Disposizioni in materia di contributo spese per l'esercizio del diritto di accesso ai dati personali conservati nei Sistemi di informazioni creditizie (Sic)

DELIBERAZIONE N. 18 DEL 18 MARZO 2010


(Comunicato pubblicato sulla G.U. n. 85 del 13 aprile 2010)

Registro delle deliberazioni
Del. n. 18 del 18 marzo 2010

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Daniele De Paoli, segretario generale reggente;

VISTA la Convenzione sulla protezione delle persone rispetto al trattamento automatizzato di dati di carattere personale, adottata a Strasburgo il 28 gennaio 1981 e resa esecutiva con legge n. 98 del 21 febbraio 1989, avente lo scopo di garantire a ciascuno "il rispetto dei suoi diritti e delle sue libertà fondamentali, e in particolare del suo diritto alla vita privata, in relazione all’elaborazione automatica dei dati che [lo riguardano]" e, in particolare, l’art. 8, che prevede che ogni persona debba avere la possibilità di "ottenere a ragionevoli intervalli e senza eccessivo ritardo o spesa la conferma dell’esistenza o meno, nella collezione automatizzata [intesa come l’insieme di informazioni oggetto di elaborazione automatica], di dati a carattere personale che la riguardano e la comunicazione di tali dati in forma intellegibile";

VISTO l’art. 12, lett. a) della Direttiva n. 95/46 del Parlamento europeo e del Consiglio del 24 ottobre 1995, che riconosce all’interessato il diritto di ottenere "dal responsabile del trattamento", […] "liberamente e senza costrizioni, ad intervalli ragionevoli e senza ritardi o spese eccessivi", la conferma dell’esistenza o meno del trattamento dei dati che lo riguardano, nonché di conoscere le finalità del trattamento, i soggetti a cui i dati sono comunicati, l’origine degli stessi e la logica applicata nei trattamenti automatizzati;

VISTO che dalle informazioni ricevute dalle Data Protection Authority dei Paesi dell’Unione Europea, espressamente interpellate da questa Autorità sul tema del diritto di accesso degli interessati alle c.d. Credit reference agencies, è emerso che alcuni Stati applicano pienamente il principio di gratuità, non richiedendo alcun contributo spese, mentre altri Stati hanno ritenuto di fissare un contributo in tal senso –in misura non superiore ai 7 euro– individuando anche casi in cui l’accesso è comunque gratuito, come nell’ipotesi in cui la risposta sia fornita on line o qualora si tratti della prima richiesta effettuata nell’arco temporale di un anno;

VISTO il d.lg. n. 196/2003 (Codice in materia di protezione dei dati personali) e in particolare il Titolo II (artt. da 7 a 10), recante disposizioni in materia di "Diritti dell’interessato";

VISTO l’art. 7 del Codice, che prevede il diritto per l’interessato di ottenere dal titolare del trattamento la conferma o meno dei dati personali che lo riguardano e la loro comunicazione in forma intellegibile, nonché "di ottenere l’indicazione:

a) dell'origine dei dati personali;

b) delle finalità e modalità del trattamento;

c) della logica applicata in caso di trattamento effettuato con l'ausilio di strumenti elettronici;

d) degli estremi identificativi del titolare, dei responsabili e del rappresentante designato ai sensi dell'articolo 5, comma 2;

e) dei soggetti o delle categorie di soggetti ai quali i dati  personali possono essere comunicati o che possono venirne a  conoscenza in qualità di rappresentante designato nel territorio dello Stato, di responsabili o incaricati."

VISTO l’art. 10, comma 7 del Codice, che attribuisce al titolare del trattamento la facoltà di chiedere all’interessato che abbia esercitato il diritto di accesso ai dati personali ai sensi dell’art. 7, commi 1 e 2, lett. a), b) e c) un contributo spese non eccedente i costi effettivamente sopportati per la ricerca effettuata, allorché non risulti confermata l’esistenza di dati relativi allo stesso interessato, nonché il successivo comma 8, che precisa che tale contributo non può comunque superare l'importo determinato dal Garante con un provvedimento di carattere generale;

CONSIDERATO che la stessa norma prevede che con tale provvedimento il Garante possa determinare un contributo spese anche nell’ipotesi in cui "i dati personali figurano su uno speciale supporto del quale è richiesta specificamente la riproduzione, oppure quando, presso uno o più titolari, si determina un notevole impiego di mezzi in relazione alla complessità o all’entità delle richieste ed è confermata l’esistenza di dati che riguardano l’interessato" (art. 10, comma 8, ult. cpv.).

