Garante per la protezione
    dei dati personali

Prescrizioni e divieto del Garante [art. 154, 1 c) e d) del Codice]

[v. Newsletter 29 febbraio 2008]

Provvedimento 23 gennaio2008

Trattamento di datibiometrici presso Banca San Paolo Imi S.p.A.

IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI

In data odierna, in presenza del prof.Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti,e del dott. Giovanni Buttarelli, segretario generale;

Visto il Codice in materia di protezionedei dati personali (d.lg. 30 giugno 2003, n. 196);

Visto il provvedimento del Garantedel 27 ottobre 2005 (inG.U. n. 68 del 22 marzo 2006, n. 68);

Vista la documentazione in atti;

Viste le osservazioni formulate dalsegretario generale ai sensi dell'art. 15 del regolamento del Garante n.1/2000;

Relatore il dott. Giuseppe Chiaravalloti;

PREMESSO

1. Trattamento di dati personali dellaclientela mediante sistemi di rilevazione dell'immagine delle impronte digitalie del volto
Per verificare laconformitą alla disciplina di protezione dei dati e alle prescrizioniindividuate nel provvedimento del Garante del 27 ottobre 2005, l'Autoritą hasvolto accertamenti presso alcune banche con riguardo a trattamenti di datipersonali dei clienti raccolti (attraverso appositi sistemi di rilevazione) almomento del loro accesso all'interno dei locali della banca consistentinell'associazione dell'immagine delle impronte digitali e del volto. A tal finel'Autoritą, avvalendosi del Comando nucleo speciale funzione pubblica e privacy della Guardia di finanza, ha effettuato verifichepresso le seguenti filiali della Banca San Paolo Imi S.p.A., ora IntesaSanpaolo S.p.A. (di seguito, la banca):

     per San Paolo Imi:

• Filiale 3 di Messina, in data 10maggio 2007;

• Agenzia di Civitavecchia, in data17 maggio 2007;

     per San Paolo Imi Banco diNapoli:

• Filiale n. 16 di Bari, in data 19maggio 2007;

• Filiale di San Giovanni Rotondo,in data 18 maggio 2007;

• Filiale di Troppa, in data 31maggio 2007;

• Filiale n. 2 di Benevento, indata 7 giugno 2007;

• Filiale di Messina, in data 12giugno 2007;

• Filiale di Ragusa, in data 14giugno 2007;

• Agenzia 1 di Reggio Calabria, indata 30 maggio 2007;

     per San Paolo Imi Bancadell'Adriatico:

• Filiale di Ascoli Piceno, in data23 maggio 2007.

Ciė, tenendo anche conto di segnalazionipervenute dalla clientela nelle quali si lamentava l'installazione dei sistemidi rilevazione e, in un caso, l'impossibilitą di accedere allo sportellosecondo modalitą che non obbligassero il cliente al rilascio delle proprieimpronte digitali, come pure l'assenza dell'informativa alla clientela.

Il presente provvedimento attiene aiprofili di violazione riscontrati, tenuto anche conto della documentazioneinviata in tempi successivi dal titolare del trattamento.

2. Liceitą del trattamento
2.1. Verifiche. Dagli accertamenti svolti Ź emersauna sostanziale conformitą dei trattamenti presi in considerazione alladisciplina di protezione dei dati personali e alle prescrizioni impartite conil menzionato provvedimento del 27 ottobre 2005. In particolare, risultano designati i "vigilatoridei dati" (si tratta per lo piĚdi dipendenti appartenenti alla funzione interna della banca di audit) e isistemi di rilevazione sono risultati installati presso agenzie situate in zonedove si sono gią verificate rapine (filiali di Messina e Benevento), oppureoggetto di precedenti rapine (filiali di San Giovanni Rotondo e Civitavecchia)o, ancora, situate in localitą periferiche o in prossimitą di vie di fuga(filiale di Bari).

Deve tuttavia ribadirsi, alla luce delledichiarazioni rese per conto della banca presso la filiale n. 3 di Messina (p.2 del verbale operazioni compiute) –dalle quali risulta che "l'istitutodi credito San Paolo Imi ha previsto per tutte le filiali di nuova apertura,l'installazione di tale sistema di rilevazione biometrico"– che non Ź consentito un utilizzogeneralizzato e indiscriminato dei sistemi di rilevazione dell'improntadigitale e dell'immagine della clientela. L'attivazione di tali sistemi nondeve infatti rispondere a una generica e astratta esigenza di sicurezza, ma puėavvenire solo in presenza di "specifici elementi riconducibili acircostanze obiettive che devono evidenziare una concreta situazione di elevatorischio e che l'istituto bancario deve valutare con particolare cautela" (cfr.Provv. 27 ottobre 2005, cit., punto 2).

2.2. Informativa. Anche l'informativafornita alla clientela Ź risultata conforme al modello predisposto dal Garantee collocata prima dell'accesso ai varchi.

Deve tuttavia rilevarsi che, nel corsodell'accertamento presso la filiale di Tropea, Ź stato rilevato che una delletelecamere che integrano il sistema di rilevazione dei dati biometrici permetteanche la visualizzazione su due monitor delle immagini relative a chiunque acceda all'ingresso (senza entrarein filiale) per effettuare operazioni presso lo sportello bancomat e/o la cassacontinua; Ź stato infatti "accertato che la necessaria informativa agliinteressati (ai sensi dell'art. 13 del Codice) viene fornita solo dopo esserestati investiti dal raggio d'azione della telecamera" (verbale di contestazione di violazioneamministrativa n. 83/2007, p. 1). A tale proposito, la Guardia di finanza haredatto il citato verbale di contestazione che ipotizza una violazioneamministrativa in ordine all'informativa.

A prescindere da tale contestazione,risulta comunque necessario che la banca provveda in ogni caso al piĚ presto e,comunque, non oltre il 15 febbraio 2008, a modificare la modalitą con cui si Źritenuto di poter fornire tale informativa, collocandola in modo tale da essereimmediatamente visibile a chi accede agli spazi videosorvegliati, conformandosial menzionato provvedimento del Garante.

3. Altri adempimenti
3.1. Accesso alternativo. In relazione agli ulterioriadempimenti previsti dal menzionato provvedimento deve rilevarsi che pressol'agenzia di Reggio Calabria risulta che non Ź stato possibile al personaleincaricato dal Garante accedere nei locali dell'agenzia avvalendosi delprevisto ingresso alternativo (cfr. verbale del 30 maggio 2007, p. 4). Purpotendo adottare opportune cautele, la banca deve pertanto assicurare lapossibilitą di accedere all'interno dell'agenzia anche in caso di una difformevolontą del cliente a rilasciare le proprie impronte (o in caso diimpossibilitą a prestarsi alle operazioni di trattamento in ragione di propriecondizioni personali: cfr. Provv. 27 ottobre 2005, cit., punto 4a).

La banca dovrą provvedere, pertanto, alpiĚ presto e comunque non oltre il 15 febbraio 2008 a impartire le necessarieistruzioni al fine di consentire ai propri clienti un accesso alternativo neilocali dell'agenzia che escluda qualsiasi pratica elusiva di tale prescrizione.

3.2. Elenco delle filiali. Dagliaccertamenti Ź altresď emerso che non sempre la banca ha assicurato lacompletezza e l'aggiornamento dell'elenco delle filiali presso le quali vengonoeffettuati i trattamenti in esame, dandone puntuale notificazione al Garante(in conformitą alla procedura prevista nel Provv. 27 ottobre 2005, cit., punto 6). Nel caso della filiale di AscoliPiceno, a seguito dell'avvenuta cessione di tale sportelli a San Paolo Bancadell'Adriatico da altra banca (presso la quale il sistema era gią operativo eche aveva provveduto a notificarne la disattivazione), il (ripristinato)trattamento non era stato infatti comunicato all'Autoritą dalla cessionaria.Nel caso della filiale di Ragusa il sistema di rilevazione delle improntedigitali Ź risultato, poi, essere disattivato, senza che fosse mai stata datacomunicazione in precedenza della sua attivazione (verbale del 23 maggio 2007).

La banca dovrą provvedere, pertanto, aeffettuare al piĚ presto, e comunque non oltre il 15 febbraio 2008, unaricognizione delle filiali presso le quali i trattamenti in esame vengonoeffettuati, integrando le comunicazioni gią indirizzate all'Autoritą eadottando idonee procedure volte a garantire l'aggiornamento delle informazionifornite.

TUTTO CIŮ PREMESSO, ILGARANTE

1) ai sensi dell'art. 154, comma 1,lett. c) del Codice prescrive a Intesa Sanpaolo S.p.A., gią Banca San Paolo ImiS.p.A., di provvedere a:

a.     rendere immediatamente visibile achi accede agli spazi videosorvegliati della filiale di Tropea, entro il 15febbraio 2008, l'informativa che segnala la presenza di un sistema divideosorveglianza nella postazione bancomat/cassa continua (punto 2.2.);

b.     impartire, entro e non oltre il15 febbraio 2008, le necessarie istruzioni al fine di garantire alla clientelala possibilitą di accedere alle proprie filiali, mediante modalitą di accessoagli sportelli alternative al rilascio delle impronte digitali (punto 3.1.);

c.     effettuare, entro e non oltre il15 febbraio 2008, una ricognizione delle filiali presso le quali i trattamentioggetto del presente provvedimento vengono effettuati, integrando lecomunicazioni gią indirizzate all'Autoritą e adottando idonee procedure volte agarantire l'aggiornamento delle informazioni fornite (punto 3.2.);

2) ai sensi dell'art. 157 del Codiceprescrive a Intesa Sanpaolo S.p.A., gią Banca San Paolo Imi S.p.A. di dareconferma a questa Autoritą, entro e non oltre il 15 febbraio 2008,dell'attuazione delle prescrizioni di cui al presente dispositivo allegando lapertinente documentazione.

Roma, 23 gennaio 2008

IL PRESIDENTE
Pizzetti

IL RELATORE
Chiaravalloti

IL SEGRETARIO GENERALE
Buttarelli