Provvedimento del 6 aprile 2004

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminato il ricorso presentato da XY rappresentata e difesa dagli avv.ti Dario Masini e Anna Mandorlo

nei confronti di

Banca popolare di Lodi S.c. a r.l. e Crif S.p.A.;

Visti gli articoli 7, 8 e 145 s. del d.lg. 30 giugno 2003, n. 196;

VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Stefano Rodotà;

PREMESSO:

L'interessata ha ottenuto un mutuo da Banca popolare di Lodi S.c. a r.l. rispetto al quale si sono verificati ritardi nei pagamenti (in seguito regolarizzati) che sarebbero stati comunicati a Crif S.p.A. in modo ritenuto illecito; ha pertanto formulato nei confronti delle due società distinte istanze ai sensi dell'art. 13 della legge n. 675/1996 (ora, artt. 7 e 8 del d.lg. 30 giugno 2003, n. 196, in vigore dal 1° gennaio 2004), con le quali si è opposto all'ulteriore trattamento dei dati personali che la riguardano, con contestuale revoca del consenso ai fini della loro conseguente cancellazione.

Con nota del 28 novembre 2003 Crif S.p.A. aveva comunicato all'interessata di aver disposto la sospensione della visibilità dei dati contestati in attesa di chiarimenti da parte della segnalante.

Ritenendo tale riscontro insoddisfacente, l'interessata ha proposto ricorso a questa Autorità ai sensi dell'art. 145 del d.lg. n. 196/2003 nei riguardi di entrambe le società. Con tale ricorso la medesima interessata ha ribadito le proprie istanze chiedendo di adottare, nelle more dell'adozione della decisione sul ricorso, "un provvedimento di blocco provvisorio o sospensione del trattamento"; ha anche chiesto che le spese del procedimento siano poste a carico dei titolari del trattamento.

A seguito dell'invito ad aderire formulato da questa Autorità in data 25 febbraio 2004 ai sensi dell'art. 149 del d.lg. n. 196/2003, Banca popolare di Lodi S.c. a r.l., con fax in data 12 marzo 2004, ha sostenuto:

      di aver accertato che l'interessata aveva ottenuto il mutuo in questione dall'"ex Credito Molisano, successivamente trasformato in Bipielle Centrosud e poi definitivamente incorporato" nella banca resistente;

      di aver "rintracciato il modulo di consenso sottoscritto" dall'interessata il 30 novembre 1999, anche in riferimento alla comunicazione dei dati a "società esterne" tra cui venivano indicate anche "società di rilevamento dei rischi finanziari";

      di non poter accogliere la richiesta di cancellazione di tutti i dati che riguardano l'interessata, né di potersi attivare in tal senso nei confronti di Crif S.p.A., trattandosi di rapporto ancora in corso;

      di poter accogliere la richiesta di cancellazione della "segnalazione di rate non pagate", ritenuta pregiudizievole dall'interessata, solamente decorso un anno dalla regolarizzazione degli insoluti pregressi, avvenuta solo il 31 ottobre 2003.

Con nota inviata il 16 marzo 2004 Crif S.p.A. ha poi comunicato:

      di aver disposto, a seguito della revoca del consenso manifestata dall'interessata, il "blocco del trattamento" del dato ritenuto pregiudizievole, nelle more dell'adozione del previsto codice deontologico di settore e degli ulteriori provvedimenti che il Garante riterrà di adottare in materia;

      di aderire alle considerazioni svolte da Banca popolare di Lodi S.c. a r.l., in ordine alla liceità del trattamento, nonché alla ritenuta congrua conservazione dei dati.

Con fax pervenuto in data 23 marzo 2004 la ricorrente ha ribadito le proprie richieste.

CIÒ PREMESSO IL GARANTE OSSERVA:

Il ricorso verte sul trattamento dei dati personali effettuato da una banca e da una c.d. "centrale rischi" privata in relazione ad un rapporto di finanziamento nel corso del quale si sono verificati alcuni inadempimenti successivamente regolarizzati.

La richiesta non è fondata per quanto riguarda il trattamento dei dati effettuato al proprio interno da Banca popolare di Lodi S.c. a r.l.

Dalla documentazione in atti non risulta infatti che la banca tratti e conservi al proprio interno i dati dell'interessata in modo illecito, non corretto o comunque tale da essere interrotto per effetto dell'opposizione dell'interessato, risultando la loro permanenza presso la banca, allo stato e in base agli elementi di valutazione prodotti, non eccedente in relazione agli scopi per i quali gli stessi sono stati raccolti e utilizzati per il rapporto contrattuale in corso.

L'ulteriore parte di istanza formulata sempre nei riguardi di Banca popolare di Lodi S.c. a r.l., ma per ciò che attiene alla comunicazione dei dati a «centrali rischi private», va qualificata anch'essa alla stregua di un'opposizione per motivi legittimi al trattamento dei dati relativi ai ritardi nei pagamenti già regolarizzati.

Tale operazione di trattamento, che è in termini generali lecita, è basata nel caso di specie solo sul consenso che rappresenta, allo stato, l'unico presupposto idoneo del trattamento ai sensi degli artt. 23 e 24 del d. lg. n. 196/2003 e che, sempre nel caso di specie, è stato revocato espressamente.

Pertanto, in parziale accoglimento di tale domanda e quale "misura necessaria a tutela dei diritti dell'interessato" (art. 150, comma 2, del d.lg. 196/2003), va disposto che Banca popolare di Lodi S.c. a r.l. sospenda temporaneamente la comunicazione alla "centrale rischi" sopra indicata di altri dati personali relativi al rapporto di finanziamento in questione, a decorrere dalla comunicazione del presente provvedimento e per il solo tempo intercorrente fino alla data in cui saranno operativi i nuovi presupposti e modalità del trattamento risultanti da provvedimento del Garante ai sensi degli artt. 17 e 24, comma 1, lett. g), del d.lg. 30 giugno 2003, n. 196 e dal connesso codice deontologico in materia di "centrali rischi" previsto dall'art. 117 del medesimo decreto legislativo.

Anche le richieste formulate dall'interessata nei confronti di Crif S.p.A. integrano una sostanziale opposizione per motivi legittimi all'ulteriore trattamento dei dati presso la predetta "centrale rischi", mediante loro cancellazione per effetto dell'intervenuta revoca del consenso.

Il trattamento effettuato dalle "centrali rischi" in qualità di autonomi titolari del trattamento -che, come tali, sulla base di alcuni accordi del sistema di rilevazione del rischio creditizio, ed in relazione al concreto andamento del rapporto di finanziamento monitorato dalla banca o dalla finanziaria che ha concesso il prestito, interviene sui dati personali che sono trasmessi loro dagli enti segnalanti- è in termini generali lecito, ma basato anch'esso solo sul consenso che, come detto, è stato revocato.

In ordine a questo profilo dell'opposizione in esame, conformemente a quanto disposto dal Garante in precedenti decisioni, va ritenuta congrua, quale misura necessaria a tutela dei diritti dell'interessato e in luogo dell'integrale cancellazione, quella della sospensione temporanea della comunicazione a terzi dei dati personali relativi ai rapporti di finanziamento e della conseguente visibilità nelle predette banche dati.

Crif S.p.A., nel corso del procedimento, ha attestato, con dichiarazione della cui veridicità gli autori rispondono anche ai sensi dell'art. 168 del d.lg. n. 196/2003 ("Falsità nelle dichiarazioni e nelle notificazioni al Garante") di aver già adottato tale misura. Sulla base di tale dichiarazione deve pertanto dichiararsi non luogo a provvedere sul ricorso nei confronti di tale titolare del trattamento.

Per quanto concerne le spese del procedimento, in considerazione della complessità e specificità della vicenda esaminata, sussistono giusti motivi per compensare integralmente le spese fra le parti.

PER QUESTI MOTIVI IL GARANTE:

a) in parziale accoglimento del ricorso ordina a Banca popolare di Lodi S.c. a r.l. di sospendere temporaneamente la comunicazione alla "centrale rischi" resistente di altri dati personali relativi al rapporto di finanziamento intercorrente con l'interessata, nei termini di cui in motivazione;

b) dichiara non luogo a provvedere sul ricorso nei confronti di Crif S.p.A.;

c) dichiara compensate le spese fra le parti.

Roma, 6 aprile 2004

Il presidente
Rodotà

Il relatore
Rodotà

Il segretario generale
Buttarelli