[v. Newsletter 29 febbraio 2008]

Provvedimento del 23gennaio 2008

IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI

In data odierna, in presenza del prof.Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti,e del dott. Giovanni Buttarelli, segretario generale;

Visto il Codice in materia di protezionedei dati personali (d.lg. 30 giugno 2003, n. 196);

Visto il provvedimento del Garantedel 27 ottobre 2005 (inG.U. n. 68 del 22 marzo 2006, n. 68);

Vista la documentazione in atti;

Viste le osservazioni formulate dalsegretario generale ai sensi dell'art. 15 del regolamento del Garante n.1/2000;

Relatore il prof. Francesco Pizzetti;

PREMESSO

1. Trattamento di dati personali dellaclientela mediante sistemi di rilevazione dell'immagine delle impronte digitalie del volto
Per verificare laconformità alla disciplina di protezione dei dati e alle prescrizioniindividuate nel provvedimento del Garante del 27 ottobre 2005, l'Autorità hasvolto accertamenti presso alcune banche con riguardo a trattamenti di datipersonali dei clienti raccolti (attraverso appositi sistemi di rilevazione) almomento del loro accesso all'interno dei locali della banca, consistentinell'associazione dell'immagine delle impronte digitali e del volto. A tal finel'Autorità, avvalendosi del Comando nucleo speciale funzione pubblica e privacydella Guardia di finanza, ha effettuato verifiche presso le seguenti filialidella Banca nazionale del lavoro (di seguito, la banca):

• Agenzia 1 di Novara, in data 22maggio 2007;

• Agenzia di Gorgonzola, in data 20giugno 2007;

• Agenzia di Rastignano del Pianoro(Bo), in data 30 maggio 2007;

• Agenzia 1 di Ferrara, in data 20giugno 2007.

Il presente provvedimento attiene aiprofili di violazione riscontrati al riguardo, tenuto conto delladocumentazione inviata successivamente dal titolare del trattamento.

2. Liceità del trattamento

2.1. Verifiche. Dagli accertamenti svolti è emersauna sostanziale conformità dei trattamenti presi in considerazione alladisciplina di protezione dei dati personali e alle prescrizioni impartite conil menzionato provvedimento del 27 ottobre 2005; itrattamenti in esame risultano effettuati presso agenzie già oggetto di rapine(in particolare, le filiali di Ferrara e di Novara), ovvero situate in localitàperiferiche (le filiali di Rastignano del Pianoro e di Novara) o per le qualisussisteva un'attestazione della Prefettura circa la presenza di situazioni diconcreto rischio (la filiale di Gorgonzola).

La banca ha altresì provveduto a dareadempimento alla prescrizione relativa alla designazione di un "vigilatoredei dati" provvedendo alconferimento di tale funzione ad alcune società (per lo più istituti divigilanza privata), stipulando con le medesime appositi accordi che nedisciplinano l'attività e le modalità di eventuale trattamento dei dati.

2.2. Informativa. Anche l'informativafornita alla clientela in ordine ai trattamenti in esame è risultata conformeal modello predisposto dal Garante. Ciò, fatta eccezione per la filiale diGorgonzola all'interno della quale non è stata rinvenuta l'informativa relativaai trattamenti effettuati mediante il sistema di rilevazione in esame (cfr. verbale 20 giugno 2007, p. 3); per tale violazioneè stato redatto apposito verbale di contestazione della violazioneamministrativa (n. 88 del 26 giugno 2007).

La banca dovrà pertanto integrare, al piùpresto, e comunque entro e non oltre il 15 febbraio 2008, l'informativa "minima" già fornita alla clientela in sede di accesso allafiliale con un'informativa più ampia esposta all'interno della dipendenzabancaria (in conformità a quanto prescritto dal Provv. 27 ottobre 2005, cit.,punto 3).

2.3. Rilevazione e conservazione deidati. Dagli accertamenti è emerso che nelle diverse filiali della bancasussistono impianti di rilevazione delle immagini della clientela taloraassociate al sistema di rilevazione delle impronte digitali (nella filiale diFerrara: cfr. comunicazione della banca del 26 giugno 2007, p. 2). In altricasi sussistono due autonomi sistemi di rilevazione dei dati, distintamentededicati alle immagini della clientela e alle impronte digitali (nella filialedi Novara: cfr. verbale del 22 maggio 2007, p. 3). In un altro caso, infine, ilsistema di rilevazione delle immagini opera sia in associazione con quellodedicato alla rilevazione delle impronte, sia con il sistema divideosorveglianza interno alla filiale (nella filiale di Gorgonzola: cfr.verbale del 20 giugno 2007, pp. 2 e 4).

