Diritti interna

Doveri interna

ricerca avanzata

Esonero dall'informativa in ambito assicurativo (c.d. catena assicurativa) - 26 aprile 2007 [1410057]

[doc. web n. 1410057]

Esonero dall´informativa in ambito assicurativo (c.d. catena assicurativa) - 26 aprile 2007

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

In data odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Giuseppe Fortunato, componente, e del dott. Giovanni Buttarelli, segretario generale;

Visto il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

Vista la Raccomandazione del Consiglio d´Europa Rec(2002)9, del 18 settembre 2002;

Esaminate le comunicazioni del 5 febbraio 2002, 31 luglio 2002, 18 febbraio 2004 e 9 maggio 2006 provenienti dall´Associazione nazionale per le imprese assicuratrici (Ania) e contenenti, fra l´altro, richieste volte ad ottenere la semplificazione e l´esonero dall´obbligo di rendere l´informativa agli interessati nell´ambito dello svolgimento dell´attività assicurativa (art. 13, commi 3 e 5, del Codice);

Vista la documentazione in atti, acquisita anche a seguito degli incontri avvenuti presso la sede dell´Autorità in data 11 maggio 2006 e 20 giugno 2006;

Viste le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Giuseppe Chiaravalloti;

PREMESSO

1. Il trattamento di dati personali nell´ambito della c.d. catena assicurativa

1.1. L´Associazione nazionale per le imprese assicuratrici (Ania) ha rappresentato alcune problematiche affrontate dalle imprese di assicurazione nel dare compiuta attuazione, anche quando era vigente la legge n. 675/1996, ai diversi adempimenti derivanti dalla disciplina di protezione dei dati personali.

L´Ania ha richiamato in particolare l´attenzione sulle peculiarità dell´attività assicurativa, nella misura in cui essa:

  • si può articolare in una pluralità di "fasi" (dalla c.d. fase assuntiva a quella liquidativa) che possono interessare, all´interno di un complesso tessuto di rapporti contrattuali, numerosi soggetti (persone fisiche e giuridiche, operanti in Italia e all´estero) con i quali le imprese di assicurazione cooperano nel gestire un medesimo rischio assicurativo, dando luogo al fenomeno della c.d. "catena assicurativa";
  • può coinvolgere, a seconda delle diverse tipologie assunte dai contratti di assicurazione, una pluralità di soggetti in veste di "interessati" (contraente, assicurato, beneficiario e, a certe condizioni, terzo danneggiato), taluni dei quali possono non entrare direttamente in contatto con l´assicurazione in sede di conclusione del contratto.

1.2. Ad avviso dell´Ania, il Codice entrato in vigore il 1° gennaio 2004 non avrebbe dissolto tutte le criticità che scaturirebbero dalle predette peculiarità; pertanto, con nota del 9 maggio 2006, ha rinnovato a questa Autorità, nell´interesse delle imprese associate, un´istanza volta, tra l´altro, ad ottenere, anche ai sensi dell´art. 13, comma 5, lett. c), del Codice, l´autorizzazione a rendere l´informativa alla clientela mediante un "modello unitario". Tale informativa potrebbe essere resa una tantum da parte dell´impresa di assicurazione (titolare del trattamento) in sede di conclusione del contratto di assicurazione anche nell´interesse dei diversi soggetti che, in qualità di autonomi "titolari del trattamento", effettuano trattamenti relativi al medesimo rischio assicurato.

In questa stessa sede, sempre ad avviso dell´Ania, potrebbe essere raccolto, anche per conto dei medesimi soggetti, l´eventuale consenso al trattamento dei dati personali degli interessati. Ciò, in quanto i soggetti che intervengono nella c.d. catena assicurativa (in particolare, i coassicuratori e i riassicuratori) pongono in essere operazioni di trattamento preordinate all´unica finalità di gestione del rischio assicurato a seguito della stipula di un contratto da parte dell´impresa di assicurazione.

L´informativa fornita singolarmente da parte di ciascun titolare del trattamento operante all´interno della c.d. catena assicurativa comporterebbe invece, secondo l´Ania, modalità complesse di realizzazione dell´adempimento, oltre che costi ed impegni amministrativi ritenuti sproporzionati rispetto al diritto tutelato. Ciò, "in quanto, il più delle volte, [detti soggetti] non hanno alcun contatto diretto con l´interessato stesso, giacché ricevono i dati personali dall´assicuratore dell´interessato o da altri soggetti" (cfr. nota Ania, cit.).

 

2. I profili soggettivi

2.1. Il settore assicurativo è caratterizzato da una frequente molteplicità di soggetti che, secondo i casi, vengono coinvolti nella prestazione dei servizi assicurativi relativi alla copertura di un medesimo rischio, ed effettuano (in taluni casi in qualità di "titolari", in altri come "responsabili del trattamento") operazioni di trattamento di dati personali (talvolta di natura sensibile) necessari per adempiere ad obblighi (di legge o connessi all´esecuzione del contratto) assunti nell´ambito dello svolgimento di tale peculiare attività d´impresa.

In questa cornice è necessario che le imprese di assicurazione valutino con la massima attenzione il ruolo effettivamente svolto dai soggetti che vengono chiamati a cooperare all´interno della c.d. catena assicurativa nell´esecuzione della prestazione dovuta alla clientela in base al rapporto assicurativo. Ciò, verificando se sussiste un reale ed autonomo potere decisionale in ordine alle finalità del trattamento (la cui effettiva esistenza consenta di ritenere che tali soggetti operino quali autentici "titolari del trattamento" ai sensi degli artt. 4, comma 1, lett. f) e 28 del Codice), o se essi devono invece conformare il proprio operato (che può comunque caratterizzarsi per ampi spazi di discrezionalità tecnica) alle istruzioni formulate dalle compagnie assicurative, sì da doversi correttamente qualificare quali "responsabili del trattamento" ai sensi degli artt. 4, comma 1, lett. g) e 29 del Codice.

In quest´ultima evenienza la designazione come responsabile del trattamento, che non è di per sé obbligatoria, "diviene una soluzione in qualche modo obbligata quando una parte, sia pure strumentale, dei trattamenti necessari per perseguire le finalità del titolare del trattamento è curata, con una certa autonomia, da un soggetto esterno" (Provv.  19 dicembre 1998 , Boll. n. 6/1998 , p. 117 e in , doc. web n.  41941).

2.2. Nel settore assicurativo, la corretta qualificazione del ruolo svolto dai distinti soggetti che trattano dati personali assume quindi un valore particolarmente significativo, proprio in relazione alla pluralità dei soggetti partecipanti alla c.d. catena assicurativa. Detta qualificazione, se aderente alla realtà, può infatti determinare per sé sola, con specifico riguardo alla figura dei "responsabili del trattamento", notevoli semplificazioni in relazione all´adempimento degli obblighi derivanti dalla disciplina di protezione dei dati personali (e, specificamente, quelli richiamati dall´Ania e relativi all´informativa, nonché all´eventuale raccolta del consenso dell´interessato) che gravano sulla sola compagnia assicurativa "titolare del trattamento".

 

3. L´informativa da rendere in caso di dati raccolti presso l´interessato

Gli effetti di semplificazione possono derivare non solo da una corretta qualificazione della funzione assolta dai partecipanti alla c.d. catena assicurativa. Specie nei rapporti destinati a svilupparsi lungo un ampio arco temporale (quali quelli connessi all´attivazione di contratti assicurativi) può risultare infatti agevole rendere, (al più tardi) in sede di conclusione del contratto, un´informativa (anche in relazione ai dati raccolti presso terzi: art. 13, comma 4, del Codice), per tutte le operazioni necessarie a dare corretta esecuzione al rapporto contrattuale al quale si riferisce l´informativa medesima e per altri trattamenti che (talora anche in base ad esplicite previsioni di legge) possono essere effettuati lecitamente (in tal senso v. già Provv.  28 maggio 1997 , doc. web n.  40425).

L´informativa, pur dovendo illustrare la (talora inevitabile) intensità dei flussi comunicativi, deve consentire all´interessato di rendersi conto con chiarezza dei medesimi; a tal fine essa deve indicare con precisione (evitando formulazioni generiche o dal significato oscuro, tenuto conto del destinatario della comunicazione) le finalità in concreto perseguite dalla compagnia di assicurazione, indicando altresì i soggetti o le tipologie di soggetti ai quali i dati possono essere comunicati (in qualità di autonomi titolari del trattamento) o che, considerando anche quanto sopra indicato al punto 2.2., possono venirne a conoscenza in qualità di "responsabili del trattamento".

Ulteriori elementi informativi possono essere forniti all´instaurarsi di nuovi rapporti (anziché in presenza di meri rinnovi di quelli in essere), qualora cambino le finalità o le modalità dell´originario trattamento (o altri elementi previsti dall´art. 13 del Codice).

Informazioni più dettagliate possono essere ottenute dall´interessato in sede di esercizio del diritto d´accesso di cui all´art. 7 del Codice; in particolare, l´assicurazione può essere chiamata ad indicare, su richiesta dell´interessato, i soggetti ai quali i dati sono stati comunicati o che ne hanno avuto conoscenza, ad esempio, in qualità di "responsabili del trattamento".

Un elenco aggiornato di tali soggetti deve essere comunque reso disponibile, anche on-line sul sito web delle compagnie di assicurazione, per agevolare l´esercizio del diritto d´accesso da parte dell´interessato (art. 13, comma 1, lett. f) del Codice).

 

4. Semplificazione ed esonero dal rendere l´informativa in caso di dati raccolti presso terzi da parte di altri titolari del trattamento, con particolare riferimento a coassicuratori e riassicuratori

In considerazione del principio di semplificazione degli adempimenti richiesti dalla disciplina in materia di protezione dei dati personali in capo ai titolari del trattamento, pur dovendosi assicurare un livello elevato di tutela dei diritti e delle libertà fondamentali dell´interessato nell´ambito di operazioni di trattamento (cfr. art. 2, comma 2, del Codice; considerando n. 49 direttiva 95/46/Ce), risulta necessario individuare soluzioni operative che evitino la superflua reiterazione degli stessi adempimenti (talora percepita anche dagli interessati come meramente formalistica), a vantaggio di soluzioni che, sul piano dell´informativa, siano idonee a rendere meglio edotto il contraente della circolazione delle informazioni relative alla gestione del rischio assicurato.

Tale soluzione è stata, peraltro, seguita già nel modello unico di informativa, approvato dal Garante, allegato al "codice di deontologia e di buona condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei pagamenti" (pubblicato in G.U. 23 dicembre 2004, n. 300).

Analogamente a quanto in passato deciso da questa Autorità (cfr. Provv.  26 novembre 1998 , doc. web n.  39624), va rilevato che l´adempimento all´obbligo di rendere l´informativa di cui all´art. 13 del Codice da parte degli autonomi "titolari" operanti nell´ambito della c.d. catena assicurativa, può comportare, attese le "complesse modalità di realizzazione dell´adempimento" derivanti dalla descrizione sopra fornita della c.d. catena assicurativa, un impiego di mezzi sproporzionato rispetto al diritto tutelato dalla medesima disposizione.

Con il presente provvedimento, ai sensi dell´art. 13, commi 3 e 5, lett. c) del Codice, il Garante individua modalità semplificate affinché l´assicurazione stipulante titolare dell´originario trattamento di dati possa rendere un´idonea informativa anche nell´interesse degli altri titolari del trattamento (con particolare riferimento ai coassicuratori e ai riassicuratori) che, in relazione ad un medesimo rischio assicurato, trattino nell´ambito della c.d. catena assicurativa informazioni riferite al contraente raccogliendole presso l´assicurazione che con il medesimo ha concluso il contratto. Tali ulteriori titolari del trattamento, ai sensi del predetto art. 13, comma 5, lett. c), non sono di conseguenza tenuti a rendere un´ulteriore informativa sul trattamento già reso noto all´interessato, a condizione che:

  • i medesimi titolari del trattamento siano già individuati univocamente nell´informativa resa anche nel loro interesse dall´impresa assicuratrice stipulante o siano comunque individuabili presso quest´ultima;
  • l´informativa sia formulata in modo da esplicitare univocamente anche le eventuali finalità ulteriori rispetto alla sola gestione del rischio assicurato perseguite da detti titolari del trattamento.

L´informativa fornita secondo le descritte modalità deve comunque contenere gli elementi indicati nell´art. 13 del Codice.

 

5. Consenso

In riferimento ad una larga parte dei trattamenti effettuati nell´ambito della c.d. catena assicurativa, il consenso dell´interessato non è richiesto dal momento che i dati sono necessari (per instaurare o) per dare esecuzione a un contratto di assicurazione (art. 24, comma 1, lett. b), del Codice), oppure in quanto gli stessi sono trattati sulla base di uno dei presupposti equipollenti di cui all´art. 24 del Codice (e, ovviamente, in tutti i casi in cui il "titolare del trattamento" si avvalga in conformità al Codice di un "responsabile" cui trasmetta i dati personali).

Qualora il consenso dell´interessato sia necessario (talora in forma scritta, come accade per il trattamento dei dati sensibili), l´operatività della formula di consenso può essere limitata ai soli trattamenti effettuati dall´assicurazione stipulante (compresa la comunicazione ai terzi indicati nell´informativa), oppure estendersi, in relazione al medesimo rischio assicurato, anche ai trattamenti ulteriori effettuati da altri "titolari" appartenenti alla c.d. catena assicurativa.

In quest´ultima evenienza, dal momento che il consenso deve essere prestato in forma specifica, esso deve riferirsi agli specifici trattamenti effettuati dal distinto titolare del trattamento, chiaramente individuabile nell´informativa resa (in tal senso cfr. Provv.  28 maggio 1997 , cit.).

La formulazione utilizzata, tenendo conto del principio di finalità di cui all´art. 11 del Codice, deve comunque essere specifica, evitando indicazioni generiche che non permettano all´interessato di rendersi conto della reale ampiezza della sua dichiarazione, in particolare quando ciò appaia riferibile ad attività diverse da quelle relative alla gestione del rischio assicurato (come, ad esempio, nel caso di trattamento dei dati personali per finalità di marketing).

 

6. Riassicuratore e bilanciamento di interessi

Con riferimento all´eventuale comunicazione di dati (diversi da quelli indicati all´art. 4, comma 1, lett. d), del Codice) a vantaggio dei riassicuratori, per i quali può risultare necessaria la conoscenza dei dati personali dell´interessato per dare esecuzione alla prestazione dovuta, la medesima può avvenire, per effetto del presente provvedimento, in base all´ipotesi prevista dall´art. 24, comma 1, lett. g), del Codice, atteso che, in base all´art. 1929 del codice civile, la figura contrattuale della riassicurazione può perfezionarsi in virtù del solo accordo tra assicuratore e riassicuratore, indipendentemente, quindi, dalla partecipazione dei soggetti coinvolti nel contratto di assicurazione (oggetto della riassicurazione). Ciò, in quanto il Garante ravvisa con la presente decisione i presupposti per applicare l´istituto del bilanciamento degli interessi in relazione al legittimo interesse dei titolari del trattamento coinvolti.

TUTTO CIÒ PREMESSO, IL GARANTE

a) individua, ai sensi dell´art. 13, commi 3 e 5, lett. c), del Codice, modalità semplificate per rendere l´informativa da parte dell´assicurazione stipulante titolare del trattamento e degli altri titolari del trattamento diversi da quello che stipula il contratto di assicurazione (con particolare riferimento ai coassicuratori e ai riassicuratori) che, in relazione ad un medesimo rischio assicurato, trattino nell´ambito della c.d. catena assicurativa informazioni riferite al contraente raccogliendole presso l´assicurazione che con il medesimo ha concluso il contratto (punto 4). Ciò, a condizione che:

  • detti titolari del trattamento siano già individuati univocamente nell´informativa resa anche nel loro interesse dall´impresa assicuratrice stipulante o siano comunque individuabili presso quest´ultima;
  • l´informativa sia formulata in modo da esplicitare univocamente anche le eventuali finalità ulteriori rispetto alla sola gestione del rischio assicurato perseguite da detti titolari del trattamento;

b) individua, ai sensi dell´art. 24, comma 1, lett. g), del Codice, nei termini di cui in motivazione (punto 6), i casi nei quali il trattamento dei dati personali di natura non sensibile possono essere effettuati per perseguire un legittimo interesse dei riassicuratori anche senza il consenso degli interessati.

Roma, 26 aprile 2007

IL PRESIDENTE
Pizzetti

IL RELATORE
Chiaravalloti

IL SEGRETARIO GENERALE
Buttarelli