Provvedimento del 12 febbraio 2004

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminato il ricorso presentato da XY

nei confronti di

Cassa di risparmio di Parma e Piacenza S.p.A. e Crif S.p.A.;

Visti gli articoli 7, 8 e 145 s. del d.lg. 30 giugno 2003, n. 196;

VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Giuseppe Santaniello;

PREMESSO:

Il ricorrente, i cui dati personali (relativi ad un finanziamento concesso da Cassa di Risparmio di Parma e Piacenza S.p.A. ed estinto il 13 luglio 2001 "con rimborso integrale della somma erogata") erano stati comunicati dalla predetta banca a Crif S.p.A., afferma di non aver ricevuto adeguato riscontro da tali società a due istanze formulate ai sensi dell'art. 13 della legge n. 675/1996 (ora, artt. 7 e 8 del d.lg. 30 giugno 2003, n. 196, in vigore dal 1° gennaio 2004), dapprima nei confronti della sola Cassa e, poi, di entrambe le società, con la quale aveva chiesto la cancellazione dei dati relativi al predetto finanziamento, previa revoca del consenso al trattamento.

Con note in data 18 marzo e 24 giugno 2003 il citato istituto di credito aveva comunicato all'interessato che i dati riferiti al menzionato finanziamento sarebbero rimasti conservati negli archivi della banca per adempimenti di legge e in particolare dell'art. 2220 del codice civile ("conservazione delle scritture contabili"). In ordine alla cancellazione dei medesimi dati detenuti dall'altra società l'interessato -ad avviso della banca- avrebbe dovuto rivolgersi direttamente a Crif S.p.A. in quanto titolare del loro trattamento.

Crif S.p.A., con note in data 24 gennaio, 7 febbraio e 25 luglio 2003, aveva a sua volta informato l'interessato di non poter cancellare i dati "poiché il trattamento non avviene in violazione di legge".

Nel ricorso proposto a questa Autorità ai sensi dell'art. 29 della legge n. 675/1996 (ora, art. 145 del d.lg. n. 196/2003) il ricorrente, nel confermare la revoca del consenso, ha ribadito nei confronti di entrambi i titolari del trattamento la richiesta di cancellazione dei dati in questione, opponendosi "alla loro ulteriore utilizzazione per qualsiasi finalità ". L'interessato ha chiesto altresì che le spese del procedimento siano poste a carico dei titolari del trattamento.

A seguito dell'invito ad aderire formulato da questa Autorità in data 22 dicembre 2003 ai sensi dell'art. 149 del d.lg. n. 196/2003, Cassa di risparmio di Parma e Piacenza S.p.A., con nota anticipata via fax il 19 gennaio 2004, ha dichiarato di aver fornito riscontro all'istanza di cancellazione formulata dal ricorrente con le citate note del 18 marzo e 24 giugno 2003. La banca resistente ha sostenuto che "i dati anagrafici e contabili riguardanti il predetto prestito debbono essere (…) conservati in ottemperanza ai precisi obblighi imposti dalla legge, in particolare, dall'art. 2220 c.c. e dall'art. 119 D. Lgs. 385/93 (T.U. delle Banche") e che gli stessi sono trattati "con l'adozione di idonee misure di sicurezza, con garanzia di riservatezza".

Crif S.p.A., con nota inviata via fax il 21 gennaio 2004, ha dichiarato che:

      "palesemente pretestuosa è la richiesta di revoca ad nutum del consenso a suo tempo rilasciato a Cariparma (…) fatta in via meramente incidentale e volta ad eliminare ex post un presupposto essenziale del trattamento";

      "detta istanza di revoca è poi inammissibile poiché avanzata per la prima volta con il ricorso";

      d'altronde, i motivi legittimi che giustificherebbero la revoca del consenso non potrebbero rinvenirsi nel preteso "pregiudizio" conseguente alla permanenza della segnalazione contestata "nel sistema di referenza creditizia di Crif", atteso che tale posizione fa riferimento ad un finanziamento estinto nel luglio 2001 "senza nessuna segnalazione di insolvenze", ed evidenzia un'informazione di natura positiva che non potrebbe a suo avviso precludere all'interessato l'accesso al credito;

      in ogni caso, il trattamento effettuato dalla resistente sui dati in questione "è legittimo poiché pertinente rispetto alla finalità (referenza creditizia) per la quale gli stessi dati sono stati raccolti e successivamente trattati; finalità che appare comunque a tutt'oggi ancora pienamente sussistere".

