Provvedimento del 3 marzo 2005

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminato il ricorso presentato da Massimo Angelini rappresentato e difeso dall'avv. Gabriele Gianese e dal dott. Luca Di Martino presso il cui studio ha eletto domicilio

nei confronti di

Crif S.p.A.;

Visti gli articoli 7, 8 e 145 s. del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Gaetano Rasi;

PREMESSO:

L'interessato afferma di non aver ricevuto adeguato riscontro ad un'istanza formulata ai sensi degli artt. 7 e 8 del Codice con la quale aveva chiesto a Crif S.p.A. la cancellazione dai relativi archivi di alcuni dati che lo riguardano (indicati nel report Crif del 7 ottobre 2004), nonché l'attestazione che tale operazione era stata portata a conoscenza di coloro ai quali i dati erano stati comunicati o diffusi.

Nel ricorso presentato a questa Autorità ai sensi dell'art. 145 del Codice, il ricorrente ha ribadito le richieste volte ad ottenere la cancellazione dei dati (con specifico riferimento alle posizioni censite nel predetto report Crif), nonché la menzionata attestazione.

Il ricorrente sostiene che la raccolta e la conservazione dei dati che lo riguardano da parte di Crif S.p.A. non sarebbe lecita per invalidità del consenso, non avendo la società fornito la prescritta informativa sul trattamento. Il ricorrente ha anche chiesto di porre a carico della resistente le spese sostenute per il procedimento.

All'invito ad aderire formulato ai sensi dell'art. 149 del Codice da questa Autorità in data 9 dicembre 2004, Crif S.p.A., con fax inviato il 22 dicembre 2004, ha comunicato di aver cancellato la posizione n. 3) del predetto report del 7 ottobre 2004. Inoltre, ha sostenuto che:

      con riferimento alla posizione n. 1) del predetto report, che concerne un finanziamento erogato da Finconsumo Banca S.p.A. il 9 aprile 2001 ed estinto il 21 agosto 2002 con cessione del credito insoluto per un ammontare pari a 6 rate, la conservazione dei relativi dati sarebbe tuttora congrua, "nel rispetto dei futuri tempi di conservazione delle informazioni di tipo negativo relative a finanziamenti estinti non successivamente regolarizzati, previsti dal codice di deontologia e di buona condotta per i sistemi di informazioni creditizie";

      le posizioni nn. 2) e 5) sono relative ad un prestito finalizzato e a un mutuo ipotecario erogati da Banca Popolare di Bergamo S.p.A. e da Banca Popolare di Milano s.c. a r.l. rispettivamente il 22 marzo 2000 e l'11 novembre 1998, ancora in corso, senza alcuna segnalazione di insolvenza, "la cui conservazione nel sistema di referenza creditizia si giustifica sulla base del perseguimento, da parte di Crif, della finalità di prevenzione e controllo del rischio di insolvenza e di tutela del credito in quanto a tutt'oggi ancora interamente e perfettamente sussistente";

      le restanti posizioni nn. 4) e 6), relative a prestiti finalizzati erogati da Findomestic Banca S.p.A. e Fiditalia S.p.A. estinti senza alcuna segnalazione di insolvenza rispettivamente il 16 dicembre 2002 e il 25 novembre 2003, contengono dati di tipo positivo la cui conservazione sarebbe lecita e giustificata, ad avviso della resistente, nel rispetto del termine di 36 mesi previsto dal predetto codice di deontologia;

      con riferimento al dato relativo ad un'ipoteca volontaria iscritta a carico dell'interessato presso la Conservatoria di Milano, informazione censita nella banca dati "informazioni da tribunali e registri immobiliari", la resistente sarebbe "legittimata alla conservazione dell'informazione", non risultando ad oggi alcuna annotazione di cancellazione.

Crif S.p.A. ha pertanto chiesto che il Garante dichiari non luogo a provvedere sul ricorso compensando le spese del procedimento.

Crif S.p.A. ritiene di essere legittimata a trattare i dati in virtù del consenso al trattamento raccolto per conto della stessa dall'ente finanziatore aderente alla centrale rischi, dopo il rilascio di idonea informativa. Lo stesso codice di deontologia, di imminente applicazione, prevede che "l'informativa agli interessati con riguardo al trattamento dei dati personali effettuato nell'ambito di un sistema di informazioni creditizie è a carico degli enti partecipanti".

In data 18 gennaio 2005 quest'Autorità ha disposto la proroga del termine per la decisione sul ricorso ai sensi dell'art. 149, comma 7, del Codice.

Con note pervenute in data 2 febbraio 2005, 3 febbraio 2005, 11 febbraio e 15 febbraio 2005, in risposta ad una formale richiesta di questa Autorità ai sensi degli artt. 150, comma 2, e 157 del Codice, Finconsumo Banca S.p.A., Banca Popolare di Bergamo S.p.A., Banca Popolare di Milano s.c. a r.l., Fiditalia S.p.A. e Findomestic Banca S.p.A. hanno fornito copia del documento recante la manifestazione del consenso al trattamento dei dati personali da parte del ricorrente; ciò, anche in riferimento alla comunicazione dei dati ad enti di tutela del credito.

CIÒ PREMESSO IL GARANTE OSSERVA:

Il ricorso concerne il trattamento dei dati personali dell'interessato effettuato da un sistema di informazioni creditizie in riferimento ad alcuni finanziamenti.

In ordine alla richiesta di cancellazione riferita ai dati di cui alla posizione n. 3) del predetto report del 7 ottobre 2004, va dichiarato non luogo a provvedere sul ricorso ai sensi dell'art. 149, comma 2, del Codice nei confronti di Crif S.p.A.. Tale società ha infatti dichiarato nel corso del procedimento di aver cancellato tali dati dai propri archivi.

Parimenti, va dichiarato non luogo a provvedere sul ricorso nei confronti di Crif S.p.A. in ordine alla richiesta attestazione che l'operazione di cancellazione è stata portata a conoscenza dei soggetti cui i dati sono stati comunicati. Come emerso dai riscontri forniti da Crif S.p.A. anche in altri analoghi procedimenti, risulta che gli enti aderenti al predetto sistema sono in grado di visualizzare "in tempo reale" tutti i dati detenuti in relazione ai soggetti censiti e sono, in tal modo, messi sufficientemente a conoscenza dell'eventuale intervenuta rimozione di alcuna o di tutte le informazioni dalla banca dati stessa.

In ordine alla richiesta di cancellazione riferita ai dati di cui alle posizioni nn. 1), 2), 4), 5), e 6) del predetto report il ricorso è invece infondato. Dalla documentazione in atti non è emerso che in proposito Crif S.p.A. abbia trattato i dati dell'interessato in modo illecito. Per quanto riguarda l'informativa e il consenso, dalla documentazione fornita dai vari enti finanziatori risulta infatti che il ricorrente ha acconsentito, previa informativa, alla comunicazione dei propri dati personali alle banche dati dei sistemi di informazioni creditizie.

Il trattamento contestato non appare poi eccedente rispetto alle finalità per le quali i dati sono stati raccolti e successivamente trattati. Ciò, alla luce di quanto disposto dal codice di deontologia e di buona condotta per i sistemi di informazioni creditizie (che è in vigore dal 1° gennaio 2005 dopo la sua pubblicazione avvenuta sulla Gazzetta Ufficiale 23 dicembre 2004, n. 300), il quale ha sviluppato e integrato, anche in relazione ai tempi di conservazione dei dati personali, i principi richiamati con il noto provvedimento generale del Garante del 31 luglio 2002 (al quale, inoltre, si collega il provvedimento del Garante sul bilanciamento di interessi del 16 novembre 2004, anch'esso pubblicato sulla menzionata Gazzetta Ufficiale).

I dati personali riferiti ai rapporti in corso, nonché ai rapporti estinti per i quali non vi è alcuna segnalazione di insolvenza, potranno essere ulteriormente conservati nel sistema di informazioni creditizie, nel rispetto dei tempi di cui all'art. 6 del predetto codice di deontologia. Ciò, anche in considerazione della presenza di informazioni creditizie di tipo negativo concernenti ritardi o inadempimenti non regolarizzati.

Il ricorso è conseguentemente infondato anche in ordine alla seconda richiesta -di attestazione- che è direttamente connessa a quella di cancellazione, risultata, come detto, infondata.

In ordine alla cancellazione dei dati riferiti ad un'ipoteca volontaria iscritta a carico dell'interessato presso la Conservatoria di Milano, il ricorso deve essere accolto. Sulla base di quanto disposto dall'art. 1, comma 367, della legge n. 311 del 30 dicembre 2004 in merito ai presupposti per la riutilizzazione commerciale dei dati acquisiti dagli archivi catastali o dai pubblici registri immobiliari, tenuti dagli Uffici dell'Agenzia del territorio, i dati personali in questione dovranno essere cancellati dalle banche dati gestite da Crif S.p.A., entro trenta giorni dalla ricezione del presente provvedimento, dando conferma anche a questa Autorità dell'avvenuto adempimento. Ciò, nelle more dell'adozione del codice deontologico di cui all'art. 61 del Codice in materia di protezione dei dati personali, cui dovranno conformarsi le convenzioni relative alla riutilizzazione commerciale dei dati che saranno eventualmente stipulate ai sensi del comma n. 371 del citato art. 1 della legge n. 311/2004.

Sussistono infine giusti motivi per compensare tra le parti le spese del procedimento.

PER QUESTI MOTIVI IL GARANTE:

a) accoglie il ricorso limitatamente ai dati riferiti ad un'ipoteca volontaria censita in relazione al ricorrente presso la Conservatoria di Milano ed ordina a Crif S.p.A. di cancellarli dalle banche dati dalla stessa gestite, nei termini di cui in motivazione;

b) dichiara infondato il ricorso in ordine alle richieste di cancellazione dei dati, e di connessa attestazione, con riferimento ai finanziamenti di cui alle posizioni nn. 1), 2), 4), 5), e 6) del report del 7 ottobre 2004, nei termini di cui in motivazione;

c) dichiara non luogo a provvedere sul ricorso in ordine alle richieste di cancellazione dei dati, e di connessa attestazione, con riferimento ai dati indicati al n. 3) del predetto report del 7 ottobre 2004;

d) dichiara compensate le spese del procedimento.

Roma, 3 marzo 2005

Il presidente
Rodotà

Il relatore
Rasi

Il segretario generale
Buttarelli