[doc. web n. 1366797]

Provvedimento del 31 ottobre 2006

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminato il ricorso presentato da XY, anche nella qualità di titolare dell´impresa individuale "LT", rappresentata e difesa dall´avv. Riccardo Ferrante presso il cui studio ha eletto domicilio

nei confronti di

Sascar s.r.l., rappresentata e difesa dall´avv. Mauro Galli presso il cui studio ha eletto domicilio,

Bipitalia Ducato S.p.A.,

Experian Information Services S.p.A., rappresentata e difesa dall´avv. Andrea Aragno presso il cui studio ha eletto domicilio,

CTC–Consorzio per la tutela del credito e

Crif S.p.A.;

Visti gli articoli 7, 8 e 145 ss. del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

Viste le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Mauro Paissan;

PREMESSO

L´interessata, titolare dell´impresa individuale "LT", nel febbraio del 2004 si è affidata alla filiale di Pavullo nel Frignano (Modena) di Sascar s.r.l. per la vendita di un automezzo intestato all´impresa. Poiché, dopo alcuni mesi, non si erano ancora manifestati potenziali acquirenti, l´interessata ha deciso di vendere il veicolo direttamente a Sascar s.r.l. acquistando dalla stessa un altro automezzo sulla base di un´operazione di finanziamento. Essendo stata respinta la richiesta di finanziamento, l´interessata, con lettere del 30 aprile e del 20 maggio 2004, si è rivolta a Sascar s.r.l. contestando l´utilizzazione dei dati personali che la riguardano, sostenendo di non aver mai conferito l´incarico di richiedere tale finanziamento (per il quale asserisce di non aver sottoscritto alcun modulo di richiesta) e sollecitando altresì l´indicazione degli estremi identificativi della società finanziaria cui i dati erano stati comunicati.

In data 14 maggio 2004 l´interessata si è rivolta a Bipitalia Ducato S.p.A. (già Bipielle Ducato S.p.A.) -cui Sascar s.r.l. avrebbe comunicato i dati-, chiedendo, tra l´altro, la comunicazione dei dati personali che la riguardano, riferiti sia al proprio nominativo, sia all´impresa individuale "LT". Ottenuta la comunicazione di tali dati (relativi ad una richiesta di finanziamento avanzata da XY il 21 aprile 2004), l´interessata, nel ribadire di non aver mai sottoscritto alcuna richiesta di finanziamento, ha chiesto alla predetta società finanziaria di produrre (se esistenti) la copia del modulo di richiesta del finanziamento, nonché la documentazione relativa alla manifestazione del consenso informato, sollecitando infine la cancellazione dei dati che la riguardano e opponendosi al loro ulteriore trattamento.

L´interessata si è rivolta poi a Crif S.p.A., Experian Information Services S.p.A. e CTC–Consorzio per la tutela del credito (cui la finanziaria aveva dichiarato di aver comunicati i dati) formulando nei confronti di tali sistemi di informazioni creditizie distinte richieste di accesso ai dati personali che la riguardano.

Ritenendo insoddisfacenti i riscontri ottenuti, l´interessata, rappresentata e difesa dall´avv. Riccardo Ferrante presso il cui studio ha eletto domicilio, ha presentato ricorso al Garante ai sensi dell´art. 145 del Codice nei confronti di tutti i cinque titolari del trattamento sopra indicati.

In particolare, nei confronti di Sascar s.r.l. l´interessata ha ribadito le contestazioni relative al trattamento dei dati, con specifico riferimento alla loro comunicazione a terzi, nonché l´omessa indicazione della società finanziaria cui sarebbe stata inoltrata la richiesta di finanziamento, mentre nei confronti di Bipitalia Ducato S.p.A., oltre a rilevare l´inesattezza di alcune delle informazioni detenute, ha nuovamente sollecitato la cancellazione dei dati in questione.

Quanto alle citate società che gestiscono sistemi di informazioni creditizie, l´interessata ha contestato a Experian Information Services S.p.A. "l´omessa ed errata indicazione dell´origine dei dati personali ", poiché il riscontro fornito da tale società non conterrebbe alcun riferimento alla richiesta di finanziamento rivolta a Bipitalia Ducato S.p.A..

