| Garante per la protezione dei dati personali Vedi anche: comunicato stampadel 16 aprile 2014 Telco: il Garante avvia una consultazione sulla banca dati dei morosi DELIBERAZIONE DEL 27 MARZO 2014 Registrodei provvedimenti n. 154 del 27 marzo 2014 IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale; VISTO ild.lg. 30 giugno 2003, n. 196, recante il Codice in materia di protezione deidati personali (di seguito "Codice"), con particolare riferimento all'art.17, ai sensi del quale il trattamento dei dati diversi da quelli sensibili egiudiziari che presenta rischi specifici per i diritti e le libertàfondamentali, e per la dignità dell'interessato, in relazione alla natura deidati o alle modalità del trattamento o agli effetti che può determinare, èammesso nel rispetto di misure ed accorgimenti a garanzia dell'interessato, chesono prescritti dal Garante in applicazione dei principi sanciti dal Codice,nell'ambito di una verifica preliminare all'inizio del trattamento, effettuataanche in relazione a determinate categorie di titolari o di trattamenti; ESAMINATAla richiesta presentata da Assotelecomunicazioni (di seguito, ASSTEL) relativaall'istituzione di una banca dati inter-operatore sull'affidabilità deipagamenti da parte degli utenti nel settore dei servizi di comunicazioneelettronica; RITENUTAl'opportunità di procedere alla definizione, in tale contesto, di un quadro dimisure ed accorgimenti che siano oggetto di prescrizioni del Garante ai sensidegli artt. 17 del Codice, considerati i rischi che il descritto trattamentopone per i diritti e le libertà fondamentali, nonché per la dignitàdell'interessato; RILEVATAl'opportunità che la prescrizione di alcune misure ed adempimenti, allo statoindividuati nell'unito schema di provvedimento, sia preceduta da unaconsultazione pubblica diretta ai soggetti e alle categorie interessate altrattamento che si intende porre in essere con tale banca dati; VISTE leosservazioni formulate dal segretario generale ai sensi dell'art. 15 delregolamento del Garante n. 1/2000; RELATOREla dott.ssa Giovanna Bianchi Clerici; b) di avviare una
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale; VISTO ild.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei datipersonali, di seguito "Codice"); ESAMINATAla richiesta presentata da Assotelecomunicazioni (di seguito, ASSTEL) relativaall'istituzione di una banca dati inter-operatore sull'affidabilità deipagamenti nel settore dei servizi di comunicazione elettronica, nonché la bozzadi "Accordo tra gli operatori" allegata alla richiesta stessa; CONSIDERATIgli esiti degli incontri, anche di carattere tecnico, intercorsi tra questaAutorità ed ASSTEL; VISTA ladocumentazione in atti; VISTE leosservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art.15 del regolamento del Garante n. 1/2000; RELATORE il dott. Antonello Soro PREMESSO ASSTEL,quale associazione di categoria che rappresenta le imprese della tecnologiadell'informazione esercenti servizi di telecomunicazione fissa e mobile, harappresentato l'intenzione degli operatori di comunicazione elettronica di"procedere (Š) alla sottoscrizione di un accordo interoperatore perl'istituzione di una Banca dati finalizzata alla verifica dell'affidabilità edella puntualità nei pagamenti nel settore dei servizi di comunicazioneelettronica" (c.d. SIT- Sistema Informatico Integrato). Tale banca dati,secondo quanto sostenuto da ASSTEL, permetterebbe agli operatori di settore dicondividere le informazioni sui comportamenti debitori dei clienti delle societàtelefoniche, consentendo all'operatore ricevente di conoscere, in occasionedella presentazione di una richiesta da parte di un nuovo cliente, eventualiposizioni di indebitamento nei confronti dell'operatore cedente. Secondo quantoriferito, la costituzione del SIT sarebbe resa ancora più urgentedall'intervenuto processo di liberalizzazione avviato in Italia anche nelsettore della telefonia che, consentendo agli utenti di passare"direttamente" da un operatore ad un altro, esporrebbe i gestoritelefonici ad ulteriori rischi, la cui prevenzione costituirebbe "unobiettivo di sistema, da perseguire nell'interesse della efficiente gestioneaziendale e di uno sviluppo sano del mercato" (v. cit. Accordointer-operatore, p.1). In ragione di ciò, ASSTEL ha rappresentato la necessitàdegli operatori di accertare, in occasione di richieste provenienti da nuoviclienti, l'eventuale esistenza di morosità pregresse. L'attualeimpossibilità di effettuare verifiche sulle eventuali morosità pregresse,avrebbe determinato –secondo i dati forniti da ASSTEL- un forteincremento delle perdite registrate dagli operatori, anche in conseguenza dellenuove offerte contrattuali, che propongono forme di contratto "postpagato" associate alla vendita a rate di terminali telefonici e di prodotti"ad alto valore tecnologico e ad alti costi, messi a disposizione dellaclientela con schemi di pagamento dilazionato"(v. cit. nota ASSTEL);l'aumento dei comportamenti insolventi, secondo quanto asserito da ASSTEL,rischierebbe di incidere negativamente non solo sugli operatori, ma anche suglialtri utenti che, pur adempiendo regolarmente alle obbligazioni, potrebberovedere ridotta o resa meno conveniente la possibilità di accedere a forme dicontratto "post pagato". Nel corsodegli anni, il tema della costituzione di banche dati settoriali contenentidati relativi a inadempimenti o ritardati pagamenti degli utenti ha formatooggetto di valutazione da parte del Garante italiano e del Gruppo di lavoro deiGaranti europei previsto dall'art. 29 della direttiva 95/46/CE. In particolare,quest'ultimo ha adottato un parere il 3 ottobre 2002 "Documento di lavorosulle liste nere" (WP65), con il quale, nel rappresentare la necessità distabilire in questo ambito criteri, indirizzi o direttrici d'intervento comunitra gli Stati membri, ha evidenziato che per la creazione di tali archivi inspecifici settori economici occorre mantenere un equilibrio tra"l'interesse legittimo del responsabile del trattamento di sapere se chirichiede un credito sia registrato per mancati pagamenti" e le conseguenzenegative che tale trattamento può comportare per l'interessato (v. cit. ParereWP65, p. 4). Il processodi liberalizzazione introdotto in Italia con il recepimento di alcunedirettive europee ha mutato il quadro nei settori delle telecomunicazioni,dell'energia elettrica e del gas, nonché dei trasporti, che hanno dovutoadattarsi alla nascita di un mercato concorrenziale, che ha reso indispensabileaumentare l'offerta di servizi (specie quelli tecnologicamente più avanzati) e,al contempo, ridurre i prezzi al dettaglio. Conspecifico riferimento al settore delle comunicazioni elettroniche, il processodi liberalizzazione è stato avviato a livello europeo con il c.d."pacchetto delle direttive comunitarie del 2002", modificato eintegrato a più riprese dal legislatore comunitario (Direttive 2002/21/CE, 2002/19/CE e 2002/20/CE, modificate e integrate dalla Direttiva2009/140/CE del Parlamento europeo e del Consiglio; Direttive 2002/22/CE,2002/58/CE modificate dalla Direttiva 2009/136/CE del Parlamento europeo e delConsiglio del 25 novembre 2009) e recepito nell'ordinamento italiano con ild.lgs. 1° agosto 2003, n. 259 (Codice delle comunicazioni elettroniche). Il nuovoquadro normativo ha profondamente mutato il settore delle comunicazionielettroniche, il ruolo rivestito dai relativi operatori ed il rapportocontrattuale che li lega ai propri clienti; ciò ha comportato un aumento deicasi di mancato pagamento di fatture telefoniche non legati a contestazioni perdisservizi e malfunzionamenti, che incide fortemente sullo stato economicodegli stessi operatori, determinando un aumento di costi (volto a supplire leperdite subite) che potrebbe ricadere anche sugli utenti. Proprioalla luce di quanto sopra descritto, il legislatore ha iniziato ad ammettere lapossibilità di costituire banche dati di clienti inadempienti nel settore delgas e dell'energia elettrica. In particolare, la legge 13 agosto 2010, n. 129,art. 1-bis (di conversione in legge, con modificazioni, del d.l. 8 luglio 2010,n. 105, recante Misure urgenti in materia di energia), ha previsto lacostituzione di una banca dati dei punti di prelievo e dei dati identificatividei clienti finali, nella quale saranno contenute anche informazioni relativead eventuali inadempimenti contrattuali da parte di costoro. Dalla"Relazione" che ha accompagnato l'introduzione di tale norma, emergela constatazione che il processo di apertura alla concorrenza ha evidenziatoproblemi critici legati all'inadeguatezza delle attuali forme di comunicazione esistenti tra gli operatori e tra questi e i clienti finali,sicché l'introduzione del SIT rappresenterebbe un'efficace misura percontrastare proprio il fenomeno della morosità. Tale nuovaimpostazione ha portato il legislatore ad intervenire anche nel settore dellatelefonia e a stabilire che "possono avere accesso" ai Sistemi diinformazione creditizia (Sic) anche soggetti diversi da quelli specificamentemenzionati dal codice deontologico di settore, tra cui i fornitori di servizidi comunicazione elettronica e di servizi interattivi associati, "di cuial comma 5 dell'art. 30-ter del decreto legislativo 13 agosto 2010, n. 141(art. 6-bis del d.l. 13 agosto 2011, n. 138; convertito con modificazioni dallalegge 14 settembre 2011, n. 148). Alriguardo, l'Autorità nel ribadire la necessità di evitare un'eccessivaproliferazione di archivi settoriali in diversi ambiti economici, checauserebbe un diffuso trattamento di dati degli interessati, ritiene che, conspecifico riferimento al settore dei servizi di comunicazione elettronica possaprevedersi la costituzione di una banca dati come sopra descritta. Ciò, inconsiderazione del quadro sopra delineato che caratterizza oggi questo settore,nonché di altri specifici elementi. In particolare, la considerazionericonosciuta dal legislatore che definisce questo settore "di preminenteinteresse generale" (art. 3, comma 2, Codice delle comunicazionielettroniche) e di "pubblica utilità" (legge 14 novembre 1995, n. 481recante "Norme per la concorrenza e la regolazione dei servizi di pubblicautilità. Istituzione delle Autorità di regolazione dei servizi di pubblicautilità"); la peculiare tipologia dei servizi offerti in tale ambito; lanatura regolamentata di questo mercato −soprattutto a seguito deldescritto processo di liberalizzazione− per il quale è prevista unaspecifica e rigida normativa comunitaria e nazionale all'interno della qualegli operatori sono tenuti ad operare; l'attività di controllo e di regolazioneeffettuata in tali mercati dalle Autorità di settore. Lacostituzione di una banca dati nel settore dei servizi di comunicazioneelettronica, contenente informazioni relative alla puntualità nei pagamenti daparte dei clienti, dà luogo ad un trattamento di dati personali che presentarischi specifici per i diritti e le libertà fondamentali, nonché per la dignitàdegli stessi interessati. Più esattamente, i "rischi specifici" sonodeterminati dal fatto che archivi settoriali di questo tipo, se possono avereuna utilità per gli operatori del settore al fine di contenere i rischiimprenditoriali connessi a rilevanti fenomeni di morosità, comunque possonocomportare effetti negativi per gli interessati, con il rischio di una lorodiscriminazione o, comunque, di dover sopportare impedimenti per accedere aservizi di notevole importanza per la vita sociale. Consideratoquanto sopra, e tenuto conto che il Garante, in relazione ai trattamenti didati personali (diversi da quelli sensibili e giudiziari) che presentano"rischi specifici" ha il dovere di individuare misure ed accorgimentirivolti anche "a determinate categorie di titolari o di trattamenti"nell'ambito di un procedimento di verifica preliminare (art. 17 del Codice), siritiene indispensabile indicare, seppur in termini generali, le condizioni diliceità per effettuare il trattamento sopra descritto, prescrivendo, alcontempo, alcune misure necessarie in capo ai titolari del trattamento cheoperino sul territorio nazionale e che intendano avvalersi del sistema in questione,e precisamente: In ognicaso, l'Autorità rimane in attesa, una volta che gli operatori indicati nellelett. a) e b), avranno individuato il soggetto cui affidare -in qualità diautonomo titolare del trattamento- la gestione del SIT, di conoscere ilcontenuto dell'Accordo che verrà sottoscritto dalle parti; inoltre, una voltache il Garante avrà valutato l'adeguatezza degli accorgimenti e delle misurepreviste nel citato Accordo, ciascun partecipante, in qualità di autonomotitolare del trattamento, dovrà inviare a questa Autorità una specificarichiesta di verifica preliminare. Iltrattamento dei dati personali contenuti nel SIT sarà effettuato dal gestore edai partecipanti esclusivamente per verificare l'eventuale presenza di morositàdell'interessato nei confronti di altri partecipanti, con esclusione di altrefinalità (ad esempio, l'espletamento di ricerche di mercato, la pubblicità o lavendita diretta di prodotti o servizi). Iltrattamento dei dati dovrà avvenire nel rispetto dei principi di necessità,liceità, correttezza, qualità dei dati e proporzionalità (artt. 3 e 11 delCodice). In particolare, i sistemi informativi e i programmi informaticidovranno essere configurati, sin dall'origine, in modo da ridurre al minimol'utilizzo delle informazioni relative agli interessati (art. 3 del Codice);inoltre, i dati personali raccolti dovranno essere pertinenti e non eccedentirispetto alle finalità perseguite (art. 11, comma 1, lett. d) del Codice). Al momentodella stipula del contratto, il partecipante fornirà all'interessatol'informativa ai sensi dell'art. 13 del Codice, anche con riguardo altrattamento dei dati personali effettuato nell'ambito del SIT. L'informativa,nel descrivere le finalità e modalità del trattamento, dovrà recare, in modochiaro e preciso, anche le seguenti indicazioni: L'informativa sarà fornita agli interessati per iscritto o, in caso di contrattistipulati telefonicamente o telematicamente, avvalendosi di modalità in gradodi consentire la dimostrazione dell'avvenuto adempimento dell'obbligo diinformativa (es. registrazione della telefonata). Ilpartecipante fornirà l'informativa anche sul trattamento dei dati effettuatodal gestore il quale, a sua volta, renderà una più dettagliata informativa alriguardo, anche attraverso strumenti telematici. Il trattamentoeffettuato nell'ambito del SIT avrà ad oggetto solo le informazioni dicarattere negativo connesse all'inadempimento dell'interessato verso ipartecipanti. Iltrattamento non potrà riguardare dati sensibili e giudiziari, né comportarel'uso di tecniche o di sistemi automatizzati di credit scoring. I datidovranno essere strettamente pertinenti e non eccedenti rispetto alla finalitàperseguita e dovranno riguardare la vicenda contrattuale dal momentodell'insorgenza dell'inadempimento sino alla sua eventuale regolarizzazione. Nel SITpotranno essere trattate le seguenti categorie di dati, che il gestore indicheràin un elenco reso agevolmente disponibile sul proprio sito, da comunicare ancheagli interessati su eventuale loro richiesta: Nel SITsaranno registrati gli estremi identificativi del partecipante che hacomunicato i dati personali relativi alla morosità; essi saranno accessibilisolo al gestore e agli interessati, non anche agli altri partecipanti. Ilpartecipante dovrà adottare idonee procedure di verifica per garantire lacorrettezza e l'esattezza dei dati comunicati al gestore e risponderàtempestivamente alle richieste di verifica di quest'ultimo, anche a seguitodell'esercizio dei diritti da parte dell'interessato ai sensi dell'art. 7 delCodice, così da garantire, in tale ultimo caso, il rispetto dei terminiprevisti dall'art. 146, comma 2, del Codice. Eventualioperazioni di cancellazione, integrazione o modificazione dei dati registratinel SIT dovranno essere effettuate direttamente dal partecipante che li hacomunicati, se tecnicamente possibile, ovvero dal gestore, su richiesta delmedesimo partecipante o d'intesa con esso, anche a seguito dell'esercizio deidiritti da parte dell'interessato o in attuazione di un provvedimento emessodall'autorità giudiziaria o dal Garante. Il datorelativo al mancato pagamento, sarà inserito nel SIT solo nel caso in cui, dopotre mesi dalla cessazione del contratto, sussista una morosità (parziale ototale) superiore a 100 euro. Ilpartecipante, al momento della cessazione/risoluzione del rapportocontrattuale, deve avvertire il cliente della prossima registrazione del suonominativo nel SIT ove non provveda alla regolarizzazione del pagamento. I datiregistrati saranno aggiornati dal partecipante che li ha comunicati; in caso dirifiuto di una richiesta volta ad instaurare un rapporto contrattuale, ilpartecipante, ove abbia consultato il SIT, sarà tenuto a comunicareall'interessato la circostanza. Leinformazioni creditizie relative alla regolarizzazione del ritardo dovrannoessere comunicate dall'operatore telefonico al SIT entro ventiquattro oredall'avvenuta conoscenza dell'intervenuto pagamento; il SIT dovràprovvedere alla cancellazione dei dati al primo aggiornamento settimanale. Leinformazioni relative ad inadempimenti non successivamente regolarizzatisaranno conservate nel SIT fino a trentasei mesi dalla data dicessazione/risoluzione del contratto. Al termine del periodo deve essereprevista la cancellazione automatica della informazione. Il SIT saràaccessibile solo da un numero limitato di responsabili e di incaricati deltrattamento designati per iscritto dai partecipanti o dal gestore del sistema,con esclusivo riferimento ai dati strettamente necessari, pertinenti e noneccedenti rispetto alle specifiche esigenze derivanti dall'istruttoria di unarichiesta di contratto. Non saràconsentito l'accesso al SIT da parte di terzi, fatte salve le richiesteprovenienti da organi giudiziari e dalle Forze dell'ordine. Inrelazione ai dati personali registrati nel SIT, gli interessati potrannoesercitare i loro diritti secondo le modalità stabilite dal Codice, sia pressoi partecipanti che li hanno comunicati, sia presso il gestore. Tali soggettidovranno assicurare, anche attraverso idonee misure organizzative e tecniche,un riscontro tempestivo e completo alle richieste avanzate. Nellarichiesta con la quale eserciterà i propri diritti, l'interessato dovràindicare il proprio codice fiscale e/o la partita Iva, al fine di agevolare laricerca dei dati che lo riguardano. Ilpartecipante che risulti destinatario di una richiesta ai sensi dell'art. 7 delCodice riguardo alle informazioni registrate nel SIT dovrà fornire riscontroall'interessato nei termini previsti dall'art. 146, commi 2 e 3, del Codice.Ove la richiesta sia rivolta al gestore, anch'esso provvederà nei medesimitermini, consultando, se necessario, il partecipante. Qualora sirendesse necessario svolgere ulteriori verifiche con il partecipante, ilgestore informerà l'interessato di tale circostanza entro quindici giorni, indicando,per la risposta, un nuovo termine, che