g-docweb-display Portlet

Comunicazione a terzi di dati riguardanti un finanziamento - 9 gennaio 2014 [2938867]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 2938867]

Comunicazione a terzi di dati riguardanti un finanziamento - 9 gennaio 2014

Registro dei provvedimenti
n. 14 del 9 gennaio 2014

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro Presidente, della dott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

Visto il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196; di seguito "Codice");

Visto il reclamo presentato dalla sig.ra Indira Gagliano nei confronti di Fiditalia S.p.A. in ordine ad una comunicazione a terzi di informazioni personali alla stessa riferite;

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore la prof.ssa Licia Califano;

PREMESSO

Con reclamo del 27 novembre 2012, regolarizzato nell´aprile 2013, la signora Indira Gagliano ha sostenuto che alcuni suoi dati personali erano stati oggetto di illecito trattamento.

In particolare, la reclamante ha riferito che suo marito, sig. Antonio Ducci, nel corso di un procedimento civile intentato contro di lei, aveva prodotto in giudizio la copia di un "conto definitivo" accedente ad un contratto di finanziamento da lei personalmente stipulato con Fiditalia S.p.A. (previa cessione, "pro solvendo", di alcune rate del suo stipendio).

In particolare, la Gagliano ha sostenuto che tale produzione documentale era stata possibile in ragione del fatto che Fiditalia S.p.A.−agenzia Bogliacino, a sua insaputa, aveva consegnato al sig. Ducci copia della documentazione in questione, dando luogo ad una comunicazione ad un terzo di sue informazioni personali non assistita da consenso né da altro suo equipollente.

Pertanto, la reclamante ha concluso chiedendo la declaratoria dell´illiceità del trattamento dei suoi dati personali e il risarcimento dei danni subiti.

2. A seguito di apposita richiesta di informazioni formulata dall´Ufficio, Fiditalia S.p.A., con nota del 10 luglio 2013, ha ammesso di aver inviato via fax al sig. Ducci, su sua richiesta, "il conteggio definitivo del finanziamento già consegnato alla cliente in fase di stipula".

La società, però, pur riconoscendo l´accaduto, ha dichiarato di aver agito facendo legittimo affidamento sul fatto che il coniuge della sig.ra Gagliano -come espressamente riferito dall´agente che aveva gestito la pratica di finanziamento- non solo aveva sempre partecipato ai contatti intercorsi tra le parti durante la fase precontrattuale, ma era stato anche presente al momento della sottoscrizione, da parte della sig.ra Gagliano, del contratto e del conteggio definitivo. Pertanto, a dire della società, non poteva essere revocata in dubbio la buona fede dell´agente che, contattato telefonicamente da persona a lui nota e qualificatasi "marito della signora" Gagliano, aveva ritenuto di accogliere la sua richiesta volta ad ottenere copia del documento in questione.

3. Risultando pacifici i fatti tra le parti, la definizione del procedimento resta legata esclusivamente alla corretta applicazione dei fondamentali principi vigenti in materia di trattamento dei dati personali.

In proposito, si osserva che il Garante da sempre ha posto l´accento sul fatto che il "titolare" (art. 4, comma 1, lett. f) del Codice), prima di iniziare il trattamento dei dati personali, è tenuto a verificare se l´eventuale rapporto giuridico che lo lega all´interessato sia in grado di consentirgli di porre in essere operazioni di trattamento "senza violare gli obblighi nascenti dalla legge o da un rapporto contrattuale" (cfr. Provv.ti 23 maggio 2001, doc. web n. 39821 e 8 marzo 2007, doc. web n. 1390910; vedi anche le "Linee guida in materia di trattamento di dati personali della clientela in ambito bancario", adottate dall´Autorità garante il 25 ottobre 2007).

A tale impostazione, oramai cristallizzatasi nel tempo, risulta aver formalmente aderito anche Fiditalia S.p.A., la quale, nello stesso modulo di "Conferimento del mandato di agenzia" prodotto (vedi allegato n. 2 alla nota datata 10 luglio 2013), ha espressamente imposto agli agenti ed ai suoi collaboratori di "rispettare e far rispettare […] il segreto d´ufficio".

