Istanza di bilanciamento di interessiformulata da Aviva Italia Holding S.p.A

PROVVEDIMENTO DEL 24 GENNAIO 2013

Registro dei provvedimenti
n. 35 del 24 gennaio 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

Indata odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssaAugusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici,componente e del dott. Giuseppe Busia, segretario generale;

VISTOil d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei datipersonali);

VISTEle comunicazioni delle società italiane del Gruppo Aviva del 26 marzo 2010, 1∞marzo 2011 e 7 luglio 2011;

ESAMINATAla documentazione in atti, con particolare riferimento alla nota del ServizioRelazioni Comunitarie e Internazionali;

VISTEle osservazioni formulate dal segretario generale ai sensi dell'art. 15 delregolamento del Garante n. 1/2000;

RELATOREil dott. Antonello Soro;

PREMESSO

1. Le comunicazioni della società.

1.1.Con distinte comunicazioni reiterate nel tempo, le società italiane del gruppomultinazionale "Aviva" (nella specie: Aviva Italia Holding S.p.A.;Aviva Italia S.p.A.; Aviva Assicurazioni S.p.A.; Avipop Assicurazioni S.p.A.,di seguito le società richiedenti o istanti), nel rappresentare un progetto infase di implementazione presso gran parte delle consociate europee (avente adoggetto, da ultimo, la gestione dei contratti assicurativi attraversol'utilizzo di un data centre ubicato in Francia), hanno infine richiestoall'Autorità, con specifico riferimento alla funzionalità del progettodenominata SAS Matching Process –preordinata all'individuazione dipossibili richieste di risarcimento danni fraudolente– di adottare unprovvedimento di bilanciamento degli interessi (art. 24, comma 1, lett. g), delCodice) al fine di poter trattare i dati non sensibili dei soggetti coinvolti avario titolo nelle procedure di liquidazione dei sinistri (contraenti,danneggiati, periti, medici, legali, testimoni, carrozzieri, ecc.) in assenzadel loro consenso; ciò, al fine di tutelare gli interessi aziendali e di gruppoal corretto svolgimento dei rapporti assicurativi e di prevenire e contrastarei "crescenti episodi di frode" nel ramo danni.

1.2.Secondo quanto riferito, il SAS Matching Process si articolerebbe nelleseguenti fasi:

– invio, da parte delle società italiane operanti nel ramo danni ("in qualitàdi data exporter e, quindi di "titolari" del trattamento"),attraverso canali definiti "sicuri", dei dati personali dei"partecipanti" (così come sopra individuati) alla banca daticentralizzata sita in Francia;

–analisi, da parte di una consociata irlandese (nella qualità di "dataimporter" designata responsabile del trattamento), dei dati ivi confluiti,previa loro elaborazione sulla base di appositi modelli previsionali;

–generazione di "report ad uso interno e privato", volti a"identificare possibili richieste di risarcimento danni fraudolente";

–messa a disposizione dei risultati alle società interessate, in vista deglieventuali provvedimenti che le stesse riterranno di dover adottare neiconfronti di coloro che si fossero resi effettivamente responsabili di condottefraudolente.
Il sistema, per come descritto nella documentazionetrasmessa, consentirebbe di analizzare le richieste di risarcimento pervenuteconfrontando le informazioni fornite dalle società a livello"nazionale" (nel caso di specie, le società italiane del Gruppo Avivaoperanti nel ramo danni), al fine di "identificare eventuali richiesteripetute" (numero di precedenti richieste: per individuo; per veicoloregistrato; per polizza; per numero di telefono; per indirizzo; ecc.) che, percaratteristiche e frequenza, potrebbero rivelarsi utili, anche unitamente adaltri parametri ("età del richiedente"; "lasso di tempointercorso tra la data di inizio del contratto e la data dell'evento";ecc.), nell'individuazione di potenziali comportamenti fraudolenti. Taleelaborazione verrebbe effettuata dal sistema su informazioni "pre-filtrate"e "standardizzate", al fine di "assicurare che le analisi e lacorrispondenza dei dati siano quanto più possibile precisi"; il sistema,in altri termini, provvederebbe preliminarmente a verificare, sulla base ditaluni parametri (a titolo esemplificativo: "nome"; "cognome";"indirizzo"; "cap"; "numero di telefono";"numero di targa del veicolo"), l'effettiva identità del richiedente,sì da poter procedere ad una corretta individuazione delle "richiesteripetute" e garantire, correlativamente, un'"analisi predittiva"genuina.

All'esitodel procedimento di elaborazione, il sistema attribuirà un "punteggiofrode (0-1) il quale verrà incluso all'interno dei report giornalieri"resi fruibili alle società interessate solo in caso di eventuali anomalie e aisoli operatori autorizzati debitamente designati quali incaricati deltrattamento (art. 30 del Codice). Le società italiane del Gruppo Aviva,acquisito il report con l'anomalia rilevata, provvederanno alle opportuneverifiche e alla valutazione delle successive iniziative da intraprendere incaso di effettivo accertamento della frode.

1.3.Il sistema, secondo quanto prospettato, nulla avrebbe a che vedere conl'attività di prevenzione e contrasto alle frodi perseguita dall'Isvapattraverso la banca di dati dei sinistri istituita e disciplinata ai sensidegli artt. 135 del d.lgs. n. 209/2005 e 120 del Codice, atteso che "ilSAS Matching Process si limit[erebbe] a svolgere un'analisi antifrode di naturaesclusivamente privata ed interna ad Aviva avente ad oggetto esclusivamente i datidei partecipanti".

Peraltro,le attività di trattamento connesse al SAS Matching Process avrebbero quale"fine ultimo [anche] quello di fornire all'Isvap dati quanto più possibilicorretti e precisi", onde consentire a quest'ultimo di poter svolgere almeglio i propri compiti istituzionali in materia antifrode, evitando alcontempo che gli altri operatori abilitati alla consultazione della banca datidell'istituto possano utilizzarla in termini non corretti, avvalendosi di datinon veritieri.

Inogni caso, le attività di trattamento non comporterebbero in alcun modo"un'attività di profilazione dei dati della clientela", né lacreazione di specifiche "blacklist" o di banche dati "adhoc" con finalità antifrode.

1.4.L'istanza di bilanciamento di interessi troverebbe giustificazione, a dettadelle società richiedenti, nel legittimo interesse di queste ultime a tutelarsida fenomeni fraudolenti (particolarmente rilevanti nel settore assicurativo),oltre che nell'oggettiva impossibilità di acquisire un preventivo consenso daparte di tutti gli interessati.

Muovendoanche dall'assunto che il trattamento in esame produrrebbe, tra l'altro,"un effetto positivo sulla gestione dei contratti di assicurazione intermini di certezza e rapidità nella liquidazione delle richiesterisarcitorie", le società italiane del Gruppo Aviva operanti nel ramodanni ritengono di poter ravvisare i presupposti per poter effettuare ilrichiesto bilanciamento in alcuni indici "normativi" rinvenibili alivello comunitario e nazionale.

Intal senso, è stata richiamata la Raccomandazione R(2002)9 del Consigliod'Europa del 18 settembre 2002 –che menziona la "prevenzione,[l']individuazione e/o [il] perseguimento [delle] frodi" tra gli scopi chelegittimano la raccolta e il trattamento dei dati personali in ambitoassicurativo– finalità perseguite anche da alcuni disegni di leggegenericamente individuati, che avrebbero ad oggetto l'adozione di misure per larepressione di comportamenti fraudolenti nel settore assicurativo.

Intermini più generali, sono stati poi citati i decreti legislativi nn. 231 del2001 (concernente la responsabilità amministrativa delle imprese per i reaticommessi a suo vantaggio o nel suo interesse) e 231 del 2007 (volto a prevenire l'utilizzo del sistema finanziario ed economico a fini di riciclaggioo di finanziamento del terrorismo); a detta delle società, infatti, "lamateria dell'antiriciclaggio impatta su quella della prevenzione delle truffepoiché in entrambi i casi occorre effettuare un monitoraggio dei comportamentianomali della clientela attraverso indici di anomalia basati su calcolistatistici e di esperienza", sicché "la procedura del SAS MatchingProcess potrebbe essere utilizzata [ä] anche al fine di permettere all'OdV[Organismo di Vigilanza] di monitorare eventuali comportamenti anomali dellaclientela che possano generare obblighi di comunicazione/segnalazione inmateria di antiriciclaggio" (art. 52 del d.lgs. n. 231/2007).

Infine,le società istanti hanno richiamato l'art. 135 del d.lgs. n. 209/2005 –istitutivodella banca di dati dei sinistri a fini di prevenzione e contrasto dicomportamenti fraudolenti nel settore delle assicurazioni obbligatorie per iveicoli a motore immatricolati in Italia– e il connesso Regolamento Isvapdel 1∞ giugno 2009, n. 31, che prevede obblighi di comunicazione all'istitutodei dati relativi ai sinistri "secondo principi di esattezza ecompletezza", in difetto dei quali le imprese assicurative potrebberoessere soggette a sanzioni (art. 316 dello stesso d.lgs. n. 209/2005).

2. Le valutazioni dell'Autorità.

2.1.Il presente provvedimento, che riguarda i soli profili concernenti l'istanza dibilanciamento di interessi rivolta all'Autorità dalle società italiane delGruppo Aviva operanti nel ramo danni, ha ad oggetto il trattamento dei datipersonali di numerosi soggetti coinvolti a vario titolo nelle procedure diliquidazione sinistri per finalità di individuazione di eventuali richieste dirisarcimento danni fraudolente. L'istanza, alla luce delle indicazioni fornitee sulla base della documentazione prodotta dalle società richiedenti, puòritenersi meritevole di accoglimento nei termini di seguito indicati.

Occorreanzitutto premettere che la finalità perseguita dalle società richiedentirisulta lecita, trovando la prevenzione e il contrasto alle frodi nel settoreassicurativo riconoscimento –diretto o indiretto– sianell'ordinamento statuale (in particolare, per quanto concerne i rischiderivanti dalla circolazione di veicoli e natanti, v. gli artt. 132, 135, 146,148 e 326 del d.lgs. 7 settembre 2005, n. 209, nonché l'art. 120 del Codice; v.anche il d.l. n. 1/2012, convertito, con modificazioni, nella l. n. 27/2012,recante "disposizioni urgenti per la concorrenza, lo sviluppo delleinfrastrutture e la competitività", nonché l'art. 21 del d.l. 18 ottobre2012, n. 179, recante "ulteriori misure urgenti per la crescita delPaese"; v. altresì i regolamenti Isvap in materia, tra cui il Regolamento9 agosto 2012, n. 44 e il Regolamento 1∞ giugno 2009, n. 31, cit.), che, intermini più generali, sul piano comunitario (cfr. Raccomandazione del Consigliod'Europa R(2002)9 del 18 settembre 2002, cit.). Merita poi evidenziare che lesocietà istanti, assumendosi ogni responsabilità al riguardo anche ai sensidell'art. 168 del Codice, hanno dichiarato che la titolarità del trattamentoche intendono svolgere, per come concretamente configurato il sistema, deveritenersi riconducibile in capo alle medesime società, nella misura in cuiqueste, avvalendosi della collaborazione della consociata irlandese –tenutaad operare secondo standard organizzativi e di sicurezza individuati dallestesse società italiane del Gruppo Aviva– trattano le informazionisintetizzate nei reports generati dal SAS Matching Process in vistadell'accertamento di eventuali condotte fraudolente e per la successivaadozione dei connessi provvedimenti nei confronti degli interessati (più ingenerale, sul concetto di titolarità, v. il Parere 1/2010 adottato in data 16febbraio 2010 dal Gruppo di lavoro istituito ai sensi dell'art. 29 delladirettiva 95/46/Ce).

