Garante per la protezione
    dei dati personali


Comunicazione a terzi di datiriguardanti un finanziamento

PROVVEDIMENTO DEL 9 GENNAIO 2014

Registro dei provvedimenti
n. 14 del 9 gennaio 2014

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

Nellariunione odierna, in presenza del dott. Antonello Soro Presidente, delladott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

Vistoil Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n.196; di seguito "Codice");

Vistoil reclamo presentato dalla sig.ra Indira Gagliano nei confronti di FiditaliaS.p.A. in ordine ad una comunicazione a terzi di informazioni personali allastessa riferite;

Vistala documentazione in atti;

Vistele osservazioni formulate dal segretario generale ai sensi dell'art. 15 delregolamento del Garante n. 1/2000;

Relatorela prof.ssa Licia Califano;

PREMESSO

Conreclamo del 27 novembre 2012, regolarizzato nell'aprile 2013, la signora IndiraGagliano ha sostenuto che alcuni suoi dati personali erano stati oggetto diillecito trattamento.

Inparticolare, la reclamante ha riferito che suo marito, sig. Antonio Ducci, nelcorso di un procedimento civile intentato contro di lei, aveva prodotto ingiudizio la copia di un "conto definitivo" accedente ad un contrattodi finanziamento da lei personalmente stipulato con Fiditalia S.p.A. (previacessione, "pro solvendo", di alcune rate del suo stipendio).

Inparticolare, la Gagliano ha sostenuto che tale produzione documentale era statapossibile in ragione del fatto che Fiditalia S.p.A.−agenzia Bogliacino, asua insaputa, aveva consegnato al sig. Ducci copia della documentazione inquestione, dando luogo ad una comunicazione ad un terzo di sue informazionipersonali non assistita da consenso né da altro suo equipollente.

Pertanto,la reclamante ha concluso chiedendo la declaratoria dell'illiceità deltrattamento dei suoi dati personali e il risarcimento dei danni subiti.

2.A seguito di apposita richiesta di informazioni formulata dall'Ufficio,Fiditalia S.p.A., con nota del 10 luglio 2013, ha ammesso di aver inviato viafax al sig. Ducci, su sua richiesta, "il conteggio definitivo delfinanziamento già consegnato alla cliente in fase di stipula".

Lasocietà, però, pur riconoscendo l'accaduto, ha dichiarato di aver agito facendolegittimo affidamento sul fatto che il coniuge della sig.ra Gagliano -comeespressamente riferito dall'agente che aveva gestito la pratica difinanziamento- non solo aveva sempre partecipato ai contatti intercorsi tra leparti durante la fase precontrattuale, ma era stato anche presente al momentodella sottoscrizione, da parte della sig.ra Gagliano, del contratto e del conteggiodefinitivo. Pertanto, a dire della società, non poteva essere revocata indubbio la buona fede dell'agente che, contattato telefonicamente da persona alui nota e qualificatasi "marito della signora" Gagliano, avevaritenuto di accogliere la sua richiesta volta ad ottenere copia del documentoin questione.

3.Risultando pacifici i fatti tra le parti, la definizione del procedimento restalegata esclusivamente alla corretta applicazione dei fondamentali principivigenti in materia di trattamento dei dati personali.

Inproposito, si osserva che il Garante da sempre ha posto l'accento sul fatto cheil "titolare" (art. 4, comma 1, lett. f) del Codice), prima diiniziare il trattamento dei dati personali, è tenuto a verificare sel'eventuale rapporto giuridico che lo lega all'interessato sia in grado diconsentirgli di porre in essere operazioni di trattamento "senza violaregli obblighi nascenti dalla legge o da un rapporto contrattuale" (cfr.Provv.ti 23 maggio 2001 e 8 marzo 2007; vedi anche le "Linee guida in materia ditrattamento di dati personali della clientela in ambito bancario",adottate dall'Autorità garante il 25 ottobre 2007).

Atale impostazione, oramai cristallizzatasi nel tempo, risulta aver formalmenteaderito anche Fiditalia S.p.A., la quale, nello stesso modulo di"Conferimento del mandato di agenzia" prodotto (vedi allegato n. 2alla nota datata 10 luglio 2013), ha espressamente imposto agli agenti ed aisuoi collaboratori di "rispettare e far rispettare [] il segretod'ufficio".

