[doc. web n. 5982388]

Provvedimento del 24 novembre 2016

Registro dei provvedimenti
n. 499 del 24 novembre 2016

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

VISTO il ricorso al Garante presentato in data 26 settembre 2016 da XY nei confronti di ING BANK N.V. Milan Branch, con il quale l´interessato, ribadendo le istanze già avanzate ai sensi degli artt. 7 e 8 del d.lgs. 30 giugno 2003, n. 196 "Codice in materia di protezione dei dati personali" (di seguito "Codice"), ha chiesto:

di ottenere riscontro alla richiesta di accesso già avanzata al titolare del trattamento, con particolare riguardo alle banche dati consultate ai fini della valutazione della richiesta di aumento del limite mensile di spesa della carta di credito intestata al medesimo;

di conoscere i parametri utilizzati e le logiche applicate nella predetta valutazione, nonché i soggetti o le categorie di soggetti ai quali i dati siano stati eventualmente comunicati;

il blocco del trattamento eventualmente riconosciuto illecito o non corretto;

la liquidazione in proprio favore delle spese sostenute per il procedimento;

CONSIDERATO che il ricorrente ha rappresentato di aver appreso, nel corso di una conversazione telefonica con un operatore della resistente, del diniego oppostogli in merito ad una richiesta di innalzamento del limite di spesa della carta di credito avanzata dal medesimo e di aver pertanto presentato, in quella stessa sede, un interpello preventivo in forma orale diretto ad ottenere l´accesso a tutte le informazioni utilizzate per la gestione della relativa richiesta, chiedendo in particolare:

di avere conferma dell´esistenza di dati personali che lo riguardano, con particolare riferimento alla gestione della richiesta di innalzamento del limite di spesa della carta di credito;

di conoscere l´origine dei dati personali eventualmente utilizzati ai fini della gestione della predetta richiesta;

di avere indicazioni in ordine alle banche dati consultate a tale fine e dei soggetti "che avevano fornito o avevano avuto accesso ai dati personali trattati per la valutazione della (…) affidabilità creditizia" del medesimo;

le finalità del trattamento e la logica applicata per la definizione dei parametri di "scoring" utilizzati;

VISTI gli ulteriori atti d´ufficio e, in particolare, la nota del 17 ottobre 2016 con la quale questa Autorità, ai sensi dell´art. 149, comma 1, del Codice, ha invitato il titolare del trattamento a fornire riscontro alle richieste dell´interessato;

VISTA la nota del 28 ottobre 2016 con la quale la resistente, nel rilevare l´irritualità dell´interpello preventivo in quanto avanzato con modalità diverse da quelle indicate nell´apposita informativa fornita all´interessato, ha comunicato che:

i dati personali che lo riguardano in possesso della banca sono quelli comunicati dal medesimo "in occasione della richiesta di apertura e delle successive attivazioni dei prodotti Conto Arancio e Conto Corrente Arancio";

le banche dati consultate, con specifico riguardo alla richiesta di aumento del plafond della carta di credito, sono quelle di Crif S.p.A. ed Experian - Cerved Information Services S.p.A. presso le quali non sono state riscontrate iscrizioni negative in capo al medesimo;

la mancata concessione dell´aumento del plafond richiesto è dovuta "esclusivamente ad una mera valutazione interna effettuata dalla Banca in base alle informazioni reddituali ed anagrafiche (…) comunicate in occasione" dell´apertura dei prodotti sopra citati, nonché dei dati derivanti dalla gestione degli stessi;

che non v´è stata comunicazione a terzi, né a responsabili esterni nominati dalla Banca di alcun suo dato personale relativo alla richiesta e/o al mancato accoglimento della stessa;

l´operatore telefonico al quale è stata presentata la relativa istanza non ha potuto accedere alle informazioni richieste tenuto conto del fatto che "esistono profili di abilitazione diversi a seconda del soggetto incaricato del trattamento";

VISTA la nota del 4 novembre 2016 con la quale il ricorrente ha precisato che:

l´informativa comunicata dal titolare del trattamento indica, quale modalità di proposizione dell´interpello preventivo, anche la richiesta orale;

nel riscontro fornito non risultano indicati esplicitamente i dati personali che hanno costituito la base per la valutazione effettuata dalla banca, né le logiche applicate per il compimento di quest´ultima;

non è stato indicato il punteggio di credit scoring verosimilmente attribuito all´interessato in esito alla valutazione, che si presume automatica, operata dalla banca;

non sono stati comunicati i parametri applicati alla richiesta di aumento del plafond, eccependo che si tratterebbe di una "mera valutazione interna";

l´operatore telefonico al quale è stata avanzata la richiesta di informazioni ben avrebbe potuto trasferire la chiamata ad altro soggetto specificamente incaricato ad accedere ai dati richiesti;

VISTA la nota dell´11 novembre 2016 con la quale l´istituto di credito resistente ha precisato, ad integrazione di quanto già comunicato con la nota precedente, che:

sebbene, sulla base dell´informativa comunicata ai clienti, le istanze di cui all´art. 7, lett. a), b) e c), del Codice possano essere formulate anche oralmente, quelle appartenenti alla tipologia di quelle avanzate dall´interessato, vista la specificità ed il grado di dettaglio, vengono, di regola, inoltrate ad ING BANK N.V. Milan Branch in forma scritta;

gli operatori telefonici rispondono solo con riguardo a richieste generiche, quali ad esempio le finalità e le modalità del trattamento, pertanto l´omissione imputabile alla resistente "è stata quella di non indirizzare la domanda all´ufficio competente";

gli elementi presi in considerazione ai fini della predetta valutazione sono, a titolo esemplificativo, "i componenti il nucleo familiare, la proprietà di un immobile, la professione, il settore di attività, il tipo di contratto, il reddito annuale netto, l´essere o meno in possesso di altre carte di credito, nonché i dati relativi alla gestione dei prodotti in essere con la Banca";

per "motivi di riservatezza interna, i parametri utilizzati nel processo di valutazione non possono (…) essere resi noti nella loro totalità";

VISTA la nota del 16 novembre 2016 con la quale il ricorrente, nel dichiararsi insoddisfatto del riscontro ricevuto, ha ribadito, in particolare, la richiesta di conoscere i parametri utilizzati dalla banca resistente ai fini della valutazione posta a fondamento del diniego alla concessione dell´aumento del limite mensile della carta di credito;

RILEVATO, preliminarmente, che, nel caso in esame, benché l´interpello preventivo sia stato proposto in forma orale, possa ritenersi sussistente, ai fini dell´ammissibilità del ricorso, il requisito di cui all´art. 147, comma 2, lett. a), del Codice, tenuto conto dei seguenti elementi:

- l´informativa comunicata all´interessato al momento della sottoscrizione del contratto prevedeva espressamente, tra le modalità ammesse per la presentazione delle istanze di cui all´art. 7, lett. a), b) e c), la richiesta presentata in forma orale;

- il ricorrente, nel prendere contatto telefonico con il servizio clienti della resistente al fine di ottenere informazioni sulla richiesta di innalzamento del limite di spesa della carta di credito, ha utilizzato una procedura di strong authentication per effetto della quale l´identità dello stesso poteva ritenersi sufficientemente certa nel momento in cui ha avanzato l´interpello preventivo;

- il titolare del trattamento, pur avendo inizialmente eccepito l´irritualità della richiesta avanzata con tale modalità, ha accettato il contraddittorio riscontrando le istanze dell´interessato ed ammettendo peraltro il proprio errore consistente nell´aver omesso di trasmettere la domanda all´ufficio competente;

RILEVATO inoltre, con riguardo alla richiesta di blocco, che la stessa è stata avanzata per la prima volta con l´atto introduttivo del procedimento e che pertanto il ricorso deve essere dichiarato sul punto inammissibile ai sensi dell´art. 148, comma 1, lett. b), del Codice;

CONSIDERATO, con riguardo alle ulteriori richieste, che il riscontro fornito dal titolare del trattamento, sia pure solo nel corso del procedimento, è da ritenersi adeguato rispetto a quanto domandato in sede di interpello preventivo, tenuto conto, con particolare riguardo alla richiesta di conoscere la logica applicata per la definizione dei parametri di scoring, che la resistente ne ha dato conto, sia pure in termini esemplificativi, rientrando i relativi dettagli nella libertà di iniziativa economica della stessa e frutto di scelte gestionali ed organizzative;

RITENUTO, pertanto, alla luce delle considerazioni sopra esposte, di dover dichiarare, ai sensi dell´art. 149, comma 2, del Codice, non luogo a provvedere sul ricorso in ordine alle dette richieste;

VISTE le decisioni dell´Autorità del 15 gennaio e del 19 ottobre 2005 sulla misura forfettaria delle spese e dei diritti per i ricorsi e ritenuto congruo, nel caso di specie, quantificare detto importo nella misura di euro 500,00, da addebitarsi per euro 200,00 a carico di ING BANK N.V. Milan Branch in considerazione degli adempimenti connessi alla presentazione del ricorso, compensando la restante parte per giusti motivi e, in particolare, in ragione del riscontro fornito dal titolare del trattamento;

VISTA la documentazione in atti;

VISTI gli artt. 145 e ss. del Codice;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Licia Califano;

TUTTO CIÒ PREMESSO IL GARANTE:

a) dichiara il ricorso inammissibile con riguardo alla richiesta di blocco dei dati personali trattati dalla resistente;

b) dichiara non luogo a provvedere in ordine alle restanti richieste;

c) determina l´ammontare delle spese del presente procedimento nella misura forfettaria di euro 500,00, di cui euro 200,00 da addebitarsi al titolare del trattamento, che dovrà liquidarli direttamente a favore del ricorrente; compensa la restante parte per giusti motivi.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150 del 1° settembre 2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 24 novembre 2016

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia