Provvedimento del 5 maggio 2004

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminato il ricorso presentato da XY rappresentata e difesa dagli avv.ti Dario Masini e Anna Mandorlo

nei confronti di

Bipielle Ducato S.p.A., Experian Information Services S.p.A., Crif S.p.A. e CTC-Consorzio per la tutela del credito;

Visti gli articoli 7, 8 e 145 s. del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Gaetano Rasi;

PREMESSO:

L'interessata aveva ottenuto da Bipielle Ducato S.p.A. due finanziamenti, rispettivamente erogati il 17 marzo 1999 e il 15 dicembre 2000, rispetto ai quali si erano verificati ritardi nei pagamenti con definitivo "passaggio a perdita" delle relative sofferenze. Avendo la società comunicato tali dati ad alcune c.d. "centrali rischi" private in modo ritenuto illecito, l'interessata ha formulato a Bipielle Ducato S.p.A., Experian Information Services S.p.A., Crif S.p.A. e CTC-Consorzio per la tutela del credito distinte istanze ai sensi dell'art. 13 della legge n. 675/1996 (ora, artt. 7 e 8 del Codice, in vigore dal 1° gennaio 2004), con le quali ha chiesto la cancellazione dei dati che la riguardano opponendosi al loro ulteriore trattamento, con contestuale revoca del consenso.

Con il ricorso proposto ai sensi dell'art. 145 del Codice nei riguardi di tutte le predette società l'interessata ha ribadito le proprie istanze chiedendo altresì, nelle more dell'adozione della decisione sul ricorso, l'adozione "di un provvedimento di blocco provvisorio o sospensione del trattamento". L'interessata ha anche chiesto che le spese del procedimento siano poste a carico dei titolari del trattamento.

A seguito dell'invito ad aderire formulato il 5 febbraio 2004 ai sensi dell'art. 149 del Codice, Experian Information Services S.p.A., con nota inviata via fax il 23 febbraio 2004 e memoria depositata il 3 marzo 2004, nel richiamare le note già inviate alla ricorrente, ha dichiarato che, in ragione della revoca del consenso, aveva sospeso la visibilità dei dati antecedentemente alla proposizione del ricorso.

Con nota anticipata via fax il 27 febbraio 2004 Bipielle Ducato S.p.A., nel fornire l'elenco dei dati personali relativi ai predetti finanziamenti erogati alla ricorrente, ha sostenuto che nell'informativa rilasciata alla ricorrente è contenuta una clausola con la quale si informa che i dati sono trattati "per finalità di valutazione di merito creditizio, prevenzione del sovraindebitamento (…) anche per mezzo di trasmissione e comunicazione di dati a terzi (…)" e che tale clausola risulta sottoscritta dalla ricorrente per accettazione, come da modulo allegato alla nota medesima. La stessa resistente ha inoltre dichiarato che i dati relativi agli inadempimenti verificatisi nel corso dei rapporti di finanziamento sono stati comunicati a Crif S.p.A., Experian Information Services e CTC-Consorzio per la tutela del credito. Inoltre, in ordine al finanziamento n. xxz erogato il 17 marzo 1999 (rispetto al quale la ricorrente, pur figurando come "garante", sarebbe "diretta beneficiaria"), la stessa risulterebbe allo stato debitrice per un importo pari a euro 150,81, mentre in ordine al finanziamento n. zzw erogato il 15 dicembre 2000 la stessa dovrebbe ad oggi rimborsare il residuo importo di euro 28,66. Infine Bipielle Ducato S.p.A. ha dichiarato che gli ultimi aggiornamenti segnalati alle banche dati in relazione ai finanziamenti contestati risalirebbero rispettivamente al 7 dicembre 2001 e al 18 dicembre 2002, date in cui, "a causa del persistere dello stato di insolvenza", la predetta resistente avrebbe "rinunciato ad ogni tentativo di recupero". Pertanto, alla luce di quanto disposto dal Garante con il noto provvedimento generale del 31 luglio 2002 in tema di c.d. "centrali rischi" private, non avendo la ricorrente provveduto a sanare i residui importi a debito, i dati relativi ai suddetti inadempimenti possono, ad avviso della resistente, essere conservati per un periodo di tre anni dalla data dell'ultimo aggiornamento relativo al "passaggio a perdita delle somme ancora dovute".

