Diritti interna

Doveri interna

ricerca avanzata

Parere del Garante su uno schema di decreto ministeriale in materia di frodi nel settore del credito al consumo, con specifico riferimento al furto d'identità - 21 marzo 2013 [2462626]

SCHEDA
Garante per la protezione dei dati personali
Doc-Web:
2462626
Data:
21/03/13
Argomenti:
Credito al consumo , Furto di identità
Tipologia:
Parere del Garante

[doc. web n. 2462626]

Parere del Garante su uno schema di decreto ministeriale in materia di frodi nel settore del credito al consumo, con specifico riferimento al furto d´identità - 21 marzo 2013

Registro dei provvedimenti
n. 135 del 21 marzo 2013

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

Vista la richiesta di parere del Ministero dell´economia e delle finanze;

Visto l´art. 154, comma 4 del Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196);

Vista la documentazione in atti;

Viste le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Antonello Soro;

PREMESSO

Il Ministero dell´economia e delle finanze  ha richiesto il parere del Garante in ordine a uno schema di decreto ministeriale (avente natura regolamentare) volto a disciplinare il sistema pubblico di prevenzione, sul piano amministrativo, delle frodi nel settore del credito al consumo, con specifico riferimento al furto d´identità.

Il sistema di prevenzione è stato istituito dal decreto legislativo 11 aprile 2011, n. 64, (che ha integrato al riguardo il decreto legislativo 13 agosto 2010, n. 141), in attuazione della direttiva europea 2004/48/CE relativa ai contratti di credito ai consumatori (art. 33, comma 1, lettere da d-bis) a d-quinquies) della legge 7 luglio 2009, n. 88, legge comunitaria 2008, inserite dalla legge 4 giugno 2010, n. 96, legge comunitaria 2009).

Il regolamento è adottato ai sensi dell´articolo 30-octies del predetto decreto n. 141 del 2010, introdotto dal decreto legislativo 11 aprile 2011, n. 64, e successivamente modificato dal decreto legislativo 19 settembre 2012, n. 169 (che ha esteso, fra l´altro, la partecipazione al sistema alle imprese di assicurazione).

Il decreto legislativo n. 64 del 2011 riproduce sostanzialmente un testo normativo approvato, nella decorsa legislatura, dal Senato e giunto in avanzata fase di elaborazione anche alla Camera dei deputati (disegni di legge AASS n. 414 e n. 507, Barbolini – Costa; AC 2699, esaminato dalla Commissione finanze della Camera). Nel corso dei lavori parlamentari il Garante ha tenuto due audizioni presso le omologhe commissioni finanze del Senato e della Camera (nel 2008 e nel 2009), nelle quali ha espresso alcune perplessità di fondo sul provvedimento normativo.

Occorre considerare che il progetto iniziale disegnava il sistema di prevenzione come un mero "snodo tecnico", apprestato presso il Ministero dell´economia e delle finanze (di seguito MEF),  attraverso il quale il gestore doveva provvedere a riscontrare le richieste di verifica provenienti dai soggetti aderenti al sistema (banche, essenzialmente) su dati e informazioni registrati in altre, distinte banche dati. Ciò al fine di controllare la "veridicità" dei dati personali identificativi dei soggetti che ricorrono al credito al consumo, al fine di scoraggiare fenomeni di sostituzione di persona (mediante falsificazione di documenti o altre pratiche in frode alla legge) largamente diffusi, purtroppo, per poter avere accesso al credito.
Senonché, l´originario impianto del progetto normativo e la configurazione del sistema sono stati snaturati già nel corso dei lavori in Parlamento, affiancandosi allo "snodo tecnico" un vero e proprio archivio presso il MEF.

Infatti, in base alla disposizione normativa vigente (ora art. 30-quater del decreto legislativo n. 141/2010) il sistema di prevenzione è basato su un "archivio centrale informatizzato", composto, oltre che da una "interconnesione di rete" (lo snodo tecnico di cui sopra), anche da un "modulo informatico di allerta" nel quale sono memorizzate: a) le informazioni trasmesse dai soggetti aderenti al sistema relative alle frodi subite e ai casi che configurano un rischio di frodi; b) le segnalazioni di allerta preventive trasmesse dal titolare dell´archivio agli aderenti. Tali informazioni, peraltro, devono essere conservate nell´archivio per il tempo necessario agli aderenti per accertare l´effettiva sussistenza del rischio di frodi (art. 30-quater, comma 1, lett. c, d. lgs n. 141/2010).

