Provvedimento del 4 ottobre 2004

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminato il ricorso presentato dall'avv. Michele Tucci

nei confronti di

Axa Sim S.p.A.;

Visti gli articoli 7, 8 e 145 e s. del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Giuseppe Santaniello;

PREMESSO:

Il ricorrente, dopo aver richiesto il disinvestimento di un prestito obbligazionario che aveva sottoscritto presso la resistente, ha proposto un'istanza ai sensi degli artt. 7 e 8 del Codice con la quale ha chiesto alla stessa di comunicargli in forma intelligibile i dati personali che lo riguardano e di cancellarli.

Non avendo ricevuto adeguato riscontro il ricorrente ha ribadito tali istanze con il ricorso proposto ai sensi dell'art. 145 del Codice, con il quale ha anche chiesto di conoscere le finalità e le modalità del trattamento, l'origine dei dati e l'indicazione dei soggetti cui gli stessi erano comunicati.

All'invito ad aderire formulato da questa Autorità in data 31 maggio 2004 ai sensi dell'art. 149 del Codice, la resistente ha fornito riscontro comunicando i dati personali "registrati nell'archivio informatico", la loro origine, nonché le finalità del trattamento. Inoltre, la società ha indicato le categorie di soggetti ai quali i dati possono essere comunicati e ha dichiarato di non poter cancellare i dati stessi "sino alla scadenza del termine indicato dalla normativa di settore per la conservazione dei dati stessi".

Con nota presentata il 21 giugno 2004, il ricorrente ha fatto rilevare l'assenza, tra i dati comunicatigli, di alcune informazioni personali (quali il numero di telefono e le coordinate bancarie), nonché la genericità dell'indicazione relativa ai soggetti cui i dati possono essere comunicati; ha poi contestato la liceità del trattamento in quanto la società non gli avrebbe comunicato la variazione della propria sede e non avrebbe richiesto un nuovo consenso al momento della sottoscrizione del prestito obbligazionario rispetto a quello precedentemente prestato in occasione della sottoscrizione di altro contratto di investimento.

Con nota datata 21 luglio 2004, in risposta ad una formale richiesta avanzata dal Garante contestualmente alla proroga del termine per la decisione sul ricorso disposta ai sensi dell'art. 149, comma 7, del Codice, la resistente ha integrato il riscontro in ordine ai soli dati personali dell'interessato trattati elettronicamente, dichiarando di non poterli cancellare -essendo stati gli stessi utilizzati in precedenza ai fini dell'esecuzione degli ordini contrattuali- e che l'attuale conservazione "rientra nell'obbligo imposto dall'art. 69 della Delibera Consob 11522/98 e dall'art. 2220 del codice civile". La resistente ha specificato inoltre a quali soggetti gli stessi sono stati comunicati e ha fornito chiarimenti in ordine ai due ulteriori profili sollevati dal ricorrente in ordine alla validità del consenso prestato, sostenendo che l'informativa, la manifestazione del consenso per il trattamento dei dati nonché il documento generale sui rischi degli investimenti sono unici e correlati a tutta la durata del rapporto.

Con nota anticipata via fax il 3 agosto 2004, il ricorrente ha contestato nuovamente il riscontro (lamentando l'assenza dell'indicazione della ragione sociale delle società cui i dati sono stati comunicati) e ha chiesto di porre a carico di controparte le spese sostenute per il procedimento.

CIÒ PREMESSO IL GARANTE OSSERVA:

Il ricorso concerne il trattamento dei dati personali dell'interessato da parte di una società di intermediazione mobiliare, in relazione alla sottoscrizione di un prestito obbligazionario.

In ordine alla richiesta di accesso ai dati, va dichiarato non luogo a provvedere sul ricorso ai sensi dell'art. 149, comma 2, del Codice con riferimento alle varie informazioni personali già comunicate all'interessato, conservate nell'archivio informatico della società o comunque trattate elettronicamente (indicate nella nota della resistente datata 21 luglio 2004).

La resistente non ha però comunicato altri dati personali dell'interessato eventualmente detenuti su supporto cartaceo, anche in relazione a numeri telefonici e a dati contabili contenuti all'interno della documentazione riferibile al ricorrente.

La resistente dovrà integrare al riguardo il riscontro già fornito al ricorrente, comunicando allo stesso gli ulteriori dati personali che lo riguardano diversi da quelli trattati elettronicamente già comunicati, entro il 30 novembre 2004, dando conferma anche a quest'Autorità dell'avvenuto adempimento, entro il medesimo termine.

Va invece dichiarata infondata la richiesta di cancellare i dati personali relativi al ricorrente. L'art. 7 del Codice riconosce all'interessato il diritto di ottenere la cancellazione "dei dati trattati in violazione di legge". Dalla documentazione in atti non risultano elementi per ritenere che la resistente tratti e conservi i dati dell'interessato in modo illecito, non corretto o eccedente in relazione agli scopi per i quali i dati stessi sono stati raccolti e trattati. Ciò anche in riferimento all'informativa e al consenso e agli obblighi previsti dalla normativa sulla conservazione delle scritture contabili.

In ordine alle richieste volte a conoscere l'origine dei dati, le finalità e le modalità del trattamento, nonché i soggetti ai quali i dati possono essere comunicati il ricorso è inammissibile. Tali istanze (alle quali la resistente ha comunque fornito sufficienti riscontri) sono state formulate per la prima volta in sede di ricorso e non sono state avanzate previamente nell'interpello proposto ai sensi degli artt. 7 e 8 del Codice.

L'ammontare delle spese sostenute nel presente procedimento è determinato, ai sensi dell'art. 150, comma 3, del Codice, nella misura forfettaria di euro 250, di cui euro 25,82 per diritti di segreteria, tenuto conto degli adempimenti connessi alla redazione e presentazione del ricorso. Il medesimo ammontare è posto a carico di Axa Sim S.p.A., nella misura di euro 200, previa compensazione della restante parte, ai sensi del predetto art. 150, comma 3, per giusti motivi legati al contenuto dei riscontri inviati dalla resistente.

PER QUESTI MOTIVI IL GARANTE:

a) accoglie parzialmente il ricorso in ordine alla richiesta di accedere ai dati non ancora comunicati al ricorrente ed ordina a Axa Sim S.p.A. di comunicarli allo stesso nei termini di cui in motivazione;

b) dichiara non luogo a provvedere sul ricorso in ordine alla richiesta di accesso ai dati dell'interessato, in relazione alle informazioni già comunicate;

c) dichiara infondata la richiesta di cancellazione dei dati;

d) dichiara inammissibili le restanti richieste;

e) determina nella misura di 250 euro, di cui 25,82 per diritti di segreteria, l'ammontare delle spese e dei diritti del procedimento che pone nella misura di 200 euro, previa compensazione della restante parte per giusti motivi, a carico di Axa Sim S.p.A., la quale dovrà liquidarlo direttamente a favore del ricorrente.

Roma, 4 ottobre 2004

Il presidente
Rodotà

Il relatore
Santaniello

Il segretario generale
Buttarelli