Provvedimento del 25 febbraio 2004

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminato il ricorso presentato da XY

nei confronti di

Capital One Bank plc.;

Visti gli articoli 7, 8 e 145 s. del d.lg. 30 giugno 2003, n. 196;

VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Giuseppe Santaniello;

PREMESSO

Il ricorrente, il quale si era visto rifiutare l'emissione di una carta di credito da parte di Capital One Bank plc., afferma di non aver ricevuto riscontro da tale società ad un'istanza formulata ai sensi dell'art. 13 della legge n. 675/1996 (ora, artt. 7 e 8 del d.lg. 30 giugno 2003, n. 196, in vigore dal 1° gennaio 2004), con la quale, accanto ad alcune istanze non rientranti tra i diritti previsti dal citato art. 13, aveva chiesto di avere conferma dell'esistenza di dati che lo riguardano e di ottenerne la comunicazione in forma intelligibile, di conoscere l'origine dei dati, la logica e le finalità su cui si basa il trattamento, nonché gli estremi identificativi del titolare e del responsabile, ove designato. L'interessato aveva anche chiesto il blocco dei dati trattati in violazione di legge, nonché di avvalersi del diritto di "eventuale aggiornamento, rettificazione e (…) integrazione dei dati", sulla base delle precisazioni che avrebbe ricevuto, opponendosi comunque "per il momento, in tutto, per motivi legittimi" al trattamento dei dati che lo riguardano.

Nel ricorso proposto a questa Autorità ai sensi dell'art. 29 della legge n. 675/1996 (ora, art. 145 del d.lg. n. 196/2003) il ricorrente ha ribadito le proprie istanze chiedendo altresì la cancellazione di tutti i dati che lo riguardano e l'attestazione che tale operazione è stata portata a conoscenza di tutti soggetti ai quali i dati sono stati comunicati. L'interessato ha chiesto infine che le spese del procedimento siano poste a carico del titolare del trattamento.

A seguito dell'invito ad aderire formulato da questa Autorità in data 12 gennaio 2004 ai sensi dell'art. 149 del d.lg. n. 196/2003, la società resistente, con nota inviata via fax il 30 gennaio 2004, ha comunicato al ricorrente un elenco di dati che lo riguardano, in parte acquisiti direttamente dall'interessato dalla "richiesta telefonica di emissione di carta di credito, avvenuta in data 7.10.03", oppure "generati" dal proprio sistema informativo, mentre altri sono stati acquisiti da Crif S.p.A..

Con riferimento a questi ultimi, nell'evidenziare che tra le informazioni fornite da Crif S.p.A. è presente un codice "attribuito a persone che abbiano recentemente subito una decisione giudiziale", la resistente ha affermato che "i parametri per la comprensione del significato degli ulteriori codici possono essere richiesti al (…) Data Protection Officer" nominato dalla società.

La resistente medesima, nel fornire gli estremi identificativi del titolare e del responsabile, ha precisato che il trattamento dei dati serve a valutare l'opportunità di instaurare un rapporto contrattuale con l'interessato e che le modalità del trattamento sono automatizzate e non. Infine, preso atto dell'opposizione al trattamento e della richiesta di cancellazione, la resistente ha dichiarato di aver interrotto ogni trattamento in relazione ai dati riferiti all'interessato (salvo quanto necessario per gestire la propria posizione nel procedimento instaurato dal ricorso), dati che avrebbe peraltro "immediatamente" provveduto a cancellare.

Con memoria inviata via fax il 1° febbraio 2004 il ricorrente ha eccepito la tardività del riscontro fornito dalla resistente, riscontro che ha ritenuto poi insoddisfacente in quanto la società non avrebbe fornito i dati in forma intelligibile, privandolo di fatto della possibilità di avvalersi del diritto di aggiornamento, rettificazione ed integrazione.

Con memoria inviata via fax il 6 febbraio 2004 la resistente ha affermato che il ricorrente avrebbe "autonomamente" contattato la società richiedendo l'emissione di una carta di credito. Nel corso della conversazione telefonica e prima della raccolta dei dati, l'interessato, dopo aver ricevuto oralmente l'informativa prevista attualmente dall'art. 13 del d.lg. n. 196/2003, di cui ha indicato il tenore, ha manifestato il consenso al trattamento, anche in riferimento alla comunicazione dei dati "ad aziende specializzate nel rilevamento dei rischi finanziari". La resistente ha inoltre ribadito la liceità del trattamento effettuato, la cui finalità è stata "quella di ottenere le più opportune informazioni al fine di valutare la richiesta di rilascio della carta di credito". Con riferimento alle informazioni acquisite da Crif S.p.A. la resistente ha infine sostenuto che "ogni doglianza circa la loro completezza e fondatezza debba esser rivolta a tale ultima società e non a Capital One".

CIÒ PREMESSO IL GARANTE OSSERVA

Il ricorso verte sul trattamento dei dati personali effettuato a fini del rilascio di una carta di credito.

In ordine alla richiesta di avere conferma dell'esistenza di dati che lo riguardano e di ottenerne la comunicazione in forma intelligibile, la resistente ha fornito un riscontro parziale comunicando al ricorrente un elenco di dati che lo riguardano. In relazione alle informazioni acquisite da Crif S.p.A. in forma di codici, la resistente si è invece limitata a chiarire il significato di uno di essi (consistente nell'essere stato destinatario, recentemente, di una decisione giudiziaria sfavorevole), invitando il ricorrente a rivolgersi ulteriormente al responsabile del trattamento designato dalla società al fine di ottenere il complesso dei parametri necessari per comprendere i restanti codici.

In relazione a tale particolare profilo, il ricorso deve essere pertanto parzialmente accolto, non avendo la resistente fornito direttamente un integrale riscontro alla richiesta di accesso ai dati. Capital One Bank plc. dovrà pertanto integrare il riscontro già fornito comunicando al ricorrente, in forma intelligibile, tutti gli ulteriori dati che lo riguardano, espressi anche in forma di codici, entro il 30 aprile 2004.

In ordine ai restanti profili, la resistente ha fornito indicazioni in merito all'origine dei dati, alla logica e alle finalità del trattamento, comunicando gli estremi identificativi del titolare e del responsabile del trattamento designato dalla società. In ordine a tali richieste va quindi dichiarato non luogo a provvedere sul ricorso ai sensi dell'art. 149, comma 2, del d.lg. n. 196/2003.

Per quanto riguarda il blocco dei dati e l'opposizione al trattamento, la resistente ha attestato, con dichiarazione della cui veridicità l'autore risponde anche ai sensi dell'art. 168 del d.lg. n. 196/2003 (Falsità nelle dichiarazioni e nelle notificazioni al Garante), di aver interrotto ogni trattamento in relazione ai dati riferiti all'interessato, salvo quanto necessario ai fini della propria difesa rispetto al ricorso. Pertanto, stante l'idonea risposta, in ordine a tale profilo, va parimenti dichiarato non luogo a provvedere sul ricorso ai sensi dell'art. 149, comma 2, del d.lg. n. 196/2003.

Deve essere invece dichiarata inammissibile la richiesta di cancellazione dei dati che è stata formulata per la prima volta solo in sede di ricorso e che non era quindi contenuta nell'istanza ex art. 13 della legge n. 675 precedentemente inoltrata al titolare del trattamento. Ciò sebbene la resistente abbia precisato nel corso del procedimento di aver disposto l'"immediata" cancellazione di tali dati nei termini sopra indicati.

L'ammontare delle spese sostenute nel presente procedimento è determinato, ai sensi dell'art. 150, comma 3, del d.lg. n. 196/2003, nella misura forfettaria di euro 250, di cui euro 25,82 per diritti di segreteria, tenuto conto degli adempimenti connessi alla redazione e presentazione del ricorso. Tali spese sono poste a carico di Capital One Bank plc., nella misura di euro 150, previa compensazione della restante parte, ai sensi del predetto art. 150, comma 3, per giusti motivi legati al contenuto del riscontro, per quanto incompleto, inviato dalla resistente.

PER QUESTI MOTIVI IL GARANTE

a) accoglie parzialmente il ricorso ed ordina a Capital One Bank plc. di comunicare al ricorrente, in forma intelligibile, gli ulteriori dati diversi da quelli già comunicati, espressi anche in forma di codici, entro il 30 aprile 2004, dando conferma anche a questa Autorità dell'avvenuto adempimento;

b) dichiara inammissibile la richiesta di cancellazione;

c) dichiara non luogo a provvedere in ordine ai restanti profili;

d) determina nella misura di 250 euro, di cui 25,82 per diritti di segreteria, l'ammontare delle spese e dei diritti del procedimento che pone, nella misura di 150 euro, previa compensazione della restante parte per giusti motivi, a carico di Capital One Bank plc., la quale dovrà liquidarlo direttamente a favore del ricorrente.

Roma, 25 febbraio 2004

Il presidente
Rodotà

Il relatore
Santaniello

Il segretario generale
Buttarelli