La previsione di tali flussi informativi è destinata a creare presso il MEF una banca dati di notevoli dimensioni, contenente numerose informazioni personali di particolare delicatezza, relative ai cittadini che ricorrono al credito o ad altri servizi, nonché degli esercenti commerciali. Essa rischia, peraltro, di incoraggiare pericolose stigmatizzazioni dei cittadini che ricorrono al credito, sulla base di una valutazione rimessa agli stessi operatori del settore e non alle pubbliche autorità competenti in materia di prevenzione e repressione di comportamenti fraudolenti.
Analoghe perplessità suscita, inoltre, la previsione di un servizio, telefonico e telematico, volto a ricevere segnalazioni da parte di soggetti che hanno subito o temono di aver subito frodi configuranti ipotesi di furto di identità (art. 30-ter, comma 8, d. lgs. n. 141/2010). Né il decreto legislativo, né tanto meno l´odierno schema di regolamento, peraltro, disciplinano l´utilizzo di tali informazioni, non chiarendo, innanzitutto, se esse siano comunque registrate nella banca dati e per quanto tempo. Se tali aspetti saranno disciplinati da codesta Amministrazione il Garante si riserva di valutarne la conformità alla disciplina in materia di protezione dei dati personali.

Il decreto legislativo ha confermato poi un´altra criticità che il Garante aveva segnalato al Parlamento: l´allargamento della "partecipazione" al sistema ad una vasta platea di soggetti (definiti aderenti, diretti o indiretti), per giunta per finalità non ben identificate e in alcuni casi diverse da quelle di valutazione del merito creditizio. Si pensi, ad esempio, ai fornitori di servizi di comunicazione elettronica o di servizi interattivi, come pure ai "gestori di sistemi di informazioni creditizie", oppure ancora, alle imprese di assicurazione, recentemente "aggiunte" dal decreto legislativo n. 164 del 2012.

Anche sotto questo profilo, il Garante non può che confermare le perplessità già manifestate al Parlamento circa l´opportunità di estendere la partecipazione al sistema anche a soggetti che svolgono attività affatto diverse da quelle del credito al consumo o per finalità non assimilabili alla valutazione del merito creditizio.

RILEVATO

Il decreto legislativo 11 aprile 2011, n. 64, ha istituito, quindi, un sistema centralizzato di riscontro di dati e di condivisione di informazioni, volto ad arginare il fenomeno delle frodi identitarie.

Il sistema consente di verificare i dati forniti da chi richiede una dilazione o un differimento di pagamento, un finanziamento o altra analoga facilitazione finanziaria, un servizio a pagamento differito, una prestazione di carattere assicurativo, tramite l´interrogazione di database pubblici e permette di memorizzare e condividere le informazioni, fornite dagli  aderenti, sulle frodi subite nonché sui casi che configurano un rischio di frode.

Il regolamento si compone di 21 articoli e due allegati, i quali costituiscono parte integrante dello stesso.

L´articolo 6 specifica che l´archivio (rectius il sistema) si articola in sei livelli:

- il primo, reso pubblico sul sito web del MEF, contiene le liste nominative degli aderenti nonché documentazione di carattere normativo e divulgativo;

- il secondo contiene elaborazioni statistiche ed è liberamente consultabile dagli aderenti diretti; altri enti interessati (università, enti di carattere scientifico etc.) possono essere autorizzati di volta in volta all´accesso, previo assenso del MEF;

- il terzo livello consente di inviare le richieste di verifica ai fini del riscontro dell´autenticità dei dati.  Il riscontro avviene tramite il collegamento telematico tra l´archivio e le banche dati pubbliche;

- il quarto ed il quinto livello contengono, rispettivamente, le informazioni relative alle frodi subite e quelle concernenti il rischio di frodi;

- il sesto livello riguarda i risultati di specifico interesse, derivanti dall´elaborazione dei dati e delle informazioni, destinati al Ministero dell´interno, alla Banca d´Italia, alla Guardia di Finanza, in linea con quanto stabilito dall´articolo 30-quater, comma 3, della norma istitutiva, nonché le segnalazioni di allerta, per finalità di prevenzione, rivolte agli aderenti diretti.