Nei confronti di CTC–Consorzio per la tutela del credito e di Crif S.p.A. l´interessata ha invece ribadito la richiesta di conoscere i dati detenuti in relazione ad XY, anche nella sua qualità di titolare dell´impresa individuale LT (dati che non le sarebbero stati forniti). Quanto a Crif S.p.A., la ricorrente ha contestato la completezza del riscontro fornito, sempre in ordine alla richiesta di accesso ai dati.

La ricorrente ha chiesto infine che le spese del procedimento siano poste a carico di ciascuna delle indicate controparti.

A seguito della nota inviata dall´Autorità il 6 luglio 2006 ai sensi dell´art. 149, comma 1, del Codice, Crif S.p.A. ha risposto con fax inviato il 18 luglio 2006 con il quale ha sostenuto di aver già fornito riscontro alle richieste di accesso della ricorrente con note del 3 agosto e 9 agosto 2004 interrogando i propri sistemi sulla base dei dati anagrafici riportati sul documento di identità (che fanno riferimento ad "XKY") e alle informazioni relative alla residenza, e di non aver altresì effettuato alcuna ricerca in relazione ad "XY" per evitare rischi di omonimia. Crif S.p.A. ha anche ribadito di aver più volte, ed invano, richiesto alla ricorrente l´indicazione del codice fiscale, "quale idoneo elemento di valutazione dell´identità dell´interessato " ai sensi dell´art. 9, comma 4, del Codice, al fine di provvedere ad una verifica più puntuale e approfondita che consentisse di escludere eventuali casi di omonimia e di accertare in maniera indubbia le generalità della ricorrente (profilo rilevante nel caso di specie, attesa la pluralità di nomi riportati sul documento d´identità).

CTC–Consorzio per la tutela del credito ha risposto con fax inviati il 20 e il 31 luglio 2006 con i quali ha sostenuto di aver già dato riscontro con nota del 12 agosto 2004 alla richiesta di accesso ai dati formulata dalla ricorrente; ha peraltro precisato che con tale nota dovevano intendersi soddisfatte non solo le istanze formulate dall´interessata quale persona fisica, ma anche quelle da essa rivolte nella sua qualità di titolare dell´impresa individuale, confermando comunque l´assenza di segnalazioni.

Bipitalia Ducato S.p.A., con fax inviati il 20 e il 28 luglio 2006, ha prodotto copia di una domanda di finanziamento contenente i dati personali della ricorrente, completa di sottoscrizione e inviata il 21 aprile 2004 alla società finanziaria da Sascar s.r.l.. La predetta finanziaria ha confermato alla ricorrente che la stessa è censita nei propri archivi quale "celibe" e non quale "coniugata", come erroneamente comunicato nella nota del 19 maggio 2004 e che "l´indicazione dell´abitazione di proprietà", parimenti contestata, era contenuta nel modulo di richiesta del finanziamento pervenuto a Bipitalia Ducato S.p.A. "già compilato e sottoscritto dal cliente ". La predetta finanziaria ha infine sostenuto che nell´ambito delle operazioni di credito al consumo le società finanziarie non effettuano direttamente l´identificazione del cliente, con il quale non hanno contatti diretti, provvedendovi per il tramite dell´esercizio convenzionato (il quale compila con il cliente la modulistica e la trasmette, insieme alla documentazione necessaria, alla società finanziaria).

Con fax inviati il 20, 24 luglio e 8 settembre 2006 la ricorrente ha dichiarato di ritenere insoddisfacenti i riscontri ottenuti e ha sostenuto, in particolare, di non aver mai compilato, né sottoscritto il modulo di richiesta di finanziamento inviato a Bipitalia Ducato S.p.A. il 21 aprile 2004, disconoscendo quindi le firme ivi apposte.

Con memoria depositata il 24 luglio e successiva nota del 12 settembre 2006 Experian Information Services S.p.A., in ordine alla specifica contestazione formulata nei propri confronti dalla ricorrente, ha precisato che alla data del 4 agosto 2004 i dati relativi alla ricorrente stessa, trattati in relazione ad una richiesta di finanziamento rifiutata dall´ente finanziatore, erano stati già cancellati per decorso del termine di conservazione mensile ora previsto dall´art. 6 del codice di deontologia e buona condotta applicabile ai sistemi di informazioni creditizie (Provv. del Garante n. 8  del 16 novembre 2004, in Gazzetta Ufficiale 23 dicembre 2004, n. 300; d.m. 14 gennaio 2005, in Gazzetta Ufficiale 29 gennaio 2005, n. 23), ma già indicato nel Provvedimento generale del Garante del 31 luglio 2002 sulle c.d. "centrali rischi" private.

Successivamente alla proroga del termine per la decisione sul ricorso, disposta ai sensi dell´art. 149, comma 7, del Codice in data 19 settembre 2006, Sascar s.r.l., nel fornire con fax inviato il 20 settembre 2006, la propria ricostruzione dei fatti, ha sostenuto che, a seguito di accordi verbali intercorsi fra gli addetti alle vendite della filiale di Pavullo nel Frignano e la ricorrente, la stessa aveva lasciato "in conto visione" un automezzo intestato alla propria impresa individuale con l´intento di formalizzare l´incarico per la vendita se si fosse presentato un cliente interessato ad acquistarla. In seguito, essendo stato impossibile rivendere il mezzo, la stessa ricorrente avrebbe concordato telefonicamente di vendere a Sascar s.r.l. tale automezzo acquistando al contempo un´altra autovettura –da intestare a se stessa quale persona fisica-ricorrendo ad un finanziamento personale. Per tale motivo la ricorrente avrebbe autorizzato telefonicamente uno dei venditori della società "ad inoltrare una prerichiesta presso una delle finanziarie" di riferimento "per verificare genericamente che non vi fossero problemi all´erogazione di un finanziamento personale", inviando a tal fine la documentazione necessaria (copia di documento di identità, visura camerale relativa all´impresa individuale e dichiarazione dei redditi relativa all´anno 2003). Sascar s.r.l. ha sostenuto quindi che la ricorrente, pur non avendo manifestato per iscritto il consenso al trattamento dei dati, avrebbe dato telefonicamente un´autorizzazione verbale a tale operazione, come sarebbe confermato dall´invio della citata documentazione trasmessa tramite il medesimo apparecchio fax da cui in seguito è pervenuta la prima contestazione della ricorrente datata 30 aprile 2004. Infine, Sascar s.r.l. ha sostenuto di non aver "mai divulgato " i dati personali relativi alla ricorrente, di essersi limitata ad inviare la citata "prerichiesta" a Bipitalia Ducato S.p.A..

CIÒ PREMESSO, IL GARANTE OSSERVA

La complessa vicenda oggetto di ricorso verte sui rapporti intercorsi (anche a mezzo di molteplici accordi verbali, contatti telefonici e incontri personali) tra l´interessata, un rivenditore di automobili, una società finanziaria e alcuni enti che gestiscono sistemi di informazioni creditizie; rapporti instauratisi a seguito della decisione dell´interessata di vendere un automezzo usato e di acquistarne un altro.

Formano oggetto della presente decisione le sole richieste avanzate preventivamente ai sensi dell´art. 7 del Codice e riproposte con il ricorso, e che riguardino le specifiche posizioni tutelate da tale disposizione. Ciò, non pregiudica la facoltà della ricorrente di far valere in altra sede (ove ne ricorrano i presupposti) le sue prerogative riguardanti, in misura più ampia, il complessivo trattamento dei dati svolto in particolare da Sascar s.r.l. e da Bipitalia Ducato S.p.A. e le connesse pretese risarcitorie, con particolare riferimento a profili (quali quello relativo alla contestata autenticità della sottoscrizione apposta sulla richiesta di finanziamento) che possono formare oggetto di valutazione di fronte all´autorità giudiziaria ordinaria. Così delimitato l´oggetto della presente decisione, va dichiarato non luogo a provvedere sul ricorso ai sensi dell´art. 149, comma 2, del Codice in ordine alla richiesta rivolta a Sascar s.r.l. di conoscere gli estremi identificativi della società finanziaria cui i dati sono stati comunicati, avendo Sascar s.r.l., nel corso del procedimento, fornito un sufficiente riscontro in merito.

Va al riguardo rilevato che i rilievi concernenti più genericamente la disciplina sulla protezione dei dati personali formulati nei confronti di tale società erano in realtà contenuti in istanze volte specificamente a contestare il rapporto contrattuale intercorso fra le parti e a formulare richieste risarcitorie alla società in oggetto (che su tali aspetti aveva fin dal 10 maggio 2004 replicato all´interessata).

Per quanto riguarda la richiesta di accesso formulata nei confronti di Crif S.p.A., il ricorso deve essere dichiarato infondato, avendo tale società fornito un sufficiente riscontro alla ricorrente già prima della proposizione del ricorso. La stessa aveva infatti provveduto ad informarla di non detenere alcun dato personale, effettuando una verifica basata sui soli dati relativi all´identità e alla residenza dalla stessa forniti. Crif S.p.A. risulta essere stata peraltro impossibilitata ad effettuare un controllo più approfondito basato sul codice fiscale o su informazioni relative all´impresa individuale, in quanto la ricorrente, nonostante ripetuti solleciti, non risulta aver comunicato tali informazioni. In proposito va rilevato che tale richiesta di ulteriori elementi identificativi era legittima e, nel caso di specie, doverosa, anche in relazione ad eventuali omonimie e alla duplice qualità di persona fisica e titolare di impresa individuale rivestita dall´interessata (che sul documento di identità viene identificata con cinque nomi diversi). Ciò, anche alla luce di quanto disposto dal Codice il quale prescrive che l´identità del presentatore di un´istanza ex art. 7 del Codice debba essere verificata sulla base di "idonei elementi di valutazione ", che all´epoca non erano univoci (art. 9, comma 4, del Codice).

Per quanto riguarda le richieste formulate nei confronti di Experian Information Services S.p.A. il ricorso deve essere parimenti dichiarato infondato, avendo tale società fornito idoneo riscontro a tali istanze già prima della proposizione del ricorso.

Deve essere invece dichiarato non luogo a provvedere sul ricorso ai sensi dell´art. 149, comma 2, del Codice nei confronti di CTC–Consorzio per la tutela del credito, avendo tale titolare integrato nel corso del procedimento, con specifico riguardo alla posizione dell´impresa "LT", i riscontri precedentemente forniti.

Per quanto riguarda infine l´istanza di cancellazione avanzata nei confronti di Bipitalia Ducato S.p.A. il ricorso deve essere dichiarato infondato, poiché allo stato non risulta superata la necessità di conservazione interna delle informazioni relative all´interessata. Ciò, in relazione alle esigenze di verifica dell´autenticità della sottoscrizione della richiesta di finanziamento e di esercizio delle connesse, eventuali pretese risarcitorie, anche con riguardo al correlativo diritto di difesa delle controparti. Va rilevato inoltre che tale società finanziaria ha già provveduto a correggere, su indicazione dell´interessata, le informazioni inesatte inizialmente riportate.

Sussistono infine giusti motivi per compensare le spese fra le parti.

PER QUESTI MOTIVI IL GARANTE DICHIARA

a) infondato il ricorso nei confronti di Bipitalia Ducato S.p.A., Crif S.p.A. e  Experian Information Services S.p.A.;

b) non luogo a provvedere sul ricorso nei confronti di Sascar s.r.l. e CTC–Consorzio per la tutela del credito;

c) compensate integralmente fra le parti le spese del procedimento.

Roma, 31 ottobre 2006

IL PRESIDENTE
Pizzetti

IL RELATORE
Paissan

IL SEGRETARIO GENERALE
Buttarelli