CIÒ PREMESSO IL GARANTE OSSERVA:

Il ricorso concerne il trattamento di dati personali effettuato da una banca e da una "centrale rischi" privata, relativamente ad un solo finanziamento da tempo estinto nel corso del quale non si erano verificati ritardi nei pagamenti.

L'istanza volta ad ottenere la cancellazione dei dati relativi ai trattamenti allo stato effettuati da Cassa di risparmio di Parma e Piacenza S.p.A. è infondata. La conservazione di tali dati presso la banca, sulla base della documentazione in atti, non risulta allo stato svolta in violazione di specifiche disposizioni normative che obbligano gli istituti di credito a tale conservazione per le specifiche finalità ricordate dalla banca stessa nel riscontro al ricorrente.

Deve invece essere accolta, stante l'intervenuta revoca del consenso che rappresentava l'unico presupposto idoneo del trattamento ai sensi degli artt. 23 e 24 del d.lg. n. 196/2003, l'istanza relativa all'ulteriore permanenza dei dati presso Crif S.p.A., la quale dovrà cancellare i dati in questione.

Tali dati sono peraltro relativi ad un rapporto di finanziamento già estinto il 13 luglio 2001, nel corso del quale non si era verificato alcun ritardo o contestazione nei pagamenti. A prescindere della mancanza di specifiche annotazioni "negative" per il ricorrente, la divulgazione di tali dati risulta comunque eccedente rispetto alle finalità originarie per le quali gli stessi sono stati raccolti e trattati, in violazione di quanto stabilito dall'art. 11, comma 1, lett. d), del citato decreto. Crif S.p.A. dovrà pertanto cancellare i medesimi dati entro il 10 aprile 2004, dando conferma di tale adempimento, entro la stessa data, all'interessato ed a questa Autorità.

Va parimenti disposto, come misura complementare necessaria a tutela dei diritti dell'interessato (art. 150, comma 2, del d.lg. citato), che Cassa di risparmio di Parma e Piacenza S.p.A. interrompa l'ulteriore comunicazione alla "centrale rischi" sopra indicata dei dati in questione, a decorrere dalla comunicazione del presente provvedimento.

L'ammontare delle spese sostenute nel presente procedimento è determinato, ai sensi dell'art. 150, comma 3, del d.lg. n. 196/2003, nella misura forfettaria di euro 250, di cui euro 25,82 per diritti di segreteria, tenuto conto degli adempimenti connessi alla redazione e presentazione del ricorso. Il medesimo ammontare è posto a carico di Cassa di risparmio di Parma e Piacenza S.p.A. e Crif S.p.A., nella misura di euro 100 per ciascuna società, previa compensazione della restante parte ai sensi del predetto art. 150, comma 3, per giusti motivi legati al contenuto dei riscontri, comunque inviati dalle resistenti.

PER QUESTI MOTIVI IL GARANTE:

a) dichiara infondata nei termini di cui in motivazione la richiesta di cancellazione dei dati conservati da Cassa di risparmio di Parma e Piacenza S.p.A.;

b) accoglie il ricorso in riferimento alla richiesta di cancellazione dei dati da parte di Crif S.p.A. e ordina a tale società di cancellare i dati dell'interessato nei termini di cui in motivazione;

c) dispone altresì, quale ulteriore misura a tutela dei diritti dell'interessato che Cassa di risparmio di Parma e Piacenza S.p.A. interrompa la comunicazione dei dati in questione a Crif S.p.A. nei termini di cui in motivazione;

d) determina nella misura di 250 euro, di cui 25,82 per diritti di segreteria, l'ammontare delle spese e dei diritti del procedimento che pone, previa compensazione della restante parte per giusti motivi, a carico, nella misura di 100 euro per ciascuna società, di Cassa di risparmio di Parma e Piacenza S.p.A. e di Crif S.p.A., le quali dovranno liquidarlo direttamente a favore del ricorrente.

Roma, 12 febbraio 2004

Il presidente
Rodotà

Il relatore
Santaniello

Il segretario generale
Buttarelli