Provvedimento del 16 luglio 2004

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminato il ricorso presentato da Riccardo Pellicciotta, rappresentato e difeso dall'avv. Gabriele Gianese e dal dott. Luca Di Martino presso il cui studio ha eletto domicilio

nei confronti di

Crif S.p.A.;

Visti gli articoli 7, 8 e 145 s. del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Gaetano Rasi;

PREMESSO:

L'interessato afferma di non aver ricevuto adeguato riscontro ad un'istanza formulata ai sensi degli artt. 7 e 8 del Codice con la quale aveva chiesto a Crif S.p.A. la cancellazione dei dati di cui alle posizioni n. 2, 3, 4 e 5 del report Crif del 29 marzo 2004 con cui la stessa aveva riscontrato la richiesta di accesso ai dati formulata dall'interessato. Quest'ultimo aveva anche chiesto di ottenere l'attestazione che tale operazione era stata portata a conoscenza di coloro cui i dati erano stati comunicati o diffusi, di conoscere gli estremi identificativi del titolare e del responsabile del trattamento, nonché i soggetti cui i dati possono essere comunicati o che possono venirne a conoscenza.

Con nota del 30 marzo 2004 Crif S.p.A., nel precisare gli estremi identificativi del titolare e del responsabile del trattamento, aveva comunicato all'interessato di aver sospeso la visibilità dei dati relativi alle segnalazioni contestate che fanno riferimento:

      ad un prestito personale erogato da Cassa di Risparmio della Provincia di Chieti S.p.A. il 18 febbraio 1999 ed estinto il 13 luglio 2001, con segnalazione di ritardi nei pagamenti già regolarizzati (posizione n. 2 del report Crif del 29 marzo 2004);

      ad un prestito personale erogato da Banca Toscana S.p.A. il 25 novembre 1997 ed estinto il 18 ottobre 1999, con segnalazione di ritardi nei pagamenti già regolarizzati (posizione n. 3 del report Crif);

      ad un mutuo chirografario erogato da Banca Popolare dell'Adriatico S.p.A. il 10 aprile 1997 ed estinto il 25 giugno 2002, con segnalazione di ritardi nei pagamenti già regolarizzati (posizione n. 4 del report Crif);

      ad un prestito personale erogato da Banca Intesa S.p.A. il 16 febbraio 1996 ed estinto il 2 aprile 1999, con segnalazione di ritardi nei pagamenti già regolarizzati (posizione n. 5 del report Crif).

Nel ricorso presentato a questa Autorità ai sensi dell'art. 145 del Codice, il ricorrente ha ribadito le richieste volte ad ottenere la cancellazione dei dati, l'attestazione che tale operazione è stata portata a conoscenza dei soggetti cui i dati erano stati comunicati, nonché l'indicazione dei soggetti ai quali i dati possono essere comunicati, chiedendo altresì, ex novo, di conoscere l'origine dei dati, nonché le modalità e le finalità del trattamento. Il ricorrente ha anche chiesto di porre a carico della resistente le spese sostenute per il procedimento.

All'invito ad aderire formulato ai sensi dell'art. 149 del Codice da questa Autorità in data 15 aprile 2004, Crif S.p.A., con fax inviato il 7 maggio 2004, nel comunicare di aver cancellato alcune delle segnalazioni rispetto alle quali aveva sospeso la visibilità dei dati (posizioni nn. 2, 3 e 5 del report Crif), ha precisato di aver cancellato dalla posizione n. 4 (relativa al finanziamento erogato da Banca Popolare dell'Adriatico S.p.A.) ogni riferimento alle insolvenze regolarizzate. Tale posizione (di cui è stata peraltro sospesa la visibilità) compare ora con l'indicazione "nessuna segnalazione". La resistente ha inoltre chiarito che le categorie dei soggetti ai quali i dati personali possono essere comunicati "sono rappresentate, ad oggi, da banche, società finanziarie, società di telecomunicazioni aderenti al sistema di referenza creditizia di Crif". La medesima resistente ha infine fornito indicazioni in ordine all'origine dei dati ("menzione all'interno della posizione dell'ente che ha consultato la banca dati e che ha a sua volta contribuito la stessa"), alle finalità ("prevenzione e controllo del rischio di insolvenza oltre che referenza creditizia"), nonché alle modalità automatizzate e cartacee del trattamento dei dati.

Con memoria inviata via fax il 10 maggio 2004, il ricorrente ha preso atto delle comunicazioni di Crif S.p.A. chiedendo che l'Autorità ordini alla società "di portare a conoscenza dei relativi enti segnalanti l'avvenuta cancellazione delle posizioni oggetto del ricorso".

Con memoria di replica inviata il 13 maggio 2004, Crif S.p.A. ha sostenuto di aver già "provveduto a dare opportuna comunicazione (…) dello status attuale delle segnalazioni con richiesta di inibizione di ulteriori flussi (…)".

In data 31 maggio 2004 questa Autorità, ai sensi dell'art. 149, comma 7, del Codice ha disposto la proroga del termine per la decisione sul ricorso.

