[doc. web n. 10074277]

Provvedimento del 9 maggio 20204

Registro dei provvedimenti
n. 294 del 9 maggio 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTO il reclamo del 16 novembre 2021 con cui è stata lamentata una presunta violazione dei propri dati personali da parte di Vivid Money GmbH;

CONSIDERATO il meccanismo di cooperazione con le altre autorità di protezione dati europee attivato da questa Autorità, come previsto dal Regolamento (art. 60 e ss.) per i trattamenti transfrontalieri di dati personali, e in particolare la procedura IMI art. 56 aperta in data 8 aprile 2022 per l’individuazione dell’autorità capofila nella trattazione del procedimento;

CONSIDERATO che l’autorità di Berlino (“BlnBDI”) si è dichiarata autorità capofila, avendo Vivid Money GmbH sede principale in Germania, Land di Berlino, e che questa Autorità ha dichiarato di essere autorità interessata nella procedura in esame, in quanto autorità ricevente il reclamo;
VISTO il progetto di decisione (“Draft Decision”), condiviso, in data 18 gennaio 2024, dall’autorità di Berlino con le altre Autorità di controllo interessate;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

PREMESSO

1. Il reclamo e l’attività istruttoria

La vicenda nasce dal reclamo presentato a questa Autorità dal sig. XX con cui lo stesso lamentava un presunto trattamento illecito dei suoi dati personali da parte di Vivid Money GmbH, con sede in Berlino, Zimmerstrasse 78, 10117, Germania, per essersi visto negare l’apertura di un conto bancario tramite l’App Vivid Money, senza alcuna spiegazione, e di non aver ricevuto adeguato riscontro alle richieste di esercizio dei diritti di accesso e di cancellazione dei propri dati personali da parte della Vivid Money GmbH (di seguito “Vivid Money”), società fornitrice di App di mobile banking e investimenti anche sul territorio italiano e a cui l’App Vivid Money sarebbe riconducibile.

Questa Autorità, dopo aver informato l’interessato (con nota del 26/01/2022) della necessità di attivare il meccanismo di cooperazione con le altre autorità di protezione dati europee ai sensi del Regolamento, ha provveduto a inviare il reclamo all’autorità di Berlino (“BlnBDI”), autorità capofila, affinché avviasse l’istruttoria del caso e verificasse la legittimità del trattamento dei dati da parte della Vivid Money.

Con procedura IMI “Exchange of relevant information”, in data 18 gennaio 2024, l’Autorità di Berlino ha condiviso un progetto preliminare di decisione nei confronti di Vivid Money, dando conto dell’attività istruttoria svolta e della propria posizione a riguardo. In particolare, nel riscontro fornito alla BInBDI la società ha rappresentato che: “Vivid non possiede dati che impediscono la creazione di account” e inoltre che “i dati e le informazioni concrete, che il reclamante cerca, si riferiscono a processi che rientrano nella responsabilità di XX” nonché “di aver risposto a tutte le domande del reclamante nelle nostre capacità […]”.

Tenuto conto delle informazioni raccolte, anche alla luce della documentazione prodotta da Vivid Money, l’autorità di Berlino è giunta alla conclusione che la stessa Società non avesse agito in violazione del Regolamento e che pertanto, la procedura istruttoria poteva dirsi conclusa.

In particolare, sulla base delle informazioni fornite, la BInBDI ha rappresentato di non poter stabilire una violazione del Regolamento nel trattamento dei dati personali da parte di Vivid Money, specificando di aver accertato i fatti qui di seguito sintetizzati: dopo che l’interessato si è visto respingere una richiesta di apertura di conto tramite l'App Vivid banking nel settembre 2021 e aver richiesto informazioni sul motivo del rifiuto, Vivid Money ha fornito riscontro dopo pochi giorni per informarlo che "purtroppo, a causa delle politiche interne e delle politiche e linee guida dei nostri partner che si occupano dell'identificazione dei clienti, non siamo in grado di offrirti il nostro servizio".

Vivid Money ha inoltre informato l’interessato via e-mail che avrebbe provveduto a cancellare i suoi dati non appena raggiunto il periodo minimo di conservazione e ha risposto alla reiterata richiesta del medesimo interessato, confermando che non era in grado di fornire lo specifico motivo di rifiuto dell’apertura del conto, inviando allo stesso il riscontro ottenuto dalla XX bank, sua banca partner. Il riscontro di XX, recitava: “Purtroppo, a causa dei requisiti tecnici e amministrativi di questo prodotto, al momento non siamo in grado di offrirvi questo servizio", chiarendo che “La XX bank si è occupata di verificare la richiesta di apertura del conto, poiché il conto sarebbe stato aperto lì”.

La successiva cancellazione degli (ulteriori) dati del sig. XX presso Vivid Money è stata, infine, confermata da Vivid Money tramite e-mail del 12 novembre 2021.

Preso atto dell’istruttoria condotta dall’Autorità di Berlino e della relativa conclusione, questa Autorità ne informava l’interessato, inviandogli, da un lato, la documentazione pervenutaci dall’autorità tedesca e invitandolo, dall’altro, qualora ritenuto opportuno, ad inviare a questa stessa Autorità, nel termine di 10 giorni, eventuali obiezioni o osservazioni.

Non essendo pervenuta alcuna obiezione o osservazione da parte dell’interessato, questa Autorità ha comunicato la propria adesione alle valutazioni dell’autorità di Berlino, la quale, il 23 febbraio 2024, ha condiviso con le altre autorità europee interessate il progetto di decisione relativo al procedimento in esame, la cui conclusione, in sintesi, è:

- l’interessato ha formulato a Vivid Money una richiesta di accesso limitata, ovvero, ha richiesto esclusivamente i dati relativi al rifiuto dell’apertura del conto con App Vivid;

- Vivid Money ha risposto a questa richiesta mediante tre successive email informando l’interessato che non poteva fornire alcuna informazione più precisa se non che la banca partner non poteva aprire il conto (fornendo il riscontro della banca partner);

- è stato fornito, quindi, adeguato riscontro entro il termine di un mese ai sensi dell'art. 12(3) del Regolamento. I motivi del rifiuto dell’apertura di un conto non sono noti a Vivid Money, quindi Vivid Money non è in grado di rivelarli; la stessa ha risposto anche alla richiesta di cancellazione entro il termine di un mese;

- su richiesta dell’Autorità di Berlino, Vivid Money ha fornito le informazioni ancora disponibili che sono state inviate all’interessato tramite l’autorità italiana;

- nel caso di specie non vi è stata, in concreto, una violazione delle norme sulla protezione dei dati da parte di Vivid Money e si propone di chiudere il caso.

2. Valutazioni dell’Autorità

Alla luce delle risultanze istruttorie, tenuto conto della documentazione pervenuta, questa Autorità ha ritenuto di dover far proprie le conclusioni dell’autorità di Berlino: infatti, non è stata ravvisata una violazione delle norme in materia di protezione dei dati da parte di Vivid Money GmbH, che ha fornito puntuale riscontro alle richieste di esercizio dei diritti dell’interessato (secondo quanto previsto dall’art. 12 del RGPD), motivando l’impossibilità di fornire gli specifici dati richiesti dal reclamante.

Pertanto, ritenendo di non dover sollevare obiezioni al progetto di decisione proposto dell’autorità di Berlino, questa Autorità si è detta d’accordo con la proposta della capofila.

Dato che non sono state sollevate obiezioni pertinenti e motivate al progetto di decisione della Autorità di Berlino, ai sensi dell’art. 60, para. 6, lo stesso è diventato vincolante per le autorità interessate (CSA).

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi dell’art. 60, par. 8, del Regolamento, nonché dell’art. 143, comma 3, del Codice, degli artt. 11, comma 1, lett. b), 14 e 18 del regolamento del Garante n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, conclude il procedimento in esame, archiviando il relativo reclamo, in quanto non è stata ravvisata una violazione delle norme in materia di protezione dei dati da parte di Vivid Money GmbH.

Il Garante, ai sensi dell’art. 60, par. 8, del Regolamento, notifica il presente provvedimento al reclamante e lo comunica al titolare per il tramite dell’autorità di Berlino.
Ai sensi dell’art. 78 del Regolamento, nonché dell’art. 152 del Codice, avverso il presente provvedimento può essere proposto ricorso all’autorità giudiziaria ordinaria.

Roma, 9 maggio 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Mattei