[doc. web n. 4003668]

Provvedimento del 26 febbraio 2015

Registro dei provvedimenti
n. 116 del 26 febbraio 2015

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza della dott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

VISTO il ricorso presentato al Garante in data 3 dicembre 2014 nei confronti di Unicredit S.p.A. con cui XY, in qualità di erede del padre defunto, reiterando le istanze già avanzate ai sensi degli artt. 7 e 9 d. lgs. n. 196 del 30 giugno 2003, Codice in materia di protezione dei dati personali(di seguito Codice), ha chiesto la comunicazione in forma intellegibile dei dati personali riferiti a tutti i rapporti intrattenuti dal de cuius (deceduto l´11.2.2013) con il predetto istituto di credito "negli ultimi dieci anni", con particolare riguardo "ai dati contenuti nella documentazione contrattuale e contabile riferita a conti correnti, movimentazioni bancarie, saldi, conto titoli, libretti di risparmio, cassette di sicurezza e rapporti, nessuno escluso (…)" di cui lo stesso risulti intestatario o cointestatario, ivi compresa "l´eventuale presenza di deleghe all´incasso, al pagamento o di qualunque altra natura ed il loro eventuale esercizio in operazioni bancarie effettuate sui conti del de cuius, anche con riferimento ai rapporti in cointestazione (…) nonché il nominativo dei cointestatari"; la ricorrente ha chiesto altresì la liquidazione in proprio favore delle spese sostenute per il procedimento;

VISTI gli ulteriori atti d´ufficio e, in particolare, la nota del 5 dicembre 2014 con la quale questa Autorità, ai sensi dell´art. 149 comma 1 del Codice, ha invitato il titolare del trattamento a fornire riscontro alle richieste dell´interessata, nonché la nota del 28 gennaio 2015 con cui, ai sensi dell´art. 149 comma 7 del Codice, è stata disposta la proroga del termine per la decisione sul ricorso ;

VISTA la nota del 16 dicembre 2014 con cui l´istituto di credito resistente, nel comunicare alla ricorrente tutte le informazioni desunte "dalle evidenze informatiche", ha affermato che per quanto riguarda la presenza di eventuali deleghe rilasciate dal de cuius, "trattandosi di rapporti estinti e quindi non di immediata contezza informatica", si riserva di fornire riscontro non appena le strutture periferiche reperiranno i fascicoli richiesti, precisando tuttavia che il riscontro medesimo sarà limitato "all´esistenza o meno di deleghe"; ciò nel rispetto di quanto stabilito nelle "Linee guida per trattamenti dati relativi al rapporto banca-clientela" adottate dal Garante il 25 ottobre 2007 che non consentono all´interessato di "conoscere specificamente e direttamente l´identità della persona delegata dal defunto ad effettuare determinate operazioni bancarie" (par. 5.3);

VISTE le note del 23 dicembre 2014 e dell´8 gennaio 2015 con cui la ricorrente, nel ritenersi insoddisfatta del riscontro ottenuto (lamentando peraltro l´avvenuto smarrimento di parte della documentazione contenuta in un plico deteriorato che le è stato recapitato tramite raccomandata a/r), ha evidenziato, in particolare, la mancanza: a) della documentazione contrattuale relativa a diversi conti correnti, con particolare riguardo alle operazioni di estinzione, di accensione e cointestazione dei conti medesimi; b) dei dati riferiti ad una serie di assegni emessi negli anni dal 2009 al 2013 nonché dei dati relativi ad alcuni  prelevamenti bancomat effettuati negli anni dal 2008 al 2012;

VISTA la nota pervenuta il 20 gennaio 2015 con cui l´istituto di credito resistente, nel fornire alcune precisazioni in ordine alle eccezioni formulate dalla ricorrente, ha affermato che "i primi quattro rapporti (estinti) elencati nel secondo foglio della nostra nota di riscontro del 16/12/2014 risultano intestati esclusivamente al de cuius, mentre i successivi rapporti sono intestati al de cuius e a (…), senza successive intervenute variazioni anagrafiche, come si evince dalle date di accensione e chiusura riportate per ogni singolo rapporto"; la società resistente ha inoltre precisato che i dati relativi agli importi con i quali i diversi conti sono stati accesi e poi estinti "potranno essere desunti, ove possibile, dagli estratti conto prodotti nel rispetto del previsto limite temporale dell´ultimo decennio"; quanto invece alla richiesta di conoscere le deleghe eventualmente rilasciate dal de cuius la resistente, nel ribadire l´impossibilità di fornire l´identità della persona delegata, ha affermato che risulta "una sola delega riguardante il conto corrente monointestato n. (…561)";

