[doc. web n. 1131778]

Provvedimento del 15 aprile 2003

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

ESAMINATO il ricorso presentato da Paola Ruggiero, domiciliata presso lo studio dell´avv. Enrico De Santis

nei confronti di

Crif S.p.A.;

VISTA la documentazione in atti;

VISTI gli articoli 13 e 29 della legge 31 dicembre 1996, n. 675 e gli articoli 18, 19 e 20 del d.P.R. 31 marzo 1998, n. 501;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Giuseppe Santaniello;

PREMESSO:

La ricorrente afferma di non aver ricevuto idoneo riscontro ad alcune istanze con le quali aveva chiesto a Crif S.p.A. la cancellazione dei dati che la riguardano (riferiti ad un arco temporale compreso fra il 1997 ed il dicembre 2002) in relazione ad alcune operazioni di finanziamento.

Nel ricorso presentato a questa Autorità ai sensi dell´art. 29 della legge n. 675/1996 la ricorrente ha ribadito le proprie richieste ed ha chiesto di porre le spese del procedimento a carico della controparte.

A seguito dell´invito ad aderire formulato da questa Autorità il 27 febbraio 2003, Crif S.p.A., con nota anticipata via fax il 10 marzo 2003, ha sostenuto che:

• "il ricorso deve considerarsi parzialmente inammissibile" in quanto esisterebbe una "divergenza tra la lettera del 12.12.02, allegata al ricorso e quella inviata in pari data a Crif ed attualmente in possesso della medesima", nella quale la richiesta di cancellazione appare avere ad oggetto unicamente i dati relativi al 1997, mentre l´istanza in data 13 dicembre 2003, contenente un´ampia richiesta di cancellazione senza limiti temporali, non risulterebbe mai pervenuta alla resistente;
• la richiesta di risarcimento danni presentata dalla ricorrente sarebbe inammissibile data l´incompetenza del Garante a pronunciarsi in materia;
• Crif S.p.A. non svolge alcun "attività di trattamento dei dati censiti nella propria centrale rischi, a fini commerciali o promozionali", come dedotto dalla ricorrente;
• in ordine alle posizioni relative al 1997 (che sono riferite ad un prestito personale erogato da Compass S.p.A. il 10.04.1997 ed estintosi nel luglio 1998 con "segnalazione di rate non pagate già regolarizzate", nonché ad un prestito finalizzato erogato dalla Banca nazionale del lavoro il 13 marzo 1997, estintosi nell´aprile 1998 "senza nessuna segnalazione"), la resistente ha sospeso la visibilità dei dati riferiti al primo finanziamento ed ha cancellato i dati riferiti al secondo, stante l´approssimarsi per quest´ultimo della scadenza del termine quinquennale di conservazione.

Con nota del 24 marzo 2003, preso atto dell´assenso espresso dalle parti, è stato comunicato che, ai sensi dell´art. 20, comma 8, del d.P.R. n. 501/1998, il termine per la decisione del ricorso era prorogato di venti giorni

Successivamente, la ricorrente, in risposta ad una richiesta di informazioni inoltrata in data 2 aprile 2003 da questa Autorità e volta ad ottenere ogni elemento utile in ordine all´effettivo invio al titolare del trattamento dell´istanza ex art. 13 datata 13 dicembre 2002 ed alla difformità tra l´istanza ex art. 13 datata 12 dicembre 2002 allegata al ricorso e quella inviata in pari data a Crif S.p.A., ha risposto con nota anticipata via fax il 3 aprile 2003 sostenendo che Crif S.p.A. "ha verosimilmente ricevuto" le predette istanze in data 12.12.2002 e 13.12.2002, come dall´allegata "copia dei rapporti di trasmissione via fax relativa alle suddette istanze, atteso che ulteriore copia delle medesime era stata contestualmente inviata tramite posta prioritaria e, pertanto" rispetto a quest´ultima non risulta "possibile esibire alcuna ricevuta".

Nel corso dell´audizione tenutasi l´8 aprile 2002 la ricorrente ha sottolineato come nel report aggiornato fornito dalla resistente sia ancora presente una segnalazione giudicata dalla stessa pregiudizievole: la posizione relativa ad un prestito finalizzato accordato da Fingerma S.p.A., società poi acquisita da Volkswagen BanK GmbH, rispetto al quale si sarebbero registrate delle morosità in seguito regolarizzate. Inoltre la ricorrente ha dichiarato, con riguardo all´esercizio dei diritti di cui all´art. 13, che a Crif S.p.A. fu inviata "una prima raccomandata generica" in data 12 dicembre 2002 e che in seguito la stessa fu modificata e inviata nuovamente alla resistente "sia per fax che per posta" .

In data 14 aprile 2003 la resistente ha inviato una memoria di replica ribadendo l´inammissibilità del ricorso in quanto la ricorrente non avrebbe fornito prova che i rapporti di trasmissione fax allegati siano effettivamente "abbinati" alle istanze del 12 dicembre 2002 e 13 marzo 2003. Inoltre, in ordine al finanziamento erogato da Volkswagen Bank GmbH, la resistente ha sostenuto che la regolarizzazione sarebbe avvenuta nel periodo compreso fra la fine di febbraio 2003 ed il corrente mese di aprile.

In data 11 aprile 2003 la ricorrente ha inviato un documento attestante che le rate del finanziamento erogato da Volkswagen Bank GmbH sono state regolarmente pagate, anche se in ritardo.

CIÒ PREMESSO IL GARANTE OSSERVA:

Il ricorso concerne il trattamento dei dati svolto da una c.d. "centrale rischi" privata con particolare riferimento alla permanenza di dati personali della ricorrente presso l´archivio della medesima società.

L´interessata ha fornito sufficiente riscontro dell´invio al titolare del trattamento di tre successive istanze ex art. 13 della legge n. 675/1996 contenenti una complessiva richiesta di cancellazione, inviando copia dei rapporti di trasmissione di tre fax inviati alla società resistente e attestando ciò con dichiarazione della cui veridicità l´autore risponde ai sensi dell´art. 37-bis della legge n. 675/1996 ("Falsità nelle dichiarazioni e nelle notificazioni al Garante").

Quanto al merito, va dichiarato non luogo a provvedere sul ricorso ai sensi dell´art. 20, comma 2, del d.P.R. n. 501/1998 in ordine alla richiesta di cancellazione dei dati riferiti al finanziamento a suo tempo concesso da BNL S.p.A., avendo il titolare del trattamento comunicato di aver già cancellato tale posizione dalla banca dati.

Il ricorso deve invece essere accolto in ordine alle richieste relative alla cancellazione dalla banca dati di Crif S.p.A. dei dati personali della ricorrente riferiti al finanziamento erogato da Compass S.p.A. il 10.04.1997 ed estintosi senza pendenze nel luglio 1998, vale a dire da oltre un anno.

In proposito Crif S.p.A. ha dichiarato di aver sospeso temporaneamente la visibilità di tali dati nelle more dell´adozione del codice deontologico previsto in materia dall´art. 20, comma 2, lett. e), del d.lg. n. 467/2001. Tuttavia, tale misura "temporanea" e interlocutoria non risulta soddisfacente e conforme a quanto segnalato da questa Autorità ai sensi dell´art. 31, comma 1, lett. c), della legge n. 675/1996 con il provvedimento di carattere generale adottato il 31 luglio 2002 sulle "centrali rischi" private (pubblicato sul sito del Garante all´indirizzo www.garanteprivacy.it) le cui motivazioni si intendono richiamate quali parti integranti del presente provvedimento. Con esso, il Garante ha segnalato "la necessità che i dati relativi agli eventuali inadempimenti sanati senza perdite, debiti residui o pendenze, siano cancellati dalle "centrali rischi" private, entro un anno dalla data della loro regolarizzazione, se avvenuta nel corso del finanziamento, o comunque dalla data di estinzione, anche anticipata, del rapporto (avvenuta comunque senza perdite, debiti residui o pendenze)".

Deve ritenersi quindi illecita l´ulteriore conservazione nella banca dati di Crif S.p.A. dei dati personali della ricorrente relativi ad un finanziamento estinto da più ampio termine.

Va conseguentemente ordinato alla resistente di cancellare i dati personali relativi alla posizione in questione entro trenta giorni dalla ricezione del presente provvedimento, e di dare comunicazione dell´avvenuta cancellazione, entro la medesima data, all´interessata e a questa Autorità.

In ordine al finanziamento erogato da Volkswagen Bank GmbH, invece, la richiesta di cancellazione formulata dalla ricorrente non può essere accolta, essendo il finanziamento ancora in corso e non essendo ancora decorso il termine di conservazione di un anno dalla regolarizzazione dei ritardi nei pagamenti così come previsto dal predetto provvedimento generale del Garante. Tuttavia, i dati personali dell´interessata non risultano allo stato esatti e devono essere necessariamente aggiornati, essendo stata fornita prova della regolarizzazione degli inadempimenti relativi alle rate non pagate. Va conseguentemente ordinato alla resistente, ai sensi dell´art. 29, comma 4, della legge n. 675/1996, quale misura necessaria a tutela dei diritti dell´interessata, di rettificare i dati personali relativi alla posizione in questione entro trenta giorni dalla ricezione del presente provvedimento e di dare comunicazione dell´avvenuto aggiornamento, entro la medesima data, all´interessata e a questa Autorità.

Infine in ordine alla richiesta di risarcimento del danno avanzata dalla ricorrente, il ricorso è inammissibile atteso che questa Autorità non ha competenza in merito a tali richieste le quali devono essere proposte dinanzi all´autorità giudiziaria ordinaria.

Considerata la complessità della vicenda esaminata sussistono infine giusti motivi per compensare le spese fra le parti.

PER QUESTI MOTIVI IL GARANTE:

a) accoglie il ricorso in ordine al finanziamento erogato da Compass S.p.A., e per l´effetto ordina a Crif S.p.A., ai sensi dell´art. 29, comma 4 della legge n. 675/1996, di corrispondere alla richiesta di cancellazione formulata dalla ricorrente nei termini di cui in motivazione;

b) dichiara non luogo a provvedere sul ricorso, ai sensi dell´art. 20, comma 2, del d.P.R. n. 501/1998 in ordine alle richieste riferite al finanziamento a suo tempo erogato da BNL S.p.A.;

c) dichiara infondata la richiesta di cancellazione in ordine al finanziamento erogato da Volkswagen Bank GmbH;

d) ordina, ai sensi dell´art. 29, comma 4, della legge n. 675/1996, a Crif S.p.A. di aggiornare i dati personali della ricorrente relativi al finanziamento erogato da Volkswagen Bank GmbH nei termini di cui in motivazione;

e) dichiara inammissibile il ricorso in ordine alla richiesta di risarcimento del danno formulata dalla ricorrente;

f) dichiara compensate le spese fra le parti.

Roma, 15 aprile 2003

IL PRESIDENTE
Rodotà

IL RELATORE
Santaniello

IL SEGRETARIO GENERALE
Buttarelli