Provvedimento del 27 luglio 2004

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminato il ricorso presentato da Anna Petragnano, rappresentata e difesa dall'avv. Gabriele Gianese e dal dott. Luca Di Martino presso il cui studio ha eletto domicilio

nei confronti di

Crif S.p.A.;

Visti gli articoli 7, 8 e 145 s. del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Giuseppe Santaniello;

PREMESSO:

L'interessata afferma di non aver ricevuto adeguato riscontro ad un'istanza formulata il 26 febbraio 2004 ai sensi degli artt. 7 e 8 del Codice con la quale aveva chiesto a Crif S.p.A. la cancellazione dai relativi archivi di alcuni dati che la riguardano (relativi a talune operazioni di finanziamento), nonché l'attestazione che tale operazione era stata portata a conoscenza di coloro cui i dati erano stati comunicati o diffusi. L'interessata aveva inoltre chiesto di conoscere gli estremi identificativi del titolare e del responsabile del trattamento, nonché i soggetti cui i dati possono essere comunicati o che possono venirne a conoscenza.

Con nota in data 2 marzo 2004 Crif S.p.A., società titolare del trattamento, aveva comunicato alla ricorrente di non poter accogliere la richiesta di cancellazione dei dati "in quanto, da un lato, il trattamento (…) effettuato appare pertinente agli scopi per i quali i dati sono stati raccolti e trattati e, dall'altro, non sono ancora decorsi i termini di permanenza dei dati medesimi in banca dati".

Nel ricorso presentato a questa Autorità ai sensi dell'art. 145 del Codice, la ricorrente ha ribadito le richieste volte ad ottenere la cancellazione dei dati, la menzionata attestazione, l'indicazione dei soggetti ai quali i dati possono essere comunicati, nonché a conoscere gli estremi identificativi del responsabile del trattamento; ha presentato altresì nuove richieste volte a conoscere l'origine dei dati, nonché le finalità e le modalità e del trattamento. In particolare, la ricorrente ha sostenuto che la raccolta e la conservazione dei dati che la riguardano da parte di Crif S.p.A. non sarebbe lecita in quanto, non avendo la società fornito la prescritta informativa sul trattamento dei dati personali, il consenso dell'interessata sarebbe invalido. La ricorrente ha anche chiesto di porre a carico della resistente le spese sostenute per il procedimento.

All'invito ad aderire formulato ai sensi dell'art. 149 del Codice da questa Autorità in data 21 aprile 2004, Crif S.p.A., con fax inviato il 18 maggio 2004, contenente anche un elenco aggiornato delle posizioni dell'interessata censite in banca dati, ha sostenuto che il trattamento dei dati contestati presenti nel sistema di referenza creditizia sarebbe effettuato "nel rispetto del principio di proporzionalità sancito dall'articolo 11, comma 1, lett. e) del d.lg. 196/03 ed anche in … applicazione dei criteri guida temporali indicati dall'Autorità Garante nel Provvedimento Generale in materia di centrali rischi private del 31.07.02".

I dati in questione sono infatti riferiti ad un prestito finalizzato erogato da Linea S.p.A. il 22 febbraio 2000, con segnalazione di rate non pagate, nonché a due richieste di mutuo ipotecario rivolte rispettivamente a Banca Monte dei Paschi di Siena S.p.A. e Banca Fin-Eco S.p.A. nel dicembre 2003, per le quali non erano ancora decorsi i sei mesi di conservazione. La resistente ritiene inoltre di essere legittimata a trattare tali dati in virtù del consenso al trattamento raccolto per conto di Crif S.p.A. dagli enti aderenti alla centrale rischi, dopo il rilascio di idonea informativa.

Crif S.p.A., nel riscontrare le ulteriori richieste dell'interessata, ha altresì precisato che le categorie dei soggetti ai quali i dati personali possono essere comunicati "sono rappresentate, ad oggi, da banche, società finanziarie, società di telecomunicazioni aderenti al sistema di referenza creditizia di Crif"; infine, ha fornito alcune indicazioni in ordine all'origine dei dati (menzionando all'interno di ogni singola posizione l'ente che ha consultato la banca dati e che ha a sua volta contribuito alla stessa), alle finalità (prevenzione e controllo del rischio di insolvenza oltre che referenza creditizia), nonché alle modalità del trattamento dei dati automatizzate e cartacee.

Con note in data 24 giugno, 1° luglio e 5 luglio 2004 Banca Monte dei Paschi di Siena S.p.A., Linea S.p.A. e Banca Fin-Eco S.p.A., in risposta a formali richieste di questa Autorità ai sensi degli artt. 150, comma 2 e 157 del Codice, hanno fornito copia dell'informativa e del relativo consenso al trattamento dei dati personali a suo tempo manifestato dalla ricorrente nei loro confronti; ciò, anche in riferimento alla comunicazione dei dati ad enti di tutela del credito.

CIÒ PREMESSO IL GARANTE OSSERVA:

Il ricorso concerne il trattamento dei dati effettuato da una c.d. "centrale rischi" privata.

In ordine alle richieste volte a conoscere l'origine dei dati, le finalità e le modalità del trattamento (alle quali sono stati comunque forniti sufficienti riscontri) il ricorso è inammissibile, essendo state tali istanze formulate per la prima volta solo in sede di ricorso, anziché nell'interpello ex art. 8 del Codice previamente inoltrato al titolare del trattamento.

In ordine alla richiesta di conoscere i soggetti o le categorie di soggetti cui i dati possono essere comunicati o che possono venirne a conoscenza, va dichiarato non luogo a provvedere sul ricorso ai sensi dell'art. 149, comma 2, del Codice avendo la resistente fornito sul punto adeguato riscontro.

In ordine alla richiesta di cancellazione dei dati riferiti al prestito finalizzato concesso da Linea S.p.A. il 22 febbraio 2000, nonché alla richiesta di mutuo ipotecario rivolte rispettivamente a Banca Monte dei Paschi di Siena S.p.A. e Banca Fin-Eco S.p.A. nel dicembre 2003, il ricorso è infondato.

Dalla documentazione in atti non risultano elementi comprovanti l'illiceità del trattamento di tali dati in relazione alle istanze della ricorrente, trattandosi, da un lato, di un rapporto in corso rispetto al quale si sono verificati ritardi nei pagamenti non ancora sanati e, dall'altro, di richieste di finanziamento per le quali, al momento della presentazione del ricorso, non era ancora decorso il prescritto periodo di conservazione dei dati.

Pertanto, la divulgazione in rete a banche e a società finanziarie di tali dati non risulta allo stato eccedente rispetto alle finalità originarie per le quali i dati furono raccolti e trattati (art. 11, comma 1, lett. d), del Codice). Resta peraltro fermo l'obbligo di Crif S.p.A. di conservare i dati in questione, in particolare quelli relativi alla richiesta di mutuo ipotecario, per il periodo consentito, nei termini attualmente richiamati dal citato provvedimento generale del Garante del 31 luglio 2002.

Va inoltre rilevato che dalla documentazione in atti non è emerso che Crif S.p.A. abbia raccolto e comunicato i dati dell'interessata in modo illecito, risultando piuttosto, dagli atti forniti da Linea S.p.A., Banca Monte dei Paschi di Siena S.p.A. e Banca Fin-Eco S.p.A., che la ricorrente ha acconsentito, previa informativa, alla comunicazione dei dati personali alle banche dati delle c.d. "centrali rischi" private.

Il ricorso è conseguentemente infondato anche in ordine alla seconda richiesta -di attestazione- che è direttamente connessa a quella di cancellazione, risultata infondata.

Il ricorso deve invece essere accolto in ordine alla richiesta di conoscere gli estremi identificativi del responsabile del trattamento eventualmente designato ai sensi dell'art. 29 del Codice, profilo in ordine al quale non è stato fornito alcun riscontro. La resistente dovrà corrispondere a tale richiesta, comunicando all'interessata ed a questa Autorità, entro il 31 ottobre 2004, gli estremi identificativi del/i responsabile/i eventualmente designato/i.

L'ammontare delle spese sostenute nel presente procedimento è determinato, ai sensi dell'art. 150, comma 3, del Codice, nella misura forfettaria di euro 250, di cui euro 25,82 per diritti di segreteria, tenuto conto degli adempimenti connessi alla redazione e presentazione del ricorso. Il medesimo ammontare è posto a carico di Crif S.p.A., nella misura di euro 50, previa compensazione della restante parte, ai sensi del predetto art. 150, comma 3, per giusti motivi legati al contenuto del riscontro inviato dalla resistente.

PER QUESTI MOTIVI IL GARANTE:

a) accoglie il ricorso limitatamente alla richiesta di conoscere gli estremi identificativi del responsabile del trattamento eventualmente designato, nei termini di cui in motivazione;

b) dichiara inammissibile il ricorso in ordine alla richiesta di conoscere l'origine dei dati, nonché le finalità e le modalità del trattamento;

c) dichiara infondato il ricorso in ordine alla richiesta di cancellazione dei dati, e di connessa attestazione, relativamente ai finanziamenti concessi da Linea S.p.A. il 22 febbraio 2000 ed alle richieste di finanziamento rivolte a Banca Monte dei Paschi di Siena S.p.A. e Banca Fin-Eco S.p.A. nel dicembre 2003;

d) dichiara non luogo a provvedere sul ricorso in relazione al restante profilo;

e) determina nella misura di 250 euro, di cui 25,82 per diritti di segreteria, l'ammontare delle spese e dei diritti del procedimento che pone nella misura di 50 euro, previa compensazione della restante parte per giusti motivi, a carico di Crif S.p.A., la quale dovrà liquidarlo direttamente a favore della ricorrente.

Roma, 27 luglio 2004

Il presidente
Rodotà

Il relatore
Santaniello

Il segretario generale
Buttarelli