In relazione ai tempi di conservazionedei dati registrati, dai diversi accertamenti sono emerse tempistiche differenziatea seconda dei dati trattati e dei sistemi utilizzati. Per quanto attiene aidati relativi alle impronte digitali sono stati indicati tempi di conservazionedi sette giorni; in relazione invece alla raccolta delle immagini dellaclientela, in taluni casi è stato precisato che il tempo massimo diconservazione è pari a due giorni (nelle filiali di Ferrara e Roma) o cinquesettimane (filiali di Gorgonzola e di Novara).

A seguito di apposita richiesta diinformazioni relativa ai tempi di conservazione delle immagini, la banca hadichiarato che, in base alle procedure interne (aggiornate al 1996), i tempi diconservazione delle immagini "risultano pari a 30 giorni", precisando altresì che "a seguito dicomunicazioni informali di questa Direzione" alcune filiali "hanno adottato un sistema digestione dei rapporti magnetici che, utilizzando ciclicamente solo due cassetteVHS, riduce i tempi di conservazione delle immagini a gg. 13 (di cui 7 presentisul nastro archiviato e 6 sul nastro riutilizzato per le nuoveregistrazioni)" (cfr. comunicazioni del 17 settembre 2007, sul punto diidentico contenuto).

Pur considerando che, nella medesimacomunicazione, la banca ha precisato essere "in corso un processo diaggiornamento delle istruzioni interne in osservanza alle vigenti disposizionidi legge in materia", deverilevarsi che entrambi i lassi temporali indicati nel corso degli accertamentie nelle successive comunicazioni, non risultano conformi alle prescrizioniformulate dal Garante. Ciò, in relazione sia a quelle contenute nel menzionatoprovvedimento del 27 ottobre 2005,secondo il quale i dati relativi alle immagini "devono essere conservatiper un periodo non superiore ad una settimana" (con la precisazione che "devonoessere predisposti meccanismi di integrale cancellazione automatica delleinformazioni allo scadere del termine previsto": punto 4, lett. c)), sia a quelle formulate con ilprovvedimento generale in materia di videosorveglianza (Provv. 29 aprile 2004,punto 3.4.).

La banca dovrà pertanto adottare, al piùpresto, e comunque entro e non oltre il 15 febbraio 2008, le misure necessarieaffinché i tempi di conservazione delle immagini non siano superiori a unasettimana a decorrere dalla loro registrazione.

2.4. Altri adempimenti. In relazione agliulteriori adempimenti previsti dal provvedimento del 27 ottobre 2005 deverilevarsi che la banca, pur avendo inviato al Garante in formato cartaceol'elenco delle agenzie presso le quali sono state attivati i sistemi, non haprovveduto (in conformità a quanto stabilito nel provvedimento stesso) adavvalersi dell'apposita procedura telematica prescritta.

La banca dovrà provvedere pertanto, alpiù presto e comunque non oltre il 15 febbraio 2008, a rinnovare talicomunicazioni, conformandosi al menzionato provvedimento del Garante.

2.5. Documentazione. In alcune filialinon è stata poi rinvenuta, nel corso dell'attività di accertamento, ladocumentazione relativa al sistema di rilevazione immagine/impronta digitaleinstallato. In particolare, in quella di Gorgonzola non era conservata larelativa documentazione tecnica (scheda tecnica dell'impianto biometrico ecomunicazioni di servizio relative all'impianto di videoregistrazione), inviataal Garante a integrazione della documentazione acquisita in sede diaccertamento in data 2 luglio 2007.

La banca dovrà pertanto provvedere, alpiù presto, e comunque entro e non oltre il 15 febbraio 2008 a dotare dettafiliale della documentazione in esame (cfr. Provv. 27 ottobre 2005, cit.,punto 6).

TUTTO CIÒ PREMESSO,IL GARANTE

1) ai sensi dell'art. 154, comma 1,lett. c) del Codice prescrive alla Banca nazionale del lavoro di provvedere alpiù presto, e comunque entro e non oltre il 15 febbraio 2008, a:

a.     rendere disponibili all'internodella filiale di Gorgonzola la prevista informativa (punto 2.2.) e ladocumentazione relativa ai relativi sistemi installati (punto 2.5.);

b.     adottare le misure necessarie affinchéi tempi di conservazione delle immagini non siano superiori a una settimana adecorrere dalla loro registrazione (punto 2.3.);

c.     adottare le misure organizzativenecessarie per avvalersi della procedura telematica previstaper inviare al Garante le comunicazioni/richieste di verifica preliminarerelative ai sistemi biometrici attivati o che intende attivare presso leproprie filiali (punto 2.4.);

2) ai sensi dell'art. 157 del Codice,prescrive a Banca nazionale del lavoro di dare conferma a questa Autorità,entro e non oltre il 15 febbraio 2008, dell'attuazione delle prescrizioni dicui al presente dispositivo allegando la pertinente documentazione.

Roma, 23 gennaio 2008

IL PRESIDENTE
Pizzetti

IL RELATORE
Pizzetti

IL SEGRETARIO GENERALE
Buttarelli