g-docweb-display Portlet

Istituti di credito - 'Centrali rischi': eccedenza nei tempi di conservazione dei dati - 30 giugno 2004 [1041128]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 1041128]

"Centrali rischi": eccedenza nei tempi di conservazione dei dati

 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminato il ricorso presentato da XY, rappresentata e difesa dall´avv. Gabriele Gianese e dal dott. Luca Di Martino presso il cui studio ha eletto domicilio

nei confronti di

Crif S.p.A.;

Visti gli articoli 7, 8 e 145 s. del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

Viste le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Giuseppe Santaniello;

PREMESSO

L´interessata afferma di non aver ricevuto adeguato riscontro ad istanze formulate il 17 e il 26 febbraio 2004 ai sensi degli artt. 7 e 8 del Codice con le quali aveva chiesto a Crif S.p.A. di cancellare dai relativi archivi i dati che la riguardano (posizioni da 1 a 9 del report Crif del 19 febbraio 2004) che le erano stati comunicati in quest´ultima data. L´interessata, a seguito di una precedente istanza di accesso, aveva anche chiesto di ottenere l´attestazione che tale operazione venisse portata a conoscenza di coloro cui i dati erano stati comunicati o diffusi, di conoscere gli estremi identificativi del titolare e del responsabile del trattamento, nonché l´origine dei dati, le finalità e le modalità del trattamento, oltre che i soggetti o le categorie di soggetti cui i dati possono essere comunicati o che possono venirne a conoscenza.

Nel ricorso presentato a questa Autorità ai sensi dell´art. 145 del Codice, la ricorrente ha ribadito le richieste volte ad ottenere la cancellazione dei dati, l´attestazione che tale operazione è stata portata a conoscenza dei soggetti cui i dati erano stati comunicati, l´indicazione dei soggetti ai quali i dati del ricorrente possono essere comunicati, nonché a conoscere l´origine dei dati, le modalità e le finalità del trattamento. La ricorrente ha sostenuto che la raccolta e la conservazione dei dati che la riguardano da parte di Crif S.p.A. non sarebbe lecita in mancanza di un valido consenso, ed ha anche chiesto di porre a carico della resistente le spese sostenute per il procedimento.

All´invito ad aderire formulato ai sensi dell´art. 149 del Codice da questa Autorità in data 1° aprile 2004, Crif S.p.A., con fax inviato il 29 aprile 2004, ha fornito notizie in ordine all´origine dei dati, alle finalità e alle modalità del trattamento, ed ha dichiarato di aver cancellato dai propri archivi le posizioni che fanno riferimento:

  • ad un prestito personale erogato da Banca Nazionale del Lavoro il 29 ottobre 2001 ed estinto il 30 giugno 2002;
  • ad un prestito finalizzato erogato da Agos Itafinco S.p.A. in data 14 aprile 1999 ed estinto l´8 marzo 2002;
  • ad un prestito finalizzato erogato il 18 febbraio 1999 da Compass S.p.A. ed estinto il 15 agosto 1999;
  • ad una richiesta di fido di conto rivolta a Banca Nazionale del Lavoro il 9 ottobre 2003.

Con memoria inviata via fax il 4 maggio 2004 la ricorrente ha ritenuto insoddisfacente il riscontro ottenuto.

In data 18 maggio 2004 quest´Autorità ha comunicato alle parti la proroga del termine per la decisione sul ricorso ai sensi dell´art. 149, comma 7, del Codice, al fine di acquisire ulteriori elementi di valutazione in ordine ai riscontri forniti dal titolare del trattamento alle richieste dell´interessata.

Con note pervenute il 1° giugno, l´11 giugno e il 22 giugno 2004 Banca Popolare di Novara S.p.A., Findomestic Banca S.p.A. e Banca Nazionale del Lavoro, in risposta a formali istanze avanzate da questa Autorità ai sensi degli artt. 150, comma 2 e 157 del Codice, hanno fornito copia delle informative e dei consensi al trattamento dei dati personali a suo tempo manifestati dalla ricorrente in relazione ai finanziamenti dalle stesse concessi; ciò, anche in riferimento alla comunicazione dei dati ad enti di tutela del credito.


CIÒ PREMESSO IL GARANTE OSSERVA

Il ricorso concerne il trattamento dei dati effettuato da una c.d. "centrale rischi" privata.

In ordine alle richieste volte a conoscere l´origine dei dati, le finalità e le modalità del trattamento, va dichiarato non luogo a provvedere sul ricorso ai sensi dell´art. 149, comma 2 del Codice, avendo la resistente fornito sufficienti indicazioni in merito.

In ordine alla richiesta di cancellazione dei dati che riguardano la ricorrente, Crif S.p.A., nel corso del procedimento, ha dichiarato di aver già cancellato le quattro posizioni relative alla ricorrente indicate in premessa e contenute nel report Crif del 19 febbraio 2004 (posizioni nn. 2, 6, 7 e 9). In ragione di tale dichiarazione, della cui veridicità l´autore risponde anche ai sensi dell´art. 168 del Codice ("Falsità nelle dichiarazioni e notificazioni al Garante"), va dichiarato non luogo a provvedere sul ricorso ai sensi dell´art. 149, comma 2, del medesimo Codice, con riferimento a tali posizioni.

Parimenti, va dichiarato non luogo a provvedere sul ricorso ai sensi dell´art. 149, comma 2, del Codice in ordine alla richiesta di conoscere i soggetti o le categorie di soggetti cui i dati possono essere comunicati o che possono venirne a conoscenza, e a quella volta ad ottenere l´attestazione che l´operazione di cancellazione sia portata a conoscenza dei soggetti cui i dati sono stati comunicati. Come emerso dai riscontri forniti da Crif S.p.A. anche in altri procedimenti relativi a fattispecie analoghe, risulta infatti che a tali categorie appartengono banche, finanziarie, società di telecomunicazioni aderenti al sistema di referenza creditizia di Crif S.p.A.. Inoltre, essendo gli enti aderenti alla predetta "centrali rischi" privata in grado di visualizzare "in tempo reale" tutti i dati detenuti in relazione ai soggetti censiti, gli stessi sono in tal modo messi a conoscenza dell´eventuale intervenuta rimozione di alcuna o di tutte le informazioni dalla banca dati stessa.

Per quanto concerne la cancellazione dei dati detenuti da Crif S.p.A. in relazione ai finanziamenti concessi alla ricorrente da Banca Popolare di Novara S.p.A., Findomestic Banca S.p.A. e Banca Nazionale del Lavoro S.p.A., attualmente in corso (posizioni nn. 1, 3, 4 del citato report Crif), il ricorso è infondato. Dalla documentazione in atti non emergono elementi che facciano ritenere allo stato illecito il trattamento di dati effettuato dalla resistente, trattandosi di rapporti in corso e senza segnalazioni di insolvenza. Pertanto, la divulgazione in rete a banche e a società finanziarie di tali dati non risulta allo stato eccedente rispetto alle finalità originarie per le quali i dati furono raccolti e trattati (art. 11, comma 1, lett. d), del Codice). Inoltre, dalla documentazione in atti non è emerso che Crif S.p.A. abbia raccolto e comunicato i dati dell´interessata in modo illecito, avendo la ricorrente manifestato nei confronti di tali resistenti il proprio consenso informato. Banca Popolare di Novara S.p.A., Findomestic Banca S.p.A. e Banca Nazionale del Lavoro S.p.A. hanno in proposito inviato copia delle richieste di finanziamento sottoscritte dalla ricorrente, nelle quali è riportata l´informativa ex art. 13 del Codice (già art. 10 della legge n. 675/1996) contenente anche il riferimento alla comunicazione dei dati personali alle banche dati delle c.d. "centrali rischi" private.

Dalla documentazione in atti, e in particolare dal report Crif del 19 febbraio 2004, emerge infine che la resistente conserva nel proprio sistema di referenza creditizia le posizioni che fanno riferimento a due prestiti personali erogati da Banca Nazionale del Lavoro S.p.A., rispettivamente il 24 luglio 1997 e il 25 luglio 2000, ed estinti il 24 settembre 1999 e 25 ottobre 2001 (posizioni nn. 5 e 8 del citato report), rispetto ai quali non risulta essersi verificato alcun ritardo o contestazione nei pagamenti. A prescindere dalla mancanza di specifiche annotazioni "negative" per la ricorrente, l´ulteriore divulgazione in rete a banche e a società finanziarie dei dati riferiti a posizioni estinte da tempo risulta eccedente rispetto alle finalità originarie per le quali i dati furono raccolti e trattati, in violazione di quanto stabilito dall´art. 11, comma 1, lett. d), del medesimo Codice. In parziale accoglimento del ricorso, va quindi disposta, quale "misura necessaria a tutela dei diritti dell´interessato" (art. 150, comma 2, del Codice), la cancellazione dei dati che si riferiscono a tali finanziamenti, da apportarsi entro il 31 luglio 2004. Entro il medesimo termine, la resistente dovrà confermare alla ricorrente la cancellazione di tali dati e fornirle la richiesta attestazione che la cancellazione stessa è stata portata a conoscenza dei soggetti cui i dati erano stati comunicati, dando conferma di tale duplice riscontro anche a questa Autorità.

L´ammontare delle spese sostenute nel presente procedimento è determinato, ai sensi dell´art. 150, comma 3, del Codice, nella misura forfettaria di euro 250, di cui euro 25,82 per diritti di segreteria, tenuto conto degli adempimenti connessi alla redazione e presentazione del ricorso. Il medesimo ammontare è posto a carico di Crif S.p.A., nella misura di euro 200, previa compensazione della restante parte, ai sensi del predetto art. 150, comma 3, per giusti motivi legati al contenuto del riscontro inviato dalla resistente, sia pure in modo incompleto.


PER QUESTI MOTIVI IL GARANTE

a) accoglie il ricorso limitatamente alla richiesta di cancellazione dei dati - ed alla relativa attestazione - in relazione ai dati riferiti ai finanziamenti erogati da Banca Nazionale del Lavoro S.p.A. il 24 luglio 1997 e il 25 luglio 2000 (posizioni nn. 5 e 8 del report Crif), ordinando alla resistente di cancellare tali dati dalla banca dati accessibile ai terzi e di fornire la richiesta attestazione entro il 31 luglio 2004, nei termini di cui in motivazione;

b) dichiara il ricorso infondato in ordine alla cancellazione dei dati riferiti ai finanziamenti in corso concessi da Banca Popolare di Novara S.p.A., Findomestic Banca S.p.A. e Banca Nazionale del Lavoro S.p.A. (posizioni nn. 1, 3 e 4 del report Crif);

c) dichiara non luogo a provvedere sul ricorso in ordine ai restanti profili;

d) determina nella misura di 250 euro, di cui 25,82 per diritti di segreteria, l´ammontare delle spese e dei diritti del procedimento che pone nella misura di 200 euro, previa compensazione della restante parte per giusti motivi, a carico di Crif S.p.A., la quale dovrà liquidarlo direttamente a favore della ricorrente.


Roma, 30 giugno 2004

IL PRESIDENTE
Rodotà

IL RELATORE
Santaniello

IL SEGRETARIO GENERALE
Buttarelli