VISTO il provvedimento di carattere generale n. 14 del 23 dicembre 2004, con il quale il Garante, nel rilevare la tendenziale gratuità dell’esercizio del diritto di accesso, ha stabilito, per qualsiasi titolare del trattamento, pubblico o privato, il contributo massimo dovuto nei casi in cui non risulti confermata l’esistenza dei dati relativi all’interessato (art. 10, comma 7 e primo cpv. del comma 8), stabilendo, al contempo, qualora l’esistenza dei dati risulti confermata (comma 8, ult. cpv.), che il contributo spese possa essere preteso nel solo caso in cui i dati siano conservati su uno speciale supporto di cui l’interessato chieda specificamente la riproduzione;

VISTA la delibera n. 15 del 23 dicembre 2004, con la quale il Garante, in accoglimento dell’istanza presentata nel maggio 2004 da Crif S.p.A. (di seguito, Crif), volta ad ottenere la determinazione dell’importo massimo del contributo spese anche "quando, presso uno o più titolari, si determina un notevole impiego di mezzi in relazione alla complessità o all’entità delle richieste ed è confermata l’esistenza di dati che riguardano l’interessato" (art. 10, comma 8, ult. cpv. del Codice), ha attribuito alla società istante, in considerazione "di alcune circostanze che denotano, allo stato, un particolare impiego di mezzi nel riscontro delle richieste di esercizio del diritto di accesso" e, in via transitoria, per il solo anno 2005, la facoltà di chiedere all’interessato un contributo spese anche per tale ipotesi;

VISTA la successiva istanza presentata nel 2005, con la quale Crif ha chiesto al Garante di determinare, anche per l’anno 2006, l’ammontare del contributo in questione, nonché il relativo riscontro fornito dall’Autorità, che "ha ravvisato la mancanza dei presupposti […] per adottare […] una nuova deliberazione analoga alla citata decisione n. 15/2004" (v. nota del 2 marzo 2006);

VISTE le istanze di identico tenore presentate dalla stessa società negli anni 2007 e 2008, rimaste prive di riscontro;

VISTA la sentenza n. 587 depositata il 23 gennaio 2009, con la quale il TAR del Lazio, accogliendo il ricorso presentato da Crif avverso il silenzio rifiuto, ha ordinato al Garante "di attivare il procedimento amministrativo per la valutazione e la decisione sull’istanza [della società]";

VISTA la sentenza n. 5198 notificata il 30 settembre 2009, con la quale il Consiglio di Stato ha confermato la suddetta sentenza;

VISTA la richiesta del 26 novembre 2009, con la quale l’Autorità, in ottemperanza al giudicato amministrativo, ha chiesto a Crif informazioni e documenti utili a fornire un quadro aggiornato dei dati, in particolare numerici, rispetto a quello precedentemente fornito dalla società (v. nota Crif del 21 maggio 2008), nonchè il relativo riscontro reso da Crif con nota del 17 dicembre 2009, con il quale la società ha rappresentato di avere registrato, nel periodo compreso tra il 2004 e il primo semestre del 2009, un consistente incremento delle istanze di accesso ai dati personali, con un conseguente significativo aumento dei costi da sostenere per far fronte alle medesime;

RITENUTO, pertanto, di dover determinare in conformità alla vigente normativa, il contributo spese da corrispondere a Crif in relazione al riscontro reso all’interessato a fronte dell’esercizio dei diritti di cui all’art. 7, commi 1 e 2 lett. a), b) c) del Codice, tenendo conto, quale presupposto, del "notevole impiego di mezzi in relazione alla complessità o all’entità delle richieste" (art. 10, comma 8, ult. cpv.).