Titolare dell´archivio centralizzato e del connesso trattamento dei dati è il Ministero dell´economia e delle finanze; secondo quanto previsto dall´articolo 29 del Codice in materia di protezione dei dati personali (d. lg. 30 giugno 2003, n. 196, di seguito "Codice"), il Ministero designa per la gestione dell´archivio e in qualità di responsabile del trattamento dei dati personali la società CONSAP Spa (ente gestore) (art. 30-ter, comma 3, d.lg. n. 141/2010).

Lo schema di regolamento, come del resto il decreto legislativo, individua gli aderenti al sistema distinguendo tra "aderenti diretti" e "aderenti indiretti".

Sono "aderenti diretti": le banche, comprese quelle comunitarie e quelle extracomunitarie, e gli intermediari finanziari iscritti nell´elenco generale di cui all´articolo 106 del decreto legislativo 1°settembre 1993, n. 385; i fornitori di servizi di comunicazione elettronica, ai sensi dell´articolo 1, comma 1, lettera gg), del codice di cui al decreto legislativo 1° agosto 2003, n. 259; i fornitori di servizi interattivi associati o di servizi di accesso condizionato ai sensi dell´articolo 2, comma 1, lettera q, del decreto legislativo 31 luglio 2005, n. 177; le imprese di assicurazione (art. 30-ter, comma 5, lettere a), b), c) e c-bis, d. lg. n. 141/2010; art. 1, comma 1, lett. a), dello schema).

Sono invece definiti "aderenti indiretti": i gestori di sistemi di informazioni creditizie e le imprese che offrono agli aderenti diretti servizi assimilabili alla prevenzione, sul piano amministrativo, delle frodi, in base ad apposita convenzione con il MEF (30-ter, comma 5, lett. d), d.lg n. 141/2010; art. 1, comma 1, lett. b), dello schema).

Gli aderenti diretti partecipano al sistema per i seguenti fini:

- per ottenere il riscontro di veridicità dei dati tramite l´interconnessione del sistema agli archivi detenuti dagli enti pubblici (Agenzia delle Entrate, Ministero dell´interno, Ministero dei trasporti e delle infrastrutture, INPS,  INAIL);

- relativamente all´immissione delle informazioni sulle frodi subite, per la condivisione delle stesse da parte di tutti i soggetti che aderiscono al sistema, nonché per fini statistici e di studio del fenomeno delle frodi identitarie;

- riguardo all´inserimento delle informazioni sul rischio di frode, per la condivisione da parte di tutti i soggetti aderenti di quelle particolari fattispecie di operazioni che, considerate sospette, potrebbero costituire una potenziale frode.

Gli aderenti diretti sono tenuti a trasmettere al MEF un apposito formulario per il loro censimento (all. 1). E´ altresì previsto l´obbligo per gli aderenti diretti di stipulare una convenzione con l´ente gestore del sistema di prevenzione (Consap s.p.a.), nonché l´obbligo di versamento del contributo nella misura puntualmente indicata nell´articolo 3. Gli aderenti indiretti sono tenuti a stipulare una convenzione con il MEF.

CONSIDERATO

Il parere è reso su di una versione dello schema di decreto che tiene conto di alcuni primi approfondimenti e indicazioni suggeriti dall´Ufficio del Garante ai competenti uffici dell´Amministrazione interessata nel corso di riunioni e di contatti informali.

Nondimeno, per conformarne pienamente il contenuto ai principi e alle regole in materia di protezione dei dati personali, è necessario perfezionarne ulteriormente il testo nei termini seguenti.

1. Considerazioni generali.

Il provvedimento in esame prevede la centralizzazione presso il MEF di un numero cospicuo di informazioni personali, di particolare delicatezza.

