Provvedimento del 5 novembre 2004

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminato il ricorso presentato da Mario Romeo

nei confronti di

Crif S.p.A.;

Visti gli articoli 7, 8 e 145 s. del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Mauro Paissan;

PREMESSO:

Il ricorrente, i cui dati personali risultano censiti nella banca dati di Crif S.p.A., afferma di non aver ricevuto riscontro da parte di tale società ad un'istanza formulata ai sensi degli artt. 7 e 8 del Codice, con la quale si era opposto per motivi legittimi al trattamento dei dati che lo riguardano conservati nell'archivio della predetta società, revocando il consenso.

Con la medesima istanza l'interessato aveva altresì chiesto la cancellazione dei dati, con attestazione dell'avvenuta comunicazione della stessa ai soggetti cui i dati erano stati comunicati o diffusi. Ulteriori richieste erano state formulate in via subordinata.

Nel ricorso proposto a questa Autorità ai sensi dell'art. 145 del Codice il ricorrente ha ribadito le proprie istanze, chiedendo altresì di porre a carico del titolare del trattamento le spese del procedimento.

A seguito dell'invito ad aderire formulato da questa Autorità in data 7 settembre 2004 ai sensi dell'art. 149 del Codice, la società resistente, con nota inviata via fax il 7 ottobre 2004, ha dichiarato:

      di aver sospeso la visibilità delle posizioni relative al ricorrente attualmente censite nella propria banca dati, "come misura adottata a scopo cautelativo, al fine di apprestare idonea tutela alle ragioni dell'interessato";

      che tale misura "esclude in radice la possibilità per gli enti finanziatori aderenti alla centrale rischi di Crif di prendere conoscenza della suddetta informazione"; 

      di non ritenere a suo avviso legittima la revoca del consenso al trattamento dei dati e di interpretare l'istanza proposta dal ricorrente alla stregua di una sostanziale opposizione per motivi legittimi;

      di ritenere che il ricorrente non abbia dimostrato la sussistenza di "alcuna circostanza concreta che possa assurgere a motivo legittimo di opposizione al trattamento (…)";

      che il trattamento in oggetto sarebbe effettuato "nel pieno rispetto dei principi di correttezza, esattezza, pertinenza e proporzionalità " previsti dall'art. 11 del Codice, in quanto le segnalazioni relative al ricorrente fanno riferimento:

                        ad una richiesta di carta rateale rivolta a Barclay Card in data 6 settembre 2004 (posizione n. 1 del report Crif);

                        ad un prestito finalizzato accordato da Finemiro Banca S.p.A., ancora in corso senza alcuna segnalazione di insolvenze (posizione n. 2 del report);

                        ad un prestito finalizzato erogato da Finemiro Banca S.p.A ed estinto in data 15 luglio 2003, con rate non pagate (7 rate) regolarizzate nell'aprile 2003 (posizione n. 3 del report); 

                        ad un prestito personale erogato da Banca delle Marche estinto in data 4 maggio 2003 con ritardi nei pagamenti (5 rate) regolarizzati nel novembre 2002 (posizione n. 4 del report); 

                        ad una richiesta di "impegni sulla bolletta" rivolta a H3G S.p.A. in data 20 maggio 2004 (posizione n. 5 del report).

La resistente ha pertanto chiesto al Garante, in ragione dell'intervenuta sospensione della visibilità dei dati, di dichiarare non luogo a provvedere sul ricorso, compensando tra le parti le spese del procedimento.

CIÒ PREMESSO IL GARANTE OSSERVA:

Il ricorso consegue all'opposizione per motivi legittimi alla permanenza presso una c.d. "centrale rischi" privata di alcuni dati personali relativi al ricorrente.

In ordine a tali dati conservati nell'archivio di referenza creditizia, malgrado la pluralità delle espressioni utilizzate, le istanze proposte integrano un'unica, sostanziale domanda, caratterizzata da un'opposizione per motivi legittimi all'ulteriore trattamento dei dati presso la predetta "centrale rischi", mediante loro cancellazione per effetto dell'intervenuta revoca del consenso che nel caso di specie rappresenta, allo stato, l'unico presupposto idoneo del trattamento ai sensi degli art. 23 e 24 del Codice.