4.Ciò premesso, nel caso in esame detto principio non risulta essere statoosservato in concreto, in quanto Fiditalia S.p.A.- agenzia Bogliacino non hatenuto in debito conto che il rapporto contrattuale concerneva esclusivamentel'odierna reclamante e, quindi, non autorizzava l'accoglimento della richiestaavanzata dal sig. Ducci, che ad esso era sostanzialmente estraneo; infatti, lacircostanza che il Ducci, in qualità di coniuge della sig.ra Gagliano, fossestato, sin dalla fase antecedente alla stipula, a conoscenza del contenuto delrapporto contrattale concluso dalla propria consorte, non lo autorizzava -incarenza di un apposito conferimento di poteri in suo favore o di rilascio diapposita autorizzazione alla società- ad ottenere copia del documento richiestoe, quindi, ad acquisire la disponibilità dei dati personali dell'interessata.Ne consegue che, non essendo mai stato manifestato un espresso consenso dallasig.ra Gagliano (art. 23) e non essendo ravvisabile l'esistenza di altropresupposto ad esso equipollente (art. 24), la condotta tenuta da FiditaliaS.p.A. non può che essersi risolta in una comunicazione di dati personali ad unterzo effettuata in violazione del principio di liceità e correttezza deltrattamento (art. 11, comma 1, lett. a) del Codice).

Stantel'acclarata violazione, l'Autorità si riserva di instaurare autonomoprocedimento per contestare in sede amministrativa la violazione di quantodisposto dal citato art. 23 del Codice (artt. 23 e 162, comma 2-bis del Codice).

Inogni caso, il verificarsi dell'episodio induce a ritenere che all'interno diFiditalia S.p.A., nonostante l'organizzazione e le misure di sicurezza adottate(in buona parte evincibili dal modello di "conferimento del mandato diagenzia" in atti), possano ancora residuare margini di incertezza inordine alla concreta attuazione dei principi del Codice nell'espletamento dioperazioni di comunicazione dei dati personali dei clienti; pertanto, ai sensidegli artt. 143, comma 1, lett. b) e 154, comma i, lett. c del Codice, siritiene di prescrivere alla società di adottare ulteriori misure in grado diassicurare che la comunicazione dei dati dei clienti a terzi avvengaeffettivamente nel rispetto delle regole poste dagli artt. 23 e 24 del Codice,impartendo, a tal fine, entro 90 giorni dalla comunicazione della presentedecisione, adeguate istruzioni ai responsabili e agli incaricati deltrattamento.

5.La richiesta di risarcimento danni avanzata dalla reclamante non può trovareingresso in questa sede, trattandosi di aspetto che la legge rimette algiudizio esclusivo dell'Autorità giudiziaria.

Conriferimento al trattamento dei dati della reclamante avvenuto nell'ambito delprocedimento giudiziario attraverso la produzione della documentazione bancariaoggetto del presente reclamo, si precisa che, ai sensi dell'art. 160, comma 6del Codice, ogni valutazione sulla validità, efficacia e utilizzabilità di attie documenti contenenti dati raccolti in violazione di disposizioni di legge odi regolamento poste a tutela dei dati personali è rimessa unicamente algiudice, il quale vi provvede "secondo le pertinenti disposizioniprocessuali nella materia civile e penale".

TUTTO CIO' PREMESSO, IL GARANTE:

1)dichiara l'illiceità del trattamento posto in essere da Fiditalia S.p.A.riguardo ai dati personali della sig.ra Indira Gagliano;

2) aisensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c) del Codice,prescrive a Fiditalia S.p.A. di adottare ulteriori misure in grado diassicurare che la comunicazione dei dati dei clienti a terzi avvengaeffettivamente nel rispetto delle regole poste dagli artt. 23 e 24 del Codice,impartendo, a tal fine, entro 90 giorni dalla comunicazione del presenteprovvedimento, adeguate istruzioni ai responsabili e agli incaricati deltrattamento;

3)dichiara l'inammissibilità della richiesta di risarcimento danni avanzata dallareclamante.

Ai sensidegli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso il presenteprovvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 9 gennaio 2014

Il presidente
Soro

Il relatore
Califano

Il segretario generale
Busia