VISTE le note datate 8 e 15 febbraio 2015 con le quali la ricorrente, nel dare atto di avere ricevuto ulteriore documentazione in data 13 febbraio 2015, ha tuttavia rappresentato che "risulta ancora mancante la documentazione contabile dall´1/1/2004 al 31/12/2005 riferita al c.c. 20700/102(…)", nonché: a) documenti contrattuali relativi ai conti 00041053(…) e 20702 300(…) e i dati a quest´ultimo collegati; b) i dati relativi al rilascio di n. 3 carte bancomat; c) i dati relativi al trasferimento di somme dal de cuius ad KW; c) i dati relativi ad un prestito di euro 29.345,87 che sarebbe stato accordato al de cuius;

VISTE le note del 10 e 19 febbraio 2015 con cui l´istituto di credito resistente, dopo aver inviato all´interessata ulteriore documentazione, invitandola peraltro a prendere contatti con la filiale di Caltanissetta per tutti gli eventuali chiarimenti, ha fornito le informazioni richieste in ordine all´avvenuta estinzione di alcuni conti correnti e all´unica delega rinvenuta,  precisando altresì di aver già trasmesso alla ricorrente gli assegni e documenti di cui la stessa ha lamentato il mancato rilascio, "fatta eccezione per la distinta relativa al prelevamento di euro 1500 del 22/12/2010 che, nonostante le accurate ricerche, non è stata ad oggi ancora rinvenuta";

RILEVATO che occorre, preliminarmente, ribadire la distinzione, delineata dall´Autorità (vedi l´art. 5.2 delle "Linee guida per trattamenti dati relativi a rapporto banca-clientela" del 25 ottobre 2007 pubblicato su G.U. n. 273 del 23 novembre 2007) tra la richiesta di accesso a documenti contenenti dati bancari, effettuata ai sensi dell´art. 119 del Testo Unico Bancario, e la richiesta, avanzata ai sensi degli artt. 7 e 9 del Codice, volta ad ottenere la comunicazione in forma intelligibile dei dati personali riferiti all´interessato contenuti nei medesimi documenti;

RILEVATO che l´art. 7, in combinato disposto con l´art. 9 comma 3 del Codice, attribuisce all´interessato il diritto di ottenere la comunicazione in forma intelligibile dei soli dati personali relativi al defunto che siano effettivamente ed attualmente conservati dal titolare del trattamento e che vanno estratti secondo le modalità di cui all´art. 10 del Codice, con esclusione dei dati personali di terzi (secondo quanto espressamente previsto dagli artt. 5.1 delle Linee guida relative ai trattamenti in ambito bancario sopra citate); rilevato altresì che tale articolo prevede che i dati siano estratti a cura del responsabile o degli incaricati e comunicati all´interessato anche oralmente, ovvero offerti in visione mediante strumenti elettronici, o, se vi è specifica richiesta, comunicati mediante trasposizione dei medesimi su supporto cartaceo o informatico; rilevato peraltro che la previsione di cui all´art. 10, comma 4, del Codice, che attribuisce al titolare del trattamento, qualora l´estrazione dei dati risulti particolarmente difficoltosa, la facoltà di fornire riscontro "attraverso l´esibizione o la consegna in copia di atti e documenti contenenti i dati personali richiesti", è diretta ad agevolare il riscontro da parte del titolare, senza per questo trasformare l´istanza di accesso ai dati personali in un´istanza di accesso a documenti;

RILEVATO, pertanto, che nel caso di specie, l´interessata, ai sensi degli artt. 7 e 9 del Codice, ha diritto di accedere ai dati bancari relativi ai rapporti intrattenuti dal de cuius con la banca, previo oscuramento dei dati riferiti a terzi qualora il riscontro da parte del titolare avvenga mediante consegna di documenti; rilevato in particolare che le citate Linee guida relative ai trattamenti in ambito bancario (cfr. art. 5.3) escludono espressamente che possa essere accolta "la richiesta di accesso ai dati personali trattati da una banca e riferiti ad una persona deceduta, se volta a conoscere specificamente e direttamente l´identità della persona delegata dal defunto ad effettuare determinate operazioni bancarie";

RITENUTO, alla luce di ciò, di dover dichiarare inammissibile la richiesta dell´interessata volta ad ottenere la comunicazione dei dati personali riferiti a terzi che siano stati delegati dal de cuius ad effettuare operazioni bancarie sui conti allo stesso intestati;

RITENUTO inoltre che, alla luce della documentazione in atti, il riscontro fornito dall´istituto di credito resistente alle richieste dell´interessata,  avvenuto in più riprese anche tenendo conto della copiosità della documentazione prodotta e della complessità della vicenda, risulta incompleto in quanto, per espressa dichiarazione del titolare del trattamento, non sono ancora stati rinvenuti i dati riferiti al prelevamento di euro 1500 del 22 dicembre 2010 e che pertanto,  per questo profilo, il ricorso deve essere parzialmente accolto; ritenuto quindi, per l´effetto, di dover ordinare a Unicredit S.p.A. di comunicare all´interessata, secondo le modalità di cui all´art. 10 del Codice e previo oscuramento dei dati eventualmente riferiti a terzi, i dati bancari sopra indicati eventualmente rinvenuti a seguito delle ulteriori attività di verifica avviate dall´istituto di credito, entro quarantacinque giorni dalla ricezione del presente provvedimento;

RITENUTO, invece, di dover dichiarare, ai sensi dell´art. 149  comma 2 del Codice, non luogo a provvedere sul ricorso in ordine ai dati bancari già comunicati, sia pure solo dopo la presentazione del ricorso;

VISTA la determinazione generale del 19 ottobre 2005 sulla misura forfettaria dell´ammontare delle spese da liquidare per i ricorsi; ritenuto congruo, su questa base, determinare l´ammontare delle spese inerenti l´odierno ricorso nella misura di euro 500 considerati gli adempimenti connessi, in particolare, alla presentazione del medesimo e ritenuto di porli a carico di Unicredit S.p.A. nella misura di euro 200, previa compensazione della residua parte per giusti motivi;

VISTI gli artt. 145 e ss. del Codice ;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Augusta Iannini;

TUTTO CIÒ PREMESSO IL GARANTE:

1) dichiara inammissibile la richiesta dell´interessata volta ad ottenere la comunicazione dei dati personali riferiti a terzi;

a) accoglie parzialmente il ricorso e, per l´effetto, ordina a Unicredit S.p.A. di comunicare alla ricorrente, entro quarantacinque giorni dalla ricezione del presente provvedimento, i dati bancari riferiti al prelevamento di euro 1500 del 22 dicembre 2010, secondo le modalità di cui all´art. 10 del Codice e previo oscuramento dei dati eventualmente riferiti a terzi;

2) non luogo a provvedere sul ricorso in ordine ai dati già comunicati;

3) determina nella misura forfettaria di euro 500 l´ammontare delle spese e dei diritti del procedimento che vengono posti, nella misura di 200 euro, a carico di Unicredit S.p.A., la quale dovrà liquidarli direttamente a favore della ricorrente; compensa tra le parti la residua porzione delle spese.

Il Garante, nel chiedere a Unicredit S.p.A., ai sensi dell´art. 157 del Codice, di comunicare quali iniziative siano state intraprese al fine di dare attuazione al presente provvedimento e di fornire comunque riscontro entro sessanta giorni dalla ricezione dello stesso, ricorda che l´inosservanza di provvedimenti del Garante adottati in sede di decisione dei ricorsi è punita ai sensi dell´art. 170 del Codice. Si ricorda che il mancato riscontro alla richiesta ex art. 157 è punito con la sanzione amministrativa di cui all´art. 164 del Codice.

Ai sensi degli artt. 152 del Codice e 10  d.lgs. n. 150 del 2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 26 febbraio 2015

IL PRESIDENTE
Iannini

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia