Provvedimento del 4 ottobre 2004

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminato il ricorso presentato da Josette Monique Beroud, rappresentata e difesa dall'avv. Gabriele Gianese e dal dott. Luca Di Martino presso il cui studio ha eletto domicilio

nei confronti di

Crif S.p.A. e

Experian Information Services S.p.A. rappresentata e difesa dall'avv. Andrea Aragno presso il cui studio ha eletto domicilio;

Visti gli articoli 7, 8 e 145 s. del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Stefano Rodotà;

PREMESSO:

L'interessata afferma di non aver ricevuto adeguato riscontro ad un'istanza formulata ai sensi degli artt. 7 e 8 del Codice con la quale aveva chiesto a Crif S.p.A. ed Experian Information Services S.p.A. la cancellazione dai relativi archivi di alcuni dati che riguardano un proprio mutuo immobiliare (indicati, rispettivamente, alla posizione a) del report Experian del 10 marzo 2004 e alla posizione 1) del report Crif del 9 marzo 2004), nonché l'attestazione che tale operazione era stata portata a conoscenza di coloro cui i dati erano stati comunicati o diffusi. L'interessata aveva inoltre chiesto di conoscere gli estremi identificativi del titolare e del responsabile del trattamento, nonché i soggetti cui i dati possono essere comunicati o che possono venirne a conoscenza.

Con nota in data 5 maggio 2004 Experian Information Services S.p.A. aveva comunicato all'interessata di aver sospeso la visibilità dei dati in questione "in attesa delle necessarie verifiche" presso la banca segnalante.

Crif S.p.A., con nota in data 21 maggio 2004, aveva comunicato all'interessata di non poter accogliere la richiesta di cancellazione in quanto, da un lato, il trattamento effettuato era ritenuto pertinente agli scopi per i quali i dati erano stati raccolti e ulteriormente trattati e, dall'altro, non erano decorsi i termini della loro permanenza in banca dati.

Nel ricorso presentato a questa Autorità ai sensi dell'art. 145 del Codice nei confronti di entrambe le società, la ricorrente ha ribadito le richieste volte ad ottenere la cancellazione dei dati, la menzionata attestazione e l'indicazione dei soggetti ai quali i dati possono essere comunicati; ha presentato altresì nuove richieste volte a conoscere le finalità e le modalità del trattamento. In particolare, la ricorrente ha sostenuto che la raccolta e la conservazione dei dati che la riguardano da parte di Experian Information Services S.p.A. e Crif S.p.A. non sarebbe lecita in quanto, non avendo le società fornito la prescritta informativa sul trattamento, il consenso sarebbe invalido. La ricorrente ha anche chiesto di porre a carico delle resistenti le spese sostenute per il procedimento.

All'invito ad aderire formulato ai sensi dell'art. 149 del Codice da questa Autorità in data 28 giugno 2004, Crif S.p.A., con fax inviato il 21 luglio 2004, ha ribadito che la posizione riferita al predetto mutuo ipotecario erogato il 12 luglio 2002 da Unicredit Banca S.p.A. (già Credito Italiano S.p.A.) risulta censita in banca dati con segnalazione di "ritardi nei pagamenti già regolarizzati". Inoltre, Crif S.p.A. ha sostenuto che, essendo la regolarizzazione in questione avvenuta da meno di un anno (ottobre 2003), il trattamento dei dati viene effettuato "nel rispetto del principio di proporzionalità sancito dall'articolo 11, comma 1, lett. e), del d.lg. 196/03 ed anche in eventuale applicazione dei criteri guida temporali indicati dall'Autorità garante nel provvedimento generale in materia di centrali rischi private del 31.07.02". Ha pertanto chiesto il rigetto del ricorso e la compensazione delle spese del procedimento.

Crif S.p.a. :

      ritiene inoltre di essere legittimata a trattare i dati in virtù del consenso al trattamento raccolto per conto della stessa dall'ente finanziatore aderente alla centrale rischi, dopo il rilascio di idonea informativa;

      nel riscontrare le ulteriori richieste dell'interessata, ha precisato che le categorie dei soggetti ai quali i dati possono essere comunicati "sono rappresentate, ad oggi, da banche, società finanziarie, società di telecomunicazioni aderenti al sistema di referenza creditizia di Crif";

      ha fornito alcune indicazioni in ordine all'origine dei dati (menzionando l'ente che ha inserito i relativi dati), alle finalità ("prevenzione e controllo del rischio di insolvenza oltre che referenza creditizia"), nonché alle modalità, automatizzate e cartacee, del trattamento dei dati.

Con memoria inviata il 21 luglio 2004 la ricorrente ha ritenuto tale riscontro inadeguato ed ha sottolineato che, essendo la regolarizzazione dei ritardi avvenuta nell'ottobre 2003, il termine annuale di conservazione scadrebbe comunque nell'ottobre 2004, "ovverosia al momento della decisione del presente ricorso".