VISTI gli atti d’ufficio;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Giuseppe Fortunato;

PREMESSO:

1. Alla luce degli elementi acquisiti, si rende necessario contemperare le esigenze connesse alla determinazione di un contributo spese con quella di non rendere eccessivamente difficile e oneroso l’esercizio dei diritti di cui all’art. 7, comma 1 e 2, lett. a), b) e c) del Codice, gli unici per i quali è previsto il versamento del suddetto contributo.

2.1. Muovendo da tale considerazione, occorre distinguere i casi in cui per Crif S.p.A. non risulti confermata l’esistenza di dati riguardanti l’interessato, oppure sussista tale conferma e le informazioni figurino su uno speciale supporto di cui sia richiesta specificamente la riproduzione, da quelli in cui, invece, sussista tale conferma ma si renda necessario un notevole impiego di mezzi in relazione alla complessità o all’entità delle richieste.

2.2. Per il primo caso, si ritiene di confermare quanto già al riguardo previsto dalla deliberazione n. 14/2004, tuttora vigente, considerato che allo stato non sussistono ragioni per diversificare nei confronti di Crif, nei casi di cui all’art. 10, commi 7 ed 8 prima parte del Codice, la misura del contributo spese già fissato per tutti i titolari del trattamento.

Tale delibera, peraltro, risulta conforme al principio di tendenziale gratuità dell’esercizio del diritto di accesso sancito dall’art. 12 lett. a) della direttiva europea n. 95/46 Ce del Parlamento Europeo e del Consiglio del 24 ottobre 1995, richiamato dal Codice.

2.3. In ordine al secondo caso, considerati gli elementi forniti da Crif S.p.A., dai quali emerge che, benché sia ormai superata la fase di prima applicazione del codice deontologico, vi è una consistente crescita del flusso medio delle istanze rivolte alla società e, conseguentemente, dei costi che la stessa deve sostenere per fornire adeguato riscontro, si rileva la necessità di individuare un contributo spese a favore di Crif S.p.A., quale titolare del trattamento presso cui "si determina un notevole impiego di mezzi in relazione […] all’entità delle richieste", così articolato:

a) tutte le volte in cui l’interessato richieda espressamente il riscontro attraverso l’invio a mezzo di posta elettronica, lo stesso dovrà essere reso a titolo gratuito;

b) una sola volta nell’arco di ciascun anno solare, l’interessato, a prescindere dalla modalità prescelta per ottenere il riscontro richiesto, avrà il diritto di esercitare a titolo gratuito le facoltà previste dall’art. 7, commi 1 e 2 lett. a), b), c);

c) per le richieste successive alla prima nell’arco di ciascun anno solare, formulate ai sensi dell’ art. 7, commi 1 e 2 lett. a), b), c), Crif potrà richiedere un contributo spese commisurato ai costi effettivamente sostenuti e, comunque, fino ad un massimo di euro sette (comprensivo di spese postali);

d) qualora sia presentata una richiesta incompleta da parte di un soggetto che, comunque, risulti individuato e legittimato, e si renda indispensabile instaurare un contatto con il medesimo per acquisire le informazioni necessarie per fornire un idoneo riscontro, il contributo spese non dovrà eccedere i costi effettivamente sostenuti e, in ogni caso, non dovrà superare l’importo di euro tre.

Crif S.p.A. non potrà chiedere alcun contributo spese ove la risposta all’interessato sia inoltrata oltre i termini previsti dall’art. 146, comma 2 del Codice.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 154, comma 1, lett. c) del Codice in materia di protezione dei dati personali, fissa nei termini di cui al punto 2.3. gli importi massimi relativi al contributo spese che Crif S.p.A., quale titolare del trattamento presso cui "si determina un notevole impiego di mezzi in relazione […] all’entità delle richieste ed è confermata l’esistenza di dati che riguardano l’interessato", potrà richiedere in caso di esercizio dei diritti previsti dall’art. 7, commi 1 e 2, lett. a), b) e c) del Codice;

dispone che sia comunicata l’adozione del presente provvedimento tramite avviso pubblicato sulla Gazzetta Ufficiale della Repubblica italiana.

Roma, 18 marzo 2010

Il presidente
Pizzetti

Il relatore
Fortunato

Il segretario generale reggente
De Paoli