Provvedimento del 19 aprile 2004

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminato il ricorso presentato da XY, rappresentato e difeso dall'avv. Gabriele Gianese e dal dott. Luca Di Martino presso il cui studio ha eletto domicilio

nei confronti di

Crif S.p.A.;

Visti gli articoli 7, 8 e 145 s. del Codice in materia di protezione di dati personali (d.lg. 30 giugno 2003, n. 196);

Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Gaetano Rasi;

PREMESSO:

Il ricorrente afferma di non aver ricevuto adeguato riscontro ad un'istanza formulata in data 7 novembre 2003 ai sensi dell'art. 13 della legge n. 675/1996 (ora, art. 7, comma 3, lett. b), del Codice entrato in vigore il 1° gennaio 2004), con la quale aveva chiesto a Crif S.p.A. la cancellazione dei dati che lo riguardano dagli archivi della società, dati che gli erano stati dalla stessa comunicati in data 13 ottobre 2003 a seguito di una precedente istanza di accesso formulata dall'interessato il 26 settembre 2003.

Con nota dell'11 dicembre 2003 Crif S.p.A. aveva comunicato all'interessato di aver sospeso la visibilità dei dati relativi ad un finanziamento estinto nell'agosto 2000, rispetto al quale si erano verificati ritardi nei pagamenti già regolarizzati (posizione n. 2 del report Crif del 13.10.2003), e di non poter a suo avviso cancellare le segnalazioni relative ad un finanziamento estinto con dicitura "nessuna segnalazione" nel settembre 2001 (posizione n. 1 del citato report Crif), nonché ad un ulteriore finanziamento estinto nel giugno 2003 rispetto al quale si erano verificati ritardi nei pagamenti già regolarizzati (posizione n. 3 del citato report Crif), essendo il relativo trattamento "pertinente agli scopi per i quali i dati sono raccolti e trattati" e non essendo, sempre a suo avviso, "ancora decorsi i termini di permanenza dei dati medesimi in banca dati" .

Nel ricorso presentato a questa Autorità ai sensi dell'art. 145 del d.lg. n. 196/2003, il ricorrente ha ribadito la richiesta di cancellazione dei dati chiedendo anche l'attestazione che tale operazione sia portata a conoscenza di coloro ai quali i dati erano stati comunicati o diffusi, o "in mero subordine" "la trasformazione in forma anonima dei dati stessi e/o la sospensione della relativa visibilità ". Il ricorrente ha anche chiesto di porre a carico della resistente le spese sostenute per il procedimento.

All'invito ad aderire ai sensi dell'art. 149, del d.lg n. 196/2003, formulato da questa Autorità in data 20 gennaio 2004, Crif S.p.A., ha risposto con fax inviato il 9 febbraio 2004, dichiarando che "le segnalazioni nn. 1 e 2" del citato report Crif "sono state cancellate" dalla banca dati di referenza creditizia della società resistente. Al contrario, in relazione alla segnalazione n. 3 del citato report, la resistente ha affermato di non aver provveduto alla relativa cancellazione, trattandosi di dati relativi ad un finanziamento "estinto con segnalazione di rate non pagate già regolarizzate (maggio 2003)" il cui trattamento "avviene tuttora nel rispetto del principio di proporzionalità ex art. 11, comma 1, lett. e) del d.lg. 196/03". Alla luce di tale determinazione, la resistente ha chiesto che il Garante dichiari non luogo a provvedere sul ricorso compensando integralmente le spese del procedimento fra le parti.

Con memoria depositata il 16 febbraio 2004, e nell'audizione del 17 febbraio 2004, il ricorrente ha sostenuto che il finanziamento di cui alla segnalazione n. 3 del citato report Crif si sarebbe estinto in realtà il 20 gennaio 2002, come indicato nel report stesso, ed ha inoltre rilevato come la resistente non abbia "dato riscontro alla richiesta di attestazione dell'avvenuta comunicazione ai soggetti cui i dati erano stati trasmessi delle operazioni di cancellazione".

Con nota inviata via fax in data 10 marzo 2004, successivamente all'intervenuta proroga del termine per la decisione sul ricorso, la resistente ha precisato che la data del 20 gennaio 2002 indicata nel report Crif del 13 ottobre 2003 in relazione alla segnalazione n. 3 corrisponde alla presunta "data fine" del rapporto contrattuale con Banca Nazionale del Lavoro S.p.A., data che, a seguito di successivi accertamenti presso l'ente segnalante, era stata sostituita con quella del 18 giugno 2003 nel report del 28 ottobre 2003 pure inviato al ricorrente.

Infatti, dopo la regolarizzazione delle rate insolute avvenuta solo nel maggio 2003, l'ultimo pagamento riferito a tale finanziamento era stato effettuato dal ricorrente solo in data 18 giugno 2003. Pertanto, ad avviso della resistente, non essendo ancora decorso il termine annuale per la cancellazione previsto dal provvedimento generale del Garante del 31 luglio 2002, la conservazione dei dati in questione nella banca dati della società sarebbe allo stato lecita. Crif S.p.A. ha aggiunto anche che dell'operazione di cancellazione gli enti aderenti alla "centrali rischi" sono messi a conoscenza "in tempo reale" nello stesso momento in cui avviene "l'operazione di eliminazione delle posizioni" fino ad allora censite in banca dati.

La resistente si è infine opposta alla richiesta di liquidazione delle spese di cui ha chiesto al Garante la compensazione ritenendo pretestuose le eccezioni formulate dal ricorrente nel corso del procedimento.

CIÒ PREMESSO IL GARANTE OSSERVA:

Il ricorso concerne una richiesta di cancellazione di dati personali relativi al ricorrente dalla banca dati di una di una c.d. "centrale rischi" privata.

In ordine alla richiesta di cancellazione delle posizioni di cui ai nn. 1 e 2 del report Crif del 13.10.2003, va dichiarato non luogo a provvedere sul ricorso ai sensi dell'art. 149, comma 2, del d.lg. n. 196/2003, avendo la resistente fornito al riguardo adeguato riscontro. Nel corso del procedimento la resistente ha infatti comunicato (con dichiarazione della cui veridicità l'autore risponde ai sensi dell'art. 168 del d.lg. n. 196/2003: "Falsità nelle dichiarazioni e nelle notificazioni al Garante"), di aver cancellato tali segnalazioni dalla propria banca dati.

La richiesta di cancellazione della posizione n. 3 del citato report è invece infondata in quanto il trattamento dei dati personali dell'interessato non risulta allo stato eccedente rispetto alle finalità per le quali i dati sono stati raccolti o successivamente trattati (art. 11, comma 1, lett. d), del d.lg. n. 196/2003).

La permanenza dei dati dell'interessato nelle banche dati delle "centrali rischi" risulta, allo stato, giustificata in conformità con la normativa sulla protezione dei dati personali, anche in riferimento ai criteri generali indicati da questa Autorità con il provvedimento del 31 luglio 2002, noto alle parti, che sul punto ritiene congrua la conservazione dei dati relativi agli eventuali inadempimenti per un anno dalla data della loro regolarizzazione, se avvenuta nel corso del finanziamento, o comunque dalla data di estinzione, anche anticipata, del rapporto (avvenuta comunque senza residue pendenze).

Infine, la richiesta di attestazione che l'operazione di cancellazione sia portata a conoscenza dei soggetti cui i dati erano stati comunicati o diffusi è inammissibile, essendo la stessa stata avanzata solo in sede di ricorso e non previamente contenuta nell'istanza del 7 novembre 2003, peraltro formalmente formulata dal ricorrente ai sensi dell'art. 7, comma 3, lett. b), del d.lg. n. 196/2003 (entrato però in vigore solo il 1° gennaio 2004), anziché ai sensi dell'art. 13 della legge n. 675/1996 allora vigente. In ogni caso, dal riscontro fornito da Crif S.p.A. nel corso del procedimento, risulta che, essendo gli enti aderenti alla predetta "centrali rischi" privata in grado di visualizzare "in tempo reale" tutti i dati detenuti in relazione ai soggetti censiti, gli stessi sono in tal modo messi a conoscenza dell'eventuale intervenuta rimozione di alcuna o di tutte le informazioni dalla banca dati stessa.

Sussistono infine giusti motivi per compensare integralmente le spese fra le parti in ragione della specificità della vicenda esaminata, nonché della sequenza dei rapporti intercorsi tra le parti.

PER QUESTI MOTIVI IL GARANTE:

a) dichiara non luogo a provvedere sul ricorso, in ordine alla richiesta di cancellazione dei dati personali di cui alle posizioni nn. 1 e 2 del report Crif del 13 ottobre 2003;

b) dichiara infondata la richiesta di cancellazione dei dati di cui alla posizione n. 3 del citato report Crif;

c) dichiara inammissibile la restante richiesta dell'interessato;

d) dichiara compensate le spese fra le parti.

Roma, 19 aprile 2004

Il presidente
Rodotà

Il relatore
Rasi

Il segretario generale
Buttarelli