[doc. web n. 2358821]

Provvedimento del 31 gennaio 2013

Registro dei provvedimenti
n. 45 del 31 gennaio 2013

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

VISTO il ricorso pervenuto al Garante il 24 ottobre 2012, presentato nei confronti di Banca Popolare dell´Etruria e del Lazio società cooperativa, con il quale XY, KW e KX (rappresentati e difesi dall´avv. Luciano Fanti), dopo aver ripetutamente contestato l´esecuzione di una serie di ordini di acquisto e di vendita titoli effettuata sui conti correnti aperti presso la citata banca (sostenendo che terzi non autorizzati avrebbero effettuato a loro insaputa anomale operazioni finanziarie con conseguente grave perdita economica a loro danno) hanno ribadito le proprie richieste volte a ottenere la comunicazione in forma intelligibile dei dati personali riferiti alle operazioni finanziarie in questione;

VISTI gli ulteriori atti d´ufficio e, in particolare, la nota del 31 ottobre 2012 con la quale questa Autorità, ai sensi dell´art. 149, comma 1, del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196), ha invitato il titolare del trattamento a fornire riscontro alle richieste degli interessati, nonché la successiva nota del 21 dicembre 2012 con cui è stata disposta la proroga del termine per la decisione sul ricorso ai sensi dell´art. 149, comma 7, del Codice;

VISTA la nota datata 21 novembre 2012 e la successiva memoria datata 27 novembre 2012 con la quale l´istituto di credito resistente ha eccepito che: a) gli interessati avrebbero avanzato, a far data dal 2010, plurime e reiterate richieste di acquisizione di documentazione cui la banca avrebbe dato puntuale riscontro; b) le richieste degli interessati non sarebbero, a parere della banca, istanze formulate ai sensi degli artt. 7 e 8 del d.lg. n. 196/2003 ma dovrebbero ricondursi al disposto dell´art. 119, comma 4, del testo unico in materia bancaria (d.lg. 385/1993), che riconosce il diritto di ottenere – a proprie spese - copia della documentazione bancaria esclusivamente al titolare del rapporto o a chi ne sia legittimo successore; c) le richieste di documentazione in questione sarebbero "strumentali (…) alla proposizione di eventuali azioni legali di tipo risarcitorio" nei confronti della banca resistente e quindi "finalizzate alla tutela di diritti di natura patrimoniale" e non dei "diritti, di rango più elevato, relativi alla tutela dei soggetti in ordine al trattamento dei dati personali" disciplinata dal d.lg. n. 196/2003; d) la banca resistente, come già comunicato nella nota del 12 settembre 2012, ha messo a disposizione dei ricorrenti la documentazione allo stato reperita (che solo per la signora XY riguarda 375 operazioni di compravendita di strumenti finanziari) che potrà essere ritirata presso l´Agenzia 15 di Roma, previa corresponsione delle spese quantificate dalla filiale sulla base dei vigenti fogli informativi, ai sensi dell´art. 119, comma 4, del testo unico bancario;

VISTA la memoria fatta pervenire in data 7 gennaio 2013 con la quale i ricorrenti hanno eccepito che il diritto di accesso ai dati personali "deve essere garantito gratuitamente e non può essere condizionato, per quanto attiene alle modalità di esercizio," dalle norme del Testo Unico Bancario, "come vorrebbe la banca resistente che si riferisce al diverso diritto del cliente di ottenere distinti atti e documenti bancari contenenti o meno dati personali";  i ricorrenti hanno inoltre ribadito il loro interesse ad ottenere maggiori informazioni circa le singole operazioni contestate, "raggruppate in modo generico sugli estratti conto con voci ambigue o incomprensibili (ad es.: operazioni su estero)" e che sarebbero state, a giudizio dei ricorrenti, compiute da terzi non autorizzati, "falsificando la firma dei ricorrenti e sostituendosi a loro nella scelta delle singole operazioni di investimento e disinvestimento";

RILEVATO che occorre, preliminarmente, ribadire la distinzione, delineata dall´Autorità (vedi art. 5.2 delle "Linee guida per trattamenti dati relativi a rapporto banca-clientela" del 25 ottobre 2007 pubblicato su G.U. n. 273 del 23 novembre 2007) tra la richiesta di accesso a documenti contenenti dati bancari, che possono riguardare anche soggetti diversi dall´interessato, effettuata ai sensi dell´art. 119 del Testo Unico Bancario e le richieste, avanzate ai sensi degli artt. 7 e 8 del Codice, volte ad ottenere la comunicazione in forma intelligibile dei dati personali riferiti all´interessato contenuti nei medesimi documenti; il Garante ha ricordato che "l´art. 7 del Codice obbliga la banca (in qualità di titolare del trattamento) a fornire idoneo riscontro alle richieste di accesso avanzate dagli interessati con riferimento ai dati personali che li riguardano. Tra questi devono essere annoverate anche tutte le informazioni personali relative alle operazioni effettuate dagli interessati, nonché quelle relative alle registrazioni telefoniche degli ordini di negoziazione dagli stessi impartiti, come pure le informazioni di carattere personale, eventualmente raccolte dalla banca nell´eseguire ordini di investimento della clientela e idonee a manifestare obiettivi e propensione al rischio"; con riferimento alle richieste di accesso ai dati personali l´art. 10 del Codice prevede, in particolare, che i dati siano estratti a cura del responsabile o degli incaricati e comunicati all´interessato anche oralmente, ovvero offerti in visione mediante strumenti elettronici, o, se vi è specifica richiesta, comunicati mediante trasposizione dei medesimi su supporto cartaceo o informatico, in ogni caso previo oscuramento di eventuali dati relativi a terzi; rilevato inoltre che la previsione di cui all´art. 10, comma 4, del Codice, che attribuisce al titolare del trattamento, qualora l´estrazione dei dati risulti particolarmente difficoltosa, la facoltà di fornire riscontro "attraverso l´esibizione o la consegna in copia di atti e documenti contenenti i dati personali richiesti", è diretta ad agevolare il riscontro da parte del titolare, senza per questo trasformare necessariamente l´istanza di accesso ai dati personali in un´istanza di accesso a documenti; rilevato, infine, che le richieste, avanzate ai sensi dell´art. 7 del Codice, non devono essere motivate e possono essere avanzate anche qualora le informazioni siano necessarie (come nel caso di specie) ai fini della tutela di un diritto anche di natura patrimoniale;

RILEVATO che, nel caso di specie, risulta applicabile la disciplina in materia di protezione dei dati personali avendo i ricorrenti esplicitamente chiesto, ai sensi degli artt. 7 e 8 del Codice, la comunicazione dei dati personali che li riguardano contenuti in alcuni documenti detenuti dalla banca;

RITENUTO, alla luce delle considerazioni esposte, di dover accogliere il ricorso e di dover ordinare a Banca Popolare dell´Etruria e del Lazio società cooperativa di comunicare ai ricorrenti, nelle forme e nei limiti di cui all´art. 10 del Codice, i dati personali che li riguardano relativamente alle singole operazioni di acquisto e di vendita titoli effettuate sui conti correnti aperti presso la citata banca, entro il termine di quarantacinque giorni dalla ricezione del presente provvedimento, dando conferma all´Autorità dell´avvenuto adempimento entro il medesimo termine;

VISTI gli artt. 145 e s. del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

VISTE le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Augusta Iannini;

TUTTO CIÒ PREMESSO IL GARANTE:

accoglie il ricorso e, per l´effetto, ordina a Banca Popolare dell´Etruria e del Lazio società cooperativa di comunicare ai ricorrenti, nelle forme e nei limiti di cui all´art. 10 del Codice, entro quarantacinque giorni dalla data di ricezione del presente provvedimento, i dati personali che li riguardano relativamente alle singole operazioni di acquisto e di vendita titoli effettuate sui conti correnti aperti presso la citata banca.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 31 gennaio 2013

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia