| Garante per la protezione dei dati personali Esonero dall'obbligo di rendere l'informativa in forma individuale ai dipendenti ed ai clienti acquisiti attraverso la cessione di un ramo d'azienda PROVVEDIMENTO DEL 5LUGLIO 2012 Registro dei provvedimenti n. 192 del 5luglio 2012 IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI NELLA riunione odierna, in presenza del dott. Antonello Soro,presidente, della dott.ssa Augusta Iannini, vice presidente, della prof.ssaLicia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti, e deldott. Daniele De Paoli, segretario generale; VISTO il Codice in materia di protezione dei dati personali (d.lg. 30giugno 2003, n. 196), con particolare riferimento agli artt. 2, comma 2, 11,comma 1, lett. a), 13, comma 5, lett. c) e 154; VISTA l'istanza del 30 gennaio 2012 presentata da Mediocredito EuropeoS.p.a.; VISTA la documentazione in atti e, in particolare, il contratto dicessione del ramo d'azienda intercorso tra Ktesios S.p.a. e MediocreditoEuropeo S.p.a. in data 31 gennaio 2012; VISTE le osservazioni dell'Ufficio formulate dal segretario generaleai sensi dell'art. 15 del regolamento del Garante n. 1/2000; RELATORE la dott.ssa Giovanna Bianchi Clerici; 1. Con istanza pervenuta il 3 febbraio 2012, Mediocredito EuropeoS.p.a., acquirente di un ramo d'azienda cedutole da Ktesios S.p.a. il 31gennaio 2012, ha chiesto al Garante per la protezione dei dati personali diessere esonerata dall'obbligo di rendere l'informativa in forma individuale ai dipendentie ai clienti già appartenuti a Ktesios S.p.a., con contestuale indicazione, daparte della stessa Autorità, di eventuali misure appropriate per consentire,comunque, adeguata pubblicità al trattamento dei dati personali di costoro. La ragione di tale richiesta risiede nel fatto che tale operazionegiuridica avrebbe comportato non solo un trasferimento in capo a MediocreditoEuropeo S.p.a. dei beni (materiali e immateriali), dei rapporti giuridici-attivi e passivi- e dei rapporti contrattuali di cui la Ktesios S.p.a. eratitolare, ma anche una comunicazione dei dati personali relativi ai dipendentied ai clienti della cedente, ivi compresi quelli riguardanti i soggetti-pubblici e privati- con cui la stessa aveva stipulato convenzioni, contratti diservizio o di assistenza ("pacchetto informatico"). Stante il considerevole numero di interessati coinvolti (art. 4, comma1, lett. i) del Codice), Mediocredito Europeo S.p.a. ha sostenuto chel'attuazione dell'obbligo di informativa secondo le modalità ordinarie (cioè informa individuale) in favore di ciascuno di essi comporterebbe un impiego dimezzi manifestamente sproporzionati rispetto al diritto tutelato; pertanto, hasuggerito, come modalità alternativa, quella di "rendere l'informativanelle medesime forme previste, per la notizia della cessione dei rapportigiuridici in blocco, dall'art. 58 del testo unico delle leggi in materiabancaria e creditizia", ossia mediante la sua pubblicazione "perclassi di operazioni nella Gazzetta Ufficiale, utilizzando meccanismi dipubblicazione ripetuta e di agevole individuazione". 2. Sul piano sostanziale, l'operazione negoziale intercorsa traKtesios S.p.a. e Mediocredito Europeo S.p.a. è regolata dall'art. 58, comma 7del d.lg. 1 settembre 1993, n. 385 (Testo unico delle leggi in materia bancariae creditizia), che ha esteso agli intermediari finanziari iscritti nell'elencogenerale tenuto dalla Banca d'Italia ai sensi dell'art. 106 dello stessodecreto (categoria cui appartengono entrambe le società in questione) ladisciplina di favore prevista per il trasferimento "in blocco" dirapporti giuridici nel settore bancario, e quindi anche ove esso consegua aduna cessione di ramo d'azienda. In particolare, detta disciplina ha introdotto modalità atte adagevolare la cessione "in blocco" dei rapporti attivi e passivi dalsoggetto cedente al cessionario, riducendo i costi e gli adempimenti connessiall'operazione ma, al contempo, preservando i legittimi interessi dei soggettiin essa coinvolti. In proposito, questa Autorità, con provvedimento adottato il Sulla scorta di tale orientamento, anche nel caso in questione lacomunicazione dei dati personali tra le due società d'intermediazionefinanziaria può considerarsi lecita, seppur in assenza del consenso degliinteressati, potendo ritenersi integrata, per i dati ordinari, l'ipotesiprevista dall'art. 24, comma 1, lett. g) del Codice e, per i dati sensibiliconnessi ai rapporti di lavoro ceduti (art. 2112 c.c.), quella di cui all'art.26, comma 4, lett. d) del Codice e all'Autorizzazione generale del Garante n.1/2011. 