Provvedimento del 7 maggio 2004

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminato il ricorso presentato da Stelian Ulmeanu

nei confronti di

Crif S.p.A.;

Visti gli articoli 7, 8 e 145 s. del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Giuseppe Santaniello;

PREMESSO:

Il ricorrente, i cui dati personali risultano censiti nella banca dati di Crif S.p.A., afferma di non aver ricevuto riscontro da parte di tale società ad un'istanza formulata ai sensi degli artt. 7 e 8 del Codice, con la quale si era opposto per motivi legittimi al trattamento dei dati che lo riguardano, relativi ad alcuni rapporti di finanziamento, revocano il consenso.

Con la medesima istanza l'interessato aveva altresì chiesto la cancellazione dei dati, con attestazione dell'avvenuta comunicazione della stessa ai soggetti cui i dati erano stati comunicati o diffusi. Ulteriori richieste erano state formulate in via subordinata.

Nel ricorso proposto a questa Autorità ai sensi dell'art. 145 del Codice il ricorrente ha ribadito le proprie istanze.

A seguito dell'invito ad aderire formulato da questa Autorità in data 12 marzo 2004 ai sensi dell'art. 149 del Codice, la società resistente, con nota inviata via fax l'8 aprile 2004, ha dichiarato:

      di aver sospeso la visibilità di tutte le posizioni relative al ricorrente attualmente censite nella propria banca dati, "come misura adottata a scopo cautelativo, al fine di apprestare idonea tutela alle ragioni dell'interessato";

      che tale misura "esclude in radice la possibilità per gli enti finanziatori aderenti alla centrale rischi di Crif di prendere conoscenza della suddetta informazione";

      di non ritenere a suo avviso legittima la revoca del consenso manifestata dal ricorrente e di interpretare l'istanza proposta alla stregua di una sostanziale opposizione per motivi legittimi;

      di non ritenere che il ricorrente abbia dimostrato la sussistenza di "alcuna circostanza concreta che possa assurgere a motivo legittimo di opposizione al trattamento (…)";

      che il trattamento in oggetto sarebbe effettuato "nel pieno rispetto dei principi di correttezza, esattezza, pertinenza e proporzionalità " previsti dall'art. 11 del Codice, anche in relazione ai criteri temporali di conservazione dei dati contenuti nel provvedimento generale del Garante del 31 luglio 2002 in materia di c.d. "centrali rischi" private;

      che le segnalazioni relative al ricorrente fanno infatti riferimento:

                        ad un prestito finalizzato erogato da Agos Service-Itafinco il 27 marzo 2002, estinto nel febbraio 2004, recante ritardi nei pagamenti regolarizzati nel dicembre 2003 (posizione n. 1 del report Crif);

                        ad un prestito finalizzato erogato da Finemiro Leasing il 25 febbraio 2002, estinto nel gennaio 2004, recante ritardi nei pagamenti regolarizzati nell'ottobre 2003 (posizione n. 2 del report Crif); 

                        ad un prestito finalizzato erogato da Agos Service-Itafinco il 29 ottobre 2001, ancora in corso (data di scadenza prevista 1 novembre 2006), recante ritardi nei pagamenti regolarizzati nel gennaio 2004 (posizione n. 3 del report Crif); 

                        ad un prestito finalizzato erogato da Agos Service-Itafinco l'8 agosto 2000, estinto nell'aprile 2002, "senza alcuna segnalazione di insolvenze" (posizione n. 4 del report Crif);

                        ad un prestito finalizzato erogato da Linea S.p.A. il 14 giugno 2000 che pur avendo data di scadenza prevista 5 giugno 2003 reca tuttora "segnalazione di rate non pagate" (posizione n. 5 del report Crif); 

                        ad una carta di credito con pagamento rateale emessa da Linea S.p.A. il 19 marzo 2001, ancora attiva, recante ritardi nei pagamenti regolarizzati nel gennaio 2004 (posizione n. 6 del report Crif).

La resistente ha pertanto chiesto al Garante, in ragione dell'intervenuta sospensione della visibilità dei dati, di dichiarare non luogo a provvedere sul ricorso.

CIÒ PREMESSO IL GARANTE OSSERVA:

Il ricorso consegue all'opposizione per motivi legittimi alla permanenza presso una c.d. "centrale rischi" privata di alcuni dati personali relativi al ricorrente.

Malgrado la pluralità delle espressioni utilizzate le istanze proposte integrano un'unica, sostanziale domanda, caratterizzata da una opposizione per motivi legittimi all'ulteriore trattamento dei dati presso la predetta "centrale rischi", mediante loro cancellazione per effetto dell'intervenuta revoca del consenso che nel caso di specie rappresenta, allo stato, l'unico presupposto idoneo del trattamento ai sensi degli art. 23 e 24 del Codice.

Il trattamento effettuato dalla "centrale rischi" in qualità di autonomo titolare del trattamento -che, come tale, sulla base di alcuni accordi del sistema di rilevazione del rischio creditizio, ed in relazione al concreto andamento del rapporto di finanziamento monitorato dalla banca o dalla finanziaria che ha concesso il prestito, interviene sui dati personali che le sono trasmessi dagli enti segnalanti- è in termini generali lecito, ma basato nella fattispecie solo sul consenso che, come detto, è stato revocato.

In ordine all'opposizione in esame, conformemente a quanto disposto dal Garante in precedenti decisioni, va ritenuta congrua, quale misura necessaria a tutela dei diritti dell'interessato e in luogo dell'integrale cancellazione (salvo per quanto previsto per la posizione n. 4 nel report), quella della sospensione temporanea della comunicazione a terzi dei dati personali relativi ai finanziamenti concessi da Agos Service-Itafinco, Finemiro Leasing e Linea S.p.A. e della conseguente visibilità nella predetta banca dati.

Crif S.p.A., nel corso del procedimento, ha attestato di aver già adottato tale misura nelle more dell'adozione del codice deontologico previsto in materia dall'art. 117 del Codice e da connesso, eventuale provvedimento del Garante ai sensi degli art. 17 e 24, comma 1, lett. g), del medesimo Codice.

Sul punto deve pertanto dichiararsi non luogo a provvedere sul ricorso ai sensi dell'art. 149, comma 2, dello stesso Codice.

Per quanto concerne la richiesta di cancellazione dei dati relativi al prestito finalizzato erogato da Agos Service-Itafinco l'8 agosto 2000 (posizione n. 4 del report) il ricorso è invece fondato e deve essere parzialmente accolto. Tali dati si riferiscono ad un rapporto di finanziamento estinto il 19 aprile 2002 nel corso del quale non si era verificato alcun ritardo o contestazione nei pagamenti. A prescindere della mancanza in questo caso di specifiche annotazioni "negative" per il ricorrente, la divulgazione in rete a banche e a società finanziarie dei dati riferiti ad una posizione estinta da tempo risulta eccedente rispetto alle finalità originarie per le quali i dati furono raccolti e trattati, in violazione di quanto stabilito dall'art. 11, comma 1, lett. d), del Codice. Crif S.p.A. dovrà pertanto cancellare i dati che si riferiscono a tale finanziamento, entro il 15 giugno 2004, con la conferma di cui in dispositivo.

PER QUESTI MOTIVI IL GARANTE:

a) accoglie il ricorso limitatamente ai dati di cui al finanziamento erogato da Agos Service-Itafinco l'8 agosto 2000 e ordina alla resistente, ai sensi dell'art. 150, comma 2, del Codice la cancellazione dei medesimi dati dalla banca dati accessibile a terzi, entro la data del 15 giugno 2004, e di dare conferma a questa Autorità ed all'interessato entro lo stesso termine dell'avvenuto adempimento;

b) dichiara non luogo a provvedere sul ricorso in relazione ai restanti profili.

Roma, 7 maggio 2004

Il presidente
Rodotà

Il relatore
Santaniello

Il segretario generale
Buttarelli