Con nota anticipata via fax il 27 febbraio 2004 CTC-Consorzio per la tutela del credito ha dichiarato che Bipielle Ducato S.p.A. avrebbe segnalato alla stessa i dati relativi ad irregolarità nei pagamenti riferiti ad un finanziamento estintosi per "passaggio a perdita del credito" il 18 dicembre 2002. Inoltre, per i motivi già esposti da Bipielle Ducato S.p.A., CTC-Consorzio per la tutela del credito non ritiene di poter aderire alla richiesta di cancellazione formulata dalla ricorrente. Infine, in ordine all'opposizione all'ulteriore trattamento dei dati manifestata dalla ricorrente con revoca del consenso, tale specifico diritto potrebbe essere esercitato, ad avviso di tale resistente, soltanto in presenza di "motivi legittimi" che non ricorrerebbero nel caso di specie.

Con nota inviata via fax il 2 marzo 2004, Crif S.p.A. ha comunicato di aver cancellato le segnalazioni effettuate da Bipielle Ducato S.p.A. in relazione ai finanziamenti erogati alla ricorrente, segnalazioni "di cui era già stata da diverso tempo sospesa la visibilità " come "misura cautelativa adottata in autonomia" dalla stessa società in quanto l'ente segnalante non avrebbe ancora "fornito alcun riscontro alle richieste di copia della documentazione contrattuale e privacy relativa alle medesime segnalazioni". Crif S.p.A. ha infine ribadito la "proporzionalità" del trattamento effettuato fino all'intervenuta cancellazione anche alla luce della ritenuta congrua permanenza dei dati della ricorrente per il periodo di tre anni dalla data degli ultimi aggiornamenti in banca dati.

Nell'audizione del 5 marzo 2004 la ricorrente si è riportata ai motivi esposti nel ricorso e nella memoria integrativa pervenuta a questa Autorità il 25 febbraio 2004, ed ha ribadito di aver integralmente saldato ogni pendenza debitoria nei confronti di Bipielle Ducato S.p.A. (parte capitale e interessi) "secondo le indicazioni del funzionario incaricato" dalla società stessa, come risulterebbe dalla copia dei bollettini di versamento su conto corrente postale allegati al ricorso.

Con nota anticipata via fax il 9 aprile 2004, in risposta ad una formale richiesta avanzata dal Garante successivamente alla proroga del termine per la decisione sul ricorso disposta ai sensi dell'art. 149, comma 7, del Codice, Bipielle Ducato S.p.A. ha confermato "l'avvenuto pagamento integrale del residuo debito", alla luce delle risultanze emerse da ulteriori controlli disposti dalla banca resistente a seguito della ricezione delle copie dei predetti bollettini postali. Tuttavia, secondo quanto disposto dal Garante con il citato provvedimento generale del 31 luglio 2002 in relazione agli "inadempimenti successivamente sanati", non sussisterebbero, ad avviso della resistente, "i presupposti per accogliere la richiesta di cancellazione dalle Centrali Rischi delle posizioni in evidenza" che "saranno cancellate trascorso il termine di un anno dalla data di regolarizzazione, avvenuta il 25/11/03".

CIÒ PREMESSO IL GARANTE OSSERVA:

Il ricorso verte sul trattamento dei dati personali effettuato da una finanziaria e da alcune "centrali rischi" private in relazione a due rapporti di finanziamento nel corso dei quali si sono verificati inadempimenti successivamente regolarizzati.

Per quanto riguarda la richiesta di cancellazione dei dati formulata dall'interessata nei confronti di Bipielle Ducato S.p.A. il ricorso è infondato.

L'art. 7 del Codice riconosce all'interessato il diritto di ottenere la cancellazione dei soli dati trattati in violazione di legge.

Dalla documentazione in atti non risulta che Bipielle Ducato S.p.A. abbia trattato i dati dell'interessata in modo illecito anche per quanto riguarda l'iniziale loro comunicazione, avendo la ricorrente manifestato il proprio consenso informato in relazione ai contratti di finanziamento. Inoltre, non risulta illecita la loro attuale conservazione a fini interni alla finanziaria, risultando la stessa conservazione, allo stato e in base agli elementi di valutazione prodotti, non eccedente in relazione agli scopi per i quali gli stessi sono stati raccolti e trattati. Ciò con particolare riferimento agli obblighi previsti dalla normativa sulla conservazione delle scritture contabili e dalle disposizioni antiriciclaggio.

L'ulteriore istanza formulata dalla ricorrente va qualificata alla stregua di un'opposizione per motivi legittimi al trattamento dei dati relativi ai ritardi nei pagamenti in seguito regolarizzati, opposizione che deve intendersi riferita, nei riguardi di Bipielle Ducato S.p.A., solo alla comunicazione di tali dati alle "centrali rischi" private sopra indicate ai fini della loro successiva divulgazione a terzi. Tali operazioni di trattamento, che sono in termini generali lecite, sono basate nel caso di specie solo sul consenso che rappresenta, allo stato, l'unico presupposto idoneo del trattamento ai sensi degli artt. 23 e 24 del Codice e che, sempre nel caso di specie, è stato revocato espressamente.

Pertanto, in parziale accoglimento del ricorso e quale "misura necessaria a tutela dei diritti dell'interessato" (art. 150, comma 2, del Codice), va disposto che Bipielle Ducato S.p.A. sospenda temporaneamente la comunicazione alle "centrali rischi" sopra indicate di altri dati personali relativi al rapporto di finanziamento, a decorrere dalla comunicazione del presente provvedimento e per il solo tempo intercorrente fino alla data in cui saranno operativi i nuovi presupposti del trattamento risultanti dai provvedimenti del Garante previsti dagli artt. 17 e 24, comma 1, lett. g), del Codice e dal connesso codice deontologico in materia di "centrali rischi" previsto dall'art. 117 dello stesso Codice.

Anche le richieste formulate dall'interessato nei confronti delle altre resistenti integrano, sostanzialmente, un'opposizione per motivi legittimi all'ulteriore trattamento dei dati presso le predette "centrali rischi", mediante loro cancellazione.

Il trattamento effettuato dalle "centrali rischi" in qualità di autonomi titolari del trattamento -che, come tali, sulla base di alcuni accordi del sistema di rilevazione del rischio creditizio, ed in relazione al concreto andamento del rapporto di finanziamento monitorato dalla banca o dalla finanziaria che ha concesso il prestito, interviene sui dati personali che sono trasmessi loro dagli enti segnalanti- è in termini generali lecito, ma basato solo sul consenso che, come detto, è stato revocato.

In ordine all'opposizione in esame, conformemente a quanto disposto dal Garante in precedenti decisioni, va ritenuta congrua, quale misura necessaria a tutela dei diritti dell'interessato e in luogo dell'integrale cancellazione (qualora questa non abbia già avuto luogo), quella della sospensione temporanea della comunicazione a terzi dei dati personali relativi ai rapporti di finanziamento e della conseguente visibilità nelle predette banche dati.

Crif S.p.A. ed Experian Information Services S.p.A., nel corso del procedimento, hanno attestato, con dichiarazione della cui veridicità gli autori rispondono anche ai sensi dell'art. 168 del Codice ("Falsità nelle dichiarazioni e nelle notificazioni al Garante"), quanto a Crif S.p.A., di aver cancellato tutti i dati che riguardano la ricorrente e, quanto ad Experian Information Services S.p.A., di aver sospeso la visibilità dei dati riferiti all'interessata. Sulla base di tali dichiarazioni deve pertanto dichiararsi non luogo a provvedere sul ricorso nei confronti delle medesime.

Al contrario, a parziale accoglimento del ricorso e quale "misura necessaria a tutela dei diritti dell'interessato" (art. 150, comma 2, del Codice), va disposto che CTC-Consorzio tutela per il credito sospenda temporaneamente la visibilità dei dati personali relativi all'interessata, a decorrere dalla comunicazione del presente provvedimento e per il solo tempo intercorrente fino alla data in cui saranno operativi i nuovi, predetti presupposti del trattamento risultanti dall'attuazione delle disposizioni sopra richiamate.

Per quanto concerne le spese del procedimento, in considerazione della complessità e specificità della vicenda esaminata, sussistono giusti motivi per compensarle fra le parti.

PER QUESTI MOTIVI IL GARANTE:

a) dichiara infondata la richiesta di cancellazione dei dati formulata nei confronti di Bipielle Ducato S.p.A.;

b) in parziale accoglimento del ricorso ordina a Bipielle Ducato S.p.A. di sospendere temporaneamente la comunicazione alle "centrali rischi" resistenti di altri dati personali relativi ai rapporti di finanziamento intercorsi con l'interessata, nei termini di cui in motivazione;

c) dichiara non luogo a provvedere sul ricorso nei confronti di Crif S.p.A. ed Experian Information Services S.p.A.;

d) in parziale accoglimento del ricorso ordina a CTC-Consorzio tutela per il credito di sospendere temporaneamente la visibilità dei dati relativi all'interessata, nei termini di cui in motivazione;

e) dichiara compensate le spese fra le parti.

Roma, 5 maggio 2004

Il presidente
Rodotà

Il relatore
Rasi

Il segretario generale
Buttarelli