Provvedimento del 15 novembre 2004

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminato il ricorso presentato da Pasquale Maiello, rappresentato e difeso dall'avv. Gabriele Gianese e dal dott. Luca Di Martino presso il cui studio ha eletto domicilio

nei confronti di

Crif S.p.A. e

Experian Information Services S.p.A., rappresentata e difesa dall'avv. Andrea Aragno presso il cui studio ha eletto domicilio;

Visti gli articoli 7, 8 e 145 s. del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Gaetano Rasi;

PREMESSO:

L'interessato afferma di non aver ricevuto adeguato riscontro ad un'istanza formulata ai sensi degli artt. 7 e 8 del Codice con la quale aveva chiesto a Crif S.p.A. ed Experian Information Services S.p.A. la cancellazione dai relativi archivi di alcuni dati che lo riguardano (indicati, rispettivamente, nel report Experian dell'8 marzo 2004 e nel report Crif del 20 febbraio 2004), nonché l'attestazione che tale operazione era stata portata a conoscenza di coloro cui i dati erano stati comunicati o diffusi. L'interessato aveva inoltre chiesto di conoscere gli estremi identificativi del titolare e del responsabile del trattamento, nonché i soggetti cui i dati possono essere comunicati o che possono venirne a conoscenza.

Nel ricorso presentato a questa Autorità ai sensi dell'art. 145 del Codice nei confronti di entrambe le società, il ricorrente ha ribadito le richieste volte ad ottenere la cancellazione dei dati (con specifico riferimento alle prime 6 posizioni censite nel predetto report Crif ed alle 4 posizioni risultanti nel report Experian), nonché la menzionata attestazione.

Il ricorrente sostiene che la raccolta e la conservazione dei dati che lo riguardano da parte di Experian Information Services S.p.A. e Crif S.p.A. non sarebbe lecita per invalidità del consenso, non avendo le società fornito la prescritta informativa sul trattamento. Il ricorrente ha anche chiesto di porre a carico delle resistenti le spese sostenute per il procedimento.

All'invito ad aderire formulato ai sensi dell'art. 149 del Codice da questa Autorità in data 12 luglio 2004, Crif S.p.A., con fax inviato il 26 luglio 2004, ha comunicato di aver cancellato le posizioni nn. 1), 2), 3), 5) e 6) del predetto report del 20 febbraio 2004. Inoltre, ha sostenuto che, con riferimento alla posizione riferita ad un prestito finalizzato erogato il 13 febbraio 2001 da Finemiro Banca S.p.A., la conservazione dei relativi dati sarebbe tuttora congrua, essendo ancora presente in banca dati una "segnalazione di rate non pagate". Ciò, "nel rispetto del principio di proporzionalità sancito dall'articolo 11, comma 1, lett. e), del d.lg. 196/03 ed anche in eventuale applicazione dei criteri guida temporali indicati dall'Autorità garante nel provvedimento generale in materia di centrali rischi private del 31.07.02". Ha pertanto chiesto che il Garante dichiari non luogo a provvedere sul ricorso, quanto alle posizioni cancellate, e rigetti invece il ricorso relativamente alla posizione "tuttora attiva e visibile".

Crif S.p.A. ha anche chiesto la compensazione delle spese del procedimento e ritiene di essere legittimata a trattare i dati in virtù del consenso al trattamento raccolto per conto della stessa dall'ente finanziatore aderente alla centrale rischi, dopo il rilascio di idonea informativa.

Con nota inviata il 29 luglio 2004 Experian Information Services S.p.A. ha comunicato di aver sospeso la visibilità dei dati censiti in relazione al ricorrente.

Con memoria depositata in data 16 settembre 2004 Experian Information Services S.p.A. ha precisato che gli enti aderenti alla propria "centrale rischi" sono tenuti per contratto a fornire agli interessati l'informativa sul trattamento dei dati personali ed a raccogliere il relativo consenso. Nel caso di specie, Bipielle Ducato S.p.A., Consum.it S.p.A. e Finemiro Banca S.p.A. hanno fornito riscontro in merito. Con riferimento ai tempi di conservazione dei dati, Experian Information Services S.p.A., nel mantenere sospesa la visibilità dei dati del ricorrente, ha comunque richiamato i principi contenuti nel provvedimento generale del Garante del 31 luglio 2002 in tema di "centrali rischi" private, chiedendo di rigettare il ricorso e di porre le spese del procedimento a carico della ricorrente.

Con memoria inviata il 21 settembre 2004 la ricorrente ha ritenuto tale riscontro inadeguato ed ha ribadito le proprie richieste.

In data 21 settembre 2004 quest'Autorità ha disposto la proroga del termine per la decisione sul ricorso ai sensi dell'art. 149, comma 7, del Codice.

Con note pervenute in data 21 ottobre 2004, 22 ottobre e 25 ottobre 2004, Consum.it S.p.A., Finemiro Banca S.p.A. e Bipielle Ducato S.p.A., in risposta ad una formale richiesta di questa Autorità ai sensi degli artt. 150, comma 2, e 157 del Codice, hanno fornito copia del documento recante la dichiarazione di consenso al trattamento dei dati personali a suo tempo manifestato dal ricorrente nei propri confronti; ciò, anche in riferimento alla comunicazione dei dati ad enti di tutela del credito. Le stesse hanno inoltre fornito informazioni in ordine allo stato dei pagamenti relativi ai finanziamenti concessi al ricorrente.

Con nota fatta pervenire il 3 novembre 2004, Linea S.p.A. ha comunicato di non aver reperito la documentazione relativa al finanziamento erogato al ricorrente e di aver pertanto richiesto "alle banche dati di riferimento, C.T.C., Crif ed Experian, lo stralcio della posizione del Sig. Pasquale Maiello".

CIÒ PREMESSO IL GARANTE OSSERVA:

Il ricorso concerne il trattamento dei dati effettuato da due c.d. "centrali rischi" private in riferimento a diverse posizioni.

1. In ordine alla richiesta di cancellazione riferita ai dati concernenti il finanziamento erogato da Consum.it S.p.A. il 22 gennaio 2002, va dichiarato non luogo a provvedere sul ricorso ai sensi del Codice nei confronti di Crif S.p.A.. Tale società ha infatti dichiarato nel corso del procedimento di aver cancellato tali dati dai propri archivi.

Il trattamento di tali dati (relativi ad un finanziamento regolarizzato nel luglio 2002) non è più lecito alla luce dei tempi di conservazione dei dati indicati dal provvedimento generale del Garante del 31 luglio 2002, noto alle parti, in base al quale i dati relativi agli inadempimenti regolarizzati possono essere conservati per un anno dalla data della regolarizzazione o dell'estinzione, anche anticipata del rapporto, avvenuta comunque senza perdite o residue pendenze. Experian Information Services S.p.A., la quale ha semplicemente sospeso la visibilità dei dati relativi al predetto rapporto, dovrà invece procedere alla loro cancellazione, ed alla connessa attestazione, entro il 10 marzo 2005, dando conferma al ricorrente ed a quest'Autorità di tale duplice adempimento.

2. In ordine alla richiesta di cancellazione riferita ai dati concernenti il finanziamento erogato da Bipielle Ducato S.p.A. il 28 aprile 2000, va dichiarato non luogo a provvedere sul ricorso ai sensi dell'art. 149, comma 2, del Codice nei confronti di Crif S.p.A.. Tale società ha infatti dichiarato nel corso del procedimento di aver cancellato tali dati dai propri archivi.

In riferimento a tale finanziamento (estinto dal 28 febbraio 2001 e rispetto al quale non risulta essersi verificato alcun ritardo o contestazione nei pagamenti) il ricorso deve essere invece accolto nei confronti di Experian Information Services S.p.A. Tali dati tuttavia riguardano un finanziamento estinto da tempo (28 febbraio 2001). A prescindere dalla mancanza di specifiche annotazioni "negative" per il ricorrente, l'ulteriore divulgazione in rete a banche e a società finanziarie dei dati riferiti a posizioni estinte da tempo risulta eccedente rispetto alle finalità originarie per le quali i dati furono raccolti e trattati, in violazione di quanto stabilito dall'art. 11, comma 1, lett. d), del medesimo Codice. In parziale accoglimento del ricorso, nei confronti di Experian Information Services S.p.A. va quindi disposto, quale "misura necessaria a tutela dei diritti dell'interessato" (art. 150, comma 2, del Codice), di provvedere alla cancellazione dei dati ed alla connessa attestazione, con riferimento a tale rapporto, da apportarsi entro il 10 marzo 2005, dando conferma al ricorrente ed a quest'Autorità di tale duplice adempimento.

3. In ordine alla richiesta di cancellazione riferita ai dati concernenti il finanziamento erogato da Linea S.p.A. l'11 luglio 2001, il ricorso deve essere parimenti accolto nei confronti di Experian Information Services S.p.A.. Nel corso del procedimento Linea S.p.A. ha confermato di non essere stata in grado di reperire la dichiarazione di consenso al trattamento che sarebbe stata a suo tempo sottoscritta dall'interessato, richiedendo quindi alle "centrali rischi" private gestite da Crif S.p.A. ed Experian Information Services S.p.A. la cancellazione dei dati comunicati in relazione al ricorrente. Pertanto, in parziale accoglimento del ricorso e nei confronti di Experian Information Services S.p.A. (che aveva solo sospeso la visibilità di tale posizione), va quindi disposto, quale "misura necessaria a tutela dei diritti dell'interessato" (art. 150, comma 2, del Codice), di provvedere alla cancellazione di tali dati, ove non vi abbia già provveduto, ed alla connessa attestazione, adempimenti da effettuare entro il 10 marzo 2005 dandone conferma al ricorrente ed a quest'Autorità entro il medesimo termine.

In ordine al medesimo finanziamento va invece dichiarato non luogo a provvedere sul ricorso ai sensi dell'art. 149, comma 2, del Codice, nei confronti di Crif S.p.A., avendo tale titolare comunicato l'avvenuta cancellazione dei dati.

4. In ordine alla cancellazione dei dati concernenti il finanziamento erogato da Finemiro Banca S.p.A. il 5 novembre 1999, nonché il finanziamento erogato da Deutsche Bank S.p.A. il 1° agosto 2001, dati censiti esclusivamente da Crif S.p.A. e non anche da Experian Information Services S.p.A., va dichiarato non luogo a provvedere sul ricorso ai sensi dell'art. 149, comma 2, del Codice: nel corso del procedimento Crif S.p.A. ha infatti dichiarato di aver cancellato i dati in questione.

5. Parimenti, va dichiarato non luogo a provvedere sul ricorso nei confronti di Crif S.p.A. in ordine alla richiesta attestazione che l'operazione di cancellazione sia portata a conoscenza dei soggetti cui i dati sono stati comunicati. Come emerso dai riscontri forniti da Crif S.p.A. anche in altri analoghi procedimenti, risulta che gli enti aderenti alla predetta "centrali rischi" privata sono in grado di visualizzare "in tempo reale" tutti i dati detenuti in relazione ai soggetti censiti e sono, in tal modo, messi a conoscenza dell'eventuale intervenuta rimozione di alcuna o di tutte le informazioni dalla banca dati stessa.

6. In ordine alla cancellazione dei dati concernenti il finanziamento erogato da Finemiro Banca S.p.A. il 13 febbraio 2001 il ricorso è invece infondato. Dalla documentazione in atti non è emerso che in proposito Experian Information Services S.p.A. e Crif S.p.A. abbiano trattato i dati dell'interessata in modo illecito. Per quanto riguarda l'informativa e il consenso, dalla documentazione fornita da Finemiro Banca S.p.A. risulta infatti che il ricorrente ha acconsentito, previa informativa, alla comunicazione dei propri dati personali alle banche dati delle c.d. "centrali rischi" private. Si tratta poi di un rapporto nel quale si sono verificati ritardi nei pagamenti la cui regolarizzazione, secondo quanto riferito dalla stessa finanziaria nel corso del procedimento, non risulta ancora avvenuta. L'attuale divulgazione in rete a banche e a società finanziarie di tali dati non risulta quindi eccedente rispetto alle finalità originarie per le quali i dati furono raccolti e trattati (art. 11, comma 1, lett. d), del Codice).

Experian Information Services S.p.A. e Crif S.p.A. possono comunque conservare i dati in questione per il periodo attualmente richiamato dal citato provvedimento generale del Garante del 31 luglio 2002 e che sarà oggetto di imminente disciplina nel redigendo codice deontologico in materia di sistemi di informazione creditizia sottoscritto il 12 novembre u.s. .

Il ricorso è conseguentemente infondato anche in ordine alla seconda richiesta -di attestazione- che è direttamente connessa a quella di cancellazione, risultata, come detto, infondata.

7. L'ammontare delle spese sostenute nel presente procedimento è determinato ai sensi dell'art. 150, comma 3, del Codice, nella misura forfettaria di euro 400, di cui euro 25,82 per diritti di segreteria, tenuto conto degli adempimenti connessi alla redazione e presentazione del ricorso al Garante. Il medesimo ammontare è posto in misura pari a 100 euro a carico di Crif S.p.A. e 200 euro a carico di Experian Information Services S.p.A., previa compensazione della restante parte per giusti motivi legati al contenuto dei riscontri forniti.

PER QUESTI MOTIVI IL GARANTE:

a) accoglie parzialmente il ricorso nei confronti di Experian Information Services S.p.A. ed ordina alla stessa di provvedere alla cancellazione dei dati ed alla connessa attestazione, limitatamente ai dati relativi al finanziamento erogato da Consum.it S.p.A. il 22 gennaio 2002, al finanziamento erogato da Bipielle Ducato S.p.A. il 28 aprile 2000, nonché al finanziamento erogato da Linea S.p.A. l'11 luglio 2001, nei termini di cui in motivazione;



b) dichiara infondato il ricorso nei confronti di Crif S.p.A. ed Experian Information Services S.p.A. in ordine alle richieste di cancellazione dei dati, e di connessa attestazione, con riferimento al finanziamento erogato da Finemiro Banca S.p.A. il 13 febbraio 2001;



c) dichiarato non luogo a provvedere sul ricorso nei confronti di Crif S.p.A. in ordine alle richieste di cancellazione dei dati, e di connessa attestazione, con riferimento ai restanti dati detenuti da Crif S.p.A.;



d) determina nella misura forfettaria di euro 400, di cui 25,82 per diritti di segreteria, l'ammontare delle spese e dei diritti del presente procedimento che pone, previa compensazione per giusti motivi della residua parte, in misura pari a 100 euro a carico di Crif S.p.A. e 200 euro a carico di Experian Information Services S.p.A., le quali dovranno liquidarlo direttamente a favore del ricorrente.

Roma, 15 novembre 2004

Il presidente
Rodotà

Il relatore
Rasi

Il segretario generale
Buttarelli