comunque non sarà superiore a quindicigiorni. In caso dicontestazioni concernenti i beni o i servizi forniti dal partecipante, ilgestore annoterà senza ritardo nel SIT, eventualmente anche su richiesta dell'interessato,la notizia dell'esistenza di tali contestazioni, inserendo una specificacodifica al riguardo. Il gestoree i partecipanti adottano le misure tecniche, logiche, informatiche,procedurali, fisiche ed organizzative idonee ad assicurare la sicurezza,l'integrità e la riservatezza dei dati personali e delle comunicazionielettroniche in conformità alla disciplina in materia di protezione dei datipersonali. La bancadati dovrà essere separata, logicamente e fisicamente da altre banche datieventualmente gestite dal gestore. Il gestoreadotterà adeguate misure di sicurezza al fine di garantire il corretto eregolare funzionamento del sistema, nonché il controllo degli accessi, secondole modalità previste dall'Allegato B) al Codice ("Disciplinare tecnico inmateria di misure minime di sicurezza"). Tutti gliaccessi al sistema, da parte del gestore e dei partecipati, saranno registratie memorizzati nel sistema informativo del gestore. Nondovranno essere consentite interrogazioni massive della banca dati da parte deipartecipanti. Le interrogazioni dovranno sempre riferirsi a singoliinteressati. L'accessoalle informazioni relative ad un interessato da parte dei partecipanti dovràavvenire, previa interrogazione della banca dati, mediante mera visualizzazionedell'esito della richiesta; le informazioni così ottenute non potranno esserein alcun modo memorizzate dai partecipanti per usi successivi. Ipartecipanti non potranno creare una propria copia, nemmeno parziale, dellabanca dati. Poiché ilsistema che si intende realizzare avrà ad oggetto esclusivamente informazioninegative, si tratta di verificare -per garantirne l'effettiva utilità- se iltrattamento dei dati personali degli interessati, ai sensi dell'art. 24 delCodice, possa basarsi su un presupposto equipollente al consenso. Nonostantei rischi a cui possono essere esposti i diritti degli interessati in ragionedella costituzione del SIT, deve comunque essere considerato che lanormativa sulle liberalizzazioni nel settore dei servizi di comunicazioneelettronica garantisce ai consumatori la possibilità di transitare con facilitàda un operatore all'altro per ottenere servizi migliori a costi più contenuti,sicché lo scambio di informazioni riguardanti gli inadempimenti può risultareassai rilevante per la corretta gestione del rapporto contrattuale, in quantonecessario per valutare e contenere situazioni di morosità -spesso anchefraudolente- che, ove non circoscritte, nel lungo periodo, andrebbero adincidere non solo sugli stessi operatori, ma anche sugli altri interessati, iquali potrebbero essere costretti a sopportare costi ulteriori, altrimenti nondovuti. Ciòpremesso, nel fare applicazione dell'istituto del bilanciamento di interessi dicui all'art. 24, comma 1, lett. g) del Codice, si deve ritenere che iltrattamento delle informazioni relative ai ritardati pagamenti, effettuatonell'ambito del sistema che si intende realizzare, possa essere posto in essereanche in assenza del consenso degli interessati, potendosi valutare comeprevalente l'interesse -non solo degli operatori, ma anche degli interessatiregolarmente adempienti- al corretto funzionamento di un sistema volto afavorire l'esatta gestione dei rapporti contrattuali alle migliori condizionipraticabili sul mercato. Restafermo l'obbligo per il gestore di notificare al Garante il trattamento dei datisecondo le modalità previste dall'art. 37, comma 1, lett. f) del Codice. Ciascuntitolare del trattamento che intenda avvalersi del SIT dovrà inoltrare alGarante una specifica richiesta di verifica preliminare ai sensi dell'art. 17del Codice. Roma,
|