| Garante per la protezione dei dati personali Provvedimento del 10 novembre 2004 IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI Nella riunione odierna, in presenza del prof. Stefano Rodotà,presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. GaetanoRasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli,segretario generale; Esaminato il ricorso presentato da A.B, nei confronti di Crif S.p.A.; Visti gli articoli 7, 8 e 145 s. del Codice in materia di protezione deidati personali (d.lg. 30 giugno 2003, n. 196); Viste le osservazioni dell'Ufficio formulate dal segretario generaleai sensi dell'art. 15 del regolamento del Garante n. 1/2000; Relatore il prof. Gaetano Rasi; PREMESSO: Il ricorrente, i cui dati personali risultano censiti nella banca datidi Crif S.p.A., afferma di non aver ricevuto riscontro da tale società adun'istanza formulata ai sensi degli artt. 7 e 8 del Codice, con la quale si eraopposto per motivi legittimi al trattamento dei dati che lo riguardanoconservati nell'archivio di tale società, revocando il consenso. Con la medesima istanza l'interessato aveva altresì chiesto lacancellazione dei dati, con attestazione dell'avvenuta comunicazione dellastessa ai soggetti cui i dati erano stati comunicati o diffusi. Ulterioririchieste erano state formulate in via subordinata. Nel ricorso proposto a questa Autorità ai sensi dell'art. 145 delCodice il ricorrente ha ribadito le proprie istanze. A seguito dell'invito ad aderire formulato da questa Autorità in data7 settembre 2004 ai sensi dell'art. 149 del Codice, la società resistente, connota inviata via fax il 7 ottobre 2004, ha dichiarato: di aver sospeso la visibilità delle posizionirelative al ricorrente attualmente censite nella propria banca dati, "comemisura adottata a scopo cautelativo, al fine di apprestare idonea tutela alleragioni dell'interessato"; che tale misura "esclude in radice lapossibilità per gli enti finanziatori aderenti alla centrale rischi di Crif diprendere conoscenza della suddetta informazione"; di non ritenere a suo avviso legittima la revocadel consenso al trattamento dei dati e di interpretare l'istanza proposta dalricorrente alla stregua di una sostanziale opposizione per motivi legittimi; di ritenere che il ricorrente non abbiadimostrato la sussistenza di "alcuna circostanza concreta che possaassurgere a motivo legittimo di opposizione al trattamento (Š)"; che il trattamento in oggetto sarebbe effettuato"nel pieno rispetto dei principi di correttezza, esattezza, pertinenzae proporzionalità " previsti dall'art. 11 del Codice, in quanto lesegnalazioni relative al ricorrente fanno riferimento: ad un prestito finalizzato accordato nel marzo2000 da Credito Italiano S.p.A., estinto con passaggio a perdita in data 25febbraio 2004 (posizione n. 1 del report Crif); ad un prestito finalizzato accordato daFinconsumo Banca S.p.A., estinto con passaggio a perdita in data 21 dicembre2001 (posizione n. 2 del report); ad una carta a saldo accordata da AmericanExpress Europe Limited in data 28 gennaio 2004, tuttora attiva senza alcunasegnalazione di insolvenze (posizione n. 3 del report); ad un rapporto di conto corrente stipulato conBanca Popolare di Milano Soc. coop. a r.l., tuttora attivo con segnalazione disofferenza (posizione n. 4 del report). La resistente ha pertanto chiesto al Garante, in ragionedell'intervenuta sospensione della visibilità dei dati, di dichiarare non luogoa provvedere sul ricorso, compensando tra le parti le spese del procedimento. CIÒ PREMESSO IL GARANTEOSSERVA: Il ricorso consegue all'opposizione per motivi legittimi allapermanenza presso una c.d. "centrale rischi" privata di alcuni datipersonali relativi al ricorrente. In ordine a tali dati conservati nell'archivio di referenzacreditizia, malgrado la pluralità delle espressioni utilizzate, le istanzeproposte integrano un'unica, sostanziale domanda, caratterizzata daun'opposizione per motivi legittimi all'ulteriore trattamento dei dati pressola predetta "centrale rischi", mediante loro cancellazione pereffetto dell'intervenuta revoca del consenso che nel caso di specierappresenta, allo stato, l'unico presupposto idoneo del trattamento ai sensidegli art. 23 e 24 del Codice. Il trattamento effettuato dalla "centrale rischi" in qualitàdi autonomo titolare del trattamento -che, come tale, sulla base di alcuniaccordi del sistema di rilevazione del rischio creditizio, ed in relazione alconcreto andamento del