3. Ciò premesso, alla luce delle peculiarità dell'operazione descrittanel contratto del 31 gennaio 2012 e delle argomentazioni svolte da MediocreditoEuropeo S.p.a., si deve ritenere che, ove si volesse rendere a ciascuninteressato (cliente o dipendente), in forma individuale, l'informativa sultrattamento dei dati personali correlato alla cessione del ramo d'azienda, perl'enorme numero di soggetti coinvolti (solo i clienti sono circa 215.000) sirenderebbe effettivamente necessario un impiego di mezzi sproporzionatirispetto all'interesse che l' art. 13, comma 4 del Codice intende tutelare. Infatti, se è vero che la disciplina di protezione prevede che i datipersonali debbano essere trattati "secondo correttezza" (art.11, comma 1, lett. a) del Codice), assicurando un elevato livello di tutela deidiritti e delle libertà fondamentali, è altresì vero che ciò deve avvenire "nelrispetto dei princìpi di semplificazione, armonizzazione ed efficacia"(art. 2, comma 2 del Codice). Pertanto, nel caso di specie, questa Autorità ritiene che unaragionevole ed equilibrata attuazione di tali fondamentali principi -conspecifico riferimento alla doverosa informazione degli interessati riguardoalle caratteristiche fondamentali del trattamento intrapreso da MediocreditoEuropeo S.p.a., ivi compresa la circostanza dell'avvenuta raccolta dei datipresso terzi- possa essere raggiunta anche mediante la pubblicazionedell'informativa, contenente gli elementi previsti dall'art. 13, commi 1 e 2del Codice, sulla Gazzetta Ufficiale della Repubblica italiana, contestualmentealla pubblicazione dell'avviso sulla cessione "in blocco" deirapporti giuridici prevista dal menzionato art. 58 del T.u.b.. In ogni caso, al fine di assicurare agli interessati la massimaconoscibilità delle caratteristiche del trattamento dei loro dati personali, dovranno comunque essere adottate anche ulteriori "misure appropriate" (art. 13, comma 5, lett. c), del Codice), e precisamenteoccorrerà che: a) Mediocredito Europeo S.p.a. fornisca direttamente ai soggetticeduti gli elementi contenuti nell'art. 13, commi 1 e 2 del Codice, allaprima occasione utile di contatto successiva all'avvenuto acquisto del ramoaziendale da Ktesios S.p.a.; b) entrambe le società coinvolte nella cessione pubblichino sui proprisiti web un annuncio recante i contenuti dell'informativa. TUTTO CIŅ PREMESSO, ILGARANTE ai sensi dell'art. 13, comma 5 del Codice, accoglie la richiesta diMediocredito Europeo S.p.a. di essere esonerata dall'obbligo di renderel'informativa in forma individuale ai dipendenti ed ai clienti acquisitiattraverso la cessione del ramo d'azienda operata da Ktesios S.p.a. e, perl'effetto, dispone che Mediocredito Europeo S.p.a. possa rendere l'informativaagli interessati, contenente gli elementi previsti dall'art. 13, commi 1 e 2,del Codice, mediante la sua pubblicazione sulla Gazzetta Ufficiale dellaRepubblica italiana, contestualmente alla pubblicazione dell'avviso di cessione"in blocco" dei rapporti giuridici previsto dall'art. 58 del T.u.b; al fine di assicurare agli interessati la massima conoscibilità dellecaratteristiche del trattamento dei loro dati personali, dispone che venganoadottate anche ulteriori "misure appropriate" (art. 13, comma5, lett. c), del Codice), e precisamente che: - Mediocredito Europeo S.p.a. fornisca direttamente ai soggetticeduti gli elementi contenuti nell'art. 13, commi 1 e 2 del Codice, allaprima occasione utile di contatto successiva all'avvenuto acquisto del ramoaziendale da Ktesios S.p.a.; - entrambe le società coinvolte nella cessione pubblichino suipropri siti web un annuncio recante i contenuti dell'informativa. Roma, 5 luglio 2012
|