2.2.Nel merito della richiesta avanzata, e fatta salva la ricorrenza di altripresupposti di liceità del trattamento eventualmente applicabili (art. 24 delCodice), si ritiene che le società italiane del Gruppo Aviva operanti nel ramodanni possano lecitamente trattare, in relazione alle finalità dichiarate e nelrispetto delle modalità indicate, i dati personali non sensibili dei soggetticoinvolti, a vario titolo, nelle procedure di risarcimento danni derivanti dallacircolazione di veicoli a motore anche in difetto del loro consenso; ciò, invirtù (e per effetto) del presente provvedimento, che, in applicazione delladisciplina sul c.d. bilanciamento di interessi (art. 24, comma 1, lett. g), delCodice), individua nella prevenzione e contrasto di fenomeni fraudolenti nelsegmento della responsabilità civile derivante dalla circolazione di veicoli amotore un legittimo interesse delle società italiane del Gruppo Aviva inrapporto a proprie esigenze di natura organizzativa e produttiva. Talebilanciamento tiene conto, da un lato, di alcune recenti disposizionilegislative –che prevedono in capo alle imprese assicurative operanti nelramo danni da responsabilità civile autoveicoli un'autonoma attività dicontrollo e repressione delle frodi, da esercitarsi anche attraverso l'adozioneo la promozione di apposite misure organizzative interne di contrasto alfenomeno (art. 30, commi 1 e 2, d.l. n. 1/2012, convertito, con modificazioni,nella l. n. 27/2012; art. 21, comma 2, lett. b) e f), del d.l. n. 179/2012) ein relazione a una molteplicità di soggetti a vario titolo coinvolti (v.regolamento Isvap 9 agosto 2012, n. 44)– e, dall'altro, che l'adozionedel sistema in esame –in considerazione dell'obbligo, gravante sulle impreseassicurative, di comunicare in forma esatta e completa tutte le informazionidestinate ad alimentare la già citata banca di dati dei sinistri (e relative,tra l'altro, a una pluralità di soggetti coinvolti, a vario titolo, nelleprocedure di liquidazione dei medesimi: cfr. regolamento Isvap 1∞ giugno 2009,n. 31; v. anche provvedimento Isvap 25 agosto 2010, n. 2827)– potrebbeeffettivamente contribuire, ancorché indirettamente, a migliorarne l'operatività(anche a vantaggio degli altri soggetti legittimati all'accesso alla predettabanca di dati), attraverso la trasmissione all'istituto di informazioni piùprecise e concordanti.

Infine,non va sottaciuto il possibile beneficio che, in ipotesi, potrebbe derivareagli utenti in termini, soprattutto, di minor esborso economico connessoall'abbattimento del numero delle frodi, secondo una logica di riduzione deipremi assicurativi condivisa dal legislatore anche in merito ad altrefattispecie (cfr., in tal senso, le disposizioni in tema di scatola nera o equivalentidi cui al menzionato art. 132 del d.lgs. n. 209/2005).

2.3.Per contro, ancorché le finalità antifrode perseguite dalle società istantipossano essere considerate, sul piano generale, meritevoli di apprezzamento,anche in ragione dell'espresso riconoscimento attribuito a tali finalità, tral'altro, dalla menzionata raccomandazione R(2002)9 del Consiglio d'Europa del18 settembre 2002, deve tuttavia ritenersi che il suddetto bilanciamento, allostato, non possa estendersi al trattamento dei dati personali effettuatonell'intero ramo danni, atteso che non emergono presupposti adeguati per potereffettuare il bilanciamento medesimo. Resta infatti dubbia (v. anche, in talsenso, il parere del Garante 25 luglio 2007) l'applicabilità alla fattispecie in questione dellenormative invocate dalle società istanti (cfr. punto 1.4). Peraltro, anche gliulteriori elementi addotti risultano circoscritti, essenzialmente, al settoredella responsabilità civile derivante dalla circolazione di veicoli a motore,senza che dalla documentazione trasmessa possano altrimenti evincersi diversi epiù puntuali indici normativi riferibili all'intero ramo danni (cfr. art. 2,comma 3, del d.lgs. n. 209/2005).

Dunque,solo in relazione a tale profilo, la richiesta di bilanciamento di interessinon può essere accolta. Ciò, ovviamente, non preclude alle società istanti la possibilitàdi trattare, per le finalità in questione e in relazione all'intero ramo danni,i dati personali degli interessati allorché ricorra altro presuppostorichiamato dal citato art. 24 del Codice.

L'odiernapronunzia, resa sulla scorta delle attuali risultanze istruttorie, non precludecomunque all'Autorità di estendere il bilanciamento all'intero ramo danni nelcaso in cui le società italiane del Gruppo Aviva offrano più pertinenti edocumentati elementi al riguardo.

TUTTO CIO' PREMESSO IL GARANTE

aisensi degli artt. 24, comma 1, lett. g) e 154, comma 1, lett. c), del Codice,accoglie, nei termini di cui in motivazione, l'istanza di bilanciamento diinteressi formulata da Aviva Italia Holding S.p.A., Aviva Italia S.p.A., AvivaAssicurazioni S.p.A. e Avipop Assicurazioni S.p.A., riservandosi sin d'ora ogniulteriore determinazione che dovesse rendersi necessaria in merito ad altriprofili del trattamento.

Aisensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 24 gennaio 2013

Il presidente
Soro

Il relatore
Soro

Il segretario generale
Busia