Provvedimento del 21 ottobre 2004

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminato il ricorso presentato da Michele Guarini rappresentato e difeso dall'avv. Angelo Raffaele Traietta e dal dott. Luca Antezza presso il cui studio ha eletto domicilio

nei confronti di

Crif S.p.A.;

Visti gli articoli 7, 8 e 145 e s. del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il Prof. Gaetano Rasi;

PREMESSO:

Il ricorrente, i cui dati personali risultano censiti nella banca dati di Crif S.p.A., afferma di non aver ricevuto riscontro da parte della predetta società a due istanze formulate ai sensi degli artt. 7 e 8 del Codice con le quali, nel revocare il consenso al trattamento dei dati personali che lo riguardano, aveva sollecitato la cancellazione delle informazioni conservate negli archivi della società. Ciò, con particolare riferimento ai dati contenuti nel report Crif del 23 gennaio 2004 inviato dalla società in riscontro ad una richiesta di accesso ai dati formulata in precedenza dall'interessato.

Nel ricorso proposto a questa Autorità ai sensi dell'art. 145 del Codice il ricorrente ha ribadito le istanze di cancellazione e di attestazione che tale operazione è stata portata a conoscenza dei soggetti cui i dati erano stati comunicati o diffusi. Il ricorrente ha altresì chiesto che le spese del procedimento siano poste a carico della controparte.

A seguito dell'invito ad aderire formulato da questa Autorità in data 9 giugno 2004 ai sensi dell'art. 149 del Codice, la società resistente, con nota inviata via fax il 7 luglio 2004, ha dichiarato:

      di aver sospeso, prima della proposizione del ricorso (così come comunicato con nota a/r del 4 marzo 2004 indirizzata al ricorrente), la visibilità delle posizioni relative al ricorrente medesimo attualmente censite nella propria banca dati, "come misura cautelativa adottata nelle more delle verifiche presso i rispettivi enti segnalanti";

      di aver provveduto successivamente, sempre prima della proposizione del ricorso, alla cancellazione delle posizioni nn. 1, 2, 3, 5 e 6 del citato report Crif;

      di aver sospeso la visibilità "delle due sole segnalazioni attualmente censite sul nominativo" del ricorrente e che tale misura "esclude in radice la possibilità per gli enti finanziatori aderenti alla centrale rischi di Crif di prendere conoscenza delle suddette informazioni";

      che, in virtù del principio di proporzionalità del trattamento, anche in relazione ai criteri guida indicati nel provvedimento generale del Garante del 31 luglio 2002, il trattamento attualmente effettuato da Crif S.p.A. sarebbe legittimo dal momento che le due posizioni non cancellate fanno riferimento ad un affidamento revolving accordato da Fiditalia S.p.A. il 29 dicembre 2000, attualmente in corso senza alcuna segnalazione di insolvenze, nonché ad una carta di credito a saldo emessa da Diners Club Italia S.p.A. il 16 marzo 1999 ("segnalata dall'istituto come attualmente ancora in essere"), senza alcuna indicazione di insolvenze;

      di essere, contrariamente a quanto sostenuto dal ricorrente, legittimata a trattare i dati in virtù del consenso raccolto, anche per suo conto, dall'ente finanziatore aderente alla centrale rischi, sulla base di un'idonea informativa;

      che, in riferimento ai dati relativi ad un'ipoteca volontaria iscritta a favore di Banca Mediterranea S.p.A. a garanzia di un mutuo in corso avente scadenza naturale al 2015 (rapporto rispetto al quale è stata cancellata la segnalazione di ritardo), i dati medesimi sarebbero legittimamente conservati dalla resistente nella banca dati "atti pubblici", in quanto tuttora presenti nei pubblici registri da cui sono stati acquisiti;

      di opporsi alla richiesta di rifusione delle spese legali quantificate dal ricorrente, insistendo per la loro compensazione integrale fra le parti.

Con memoria inviata il 9 luglio 2004 il ricorrente ha ribadito la richiesta di cancellazione anche con riferimento alle posizioni attualmente censite dalla resistente. In particolare, il ricorrente ha sostenuto che il contratto di emissione e utilizzazione della carta di credito Diners sarebbe stato estinto "da diversi anni" e "la relativa charge restituita".

Con nota inviata il 30 agosto 2004, Fiditalia S.p.A., in risposta ad una formale richiesta di questa Autorità ai sensi degli artt. 150, comma 2, e 157 del Codice, ha fornito copia del documento recante la dichiarazione di consenso al trattamento dei dati personali a suo tempo manifestato dal ricorrente, anche in riferimento alla comunicazione dei dati ad enti di tutela del credito. La finanziaria ha anche confermato che, pur avendo il ricorrente saldato quanto dovuto per l'utilizzo della linea di credito messa a disposizione, il contratto è ancora in corso per mancato recesso.

Con nota fatta pervenire il 2 settembre 2004, Diners Club Italia S.p.A., in risposta ad una formale richiesta di questa Autorità ai sensi degli artt. 150, comma 2, e 157 del Codice, ha fornito anch'essa copia del documento recante la dichiarazione di consenso al trattamento dei dati personali a suo tempo manifestato dal ricorrente nei propri confronti, anche in riferimento alla comunicazione dei dati ad enti di tutela del credito. Tale società ha precisato che, a seguito di richiesta inoltrata dal ricorrente, "ha provveduto a dimissionare la carta di credito" allo stesso intestata.

Con memoria inviata il 17 settembre 2004 Crif S.p.A. ha comunicato di aver appreso soltanto di recente (agosto 2004) da Diners Club Italia S.p.A. che la carta di credito a saldo emessa in data 16 marzo 1999 era stata estinta. A partire da tale data la resistente ha quindi provveduto ad aggiornare la relativa posizione con la dicitura "estinto".

Con memoria fatta pervenire il 30 settembre 2004 il ricorrente ha infine precisato che la carta di credito in questione era stata restituita alla società emittente diversi anni addietro con estinzione del relativo rapporto contrattuale. Lo stesso ha quindi ribadito la richiesta di cancellazione della relativa posizione censita da Crif S.p.A. ritenendo irrilevante la circostanza che la resistente sia stata informata dell'avvenuta estinzione della carta soltanto di recente.

CIÒ PREMESSO IL GARANTE OSSERVA:

Il ricorso concerne la richiesta di cancellazione (formulata unitamente alla revoca del consenso al loro trattamento) dei dati personali relativi al ricorrente, conservati negli archivi di una c.d. centrale rischi privata.

Il trattamento effettuato dalla "centrale rischi" quale autonomo titolare del trattamento -che, come tale, sulla base di alcuni accordi del sistema di rilevazione del rischio creditizio, ed in relazione al concreto andamento del rapporto di finanziamento monitorato dalla banca o dalla finanziaria che ha concesso il prestito, interviene sui dati personali che le sono trasmessi dagli enti segnalanti- è in termini generali lecito, ma basato solo sul consenso che era stato a suo tempo manifestato dall'interessato, ma, come detto, nel caso di specie è stato revocato.

Crif S.p.A., nel corso del procedimento, ha dichiarato di aver cancellato cinque posizioni relative al ricorrente indicate in premessa e contenute nel report Crif del 23 gennaio 2004 (posizioni nn. 1, 2, 3, 5 e 6). In ragione di tale dichiarazione, della cui veridicità l'autore risponde anche ai sensi dell'art. 168 del Codice ("Falsità nelle dichiarazioni e notificazioni al Garante"), va dichiarato non luogo a provvedere sul ricorso ai sensi dell'art. 149, comma 2, del medesimo Codice, con riferimento a tali posizioni.

Per quanto concerne i dati relativi all'affidamento revolving accordato da Fiditalia S.p.A il 29 dicembre 2000, tuttora in essere, (informazioni indicate nella posizione n. 4 del report Crif del 23 gennaio 2004 e n. 1 del report Crif del 17 settembre 2004), conformemente a quanto disposto dal Garante in precedenti decisioni, va ritenuta congrua, quale misura necessaria a tutela dei diritti dell'interessato e in luogo dell'integrale cancellazione, quella della sospensione temporanea della comunicazione a terzi di tali dati personali e della conseguente visibilità degli stessi nella predetta banca dati.

Crif S.p.A., nel corso del procedimento, ha attestato di aver già adottato tale misura nelle more dell'adozione del codice deontologico previsto in materia dall'art. 117 del Codice e dei connessi, eventuali provvedimenti del Garante previsti dagli art. 17 e 24, comma 1, lett. g) del medesimo Codice. Sul punto deve pertanto dichiararsi non luogo a provvedere sul ricorso.

Dalla documentazione in atti, e in particolare dal report Crif del 17 settembre 2004, risulta che la resistente conserva nel proprio sistema di referenza creditizia la posizione relativa ad una carta di credito emessa da Diners Club Italia S.p.A. il 16 marzo 1999 ed estinta da tempo, rispetto alla quale non risulta essersi verificato alcun ritardo o contestazione nei pagamenti. A prescindere dalla mancanza di specifiche annotazioni "negative" per il ricorrente, e dalla revoca del consenso, l'ulteriore divulgazione in rete a banche e a società finanziarie dei dati riferiti a posizioni estinte da tempo risulta eccedente rispetto alle finalità originarie per le quali i dati furono raccolti e trattati, in violazione di quanto stabilito dall'art. 11, comma 1, lett. d), del medesimo Codice. In parziale accoglimento del ricorso, va quindi disposta, quale "misura necessaria a tutela dei diritti dell'interessato" (art. 150, comma 2, del Codice), la cancellazione dei dati che si riferiscono a tale rapporto, da apportarsi entro il 10 gennaio 2005. Entro il medesimo termine, la resistente dovrà confermare la cancellazione di tali dati al ricorrente e a quest'Autorità.

Per quanto riguarda invece la richiesta di attestazione che l'operazione di cancellazione sia stata portata a conoscenza di coloro i cui dati erano stati comunicati o diffusi, il ricorso è inammissibile essendo stata tale istanza formulata per la prima volta solo in sede di ricorso, anziché nell'interpello ex art. 8 del Codice inoltrato al titolare del trattamento.

Da ultimo, per quanto concerne i dati relativi all'ipoteca volontaria in favore di Banca Mediterranea S.p.A. iscritta a garanzia del mutuo da quest'ultima concesso al ricorrente il ricorso non risulta, allo stato degli atti, fondato. Nei riscontri forniti al ricorrente la resistente ha attestato di aver acquisito i dati dai pubblici registri immobiliari detenuti dalla competente amministrazione finanziaria. La società resistente utilizza nel caso di specie informazioni provenienti da pubblici registri che i soggetti privati possono trattare anche senza il consenso degli interessati (art. 24, comma 1, lett. c), del Codice). Tale trattamento non può ritenersi allo stato illecito, anche per ciò che attiene alla pertinenza e completezza dell'informazione a contenuto economico e alla conservazione delle informazioni personali per il solo tempo necessario a perseguire le finalità per le quali i dati stessi sono raccolti e successivamente trattati.

L'ammontare delle spese sostenute nel presente procedimento è determinato ai sensi dell'art. 150, comma 3, del Codice, nella misura forfettaria di euro 250, di cui euro 25,82 per diritti di segreteria, tenuto conto degli adempimenti connessi alla redazione e presentazione del ricorso al Garante. Il medesimo ammontare è posto in misura pari a 200 euro a carico del titolare del trattamento, previa compensazione della restante parte per giusti motivi legati al contenuto del riscontro fornito.

PER QUESTI MOTIVI IL GARANTE:

a) accoglie il ricorso in ordine alla richiesta di cancellare i dati relativi alla carta di credito emessa da Diners Club Italia S.p.A. il 16 marzo 1999 (posizione n. 7 del report Crif del 23 gennaio 2004 e n. 2 del report Crif del 17 settembre 2004), ordinando alla resistente di cancellarli e di provvedere, nei termini di cui in motivazione;

b) dichiara inammissibile il ricorso in ordine alla richiesta di attestazione;

c) dichiara infondato il ricorso in ordine all'opposizione al trattamento dei dati del ricorrente contenuti nella banca dati "atti pubblici";

d) dichiara non luogo a provvedere in relazione ai restanti profili;

e) determina nella misura forfettaria di euro 250, di cui 25,82 per diritti di segreteria, l'ammontare delle spese e dei diritti del presente procedimento che pone in misura pari a 200 euro, previa compensazione per giusti motivi della residua parte, a carico della resistente, la quale dovrà liquidarlo direttamente a favore del ricorrente.

Roma, 21 ottobre 2004

Il presidente
Rodotà

Il relatore
Rasi

Il segretario generale
Buttarelli