Il trattamento effettuato dalla "centrale rischi" in qualità di autonomo titolare del trattamento -che, come tale, sulla base di alcuni accordi del sistema di rilevazione del rischio creditizio, ed in relazione al concreto andamento del rapporto di finanziamento monitorato dalla banca o dalla finanziaria che ha concesso il prestito, interviene sui dati personali che le sono trasmessi dagli enti segnalanti- è in termini generali lecito, ma basato nella fattispecie solo sul consenso che, come detto, è stato revocato.

In ordine all'opposizione in esame, conformemente a quanto disposto dal Garante in precedenti decisioni, va ritenuta congrua, quale misura necessaria a tutela dei diritti dell'interessato e in luogo dell'integrale cancellazione, quella della sospensione temporanea della comunicazione a terzi dei dati personali relativi alla richiesta di carta rateale, ai due prestiti finalizzati ed al prestito personale (posizioni nn. 1, 2, 3 e 4 del report Crif), e della conseguente visibilità degli stessi nella predetta banca dati.

Crif S.p.A., nel corso del procedimento, ha attestato di aver già adottato tale misura nelle more dell'adozione del codice deontologico previsto in materia dall'art. 117 del Codice e da connesso, eventuale provvedimento del Garante previsto dagli art. 17 e 24, comma 1, lett. g), del medesimo Codice. Sul ricorso deve pertanto dichiararsi non luogo a provvedere, ai sensi dell'art. 149, comma 2, dello stesso Codice, in ordine alle istanze relative ai dati personali del ricorrente contenuti nelle prime quattro posizioni del report Crif del 7 ottobre 2004 registrate nell'archivio di referenza creditizia.

In parziale accoglimento del ricorso va invece disposta, "quale misura necessaria a tutela dei diritti dell'interessato" ai sensi dell'art. 150, comma 2, del Codice, la cancellazione dei dati concernenti la richiesta di "impegni su bolletta" rivolta alla società H3G S.p.A. (posizione n. 5 del citato report Crif), da effettuarsi entro il 25 gennaio 2005, dando conferma entro la stessa data all'interessato e a questa Autorità dell'avvenuto adempimento.

Il trattamento di determinati tipi di dati nel contesto degli archivi delle c.d. "centrali rischi private" ha un impatto significativo sui diritti degli interessati e può considerarsi lecito nella misura in cui sia proporzionato e finalizzato a scopi di tutela del credito, di contenimento dei relativi rischi e dell'eccessivo indebitamento da parte degli interessati, con particolare riferimento al credito al consumo.

La specifica caratteristica di tali trattamenti non permette quindi di considerare lecite, nel medesimo contesto, operazioni di raccolta e di diffusione, ad un numero indeterminato di soggetti aderenti alla "centrale rischi", di dati che non riguardano il rischio creditizio e che attengono, in particolare, a contratti di somministrazione continuata di beni o servizi o a ben differenti situazioni di pagamenti semplicemente differiti o con scadenze periodiche.

La compresenza nella "centrale rischi" dei dati relativi alla richiesta di "impegni su bolletta" rivolta ad H3G S.p.A. comporta un trattamento di informazioni che non è legittimo, compatibile e pertinente in rapporto alle finalità della centrale medesima e risulta altresì eccedente rispetto alle stesse (art. 11, comma 1, lett. b) e d), del Codice).

L'ammontare delle spese sostenute nel presente procedimento è determinato ai sensi dell'art. 150, comma 3, del Codice, nella misura forfettaria di euro 250, di cui euro 25,82 per diritti di segreteria, tenuto conto degli adempimenti connessi alla redazione e presentazione del ricorso al Garante. Il medesimo ammontare è posto in misura pari a 50 euro a carico del titolare del trattamento, previa compensazione della restante parte per giusti motivi legati al contenuto del riscontro fornito.

PER QUESTI MOTIVI IL GARANTE:

a) accoglie il ricorso limitatamente alla cancellazione dei dati relativi alla richiesta di "impegni su bolletta", ordinando alla resistente di cancellarli dalla banca dati accessibile ai terzi nei termini di cui in motivazione;

b) dichiara non luogo a provvedere sul ricorso in ordine ai restanti profili;

c) determina nella misura forfettaria di euro 250, di cui 25,82 per diritti di segreteria, l'ammontare delle spese e dei diritti del presente procedimento che pone in misura pari a 50 euro, previa compensazione per giusti motivi della residua parte, a carico della resistente, la quale dovrà liquidarlo direttamente a favore del ricorrente.

Roma, 5 novembre 2004

Il presidente
Rodotà

Il relatore
Paissan

Il segretario generale
Buttarelli