Con memoria depositata in data 26 luglio 2004 Experian Information Services S.p.A. ha precisato che gli enti aderenti alla propria "centrale rischi" sono tenuti per contratto a fornire agli interessati l'informativa sul trattamento dei dati personali ed a raccogliere il relativo consenso. Nel caso di specie, Unicredit Banca S.p.A., nonostante il sollecito, non avrebbe ancora fornito alcun riscontro in merito. Con riferimento ai tempi di conservazione dei dati, Experian Information Services S.p.A. ha infine ribadito che, "all'atto della (…) richiesta di cancellazione o rettifica" formulata dalla ricorrente, "il previsto periodo annuale non risultava trascorso". Tale titolare del trattamento ha pertanto chiesto il rigetto del ricorso e di porre le spese del procedimento a carico della ricorrente.

Con nota inviata il 9 settembre 2004 Unicredit Banca S.p.A., in risposta ad una formale richiesta di questa Autorità ai sensi degli artt. 150, comma 2, e 157 del Codice, ha fornito copia del documento recante la dichiarazione di consenso al trattamento dei dati personali a suo tempo manifestato dalla ricorrente nei propri confronti; ciò, anche in riferimento alla comunicazione dei dati ad enti di tutela del credito.

CIÒ PREMESSO IL GARANTE OSSERVA:

Il ricorso concerne il trattamento dei dati effettuato da due c.d. "centrali rischi" private.

In ordine alle richieste volte a conoscere le finalità e le modalità del trattamento (alle quali sono stati comunque forniti sufficienti riscontri) il ricorso è inammissibile, essendo state tali istanze formulate per la prima volta solo in sede di ricorso, anziché nell'interpello ex art. 8 del Codice inoltrato al titolare del trattamento.

In ordine alla richiesta di conoscere i soggetti o le categorie di soggetti cui i dati possono essere comunicati o che possono venirne a conoscenza, va dichiarato non luogo a provvedere sul ricorso ai sensi dell'art. 149, comma 2, del Codice nei confronti di Crif S.p.A. avendo tale resistente fornito adeguato riscontro. Experian Information Services S.p.A., al contrario, non ha fornito sul punto alcuna indicazione. Quest'ultima dovrà pertanto corrispondere alla relativa richiesta formulata dal ricorrente entro il 25 gennaio 2005, dando conferma anche a quest'Autorità dell'avvenuto adempimento.

In ordine alla richiesta di cancellazione riferita ai dati concernenti il mutuo ipotecario erogato da Unicredit Banca S.p.A. il 12 luglio 2002 e tuttora in corso, il ricorso è infondato.

Dalla documentazione in atti non è emerso, in relazione alle istanze della ricorrente, che Experian Information Services S.p.A. e Crif S.p.A. abbiano trattato i dati dell'interessata in modo illecito.

Per quanto riguarda l'informativa e il consenso, dagli atti forniti da Unicredit Banca S.p.A. risulta che la ricorrente ha acconsentito, previa informativa, alla comunicazione dei propri dati personali alle banche dati delle c.d. "centrali rischi" private.

Si tratta peraltro di un rapporto in corso nel quale si sono verificati ritardi nei pagamenti la cui regolarizzazione, all'atto della formulazione delle istanze e del ricorso stesso, era avvenuta da meno di un anno.

La divulgazione in rete a banche e a società finanziarie di tali dati non risultava eccedente rispetto alle finalità originarie per le quali i dati furono raccolti e trattati (art. 11, comma 1, lett. d), del Codice).

Experian Information Services S.p.A. e Crif S.p.A. possono comunque conservare i dati in questione per il periodo consentito, nel termine attualmente richiamato dal citato provvedimento generale del Garante del 31 luglio 2002, e la presente decisione non pregiudica il diritto dell'interessata di proporre eventuali altri istanze ove tale termine non sia rispettato.

Il ricorso è conseguentemente infondato anche in ordine alla seconda richiesta -di attestazione- che è direttamente connessa a quella di cancellazione, risultata anch'essa infondata.

Sussistono giusti motivi per compensare le spese fra le parti.

PER QUESTI MOTIVI IL GARANTE:

a) dichiara inammissibile il ricorso in ordine alla richiesta di conoscere le finalità e le modalità del trattamento;

b) dichiara infondato il ricorso in ordine alle richieste di cancellazione dei dati e di connessa attestazione;

c) dichiara non luogo a provvedere sul ricorso nei confronti di Crif S.p.A. in ordine alla richiesta di conoscere i soggetti o le categorie di soggetti cui i dati possono essere comunicati o che possono venirne a conoscenza;

d) accoglie il ricorso nei confronti di Experian Information Services S.p.A. in ordine alla richiesta di conoscere i soggetti o le categorie di soggetti cui i dati possono essere comunicati o che possono venirne a conoscenza, e ordina a tale titolare di corrispondere a tale richiesta entro il 25 gennaio 2005, dando conferma anche a quest'Autorità entro la stessa data dell'avvenuto adempimento;

e) dichiara compensate le spese fra le parti.

Roma, 4 ottobre 2004

Il presidente
Rodotà

Il relatore
Rodotà

Il segretario generale
Buttarelli