4. Ciò premesso, nel caso in esame detto principio non risulta essere stato osservato in concreto, in quanto Fiditalia S.p.A.- agenzia Bogliacino non ha tenuto in debito conto che il rapporto contrattuale concerneva esclusivamente l´odierna reclamante e, quindi, non autorizzava l´accoglimento della richiesta avanzata dal sig. Ducci, che ad esso era sostanzialmente estraneo; infatti, la circostanza che il Ducci, in qualità di coniuge della sig.ra Gagliano, fosse stato, sin dalla fase antecedente alla stipula, a conoscenza del contenuto del rapporto contrattale concluso dalla propria consorte, non lo autorizzava -in carenza di un apposito conferimento di poteri in suo favore o di rilascio di apposita autorizzazione alla società- ad ottenere copia del documento richiesto e, quindi, ad acquisire la disponibilità dei dati personali dell´interessata. Ne consegue che, non essendo mai stato manifestato un espresso consenso dalla sig.ra Gagliano (art. 23) e non essendo ravvisabile l´esistenza di altro presupposto ad esso equipollente (art. 24), la condotta tenuta da Fiditalia S.p.A. non può che essersi risolta in una comunicazione di dati personali ad un terzo effettuata in violazione del principio di liceità e correttezza del trattamento (art. 11, comma 1, lett. a) del Codice).

Stante l´acclarata violazione, l´Autorità si riserva di instaurare autonomo procedimento per contestare in sede amministrativa la violazione di quanto disposto dal citato art. 23 del Codice (artt. 23 e 162, comma 2-bis del Codice).

In ogni caso, il verificarsi dell´episodio induce a ritenere che all´interno di Fiditalia S.p.A., nonostante l´organizzazione e le misure di sicurezza adottate (in buona parte evincibili dal modello di "conferimento del mandato di agenzia" in atti), possano ancora residuare margini di incertezza in ordine alla concreta attuazione dei principi del Codice nell´espletamento di operazioni di comunicazione dei dati personali dei clienti; pertanto, ai sensi degli artt. 143, comma 1, lett. b) e 154, comma i, lett. c del Codice, si ritiene di prescrivere alla società di adottare ulteriori misure in grado di assicurare che la comunicazione dei dati dei clienti a terzi avvenga effettivamente nel rispetto delle regole poste dagli artt. 23 e 24 del Codice, impartendo, a tal fine, entro 90 giorni dalla comunicazione della presente decisione, adeguate istruzioni ai responsabili e agli incaricati del trattamento.

5. La richiesta di risarcimento danni avanzata dalla reclamante non può trovare ingresso in questa sede, trattandosi di aspetto che la legge rimette al giudizio esclusivo dell´Autorità giudiziaria.

Con riferimento al trattamento dei dati della reclamante avvenuto nell´ambito del procedimento giudiziario attraverso la produzione della documentazione bancaria oggetto del presente reclamo, si precisa che, ai sensi dell´art. 160, comma 6 del Codice, ogni valutazione sulla validità, efficacia e utilizzabilità di atti e documenti contenenti dati raccolti in violazione di disposizioni di legge o di regolamento poste a tutela dei dati personali è rimessa unicamente al giudice, il quale vi provvede "secondo le pertinenti disposizioni processuali nella materia civile e penale".

TUTTO CIO´ PREMESSO, IL GARANTE:

1) dichiara l´illiceità del trattamento posto in essere da Fiditalia S.p.A. riguardo ai dati personali della sig.ra Indira Gagliano;

2) ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c) del Codice, prescrive a Fiditalia S.p.A. di adottare ulteriori misure in grado di assicurare che la comunicazione dei dati dei clienti a terzi avvenga effettivamente nel rispetto delle regole poste dagli artt. 23 e 24 del Codice, impartendo, a tal fine, entro 90 giorni dalla comunicazione del presente provvedimento, adeguate istruzioni ai responsabili e agli incaricati del trattamento;

3) dichiara l´inammissibilità della richiesta di risarcimento danni avanzata dalla reclamante.

Ai sensi degli artt. 152 del Codice e 10 del d. lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 9 gennaio 2014

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia