FAQ in materia di Sistemi di Informazioni Creditizie (SIC)

1) Cosa sono le Centrali rischi?

Le Centrali rischi sono banche dati che raccolgono informazioni e dati personali relativi ai finanziamenti concessi e alle esposizioni debitorie degli interessati. Esse consentono a banche e intermediari finanziari di conoscere il livello di indebitamento dei clienti nei confronti del sistema creditizio e finanziario, supportando così le valutazioni sul merito creditizio e sulla sostenibilità delle posizioni debitorie.

Tali banche dati si distinguono in:

- Centrale rischi pubblica, gestita dalla Banca d’Italia e disciplinata dalla normativa di settore, che assicura un presidio istituzionale sulla qualità e sulla circolazione delle informazioni creditizie;

- Sistemi di informazione creditizia (SIC) privati, gestiti da società specializzate e regolati dalle disposizioni contenute nel Codice di condotta per i sistemi informativi gestiti dai soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei pagamenti, che definisce garanzie, limiti e condizioni per il trattamento dei dati personali in tale ambito.

2) Cos‘è il codice di condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei pagamenti?

L’art. 40 del Regolamento generale sulla protezione dei dati (RGPD) prevede che gli Stati membri e le autorità di controllo promuovano l’elaborazione di codici di condotta.

L’adesione a tali codici costituisce una concreta espressione del principio di responsabilizzazione (accountability) da parte del titolare, ai sensi del considerando 98 del RGPD, in quanto consente di dimostrare la corretta applicazione delle disposizioni dello stesso e la conformità dei trattamenti effettuati nell’ambito di riferimento.

Il codice di condotta adottato per i Sistemi di Informazione Creditizia (SIC) contiene disposizioni – elaborate dagli stessi SIC – volte a garantire il corretto funzionamento del mercato finanziario e creditizio. 

Alla sua osservanza sono tenuti sia i soggetti che gestiscono i SIC, sia i partecipanti ai sistemi (banche, società finanziarie, intermediari creditizi). Il codice disciplina i principali profili del trattamento dei dati personali in tale ambito, tra cui: le categorie di dati trattati, le modalità di raccolta e registrazione, le informazioni da fornire agli interessati, la base giuridica dei trattamenti e i tempi di conservazione.

Il codice di condotta è stato definitivamente approvato con il provvedimento n. 324 del 6 ottobre 2022, a seguito dell’istituzione dell’Organismo di Monitoraggio (OdM), previsto dall’art. 41 del RGPD quale presidio essenziale per la verifica del rispetto del codice da parte dei soggetti aderenti.

3) Chi sono i gestori e i partecipanti?

I gestori dei Sistemi di Informazione Creditizia (SIC) sono soggetti privati che operano quali autonomi titolari del trattamento dei dati personali registrati all’interno del sistema.
Attualmente, i gestori che hanno sottoscritto il Codice di condotta sono CTC, CRIF, Experian e Assilea.

I partecipanti ai SIC sono banche, intermediari finanziari e altri soggetti privati che, nell’esercizio di un’attività commerciale o professionale, concedono una dilazione di pagamento del corrispettivo per la fornitura di beni o servizi. In virtù di un contratto o accordo con il gestore, essi partecipano al SIC e possono accedere ai dati presenti nel sistema. I partecipanti operano in un regime di reciprocità nello scambio delle informazioni: possono consultare i dati censiti e, al tempo stesso, sono tenuti ad alimentare il sistema con le informazioni da loro raccolte e riferite agli interessati.

4) Chi sono gli accedenti ai SIC?

Gli accedenti sono soggetti che possono consultare le informazioni presenti nei SIC ma, a differenza dei partecipanti, non contribuiscono ad alimentare le relative banche dati.

Attualmente rientrano tra gli accedenti:

- i fornitori di servizi di comunicazione elettronica e i fornitori di servizi interattivi associati o di servizi di accesso condizionato (tra cui le società telefoniche);

- le imprese di assicurazione;

- i soggetti autorizzati alla vendita ai clienti finali di energia elettrica e gas naturale, ai sensi della normativa vigente.

Pertanto non vengono inseriti nei SIC gli eventuali inadempimenti nei confronti dei soggetti di cui sopra.

5) Quali informazioni sono presenti nei SIC?

Nei Sistemi di Informazione Creditizia (SIC) sono censiti i dati relativi alle richieste e ai rapporti di credito riferiti sia a persone fisiche (interessati ai sensi dell’art. 4, punto 1, del RGPD) sia a persone giuridiche, enti, associazioni e altri organismi operanti in ambito privato. 

Il SIC può contenere, oltre ai dati identificativi, anagrafici e sociodemografici, anche:

- informazioni di tipo negativo, riferite esclusivamente ai rapporti per i quali si sono verificati inadempimenti;

- informazioni di tipo positivo, relative sia alle richieste di credito sia ai rapporti creditizi che hanno avuto un andamento regolare nel corso della loro esecuzione.

6) Quali sono le finalità del trattamento dei dati e la base giuridica?

Il trattamento dei dati personali contenuti in un SIC può essere effettuato dal gestore e dai partecipanti esclusivamente per finalità connesse alla valutazione, all’assunzione e alla gestione del rischio di credito, nonché alla verifica dell’affidabilità e della puntualità nei pagamenti dell’interessato. Rientrano in tali finalità anche le attività di prevenzione del rischio di frodi e di furto di identità.

La base giuridica applicabile è quella prevista dall’art. 6, par. 1, lett. f) del RGPD, poiché il trattamento risulta necessario per il perseguimento dei legittimi interessi dei partecipanti che utilizzano il SIC per le finalità sopra indicate. Di conseguenza, non è richiesto il consenso degli interessati per tali trattamenti.

7) Cos’è il preavviso di imminente segnalazione e le modalità di invio all’interessato?

In caso di ritardi nei pagamenti, il partecipante – anche contestualmente all’invio di solleciti o altre comunicazioni, oppure secondo le modalità previste nel contratto – informa l’interessato, mediante un preavviso, dell’imminente registrazione in uno o più SIC.

I dati relativi al primo ritardo possono essere resi accessibili agli altri partecipanti solo dopo che siano trascorsi almeno quindici giorni dalla spedizione del preavviso all’interessato.

Le modalità con le quali può essere inviato il preavviso sono molteplici e sono definite dal partecipante, in conformità a quanto stabilito dal Garante nel provvedimento del 26 ottobre 2017 e nell’Allegato 1 del Codice di condotta.

Il preavviso può essere inviato, tra l’altro:

- tramite vettore con servizio di tracciatura e certificazione dell’avvenuta consegna. Il documento contenente il preavviso di segnalazione viene inviato tramite un servizio di postalizzazione che preveda la tracciatura della spedizione con certificazione dell’avvenuta consegna al destinatario tramite un servizio di localizzazione satellitare GPS nonché la lettura del codice a barre univoco assegnato ad ogni lettera, con evidenza fornita dallo spedizioniere dell’avvenuta consegna comprensiva degli elementi del recapito effettuato;

- con modalità, previamente concordate con l’interessato, quali, a titolo esemplificativo:   

- la messa a disposizione in un’area ad accesso esclusivo del cliente (home banking); 

- la comunicazione telefonica con registrazione della chiamata;

- l’sms. Al riguardo, si richiama una sentenza dell’Arbitro Bancario e Finanziario (ABF) di Napoli del 27 giugno 2023 con la quale è stata considerata validamente avvenuta la comunicazione con tale modalità in quanto le forme di messaggistica istantanea possono consentire di tracciare l’avvenuta consegna del preavviso.

8) Quali sono i termini di conservazione dei dati all’interno dei SIC?

I dati registrati in un SIC sono aggiornati periodicamente, con cadenza mensile, dal partecipante che li ha comunicati (art. 5, par. 7, del Codice di condotta).

L’art. 7 e l’Allegato 2 del Codice di condotta disciplinano i tempi di conservazione dei dati degli interessati nei SIC. Tali tempi variano in funzione della natura delle informazioni:

- dati positivi, relativi a rapporti contrattuali con andamento regolare;

- dati negativi, riferiti a rapporti per i quali si sono verificati inadempimenti, distinguendo ulteriormente tra inadempimenti successivamente regolarizzati e non regolarizzati.

I tempi di conservazione previsti dall’Allegato 2 del Codice di condotta sono riportati di seguito.

9) Cos’è l’Organismo di Monitoraggio (OdM)?

Il rispetto del Codice di condotta, limitatamente alle operazioni di trattamento dei dati personali effettuate dai gestori dei SIC, è garantito da un apposito Organismo di Monitoraggio (OdM).

L’OdM è previsto dall’art. 41 del RGPD ed è stato istituito, in conformità alle Linee guida EDPB n. 1/2019 sui codici di condotta e sugli organismi di monitoraggio, con il provvedimento del Garante n. 98 del 10 giugno 2020.

L’OdM è composto da tre componenti:

- uno designato dal CNCU (Consiglio Nazionale Consumatori e Utenti);

- uno nominato all’unanimità dai gestori aderenti al Codice di condotta;

- un terzo, scelto congiuntamente dagli aderenti e da CNCU, che assume il ruolo di presidente.

L’OdM può svolgere in qualsiasi momento – anche senza preavviso – tutte le verifiche ritenute necessarie presso i gestori aderenti.

Ogniqualvolta gli interessati ritengano che il trattamento dei loro dati personali, effettuato dai gestori dei SIC, non sia conforme al Codice di condotta o alla normativa in materia di protezione dei dati personali, possono presentare un reclamo all’OdM.

Fatti salvi i compiti e i poteri del Garante, l’OdM adotta le misure ritenute opportune in caso di violazione del Codice di condotta da parte dei gestori aderenti, tra cui la sospensione o l’esclusione dal Codice.

L’OdM informa inoltre l’Autorità delle misure adottate e delle relative motivazioni, assicurando così un quadro di piena trasparenza e di cooperazione istituzionale.

10) Come si esercitano i diritti (ad es. l’accesso ai dati, la rettifica, la cancellazione ecc.)?

Secondo quanto previsto dall’art. 9 del Codice di condotta, gli interessati possono esercitare i propri diritti secondo le modalità, i termini e le condizioni stabiliti dal RGPD, presentando una specifica istanza sia al partecipante sia al gestore, in quanto entrambi operano quali autonomi titolari del trattamento.

L’istanza deve essere indirizzata anche al Responsabile della protezione dei dati presso ciascun titolare ed essere inviata agli indirizzi indicati nell’informativa resa agli interessati ai sensi degli artt. 13 e 14 del RGPD.

È possibile utilizzare anche il modello reso disponibile dal Garante sul proprio sito istituzionale all’indirizzo: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9038275.

In caso di mancato o inidoneo riscontro all'istanza è possibile presentare un reclamo all’Odm oppure, in alternativa, al Garante.