Le finalità sottese all´esigenza di prevenire l´uso indebito di informazioni e documenti a fini fraudolenti sono lecite e svolte a garanzia delle persone interessate (possibili frodati); tuttavia occorre assicurare un equo bilanciamento di tali esigenze con i diritti delle persone, in quanto, in ogni caso, il trattamento dei dati personali che si rende necessario a tali fini può presentare "rischi specifici per i diritti e le libertà fondamentali, nonché per la dignità" degli interessati, che richiedono un´attenta valutazione (art. 17 del Codice). Ciò, in relazione alla natura delle informazioni e alle modalità del trattamento correlato alla menzionata centralizzazione, nonché agli effetti che possono determinarsi nella sfera giuridica degli interessati. Il trattamento può infatti incidere, in particolare, sulla decisione di concludere o di risolvere contratti da parte del soggetto aderente al sistema, come pure di accertare comportamenti fraudolenti (grazie anche ad attività investigative da parte dei soggetti a ciò istituzionalmente preposti), con le conseguenze anche penali che ne possono derivare.

A prescindere dalle cautele ipotizzate nello schema di regolamento e sulle quali è espresso il presente parere, il Garante si riserva quindi la facoltà di prescrivere autonomamente altre misure ed accorgimenti che si rivelassero necessari a garanzia degli interessati, anche sulla base della prima esperienza applicativa (art. 17 del Codice).

2. Ambito applicativo e finalità del trattamento.

Lo schema di regolamento non individua espressamente le finalità del trattamento legittimamente perseguibili mediante l´istituzione del sistema di prevenzione, mentre questo profilo richiederebbe un´esplicitazione rispetto alle previsioni contenute nel decreto legislativo. In ogni caso, è necessario che si tenga nella dovuta considerazione l´effettivo ambito applicativo della disciplina.

A tal riguardo, si rammenta che il decreto legislativo sancisce che il sistema è volto alla prevenzione, sul piano amministrativo, delle frodi nel settore del credito al consumo, con specifico riferimento al furto d´identità, e per furto d´identità intende: a) l´impersonificazione totale: cioè, occultamento totale della propria identità mediante l´utilizzo indebito di dati relativi all´identità e al reddito di un altro soggetto; b) l´impersonificazione parziale: cioè, l´occultamento parziale della propria identità mediante l´impiego, in forma combinata, di dati relativi alla propria persona e l´utilizzo indebito di dati relativi ad un altro soggetto, nell´ambito di quelli di cui alla lettera a) (art. 30-bis, comma 1, d. lgs. n. 141/2010).  Inoltre, il decreto legislativo limita la possibilità di utilizzo di questo sistema stabilendo che "la verifica dell´autenticità dei dati non può essere richiesta al di fuori dei casi e delle finalità previste per la prevenzione del furto di identità" (art. 30-ter, comma 7).

Ne consegue che la disciplina in esame non riguarda i casi di alterazione di documenti propri o altri comportamenti fraudolenti che non comportino la sostituzione di persona (anche parziale). Ad esempio, quindi, non sarebbe assoggettabile alla disciplina del presente decreto la contraffazione del solo elemento reddituale presente nella propria dichiarazione dei redditi o busta paga.
In conclusione, per dare piena attuazione al principio di finalità (art. 11 del Codice), nello schema devono essere esplicitati le finalità del trattamento e l´ambito applicativo del regolamento, con la previsione ulteriore che le informazioni trattate presso il Ministero e da tutti i soggetti che accederanno all´archivio non potranno essere utilizzate per scopi diversi o comunque incompatibili con quelli indicati nel decreto legislativo e nel regolamento stesso.

3. Gli aderenti diretti.

3.1. Come già anticipato sopra, al sistema partecipano, nella qualità di "aderenti diretti", numerose categorie di soggetti, che operano in settori affatto diversi e per finalità non coincidenti. E´ opportuno, quindi, che lo schema di decreto sia integrato con l´indicazione dei limiti di partecipazione al sistema delle singole categorie di soggetti, in particolare per quanto riguarda i dati oggetto di riscontro e le finalità perseguite.

Le osservazioni suddette potrebbere essere recepite, innanzitutto, sostituendo il comma 3 dell´articolo 2 dello schema con la proposta che si suggerisce o con altra di analogo tenore: "Gli aderenti diretti partecipano al sistema di prevenzione esclusivamente in relazione ai dati, pertinenti e non eccedenti, necessari al perseguimento delle specifiche finalità inerenti al settore commerciale di appartenenza".

Conseguenti modifiche devono essere poi apportate al modello di formulario (cfr. all. 1, paragrafo "Modalità di accesso all´archivio da parte dell´aderente diretto", pag. 17).

