Provvedimento del 15 aprile 2004

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminato il ricorso presentato da XY

nei confronti di

Crif S.p.A.;

Visti gli articoli 7, 8 e 145 s. del d.lg. 30 giugno 2003, n. 196;

VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Gaetano Rasi;

PREMESSO

La ricorrente, i cui dati personali risultano censiti nella banca dati di Crif S.p.A., afferma di non aver ricevuto riscontro da parte della società ad un'istanza formulata ai sensi dell'art. 13 della legge n. 675/1996 (ora, artt. 7 e 8 del d.lg. 30 giugno 2003, n. 196, in vigore dal 1° gennaio 2004) con la quale si era opposta per motivi legittimi al trattamento dei dati che la riguardano, relativi ad alcuni rapporti di finanziamento, con revoca del consenso.

Con la medesima istanza l'interessata aveva altresì chiesto la cancellazione dei dati, con attestazione dell'avvenuta comunicazione della stessa ai soggetti cui i dati erano stati comunicati o diffusi. Ulteriori richieste erano state formulate in via subordinata.

Nel ricorso proposto a questa Autorità ai sensi dell'art. 145 del d.lg. n. 196/2003 la ricorrente ha ribadito le proprie istanze.

A seguito dell'invito ad aderire formulato da questa Autorità in data 20 gennaio 2004 ai sensi dell'art. 149 del d.lg. n. 196/2003, la società resistente, con nota inviata via fax il 9 febbraio 2004, ha sostenuto:

      di aver sospeso la visibilità delle posizioni relative alla ricorrente attualmente censite nella propria banca dati, "come misura adottata a scopo cautelativo, al fine di apprestare idonea tutela alle ragioni dell'interessato";

      che tale misura "esclude in radice la possibilità per gli enti finanziatori aderenti alla centrale rischi di Crif di prendere conoscenza delle informazioni medesime";

      di non ritenere a suo avviso legittima la volontà di revoca del consenso manifestata dalla ricorrente e di interpretare l'istanza proposta alla stregua di una sostanziale opposizione per motivi legittimi;

      di non ritenere che la ricorrente abbia dimostrato, sempre a suo avviso, la sussistenza di "alcuna circostanza concreta che possa assurgere a motivo legittimo di opposizione al trattamento (…)".

La resistente ha pertanto chiesto al Garante, in ragione dell'intervenuta sospensione della visibilità dei dati, di dichiarare non luogo a provvedere sul ricorso, compensando le spese tra le parti.

Con nota inviata il 29 marzo 2004, in risposta ad una richiesta avanzata dal Garante successivamente alla proroga del termine per la decisione sul ricorso disposta ai sensi dell'art. 149, comma 7, del d.lg. n. 196/2003, la resistente ha sostenuto che il trattamento attualmente effettuato con riferimento ai dati della ricorrente sarebbe lecito "anche e soprattutto in ossequio al principio di proporzionalità ex art. 11, comma 1, lett. e) del d. lg. 196/03". Ciò in quanto le segnalazioni relative alla ricorrente fanno riferimento:

      ad un finanziamento in corso concesso da RNC S.p.A., recante la dicitura "nessuna segnalazione" e scadenza naturale al 30 marzo 2007 (posizione n. 1 del report Crif allegato alla nota);

      ad un finanziamento concesso da Credito Emiliano S.p.A. ed estinto nel novembre 2001, con dicitura "nessuna segnalazione" (posizione n. 2 del report Crif); 

      ad un finanziamento concesso da Banca Popolare di Lodi S.c. a r.l. ed estinto nel dicembre 2002 "con ritardi nei pagamenti già regolarizzati" (posizione n. 3 del report Crif); 

      e ad un finanziamento concesso da Agos Itafinco S.p.A. ed estinto "non per integrale versamento delle rate, ma per "passaggio a perdita" il cui ultimo aggiornamento risale al 31 dicembre 2001 (posizione n. 4 del report Crif).

CIÒ PREMESSO IL GARANTE OSSERVA:

Il ricorso consegue all'opposizione per motivi legittimi alla permanenza presso una c.d. "centrale rischi" privata di alcuni dati personali relativi alla ricorrente, con conseguente connessa cancellazione dalla predetta banca dati.

Malgrado la pluralità delle espressioni utilizzate, le istanze proposte integrano un'unica, sostanziale domanda, caratterizzata da un'opposizione per motivi legittimi all'ulteriore trattamento dei dati presso la predetta "centrale rischi", mediante loro cancellazione per effetto dell'intervenuta revoca del consenso che nel caso di specie rappresenta, allo stato, l'unico presupposto idoneo del trattamento ai sensi degli art. 23 e 24 del d. lg. n. 196/2003.

Il trattamento effettuato dalla "centrale rischi" in qualità di autonomo titolare del trattamento -che, come tale, sulla base di alcuni accordi del sistema di rilevazione del rischio creditizio, ed in relazione al concreto andamento del rapporto di finanziamento monitorato dalla banca o dalla finanziaria che ha concesso il prestito, interviene sui dati personali che le sono trasmessi dagli enti segnalanti- è in termini generali lecito, ma basato nella fattispecie solo sul consenso che, come detto, è stato revocato.

In ordine all'opposizione in esame, conformemente a quanto disposto dal Garante in precedenti decisioni, va ritenuta congrua, quale misura necessaria a tutela dei diritti dell'interessato e in luogo dell'integrale cancellazione, quella della sospensione temporanea della comunicazione a terzi dei dati personali relativi ai finanziamenti concessi da RNC S.p.A. e da Agos Itafinco S.p.A. e della conseguente visibilità nella predetta banca dati.

Crif S.p.A., nel corso del procedimento, ha attestato di aver già adottato tale misura nelle more dell'adozione del codice deontologico previsto in materia dall'art. 117 del d.lg. 30 giugno 2003, n. 196 e da connesso, eventuale provvedimento del Garante ai sensi degli art. 17 e 24, comma 1, lett. g), del d.lg. 30 giugno 2003, n. 196. Sul punto deve pertanto dichiararsi non luogo a provvedere sul ricorso ai sensi dell'art. 149, comma 2, del d.lg. 196/2003.

In ordine alla richiesta di cancellazione dei dati relativi ai finanziamenti concessi da Credito Emiliano S.p.A. e da Banca Popolare di Lodi S.c. a r.l., il ricorso è invece fondato e deve essere accolto. Tali dati personali sono infatti relativi nel primo caso ad un rapporto di finanziamento estinto nel novembre 2001 (nel corso del quale non si era verificato alcun ritardo o contestazione nei pagamenti) e, nell'altro caso, ad un finanziamento estinto nel dicembre 2002 con definizione di ogni residua pendenza.

A prescindere della mancanza di specifiche annotazioni "negative" per il ricorrente, Crif S.p.A. non ha provato che l'ulteriore divulgazione in rete a banche e a società finanziarie dei dati riferiti ad una posizione estinta da tempo, sia basata su un altro idoneo presupposto del trattamento ai sensi degli art. 23 e 24 del d.lg. n. 196/2003 diverso dal consenso. Inoltre, con riferimento agli eventuali inadempimenti sanati senza perdite, debiti residui o pendenze il provvedimento generale del Garante del 31 luglio 2002 noto alle parti prevede che gli stessi siano cancellati entro un anno dalla data della loro regolarizzazione, se avvenuta nel corso del finanziamento, o comunque dalla data di estinzione, anche anticipata del rapporto (avvenuta comunque senza perdite, debiti residui o pendenze). Pertanto, la divulgazione di tali dati risulta eccedente rispetto alle finalità originarie per le quali i dati furono raccolti e trattati, in violazione di quanto stabilito dall'art. 11, comma 1, lett. d), del citato decreto.

In parziale accoglimento del ricorso va quindi disposta, quale "misura necessaria a tutela dei diritti dell'interessato" (art. 150, comma 2, d.lg. n. 196/2003), la cancellazione dei dati che si riferiscono ai finanziamenti concessi da Credito Emiliano S.p.A. e da Banca Popolare di Lodi S.c. a r.l., da effettuarsi non oltre il 31 maggio 2004 con la conferma di cui in dispositivo.

PER QUESTI MOTIVI IL GARANTE:

a) accoglie parzialmente il ricorso limitatamente ai dati di cui ai finanziamenti concessi da Credito Emiliano S.p.A. e da Banca Popolare di Lodi S.c. a r.l. e ordina alla resistente, ai sensi dell'art. 150, comma 2, d.lg. n. 196/2003, la cancellazione dei medesimi dati dalla banca dati accessibile a terzi, entro la data del 31 maggio 2004, dando conferma entro lo stesso termine all'interessata e a questa Autorità dell'avvenuto adempimento;

b) dichiara non luogo a provvedere sul ricorso in relazione ai restanti profili.

Roma, 15 aprile 2004

Il presidente
Rodotà

Il relatore
Rasi

Il segretario generale
Buttarelli