rapporto di finanziamento monitorato dalla banca o dallafinanziaria che ha concesso il prestito, interviene sui dati personali che lesono trasmessi dagli enti segnalanti- è in termini generali lecito, ma basatonella fattispecie solo sul consenso che, come detto, è stato revocato. In ordine all'opposizione in esame, conformemente a quanto dispostodal Garante in precedenti decisioni, va ritenuta congrua, quale misuranecessaria a tutela dei diritti dell'interessato e in luogo dell'integralecancellazione, quella della sospensione temporanea della comunicazione a terzidei dati personali relativi ai finanziamenti di cui alle posizioni n. 1, 2 e 3del citato report Crif e della conseguente visibilità degli stessi nellapredetta banca dati. Crif S.p.A., nel corso del procedimento, ha attestato di aver giàadottato tale misura nelle more dell'adozione del codice deontologico previstoin materia dall'art. 117 del Codice e da connesso, eventuale provvedimento delGarante previsto dagli art. 17 e 24, comma 1, lett. g), del medesimo Codice.Sul ricorso deve pertanto dichiararsi non luogo a provvedere sul ricorso aisensi dell'art. 149, comma 2, dello stesso Codice. Parimenti, va dichiarato non luogo a provvedere sul ricorso in ordinealla richiesta attestazione che tale operazione sia portata a conoscenza deisoggetti cui i dati sono stati comunicati. Come emerso dai riscontri forniti daCrif S.p.A. anche in altri analoghi procedimenti, risulta che gli enti aderentialla predetta "centrali rischi" privata sono in grado di visualizzare"in tempo reale" tutti i dati detenuti in relazione ai soggetticensiti e sono, in tal modo, messi a conoscenza dell'eventuale intervenutasospensione o rimozione di alcuna o di tutte le informazioni dalla banca datistessa. Il ricorso deve invece essere accolto con riferimento alla posizionen. 4 del predetto report Crif, relativo ad un rapporto di conto correntein posizione di "sofferenza". Il trattamento di determinati tipi di dati nel contesto degli archividelle c.d. "centrali rischi private" ha un impatto significativo suidiritti degli interessati e può considerarsi lecito nella misura in cui i datipersonali trattati siano pertinenti e non eccedenti rispetto alle specifichefinalità perseguite nel particolare ambito della "centrale rischi"privata in questione. In particolare, non risulta comprovato che i dati riferiti al rapportodi conto corrente in posizione di "sofferenza" siano relativi (equindi lecitamente trattabili nello specifico contesto della banca dati inesame di Crif S.p.A) a richieste o rapporti riguardanti la concessione di uncredito sotto forma di dilazione di pagamento, di finanziamento o di altrafacilitazione finanziaria, anziché ad un ordinario rapporto di conto corrente. In parziale accoglimento del ricorso va quindi disposta, quale "misuranecessaria a tutela dei diritti dell'interessato" (art. 150, comma 2,del Codice), la cancellazione dei dati che si riferiscono alla citata posizionen. 4 del report Crif, con relativa attestazione, da effettuarsi entro il28 febbraio 2005. Entro il medesimo termine la resistente dovrà dare confermadi tale duplice adempimento al ricorrente e a questa Autorità. L'ammontare delle spese sostenute nel presente procedimento èdeterminato, ai sensi dell'art. 150, comma 3, del Codice, nella misuraforfettaria di euro 250, di cui euro 25,82 per diritti di segreteria, tenutoconto degli adempimenti connessi alla redazione e presentazione del ricorso.Tale ammontare è posto a carico di Crif S.p.A. nella misura di euro 50, previacompensazione della restante parte, ai sensi del predetto art. 150, comma 3,per giusti motivi legati al contenuto del riscontro inviato, sia pure solo dopola presentazione del ricorso. PER QUESTI MOTIVI ILGARANTE: a) accoglie il ricorso limitatamente al trattamento dei dati relativial conto corrente in sofferenza di cui alla posizione n. 4 del reportCrif e ordina a Crif S.p.A di cancellare tale posizione, con relativaattestazione, nei termini di cui in motivazione; b) dichiara non luogo a provvedere sul ricorso in riferimento airestanti profili; c) determina nella misura forfettaria di euro 250, di cui 25,82 perdiritti di segreteria, l'ammontare delle spese e dei diritti del presenteprocedimento che pone, previa compensazione della restante parte per giustimotivi, in misura pari a 50 euro a carico della resistente, la quale dovràliquidarli direttamente a favore del ricorrente. Roma, 10 novembre 2004
|