3.2. Inoltre, è auspicabile l´indicazione precisa dei dati che ciascuna categoria di soggetti aderenti può riscontrare, fra quelli indicati nell´articolo 7 dello schema di regolamento, integrando, al riguardo, lo schema e, eventualmente, gli allegati con una apposita tabella.

3.3. In ogni caso, l´ambito di "partecipazione" del singolo aderente al sistema dovrà essere precisato nella convenzione che lo stesso è tenuto a stipulare con il gestore dell´archivio (art. 2, comma 2, dello schema). In ragione di ciò, è opportuno integrare lo schema con la previsione che le convenzioni siano redatte in conformità ad uno schema–tipo da adottare su parere conforme del Garante.

4. Gli aderenti indiretti.

4.1. Lo schema individua gli "aderenti indiretti" nei soggetti indicati all´articolo 30-ter, comma 5, lett. d), del decreto legislativo, che partecipano, anch´essi, al sistema in base ad apposita convenzione con il MEF. Al riguardo è necessario che lo schema sia integrato precisando il ruolo riservato a tali soggetti nel funzionamento del sistema e i connessi limiti al trattamento dei dati personali.
In tal senso, nel chiarire espressamente l´ambito di "operatività" di tali soggetti, specificando i limiti entro cui possono trattare dati personali, si dovrà tener conto almeno dei seguenti aspetti:

a) gli aderenti indiretti - come sembra evincersi dalla lettura dell´allegato 1 ove è riportato il formulario che devono compilare gli aderenti diretti - possono essere soltanto delegati da questi ultimi all´effettuazione delle verifiche di dati tramite il terzo livello dell´archivio: si limitano, in sostanza, a veicolare le richieste di verifica dei dati provenienti dagli aderenti diretti;

b) all´esito della procedura di riscontro, quindi, non dovrebbero conservare nei propri archivi alcun dato personale (potrebbe essere solo conservata traccia dell´effettuazione della richiesta);

c) gli aderenti indiretti partecipano al sistema, nei limiti sopra indicati, solo in relazione alle procedure di verifica dei dati (terzo livello), e non anche rispetto ai livelli dell´archivio denominati  "frodi subite" o "rischio di frodi".

4.2. Poiché all´accesso al terzo livello sono abilitati sia gli aderenti diretti, sia gli aderenti indiretti, occorre precisare nel regolamento che è ammesso un solo accesso a tale livello per ogni "operazione".

4.3. Infine, deve essere perfezionato l´articolo 2, comma 4, dello schema in modo da assicurare che le convenzioni ivi previste fra aderenti indiretti e MEF disciplinino anche le modalità del trattamento dei dati personali, secondo uno schema-tipo da adottare su conforme parere del Garante. Al riguardo, al primo periodo del citato comma potrebbero essere aggiunte le seguenti parole: ", sulla base di uno schema-tipo da adottarsi su conforme parere del Garante per la protezione dei dati personali"; e al periodo successivo, le seguenti: "e le modalità del trattamento dei dati personali".

5. Verifica dei dati.

5.1. Procedura.

Occorre precisare nello schema che i dati oggetto di riscontro non sono "immessi" nell´archivio, come invece lascerebbero intendere il tenore dell´articolo 5, comma 1, e dell´articolo 12, comma 2, e la relazione illustrativa. In tal senso, la procedura di verifica di tali dati dovrà essere strutturata in maniera tale da non richiederne la registrazione nell´archivio, ma solo la loro veicolazione a fini di riscontro delle richieste di verifica; ciò, scongiurerebbe il rischio di un´inutile duplicazione di una massa enorme di informazioni e la creazione di una´altra banca dati centralizzata di cui non si ravvisa l´esigenza ai fini del funzionamento del sistema di prevenzione delle frodi.

L´osservazione potrebbe essere recepita, accorpando i commi 1 e 2 dell´articolo 5 nel seguente: "1. Gli aderenti diretti partecipano al sistema per la verifica dei dati di cui all´articolo 7 e per l´immissione delle informazioni di cui all´articolo 9, secondo quanto previsto dall´articolo 12.".

Conseguentemente, all´articolo 12, la rubrica dovrebbe essere sostituita dalla seguente: "(Modalità e termini di verifica dei dati e di immissione delle informazioni nell´archivio)"; al comma 1 dovrebbero essere soppresse le parole: "che alimentano l´archivio"; al comma 2, le parole "I dati sono immessi nell´archivio" dovrebbero essere sostituite dalle seguenti: "Le richieste di verifica dell´autenticità dei dati sono inviate"; e infine al comma 6 la parola "immessi" dovrebbe essere sostituita dalla seguente: "trasmessi".

