Provvedimento del 15 novembre 2004

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminato il ricorso presentato da Massimiliano Tocci, rappresentato e difeso dall'avv. Gabriele Gianese e dal dott. Luca Di Martino presso il cui studio ha eletto domicilio

nei confronti di

Crif S.p.A.;

Visti gli articoli 7, 8 e 145 s. del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Gaetano Rasi;

PREMESSO:

L'interessato afferma di non aver ricevuto adeguato riscontro ad un'istanza formulata ai sensi degli artt. 7 e 8 del Codice con la quale, nel revocare il consenso al trattamento dei dati personali che lo riguardano, aveva sollecitato la cancellazione delle informazioni conservate negli archivi di Crif S.p.A.. Ciò, con particolare riferimento ai dati contenuti nel report del 17 marzo 2004 inviato dalla società in riscontro ad una richiesta di accesso ai dati formulata in precedenza dall'interessato.

Nel ricorso presentato a questa Autorità ai sensi dell'art. 145 del Codice, il ricorrente ha ribadito la propria richiesta volta ad ottenere la cancellazione dei dati, ed ha chiesto ex novo di conoscere l'origine dei dati stessi, le finalità e le modalità del trattamento, nonché gli estremi identificativi dei soggetti ai quali i dati possono essere comunicati o che possono venirne a conoscenza. Nel ricorso ha altresì chiesto l'attestazione che l'operazione di cancellazione è stata portata a conoscenza dei soggetti cui i dati erano stati comunicati.

In particolare, il ricorrente ha sostenuto che la raccolta e la conservazione dei dati che lo riguardano da parte di Crif S.p.A. non sarebbe lecita per invalidità del consenso, non avendo la società fornito la prescritta informativa sul trattamento dei dati personali. Il ricorrente ha anche chiesto di porre a carico della controparte le spese sostenute per il procedimento.

All'invito ad aderire formulato ai sensi dell'art. 149 del Codice da questa Autorità in data 12 luglio 2004, Crif S.p.A., con fax inviato il 26 luglio 2004, ha sostenuto che la conservazione dei dati riferiti ad un prestito finalizzato erogato il 1° febbraio 2001 da Citifin-Citicorp Finanziaria S.p.A. sarebbe "tuttora congrua in relazione agli scopi della raccolta". Tali dati sarebbero trattati "nel rispetto del principio di proporzionalità sancito dall'articolo 11, comma 1, lett. e), del d.lg. 196/03 ed anche in eventuale applicazione dei criteri guida temporali indicati dall'Autorità garante nel provvedimento generale in materia di centrali rischi private del 31.07.02", in quanto si riferiscono "ad un prestito finalizzato estinto nel gennaio 2004 con ritardi nei pagamenti regolarizzati solo nell'ottobre 2003". Ha pertanto chiesto che il Garante rigetti il ricorso con compensazione delle spese del procedimento.

Crif S.p.a.:

      ritiene inoltre di essere legittimata a trattare i dati in virtù del consenso al trattamento raccolto per conto della stessa dall'ente finanziatore aderente alla "centrale rischi", dopo il rilascio di idonea informativa;

      nel riscontrare le ulteriori richieste dell'interessato, ha precisato che le categorie dei soggetti ai quali i dati possono essere comunicati "sono rappresentate, ad oggi, da banche, società finanziarie, società di telecomunicazioni aderenti al sistema di referenza creditizia di Crif";

      ha fornito alcune indicazioni in ordine all'origine dei dati (menzionando l'ente che ha inserito i relativi dati), alle finalità ("prevenzione e controllo del rischio di insolvenza oltre che referenza creditizia"), nonché alle modalità, automatizzate e cartacee, del loro trattamento.

Con memoria inviata il 21 settembre 2004 il ricorrente ha ritenuto inadeguato il riscontro.

Con nota fatta pervenire il 29 ottobre 2004, successivamente alla proroga del termine per la decisione sul ricorso ai sensi dell'art. 149, comma 7, del Codice, Citifin-Citicorp Finanziaria S.p.A., in risposta ad una formale richiesta di questa Autorità ai sensi degli artt. 150, comma 2, e 157 del Codice, ha fornito copia del documento recante la manifestazione del consenso al trattamento dei dati personali a suo tempo manifestato dal ricorrente.

Inoltre, la stessa società ha precisato che il ricorrente "ha regolarizzato la propria posizione debitoria (…) il 10 febbraio 2004".

CIÒ PREMESSO IL GARANTE OSSERVA:

Il ricorso concerne il trattamento dei dati effettuato da una c.d. "centrale rischi" privata.

In ordine alle richieste volte a conoscere l'origine dei dati, le finalità, le modalità del trattamento e i soggetti o le categorie di soggetti cui i dati possono essere comunicati o che possono venirne a conoscenza, nonché ad ottenere la menzionata attestazione, il ricorso è inammissibile, essendo state tali istanze formulate per la prima volta solo in sede di ricorso, anziché nell'interpello ex art. 8 del Codice inoltrato al titolare del trattamento.

La residua istanza proposta integra una sostanziale opposizione per motivi legittimi all'ulteriore trattamento dei dati presso la predetta "centrale rischi", mediante loro cancellazione per effetto dell'intervenuta revoca del consenso che nel caso di specie rappresenta, allo stato, l'unico presupposto idoneo del trattamento ai sensi degli art. 23 e 24 del Codice.

Il trattamento effettuato dalla "centrale rischi" in qualità di autonomo titolare del trattamento -che, come tale, sulla base di alcuni accordi del sistema di rilevazione del rischio creditizio, ed in relazione al concreto andamento del rapporto di finanziamento monitorato dalla banca o dalla finanziaria che ha concesso il prestito, interviene sui dati personali che le sono trasmessi dagli enti segnalanti- è in termini generali lecito, ma basato nella fattispecie solo sul consenso che, come detto, è stato revocato.

Inoltre, per quanto riguarda l'informativa e il consenso, dagli atti forniti da Citifin-Citicorp Servizi Finanziari S.p.A. risulta che il ricorrente aveva a suo tempo acconsentito alla comunicazione dei propri dati personali a soggetti terzi; tuttavia, avendo la citata finanziaria omesso di fornire copia dell'informativa ai sensi dell'art. 13 del Codice, non risulta comprovato che l'interessato, prima di manifestare il proprio consenso, sia stato informato che i dati che lo riguardano avrebbero potuto essere comunicati alle c.d. "centrali rischi" private.

In parziale accoglimento del ricorso va quindi disposta, quale "misura necessaria a tutela dei diritti dell'interessato" ai sensi dell'art. 150, comma 2, del Codice, la sospensione temporanea della comunicazione a terzi dei dati relativi all'interessato e della conseguente visibilità degli stessi nella predetta banca dati a decorrere dalla comunicazione del presente provvedimento e per il solo tempo intercorrente fino alla data in cui saranno operativi i nuovi presupposti del trattamento risultanti dal codice deontologico di cui all'art. 117 del Codice sottoscritto il 12 novembre u.s. e da connesso, eventuale provvedimento del Garante previsto dagli art. 17 e 24, comma 1, lett. g), del medesimo Codice.

L'ammontare delle spese sostenute nel presente procedimento è determinato ai sensi dell'art. 150, comma 3, del Codice, nella misura forfettaria di euro 250, di cui euro 25,82 per diritti di segreteria, tenuto conto degli adempimenti connessi alla redazione e presentazione del ricorso al Garante. Il medesimo ammontare è posto in misura pari a 100 euro a carico di Crif S.p.A., previa compensazione della restante parte per giusti motivi legati al contenuto del riscontro fornito.

PER QUESTI MOTIVI IL GARANTE:

a) dichiara inammissibile il ricorso in ordine alle richieste volte a conoscere l'origine dei dati, le finalità e le modalità del trattamento, i soggetti o le categorie di soggetti cui i dati possono essere comunicati o che possono venirne a conoscenza, nonché in ordine alla richiesta di attestazione che l'operazione di cancellazione è stata portata a conoscenza dei soggetti cui i dati erano stati comunicati;

b) in parziale accoglimento del ricorso ordina alla resistente, quale "misura necessaria a tutela dei diritti dell'interessato", ai sensi dell'art. 150, comma 2, del Codice la sospensione temporanea della comunicazione a terzi dei dati relativi all'interessato riferiti al prestito finalizzato erogato da Citifin-Citicorp Finanziaria S.p.A. il 1° febbraio 2001, nei termini di cui in motivazione;

c) determina in misura forfettaria in euro 250, di cui 25,82 per diritti di segreteria, l'ammontare delle spese e dei diritti del presente procedimento che pone in misura pari a 100 euro, previa compensazione per giusti motivi della residua parte, a carico della resistente, la quale dovrà liquidarlo direttamente a favore del ricorrente.

Roma, 15 novembre 2004

Il presidente
Rodotà

Il relatore
Rasi

Il segretario generale
Buttarelli