Provvedimento del 23 luglio 2004

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminato il ricorso presentato da Fabiola Viglietta

nei confronti di

Crif S.p.A.;

Visti gli articoli 7, 8 e 145 s. del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Giuseppe Santaniello;

PREMESSO:

La ricorrente, i cui dati personali risultano censiti nella banca dati di Crif S.p.A., afferma di non aver ricevuto riscontro da parte di tale società ad un'istanza formulata ai sensi degli artt. 7 e 8 del Codice, con la quale si era opposta per motivi legittimi al trattamento dei dati che la riguardano relativi ad un rapporto di finanziamento, revocando il consenso.

Con la medesima istanza l'interessata aveva altresì chiesto la cancellazione dei dati, con attestazione dell'avvenuta comunicazione della stessa ai soggetti cui i dati erano stati comunicati o diffusi. Ulteriori richieste erano state formulate in via subordinata.

Nel ricorso proposto a questa Autorità ai sensi dell'art. 145 del Codice la ricorrente ha ribadito le proprie istanze, chiedendo altresì di porre a carico del titolare del trattamento le spese del procedimento.

A seguito dell'invito ad aderire formulato da questa Autorità in data 4 giugno 2004 ai sensi dell'art. 149 del Codice, la società resistente, con nota inviata via fax il 2 luglio 2004, ha dichiarato:

      di aver sospeso la visibilità delle posizioni relative alla ricorrente attualmente censite nella propria banca dati, "come misura adottata a scopo cautelativo, al fine di apprestare idonea tutela alle ragioni dell'interessato";

      che tale misura "esclude in radice la possibilità per gli enti finanziatori aderenti alla centrale rischi di Crif di prendere conoscenza della suddetta informazione"; 

      di non ritenere a suo avviso legittima la revoca del consenso al trattamento dei dati e di interpretare l'istanza proposta dalla ricorrente alla stregua di una sostanziale opposizione per motivi legittimi;

      di ritenere che la ricorrente non abbia dimostrato la sussistenza di "alcuna circostanza concreta che possa assurgere a motivo legittimo di opposizione al trattamento (…)";

      che il trattamento in oggetto sarebbe effettuato "nel pieno rispetto dei principi di correttezza, esattezza, pertinenza e proporzionalità " previsti dall'art. 11 del Codice, in quanto le segnalazioni relative alla ricorrente fanno riferimento a quattro finanziamenti in corso (per alcuni dei quali si sono verificati ritardi nei pagamenti) e ad un finanziamento estinto nel maggio 2002 senza alcuna segnalazione (posizione n. 3 del report Crif), nonché ad una segnalazione (inserita nella "banca dati atti pubblici") relativa ad una ipoteca volontaria del luglio 1997 per la quale sono presenti annotazioni di cancellazione presso il competente Ufficio del territorio.

La resistente ha pertanto chiesto al Garante, in ragione dell'intervenuta sospensione della visibilità dei dati, di dichiarare non luogo a provvedere sul ricorso, compensando tra le parti le spese del procedimento.

CIÒ PREMESSO IL GARANTE OSSERVA:

Il ricorso consegue all'opposizione per motivi legittimi alla permanenza presso una c.d. "centrale rischi" privata di alcuni dati personali relativi alla ricorrente.

Per quanto riguarda i dati relativi ai finanziamenti conservati nell'archivio di referenza creditizia, malgrado la pluralità delle espressioni utilizzate, le istanze proposte integrano un'unica, sostanziale domanda, caratterizzata da un'opposizione per motivi legittimi all'ulteriore trattamento dei dati presso la predetta "centrale rischi", mediante loro cancellazione per effetto dell'intervenuta revoca del consenso che nel caso di specie rappresenta, allo stato, l'unico presupposto idoneo del trattamento ai sensi degli art. 23 e 24 del Codice.

Il trattamento effettuato dalla "centrale rischi" in qualità di autonomo titolare del trattamento -che, come tale, sulla base di alcuni accordi del sistema di rilevazione del rischio creditizio, ed in relazione al concreto andamento del rapporto di finanziamento monitorato dalla banca o dalla finanziaria che ha concesso il prestito, interviene sui dati personali che le sono trasmessi dagli enti segnalanti- è in termini generali lecito, ma basato nella fattispecie solo sul consenso che, come detto, è stato revocato.

In ordine all'opposizione in esame, conformemente a quanto disposto dal Garante in precedenti decisioni, va ritenuta congrua, quale misura necessaria a tutela dei diritti dell'interessato e in luogo dell'integrale cancellazione, quella della sospensione temporanea della comunicazione a terzi dei dati personali relativi ai rapporti di finanziamento che risultano ancora in corso e della conseguente visibilità degli stessi nella predetta banca dati.

Crif S.p.A., nel corso del procedimento, ha attestato di aver già adottato tale misura nelle more dell'adozione del codice deontologico previsto in materia dall'art. 117 del Codice e da connesso, eventuale provvedimento del Garante previsto dagli art. 17 e 24, comma 1, lett. g), del medesimo Codice. Per questa parte deve pertanto dichiararsi non luogo a provvedere sul ricorso ai sensi dell'art. 149, comma 2, dello stesso Codice.

Dalla documentazione in atti, e in particolare dal report Crif del 2 luglio 2004, emerge, altresì, che la resistente conserva nel proprio sistema di referenza creditizia una posizione riferita ad un prestito personale erogato a suo tempo da Credito italiano S.p.A. (posizione n. 3 del citato report), rispetto al quale non risulta essersi verificato alcun ritardo o contestazione nei pagamenti. A prescindere dalla mancanza di specifiche annotazioni "negative" per la ricorrente, e dalla revoca del consenso, l'ulteriore divulgazione in rete a banche e a società finanziarie dei dati riferiti ad una posizione estinta da tempo risulta eccedente rispetto alle finalità originarie per le quali i dati furono raccolti e trattati, in violazione di quanto stabilito dall'art. 11, comma 1, lett. d), del medesimo Codice. In parziale accoglimento del ricorso, va quindi disposta, quale "misura necessaria a tutela dei diritti dell'interessato" (art. 150, comma 2, del Codice), la cancellazione dei dati che si riferiscono a tali finanziamenti, da apportarsi entro il 31 ottobre 2004. Entro il medesimo termine, la resistente dovrà confermare alla ricorrente la cancellazione di tali dati e fornirle la richiesta attestazione che la cancellazione stessa è stata portata a conoscenza dei soggetti cui i dati erano stati comunicati, dando conferma di tale adempimento anche a questa Autorità.

Per quanto concerne, invece, l'opposizione al trattamento dei dati personali relativi alle informazioni contenute nella banca dati "Atti pubblici", la richiesta della ricorrente non risulta, allo stato degli atti, fondata.

Nel riscontro fornito la resistente ha attestato di aver acquisito tali dati dai pubblici registri immobiliari detenuti dalla competente amministrazione finanziaria. In questo ambito, Crif S.p.A. risulta quindi utilizzare informazioni provenienti da pubblici registri che i soggetti privati possono trattare anche senza il consenso degli interessati (art. 24, comma 1, lett. c), del Codice).

Sussistono infine giusti motivi per compensare fra le parti le spese del procedimento.

PER QUESTI MOTIVI IL GARANTE:

a) accoglie il ricorso limitatamente alla richiesta di cancellazione dei dati - ed alla relativa attestazione - in relazione ai dati riferiti al finanziamento erogato da Credito italiano S.p.A. (posizione n. 3 del report Crif), ordinando alla resistente di cancellare tali dati dalla banca dati accessibile ai terzi e di fornire la richiesta attestazione, nei termini di cui in motivazione;

b) dichiara infondato il ricorso in ordine all'opposizione al trattamento dei dati della ricorrente contenuti nella banca dati "Atti pubblici" di Crif S.p.A.;

c) dichiara non luogo a provvedere sul ricorso in ordine ai restanti profili;

d) dichiara compensate le spese fra le parti.

Roma, 23 luglio 2004

Il presidente
Rodotà

Il relatore
Santaniello

Il segretario generale
Buttarelli