimento del 31 luglio 2002 relativo ai trattamenti svolti dalle c.d. centrali rischi private e dagli operatori finanziari (unito in allegato alla presente decisione e i cui principi si intendono richiamati quale parte integrante della relativa motivazione), in caso di rifiuto della richiesta di finanziamento il periodo di conservazione dei dati relativi alla richiesta di finanziamento da parte degli operatori creditizi e finanziari non può eccedere il tempo necessario alle finalità perseguite, da identificarsi in sei mesi dalla registrazione dei dati e, comunque, nel mese dalla rinuncia dell'interessato o dalla mancata concessione del finanziamento.

Inoltre, la codifica del cd. "rifiuto" di un finanziamento, identificando le diverse situazioni nelle quali il prestito non è concesso (anche in conseguenza di valutazioni discrezionali di istituti di credito o di società finanziarie conseguenti a stime statistiche, a disponibilità finanziarie, etc.), ingenera nei soggetti che consultano "la centrale rischi" una valutazione negativa sull'interessato, esponendolo al sospetto che il rifiuto del finanziamento derivi, nei predetti casi, non tanto da politiche contrattuali dell'operatore, quanto da comportamenti dell'interessato documentati solo agli atti della banca o della finanziaria, anziché nella "centrale".

Nel caso di specie il trattamento dei dati personali dell'interessato risulta quindi eccedente rispetto alle finalità per le quali i dati sono stati raccolti o successivamente trattati (art. 9, comma 1, lett. d), legge n. 675/1996), considerata la permanenza particolarmente lunga di dati relativi ad una richiesta di finanziamento del 13 dicembre 1999, respinta da Agos Itafinco S.p.A.

La società resistente dovrà pertanto provvedere alla cancellazione dei dati personali dell'interessato dai propri archivi entro un termine che appare congruo fissare al 31 dicembre 2002.

Per quanto concerne le spese, va posto a carico di Crif S.p.A. e di Agos Itafinco S.p.A. l'ammontare delle spese sostenute nel presente procedimento, determinato nella misura forfettaria di euro 250 (di cui euro 25,82 per diritti di segreteria, tenuto conto degli adempimenti connessi alla redazione e presentazione del ricorso al Garante), che ciascuna delle società dovrà provvedere a corrispondere, per metà, all'interessato.

PER QUESTI MOTIVI IL GARANTE:

a) dichiara non luogo a provvedere sul ricorso ai sensi dell'art. 20, comma 2, del d.P.R. n. 501/1998 in riferimento alla richiesta formulata nei confronti di Crif S.p.A., nei termini di cui in motivazione;

b) accoglie il ricorso in riferimento alla richiesta formulata nei confronti di Agos Itafinco S.p.A. e ordina a quest'ultima di cancellare i dati personali del ricorrente entro il 31 dicembre 2002, dando comunicazione a questa Autorità dell'avvenuto adempimento entro la medesima data;

c) determina ai sensi dell'art. 20, commi 2 e 9, del d.P.R. n. 501/1998, nella misura forfettaria di euro 250, di cui 25,82 per diritti di segreteria, l'ammontare delle spese e dei diritti del presente procedimento, posto per metà a carico di ciascuna delle resistenti, le quali dovranno liquidare l'importo direttamente a favore del ricorrente.

Roma, 30 ottobre 2002

IL PRESIDENTE
Rodotà

IL RELATORE
Rodotà

IL SEGRETARIO GENERALE
Buttarelli