Con nota inviata il 10 giugno 2004, Banca Popolare dell'Adriatico S.p.A., in risposta ad una formale istanza avanzata da questa Autorità ai sensi degli artt. 150, comma 2 e 157 del Codice, ha fornito copia di una "clausola di autorizzazione" accettata dal ricorrente (in epoca antecedente all'entrata in vigore della legge n. 675/1996) in relazione al predetto mutuo chirografario; ciò, anche in riferimento alla comunicazione dei dati ad enti di tutela del credito.

CIÒ PREMESSO IL GARANTE OSSERVA:

Il ricorso concerne il trattamento dei dati effettuato da una c.d. "centrale rischi" privata.

In ordine alle richieste volte a conoscere l'origine dei dati, le finalità e le modalità del trattamento, il ricorso è inammissibile. Tali istanze (alle quali Crif S.p.A. ha comunque fornito sufficienti riscontri) sono state formulate per la prima volta in sede di ricorso e non sono state avanzate previamente nell'interpello ai sensi degli artt. 7 e 8 del Codice.

In ordine alla richiesta di conoscere i soggetti o le categorie di soggetti cui i dati possono essere comunicati o che possono venirne a conoscenza, va dichiarato non luogo a provvedere sul ricorso ai sensi dell'art. 149, comma 2, del Codice avendo la resistente fornito adeguato riscontro.

In ordine alla richiesta di cancellazione dei dati ed alla relativa attestazione relativa ai soggetti cui i dati erano stati comunicati, il ricorso deve essere invece in parte accolto. Dal report allegato al ricorso inviato dalla resistente, nonché dallo stesso riscontro di Crif S.p.A., risulta infatti che una delle posizioni relative al ricorrente, attualmente conservata nell'archivio di Crif S.p.A., si riferisce ad un mutuo chirografario concesso da Banca Popolare dell'Adriatico S.p.A. il 10 aprile 1997, estinto il 25 giugno 2002 senza alcuna segnalazione di insolvenze. A prescindere dalla mancanza di specifiche annotazioni "negative" per il ricorrente, l'ulteriore divulgazione in rete a banche e a società finanziarie dei dati riferiti ad una posizione estinta da tempo risulta eccedente rispetto alle finalità originarie per le quali i dati furono raccolti e trattati, in violazione di quanto stabilito dall'art. 11, comma 1, lett. d), del medesimo Codice.

In parziale accoglimento del ricorso va quindi disposta, quale "misura necessaria a tutela dei diritti dell'interessato" (art. 150, comma 2, del Codice), la cancellazione dei dati che si riferiscono al mutuo chirografario concesso da Banca Popolare dell'Adriatico S.p.A., da effettuarsi entro il 20 ottobre 2004. Entro il medesimo termine la resistente dovrà fornire al ricorrente idoneo riscontro in ordine alla cancellazione ed alla richiesta attestazione, dandone conferma anche a questa Autorità.

Va invece dichiarato non luogo a provvedere sul ricorso in riferimento alla cancellazione dei dati relativi alle ulteriori posizioni riportate nel report Crif.

Parimenti, va dichiarato non luogo a provvedere sul ricorso in ordine alla richiesta attestazione che l'operazione di cancellazione sia portata a conoscenza dei soggetti cui i dati sono stati comunicati. Come emerso dai riscontri forniti da Crif S.p.A. anche in altri analoghi procedimenti, risulta che gli enti aderenti alla predetta "centrali rischi" privata sono in grado di visualizzare "in tempo reale" tutti i dati detenuti in relazione ai soggetti censiti e sono, in tal modo, messi a conoscenza dell'eventuale intervenuta rimozione di alcuna o di tutte le informazioni dalla banca dati stessa.

L'ammontare delle spese sostenute nel presente procedimento è determinato, ai sensi dell'art. 150, comma 3, del Codice, nella misura forfettaria di euro 250, di cui euro 25,82 per diritti di segreteria, tenuto conto degli adempimenti connessi alla redazione e presentazione del ricorso. Il medesimo ammontare è posto a carico di Crif S.p.A., nella misura di euro 150, previa compensazione della restante parte, ai sensi del predetto art. 150, comma 3, per giusti motivi legati al contenuto del riscontro inviato dalla resistente, sia pure in modo incompleto.

PER QUESTI MOTIVI IL GARANTE:

a) accoglie il ricorso limitatamente alla richiesta di cancellazione dei dati relativi alla posizione n. 4 del report Crif ed alla relativa attestazione, ed ordina alla resistente di cancellare dalla propria banca dati accessibile a terzi i dati personali riferiti al mutuo chirografario concesso da Banca Popolare dell'Adriatico S.p.A. il 10 aprile 1997 e di fornire la relativa attestazione, nei termini di cui in motivazione;

b) dichiara inammissibile il ricorso in ordine alla richiesta di conoscere l'origine dei dati, nonché le finalità e le modalità del trattamento;

c) dichiara non luogo a provvedere sul ricorso in ordine ai restanti profili;

d) determina nella misura di 250 euro, di cui 25,82 per diritti di segreteria, l'ammontare delle spese e dei diritti del procedimento che pone nella misura di 150 euro, previa compensazione della restante parte per giusti motivi, a carico di Crif S.p.A., la quale dovrà liquidarlo direttamente a favore del ricorrente.

Roma, 16 luglio 2004

Il presidente
Rodotà

Il relatore
Rasi

Il segretario generale
Buttarelli