Provvedimento del 16 luglio 2004

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminato il ricorso presentato da Camillo Presutti

nei confronti di

Crif S.p.A.;

Visti gli articoli 7, 8 e 145 s. del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Giuseppe Santaniello;

PREMESSO:

Il ricorrente afferma di non aver ricevuto riscontro ad un'istanza formulata ai sensi dell'art. 13 della legge n. 675/1996 (ora, artt. 7 e 8 del Codice entrato in vigore il 1° gennaio 2004) con la quale aveva chiesto a Crif S.p.A. la conferma dell'esistenza dei dati che lo riguardano, la comunicazione in forma intelligibile degli stessi, nonché di conoscere l'origine degli stessi. L'interessato aveva altresì chiesto la cancellazione dei dati trattati in violazione di legge opponendosi al loro ulteriore trattamento.

Nel ricorso proposto a questa Autorità ai sensi dell'art. 145 del Codice il ricorrente ha ribadito le proprie istanze. In particolare il ricorrente ha sostenuto che Crif S.p.A. non sarebbe stata "autorizzata" a trattare i dati che lo riguardano.

A seguito dell'invito ad aderire formulato da questa Autorità in data 15 aprile 2004 ai sensi dell'art. 149 del Codice, la società resistente, con nota inviata via fax il 7 maggio 2004, nel comunicare in forma intelligibile al ricorrente i dati che lo riguardano, ha sostenuto che:

      la richiesta di cancellazione non potrebbe essere accolta né con riguardo ai dati del ricorrente censiti nel sistema di referenza creditizia della società (Eurisc), né in riferimento a quelli presenti nella banca dati "Atti pubblici" gestita dalla società medesima;

      in relazione alle segnalazioni relative al ricorrente contenute in Eurisc "non sussiste alcuna violazione di legge", dal momento che le stesse fanno riferimento:

                        ad un mutuo chirografario accordato da Banca Popolare dell'Adriatico S.p.A. nel maggio 2000, attualmente in corso con scadenza naturale al maggio 2015, "senza alcuna segnalazione di insolvenze" (posizione n. 1 del report allegato alla nota Crif);

                        ad una richiesta di prestito personale rivolta a Banca Nazionale del Lavoro S.p.A. nel gennaio 2004, per la quale "non sono ancora decorsi i sei mesi di conservazione" (posizione n. 2 del report Crif);

                        diversamente dalle citate risultanze del sistema di referenza creditizia, nella banca dati "Atti pubblici" gestita dalla medesima società, sono censite due ipoteche volontarie, rispettivamente del maggio 2000 (Banca Popolare dell'Adriatico S.p.A.) e del marzo 1999 (Banca Commerciale Italiana S.p.A.);

                        le suddette informazioni, di natura "pubblica", "sono correttamente trattate da Crif S.p.A. in quanto rivenienti da Pubblici Registri Immobiliari presso i quali, a tutt'oggi, non esiste" alcuna annotazione di cancellazione";

                        la società si trova nell'impossibilità di discostarsi da tali risultanze "considerata la coincidenza tra quanto risulta nella banca dati Atti pubblici e quanto emerge presso la Conservatoria di Campobasso";

                        il trattamento effettuato in proposito dalla resistente sarebbe, peraltro, lecito "in quanto trattasi di dati per i quali vige esenzione del consenso al trattamento prevista dall'art. 24 del d.lg. n. 196/2003";

La resistente ha pertanto chiesto al Garante di dichiarare non luogo a provvedere sul ricorso in relazione al trattamento dei dati del ricorrente censiti nel sistema di referenza creditizia della società (Eurisc) e rigettare la richiesta di cancellazione dei dati contenuti nella banca dati "Atti pubblici", compensando integralmente le spese tra le parti.

Con note in data 21 giugno 2004 e 30 giugno 2004 Banca Popolare dell'Adriatico S.p.A. e Banca Nazionale del Lavoro S.p.A. hanno fornito risposta alla richiesta di invio (formulata da questa Autorità dopo la proroga del termine di decisione del ricorso) della documentazione relativa al consenso informato a suo tempo manifestato dal ricorrente. Banca Popolare dell'Adriatico S.p.A. ha provveduto in tal senso anche in riferimento alla comunicazione dei dati ad enti di tutela del credito. Al contrario, Banca Nazionale del Lavoro S.p.A. ha precisato che sulla base degli accertamenti effettuati "non è risultata esistente, al momento, la documentazione relativa alla richiesta di prestito personale del Sig. Camillo Presutti".

CIÒ PREMESSO IL GARANTE OSSERVA:

Il ricorso consegue all'opposizione per motivi legittimi alla permanenza presso una c.d. "centrale rischi" privata di alcuni dati personali relativi al ricorrente.

La società resistente ha fornito un sufficiente riscontro alle richieste del ricorrente volte ad ottenere conferma dell'esistenza dei dati che lo riguardano, di ottenerne la comunicazione in forma intelligibile degli stessi e della loro origine. In relazione a tali istanze va dichiarato non luogo a provvedere sul ricorso ai sensi dell'art. 149, comma 2, dello stesso Codice.

La richiesta di cancellazione dei dati del ricorrente relativi al rapporto di mutuo chirografario erogato da Banca Popolare dell'Adriatico S.p.A. presente in Eurisc (posizione 1 del report Crif) va, invece, dichiarata infondata.

L'art. 7 del Codice riconosce all'interessato il diritto di ottenere la cancellazione dei soli dati trattati in violazione di legge.

Dalla documentazione in atti non risulta che il trattamento dei predetti dati del ricorrente sia avvenuto (e prosegua) in modo illecito anche per quanto riguarda l'eccedente conservazione dei dati in relazione agli scopi per i quali gli stessi sono stati raccolti e trattati. Ciò, con riferimento ai dati in questione, che sono relativi ad un rapporto contrattuale tuttora in essere senza alcuna segnalazione di insolvenze. Inoltre, dagli atti forniti da Banca Popolare dell'Adriatico S.p.A., risulta che il ricorrente ha acconsentito alla comunicazione dei dati personali alle banche dati delle c.d. "centrali rischi" private.

Per quanto concerne invece i dati riferiti alla richiesta di prestito personale rivolta a Banca Nazionale del Lavoro S.p.A. il 2 gennaio 2004, dalla documentazione in atti non è risultata comprovata la manifestazione di un consenso informato da parte del ricorrente al trattamento dei dati da parte della citata banca, neanche in riferimento alla comunicazione dei dati ad enti di tutela del credito. Pertanto, anche in considerazione della scadenza del termine semestrale di conservazione dei dati maturata nel corso del procedimento, questa Autorità, "quale misura necessaria a tutela dei diritti dell'interessato", ai sensi dell'art. 150, comma 2, del Codice, ordina a Crif S.p.A. di cancellare dalla banca dati accessibile a terzi i dati in questione entro il 10 novembre 2004, dando conferma anche a quest'Autorità dell'avvenuto adempimento entro il medesimo termine.

La richiesta di cancellazione dei dati personali del ricorrente contenuti nella banca dati "Atti pubblici" della società, non risulta infine, allo stato degli atti, fondata. Nel riscontro fornito, la resistente ha infatti attestato di aver acquisito tali dati dai pubblici registri immobiliari detenuti dalla competente amministrazione finanziaria. Crif S.p.A. utilizza quindi in tal caso informazioni provenienti da pubblici registri che i soggetti privati possono trattare anche senza il consenso degli interessati (art. 24, comma 1, lett. c), del Codice).

Tale trattamento non può ritenersi allo stato illecito, ferme restando le specifiche indicazioni che potranno emergere in proposito dai codici di deontologia di cui agli artt. 119 e 61 del Codice, anche per ciò che attiene alla pertinenza e completezza dell'informazione a contenuto economico e alla conservazione delle informazioni personali per il solo tempo necessario a perseguire le finalità per le quali i dati stessi sono raccolti e successivamente trattati.

Le pronunce di cui al successivo dispositivo, relative alle richieste di cancellazione dei dati, rilevano anche in riferimento alla richiesta di opposizione al trattamento dei dati medesimi.

PER QUESTI MOTIVI IL GARANTE:

a) dichiara infondato il ricorso in ordine alla richiesta di cancellazione dei dati riferiti al mutuo chirografario erogato da Banca Popolare dell'Adriatico S.p.A. nel maggio 2000 conservati nella banca dati di referenza creditizia (Eurisc);

b) dichiara infondato il ricorso in ordine alla richiesta di cancellazione dei dati conservati nella banca dati "Atti pubblici";

c) accoglie il ricorso limitatamente ai dati riferiti alla richiesta di prestito personale rivolta a Banca Nazionale del Lavoro S.p.A. il 2 gennaio 2004 e, "quale misura necessaria a tutela dei diritti dell'interessato" ai sensi dell'art. 150, comma 2 del Codice, ordina a Crif S.p.A. di cancellare dalla banca dati accessibile a terzi i dati in questione entro il 10 novembre 2004, con la conferma di cui in motivazione;

d) dichiara non luogo a provvedere sul ricorso in ordine ai restanti profili.

Roma, 16 luglio 2004

Il presidente
Rodotà

Il relatore
Santaniello

Il segretario generale
Buttarelli