Infine, precisazioni coerenti con le descritte modifiche dovrebbero essere apportate nell´allegato tecnico 2 (pagg. 24, 26 e 28).

5.2. Contenuto delle richieste.

L´articolo 7 individua i "dati oggetto di riscontro" contenuti nelle richieste di verifica. Al riguardo è opportuno chiarire nello schema che alcuni di questi dati, pur dovendo essere indicati nella richiesta (per identificarne e circoscriverne il contenuto), non sono, però, poi oggetto di riscontro nelle altre banche dati pubbliche. Ci si riferisce, in sostanza, ai dati identificativi degli aderenti e alla data della richiesta di verifica (cfr., ad esempio, art. 7, comma 1, lett. a)).

Assicurata tale distinzione, è necessario poi che in tale categoria di dati (non oggetto di riscontro) siano compresi anche gli "elementi identificativi dell´operazione".

5.3. Banche dati oggetto di riscontro.

Lo schema di decreto deve essere perfezionato in modo da assicurare che i dati sottoposti a verifica siano riscontrati, tramite l´apposita interfaccia informatica, presso le banche dati delle amministrazioni "titolari" dei dati stessi, alla stregua del Codice, del codice dell´amministrazione digitale (d.lg. n. 82 del 2005, di seguito CAD) e della normativa di settore (amministrazioni "certificanti"), al fine di garantire la correttezza del trattamento dei dati e la loro esattezza, nonché per evitare pericolosi disallineamenti informativi (art. 8 dello schema). Ciò, anche tenuto conto dell´evoluzione normativa in materia (ad esempio, si consideri la recente istituzione, presso il Ministero dell´interno, dell´Anagrafe nazionale della popolazione residente).

Quanto al "riscontro dell´esistenza in vita" (art. 7, comma 1, lett. b), n. 9), si richiama l´attenzione dell´Amministrazione sul fatto che -per quanto a conoscenza dell´Autorità- tale dato sarebbe riscontrabile solo negli archivi delle anagrafi comunali.

6. Informazioni sulle frodi subite e sul rischio di frodi.

6.1. L´articolo 9 dello schema individua le informazioni relative alle frodi subite e al rischio di frodi che gli aderenti diretti devono immettere nell´archivio ai sensi dell´articolo 12. Al riguardo si ritiene necessario che a tali informazioni sia aggiunto il "motivo della segnalazione" cui è connessa la frode o il rischio di frode, al fine di scongiurare accessi abusivi al sistema (art. 9, comma 1, lett. a), e comma 2, lett. a)).

6.2. L´articolo 12, comma 5, disciplina i casi in cui intervengano provvedimenti dell´autorità giudiziaria o del Garante di sospensione o di cancellazione temporanea delle informazioni sulle frodi subite già registrate nell´archivio. Al riguardo, si ritiene necessario integrare l´articolo con il riferimento anche ai provvedimenti di "blocco" del trattamento dei dati che il Garante può adottare ai sensi del Codice (art. 154, comma 1, lett. c)).

Inoltre, desta perplessità la previsione che a dare esecuzione ai provvedimenti citati possa essere anche l´aderente che ha immesso i dati nell´archivio, visto che titolare del trattamento dei dati registrati nell´archivio è il MEF. Al riguardo si impone un chiarimento o, in mancanza, la soppressione di tale previsione (con la conseguenza che a dare esecuzione ai provvedimenti sarebbe il solo gestore dell´archivio).

6.3. Appare necessario un coordinamento degli articoli 15 e 20, comma 3, circa l´avvio dell´obbligo di comunicare le informazioni sulle frodi subite e l´entrata in vigore delle norme che riguardano tali informazioni e quelle relative al rischio di frodi.

Inoltre si chiede di valutare la congruità del termine di 3 anni previsto per la conservazione nell´archivio delle informazioni sulle frodi subite.

7. Diritti dell´interessato.

7.1. E´ opportuno che lo schema sia integrato prevedendo che al momento della richiesta di credito o di altro servizio debba essere fornita, a cura dell´aderente diretto, un´informativa ai sensi dell´articolo 13 del Codice, specifica in ordine al trattamento dei dati effettuato per finalità antifrode, nella quale si faccia riferimento espressamente alle finalità e al tipo di trattamento che potrà essere effettuato (per la verifica dell´autenticità dei dati, per la prevenzione del rischio frodi, per il contrasto delle frodi subite), ivi compresa la comunicazione dei dati all´archivio e ad altri soggetti.

7.2. Occorre altresì valutare l´opportunità di integrare ulteriormente lo schema  prevedendo che l´aderente diretto comunichi all´interessato le eventuali incongruenze dei dati riscontrati nelle banche dati pubbliche all´esito delle verifiche e, laddove ricorrano i presupposti di cui all´articolo 10, la configurazione del "rischio frodi" con la conseguente comunicazione all´archivio; l´interessato dovrebbe essere informato anche dell´invio dei dati relativi alle frodi subite.

Ovviamente, per scongiurare il rischio di informare l´usurpatore piuttosto che il soggetto la cui identità è usurpata, si dovrebbe aver cura di prevedere l´invio delle comunicazioni ad un indirizzo "certo" dell´interessato, come ad esempio il domicilio fiscale.

8. Misure di sicurezza.

Come anticipato sopra, si prevede la centralizzazione presso il MEF di un numero cospicuo di informazioni personali, di particolare delicatezza. Inoltre sono previsti flussi informativi sia dagli aderenti verso l´archivio, sia fra il sistema istituito presso il MEF e le altre banche dati pubbliche.

A tal riguardo, al fine di garantire l´ordinato e sicuro funzionamento del sistema, deve essere previsto nello schema di regolamento che il MEF, il gestore e i soggetti aderenti adottino misure di sicurezza, tecniche ed organizzative, idonee ad assicurare la protezione dei dati personali. I sistemi informativi dovranno essere caratterizzati da un livello elevato di sicurezza.

In particolare, nel quadro delle più ampie misure di sicurezza obbligatorie in base agli articoli 31 e seguenti del Codice, il regolamento, in particolare nell´allegato tecnico 2, dovrà prevedere misure organizzative volte ad assicurare la separatezza del trattamento dei dati effettuato in applicazione del presente decreto rispetto ad altre attività svolte presso il MEF, il gestore e gli aderenti; misure atte a evitare l´accesso al sistema a soggetti non autorizzati, anche se appartenenti al ministero stesso; sistemi idonei ad assicurare il controllo sulle attività svolte da ciascun incaricato del trattamento; il tracciamento degli accessi e delle operazioni.

Per quanto riguarda i collegamenti e i relativi flussi informativi fra il sistema istituito presso il MEF e le altre banche dati pubbliche si dovrà tenere conto della disciplina di settore, e in particolare di quanto previsto dall´articolo 58 del CAD in materia di fruibilità dei dati, nonché in attuazione di tale articolo (Linee guida redatte da Digit-PA, ora Agenzia per l´Italia digitale, previo parere del Garante).

IL GARANTE

esprime parere favorevole sullo schema di regolamento volto a disciplinare il sistema pubblico di prevenzione, sul piano amministrativo, delle frodi nel settore del credito al consumo, con specifico riferimento al furto d´identità, con le seguenti condizioni:

a) nello schema siano esplicitati le finalità del trattamento e l´ambito applicativo del regolamento, con la previsione ulteriore che le informazioni trattate presso il MEF e da tutti i soggetti che accederanno all´archivio non potranno essere utilizzate per scopi diversi o comunque incompatibili con quelli indicati nel decreto legislativo e nel regolamento stesso (punto 2);

b) il comma 3 dell´articolo 2 dello schema sia sostituito dal seguente: "Gli aderenti diretti partecipano al sistema di prevenzione esclusivamente in relazione ai dati, pertinenti e non eccedenti, necessari al perseguimento delle specifiche finalità inerenti al settore commerciale di appartenenza"; conseguenti modifiche siano apportate al modello di formulario (punto 3.1.);

c) si indichino i dati che ciascuna categoria di soggetti aderenti può riscontrare, fra quelli indicati nell´articolo 7 dello schema di regolamento, integrando, al riguardo, lo schema e, eventualmente, gli allegati con una apposita tabella (punto 3.2);

d) l´articolo 2, comma 2, dello schema sia integrato con la previsione che le convenzioni siano redatte in conformità ad uno schema–tipo da adottare su parere conforme del Garante (punto 3.3);

e) lo schema sia integrato precisando il ruolo riservato agli aderenti indiretti nel funzionamento del sistema e i connessi limiti al trattamento dei dati personali, nei termini di cui in motivazione (punto 4.1);

f)  si precisi nello schema che è ammessa una sola verifica dei dati (accesso al terzo livello) per ogni "operazione", sia essa effettuata dall´aderente diretto o indiretto (punto  4.2);

g) all´articolo 2, comma 4, al primo periodo, siano aggiunte le seguenti parole: ", sulla base di uno schema-tipo da adottarsi su conforme parere del Garante per la protezione dei dati personali"; e al periodo successivo, le seguenti: "e le modalità del trattamento dei dati personali". (punto 4.3).

h) i commi 1 e 2 dell´articolo 5 siano sostituiti dal seguente comma: "1. Gli aderenti diretti partecipano al sistema per la verifica dei dati di cui all´articolo 7 e per l´immissione delle informazioni di cui all´articolo 9, secondo quanto previsto dall´articolo 12." (punto 5.1.);

i) all´articolo 7 sia evidenziata la distinzione fra "dati oggetto di riscontro" e dati contenuti nelle richieste di verifica e, in tale ultima categoria di dati (non oggetto di riscontro), siano compresi anche gli "elementi identificativi dell´operazione" (punto 5.2.);

j) lo schema di decreto sia perfezionato in modo da assicurare che i dati sottoposti a verifica siano riscontrati, tramite l´apposita interfaccia informatica, presso le banche dati delle amministrazioni "titolari" dei dati stessi (amministrazioni "certificanti"), nei termini di cui in motivazione (punto 5.3.);

k) all´articolo 9, comma 1, lett. a), e comma 2, lett. a), fra le informazioni relative alle frodi subite e al rischio di frodi che gli aderenti diretti devono immettere nell´archivio si inserisca anche il "motivo della segnalazione" (punto 6.1).

l) all´articolo 12, la rubrica sia sostituita dalla seguente: "(Modalità e termini di verifica dei dati e di immissione delle informazioni nell´archivio)"; al comma 1, siano soppresse le parole: "che alimentano l´archivio"; al comma 2, le parole "I dati sono immessi nell´archivio" siano sostituite dalle seguenti: "Le richieste di verifica dell´autenticità dei dati sono inviate"; e infine al comma 6 la parola "immessi" sia sostituita dalla seguente: "trasmessi"; precisazioni coerenti con tali modifiche siano apportate nell´allegato tecnico 2 (pagg. 24, 26 e 28) (punto 5.1.);

m) all´articolo 12, comma 5, si faccia riferimento anche ai provvedimenti di "blocco" del trattamento dei dati che il Garante può adottare ai sensi del Codice e si chiarisca quali siano i soggetti autorizzati a dare esecuzione ai provvedimenti ivi citati nei termini di cui in motivazione ( punto 6.2);

n)  lo schema sia integrato prevedendo che al momento della richiesta di credito o di altro servizio debba essere fornita, a cura dell´aderente diretto, un´informativa ai sensi dell´articolo 13 del Codice, specifica in ordine al trattamento dei dati effettuato per finalità antifrode (punto  7.1);

o) lo schema di regolamento e il relativo allegato 2 siano integrati con la previsione di misure di sicurezza, tecniche e organizzative, volte ad assicurare la protezione dei dati personali, nei termini di cui in motivazione (punto 8).

e con la seguente osservazione:

p) valuti l´Amministrazione di integrare ulteriormente lo schema  prevedendo che l´aderente diretto comunichi all´interessato le eventuali incongruenze dei dati riscontrati nelle banche dati pubbliche all´esito delle verifiche e, laddove ricorrano i presupposti di cui all´articolo 10, la configurazione del "rischio frodi" con la conseguente comunicazione all´archivio, nonché l´invio dei dati relativi alle frodi subite, nei termini di cui in motivazione (punto  7.2).

Roma, 21 marzo 2013

IL PRESIDENTE
Soro

IL RELATORE
Soro

IL SEGRETARIO GENERALE
Busia