Diritti interna

Doveri interna

ricerca avanzata

Provvedimento del 27 settembre 2004 [1069074]

SCHEDA
Garante per la protezione dei dati personali
Doc-Web:
1069074
Data:
27/09/04
Tipologia:
Decisione su ricorso

[doc. web n. 1069074]

Provvedimento del 27 settembre 2004

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminato il ricorso presentato da XY rappresentato e difeso dagli avv.ti Carlo De Marchis e Nicoletta Di Lolli presso il cui studio ha eletto domicilio

nei confronti di

Unipol Banca S.p.A.

e

Banca d´Italia rappresentata e difesa dagli avv.ti Marco Mancini, Vincenza Profeta e Nicola De Giorgi ed elettivamente domiciliata presso gli stessi (Consulenza legale della Banca d´Italia);

Visti gli articoli 7, 8 e 145 s. del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

VISTE le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Stefano Rodotà;

PREMESSO:

L´interessato, il quale ricopre anche cariche sociali nell´ambito di alcune società operanti nel campo della ristorazione, in data 16 aprile 2004 aveva emesso, a titolo personale, un assegno tratto su Unipol Banca S.p.A. per l´importo di 12.000,00 euro, in ordine al quale si era verificata una "temporanea carenza di provvista".

Successivamente, il medesimo interessato aveva ricevuto dalla banca una nota con la quale, ai sensi dell´art. 9-bis della legge n. 386/1990, veniva informato del mancato pagamento dell´assegno per difetto di provvista; gli veniva altresì comunicata la facoltà di provvedere al pagamento tardivo del titolo ai sensi dell´art. 8 della medesima legge n. 386, entro il 25 giugno 2004. Ciò, al fine di evitare l´iscrizione del proprio nominativo, con effetto dal 30 giugno 2004, nell´archivio informatizzato degli assegni bancari e postali e delle carte di pagamento (cosiddetta C.A.I.), istituito presso la Banca d´Italia, e la conseguente revoca dell´autorizzazione ad emettere assegni.

In seguito, dopo aver pagato, in data 18 maggio 2004, tutte le somme dovute, l´interessato si era fatto rilasciare dal portatore del titolo una dichiarazione in pari data attestante l´avvenuto pagamento, documento che aveva consegnato "immediatamente" alla banca. Avendo quest´ultima eccepito la regolarità di tale dichiarazione, in quanto priva della prevista sottoscrizione autenticata, il ricorrente aveva ottenuto dal portatore del titolo una dichiarazione sostitutiva di atto di notorietà comprovante l´avvenuto pagamento, autenticata presso il Comune di Fabrica di Roma (VT) e datata 17 giugno 2004, che era stata trasmessa via telefax alla banca.

Ritenuto inidoneo anche tale ultimo documento, perché fornito in copia anziché in originale, l´interessato si era nuovamente attivato presso il portatore del titolo perché gli venisse inviato l´originale.

Avendo questi smarrito nel frattempo tale originale, lo stesso, su sollecito dell´interessato, aveva rinnovato la dichiarazione con autentica nelle forme di legge, datata 28 giugno 2004 e fornita questa volta in originale, che l´interessato aveva consegnato alla banca (il portatore aveva anche fornito una ulteriore dichiarazione con sottoscrizione autenticata attestante lo smarrimento della precedente dichiarazione per causa allo stesso imputabile).

Nel frattempo, essendo scaduto il termine di legge, Unipol Banca S.p.A. aveva iscritto nell´archivio C.A.I. il nominativo dell´interessato, al quale veniva contestualmente revocata l´autorizzazione ad emettere assegni.

Con lettera raccomandata a.r. in data 26 luglio 2004, l´interessato aveva diffidato Unipol Banca S.p.A. e Banca d´Italia invitandoli a provvedere al blocco del trattamento dei dati personali che lo riguardano, nonché alla cancellazione dell´iscrizione in questione con attestazione della cancellazione medesima.

In data 29 luglio 2004 l´interessato ha proposto ricorso in via d´urgenza ai sensi dell´art. 145 del Codice nei confronti di Unipol Banca S.p.A. e Banca d´Italia S.p.A. con il quale ha sostenuto che l´iscrizione nell´archivio C.A.I. e la conseguente revoca sarebbero illegittime, avendo il ricorrente pagato le somme previste dall´art. 8 della legge n. 386/1990 ed avendo altresì prodotto la quietanza del portatore secondo le forme previste e nel termine comunicato da Unipol Banca S.p.A. con il c.d. preavviso di revoca.

Il medesimo ricorrente ha sostenuto di non poter essere ritenuto "responsabile né dei tempi per il rilascio della dichiarazione che deve emettere un terzo, né dello smarrimento dell´atto avvenuto fuori della propria sfera giuridica". Ritenendo che la prova del pagamento tardivo mediante la produzione della quietanza secondo le modalità previste dal citato art. 8 sia prevista non ad substantiam, bensì ad probationem, sostiene di aver comunque provato, anche attraverso la dichiarazione del portatore del titolo, di aver provveduto nel termine di legge al pagamento tardivo di quanto dovuto.

Alla luce di tali considerazioni, il ricorrente ha chiesto "la cancellazione del proprio nominativo e comunque il blocco del trattamento di propri dati personali e comunque di ottenere l´aggiornamento e/o rettificazione del trattamento come previsto dall´art. 7, comma 3, lett. a), b), del d.lg. 196/2003".

In considerazione "della gravità del danno causato al Sig. XY, che si ripercuote ben al di là della sua sfera personale riverberando effetti, se possibili, ancor più gravi, nei confronti degli oltre 200 dipendenti delle due società di cui è consigliere delegato ed amministratore unico il ricorrente, e delle due società stesse che di fatto non possono più operare sul mercato, non possono pagare i fornitori, far fronte a scadenze fiscali ecc…", il ricorrente ha chiesto, ai sensi dell´art. 150 del Codice, " l´immediata sospensione degli effetti della iscrizione (…) e comunque disporre il blocco e/o la cancellazione e/o la rettifica del trattamento dei dati personali del ricorrente".

Il ricorrente ha chiesto infine che le spese del procedimento siano poste a carico delle controparti.

A seguito dell´invito a fornire riscontro formulato da questa Autorità in data 31 luglio 2004, Unipol Banca S.p.A., con nota anticipata via fax il 4 agosto 2004, ha sostenuto che il proprio operato in ordine all´iscrizione in questione è stato legittimo. Ed infatti la citata banca ha precisato:

  • che, essendosi accertata la mancanza di fondi a seguito di negoziazione del titolo in stanza di compensazione prima del suo richiamo da parte della banca negoziatrice, l´invio del "messaggio elettronico di "impagato per difetto di provvista" relativo all´assegno in questione deve ritenersi, a suo avviso, effettuato correttamente e conforme a quanto previsto nella circolare Banca d´Italia n. 10586 del 25 novembre 2003, in quanto "il momento consumativo dell´illecito concernente l´emissione di assegni senza provvista si perfeziona all´atto della presentazione del titolo al pagamento (…)";
  • di aver inviato, con nota raccomandata a.r. ricevuta dal ricorrente il 30 aprile 2004, il c.d. "preavviso di revoca" di cui all´art. 8 della legge n. 386/1990 nel quale era chiaramente specificato il giorno 25 giugno 2004, quale termine ultimo per il pagamento tardivo dell´assegno e per produrre la relativa prova secondo quanto previsto nel medesimo articolo 8 e nell´art. 15 del d.m. n. 458 del 7 novembre 2001;
  • che, ciò nonostante, "la scrivente ha ricevuto la corretta documentazione (…), attestante il pagamento del contestato titolo, solo in data 30 giugno 2004, quindi ben oltre i 60 gg. stabiliti dalla legge";
  • "nessuna discrezionalità è lasciata agli istituti di credito nell´applicazione della disciplina" sopra indicata che prevede, in caso di inottemperanza, le conseguenze previste dall´art. 10 della legge n. 386/1990 ("Responsabilità solidale del trattario").

Con note datate 6 agosto e 24 agosto 2004 Banca d´Italia ha precisato che:

  • la disciplina applicabile al predetto archivio informatizzato istituito ai sensi dell´art. 10-bis della legge n. 386/1990 (C.A.I.) è da rinvenirsi nel d.lg. n. 507/1999 e nella correlativa disciplina di attuazione;
  • tali disposizioni attribuirebbero "alla Banca d´Italia, nell´esercizio delle funzioni di titolare del trattamento, il compito di verificare l´osservanza delle disposizioni che regolano il funzionamento dell´archivio da parte degli enti segnalanti" sui quali grava, invece, "la responsabilità dell´esattezza dei dati trasmessi e l´onere di provvedere alla rettifica o cancellazione (…) , nel caso in cui la segnalazione originaria risulti operata in difetto dei presupposti di legge";
  • di aver acquisito da Unipol Banca S.p.A. le risultanze già fornite da quest´ultima con la citata nota del 4 agosto 2004;
  • di aver ricevuto da S.I.A. S.p.A., ente responsabile della gestione dell´archivio, la conferma della presenza della segnalazione in questione nell´archivio C.A.I. con decorrenza 30 giugno 2004.

Con memoria depositata il 6 settembre 2004 Banca d´Italia ha sostenuto che il ricorso sarebbe inammissibile nei confronti dell´Istituto di emissione per difetto di legittimazione passiva, in quanto:

  • ai sensi della normativa applicabile all´archivio C.A.I., alla Banca d´Italia e, per essa, a S.I.A. S.p.A. (concessionaria della gestione dell´archivio e responsabile del trattamento), sarebbe demandato solo il compito di svolgere "una mera verifica della completezza formale delle segnalazioni ricevute", di garantire "la sicurezza e la riservatezza dei dati immessi (…), con l´ovvio corollario che restano preclusi alla concessionaria, come del resto all´ente titolare, ogni verifica preventiva o vaglio successivo dei presupposti delle segnalazioni immesse";
  • di conseguenza, sempre in virtù di quanto previsto nella normativa di riferimento, soltanto gli enti che effettuano le segnalazioni all´archivio C.A.I. e che devono curare l´esattezza e l´aggiornamento dei dati trasmessi sarebbero a suo avviso legittimati ad effettuare la rettifica o la cancellazione dei dati errati;
  • la Banca d´Italia sarebbe, sempre a suo avviso, chiamata esclusivamente a provvedere al trattamento dei dati trasmessi consentendone la consultazione, attenendosi ai dati comunicati dagli enti segnalanti;
  • l´ipotizzato difetto di legittimazione passiva della Banca d´Italia in ordine ad eventuali richieste di cancellazione dei dati dall´archivio C.A.I. sarebbe stato accertato in alcune pronunce giurisprudenziali di merito che, in limitati casi di accoglimento del ricorso cautelare, "ha impartito l´ordine di cancellazione direttamente agli enti segnalanti", oppure a S.I.A. S.p.A., in tal caso per i profili relativi alla gestione dell´archivio in termini di sicurezza e riservatezza dei dati, ecc.

Con nota inviata il 6 settembre 2004, il ricorrente ha contestato le considerazioni formulate da Banca d´Italia in ordine all´asserito difetto di legittimazione passiva, sostenendo che:

  • ai sensi dell´art. 10-bis della legge n. 386/1990, "Banca d´Italia è titolare del trattamento ed in quanto tale deve esercitare un potere di verifica-controllo sulla regolarità del funzionamento dell´archivio"; tale potere esplicherebbe i propri effetti anche in ordine alla "regolarità delle eventuali integrazioni e, quindi, delle cancellazioni", ancorché a tali operazioni debba provvedere direttamente l´ente segnalante;
  • rivestendo Banca d´Italia la qualifica di titolare del trattamento rispetto ai dati trasmessi e trattati all´interno dell´archivio C.A.I., gli interessati segnalati possono esercitare i diritti riconosciuti nell´art. 7 del Codice sulla protezione dei dati personali, ivi compresa la richiesta di cancellazione dei dati, nei confronti della stessa Banca d´Italia, oltre che degli enti segnalanti.

Nell´audizione tenutasi il 7 settembre 2004, e con note in data 13 settembre 2004 e 20 settembre 2004, il ricorrente e la Banca d´Italia hanno ribadito quanto asserito nei propri atti difensivi.

Il ricorrente, in relazione ai dedotti motivi di urgenza del ricorso, ha nuovamente sottolineato le difficoltà in cui lo stesso versa attualmente "sia a titolo personale che come organo societario" a causa dell´iscrizione in questione, essendo di fatto impossibilitato ad emettere assegni, a pagare gli stipendi dei dipendenti, ad accedere al credito, ecc..

Banca d´Italia ha sottolineato che, pur essendo stata genericamente riconosciuta nell´art. 10-bis della legge n. 386/1990 la propria qualità di titolare del trattamento, "l´ambito di detto trattamento" sarebbe circoscritto e limitato, in virtù della normativa primaria e secondaria, ad una mera verifica formale sulla completezza dei dati e al controllo sul funzionamento dell´archivio.

Con nota inviata via fax il 20 settembre 2004 Unipol Banca S.p.A., nel ribadire la legittimità del proprio operato, ha precisato che "l´iscrizione nell´archivio C.A.I. riguarda personalmente solo il Sig. XY" anziché le società in cui lo stesso riveste cariche sociali.

CIÒ PREMESSO IL GARANTE OSSERVA:

Il ricorso concerne la segnalazione, effettuata da una banca, di alcuni dati personali del ricorrente ora registrati nell´archivio informatizzato degli assegni bancari e postali e delle carte di pagamento di cui all´art. 10-bis della legge n. 386/1990.

Il ricorso è ammissibile.

Risultano sufficientemente motivate dal ricorrente, e non contestate dalle controparti, le ragioni di urgenza presupposte dall´art. 146 del Codice, le quali legittimavano, nel caso di specie, la presentazione di un ricorso al Garante senza che fosse decorso il termine di quindici giorni dalla ricezione dell´interpello preventivo ai sensi dell´art. 8 del Codice. Tali ragioni hanno anche giustificato lo svolgimento di parte dell´istruttoria del procedimento durante il periodo di sospensione feriale dei termini.

Il ricorso è ammissibile anche in riferimento alla Banca d´Italia.

Ai sensi dell´art. 10-bis della legge n. 386/1990, quest´ultima riveste la qualità di titolare del trattamento dei dati e può avvalersi di un ente esterno cui affidare la concreta gestione dell´archivio in funzione di responsabile del trattamento, secondo quanto previsto dall´art. 29 del Codice. Nell´appena citata disposizione della legge n. 386/1990 è previsto che il soggetto interessato abbia il diritto di accedere alle informazioni che lo riguardano contenute nell´archivio e di esercitare gli altri diritti ora previsti dall´art. 7 del Codice. Ciò è ulteriormente ribadito nell´art. 11 del d.m. n. 458/2001 contenente il regolamento sul funzionamento dell´archivio.

Gli interessati segnalati possono quindi esercitare il complesso dei diritti previsti dall´art. 7 del Codice (tra cui il diritto di cancellazione e di rettifica) sia nei confronti degli intermediari segnalanti, sia della Banca d´Italia, soggetti che agiscono entrambi in qualità di titolari del trattamento. Lo stesso regolamento emanato il 29 gennaio 2002 dal Governatore della Banca d´Italia prevede che anche tale Istituto, al pari dell´ente responsabile della concreta gestione, possa essere tenuto a disporre la cancellazione o la rettifica dei dati dell´archivio per effetto non solo di un´iniziativa dell´ente segnalante, ma anche in attuazione di un provvedimento del Garante (art. 5, comma 4).

Essendo l´art. 7 del Codice applicabile, è legittimo da parte del ricorrente proporre alcune istanze riguardo ai dati personali che lo riguardano e tali istanze devono essere esaminate sia dal titolare o responsabile del trattamento, sia dal Garante.

L´iniziale, e contestato inserimento dei dati del ricorrente disposto da Unipol Banca S.p.A., a mezzo trasmissione delle informazioni all´archivio C.A.I. gestito da S.I.A. S.p.A., è avvenuto con modalità che non risultano aver violato le disposizioni applicabili nella corrente prassi bancaria, anche in relazione alle istruzioni e circolari emanate dalla Banca d´Italia.

Le circostanze di fatto documentate in atti e rilevanti ai fini della decisione richiesta al Garante sono sostanzialmente pacifiche tra le parti.

Non è in particolare in discussione né l´avvenuto pagamento satisfattivo nel termine, né la tardiva produzione -per le varie circostanze indicate- dell´idonea quietanza del portatore con firma autenticata.

Come detto, non risulta quindi illecita l´iniziale segnalazione nell´archivio C.A.I. disposta all´epoca.

Deve però constatarsi che nessuna disposizione di rango primario applicabile al caso di specie preclude, ora, la rettifica o cancellazione anticipata dei dati personali dall´archivio.

Vari riferimenti normativi del Codice sulla protezione dei dati e della stessa disciplina già richiamata (art. 10-bis, comma 3, cit.; art. 11 d.m. n. 458 cit.; art. 5, comma 4, regolamento Banca d´Italia cit.) prevedono anzi, espressamente, l´eventualità di una correzione o eliminazione di informazioni inesatte o inserite illecitamente.

La disposizione cui hanno fatto riferimento i titolari del trattamento individua il termine di conservazione nell´archivio C.A.I. dei dati identificativi iscritti a seguito di una revoca ad emettere assegni, i quali sono conservati per il periodo di efficacia del relativo provvedimento (art. 10, comma 1, d.m. 458 cit.).

Tuttavia, si tratta di una disposizione secondaria che disciplina l´ordinario svolgimento della vicenda del mancato pagamento, in tutto o in parte, di un assegno, e che regola il termine dell´ordinaria conservazione dei dati in archivio in termini generali.

Tale disposizione non esclude peraltro l´esercizio dei diritti dell´interessato riconosciuti dall´art. 7 del Codice, volti ad eliminare o far integrare o correggere dati personali non aggiornati o incompleti.

Nel caso di specie, vi è stato un pagamento interamente satisfattivo nei termini indicati nel c.d. preavviso di revoca e una ripetuta attivazione, sia pure non pienamente puntuale, dell´interessato per documentarla.

Ciò rende legittimo, ora, un intervento sui dati inseriti nell´archivio, i quali documentano una situazione non corrispondente alla realtà.

Diversamente, l´attesa dell´ordinario termine di conservazione (art. 10 cit.) comporterebbe una violazione dei diritti dell´interessato.

Ai fruitori dell´archivio C.A.I. il ricorrente appare infatti come soggetto che non ha provveduto al pagamento, neppure tardivo, dell´assegno senza provvista, per il quale vi è stata invece un´attivazione del ricorrente nei termini descritti.

Le richieste dell´interessato appaiono quindi meritevoli di accoglimento.

Banca Unipol S.p.A. dovrà pertanto corrispondere alle richieste dell´interessato attivandosi al fine di disporre la cancellazione dei dati personali del ricorrente detenuti nell´archivio C.A.I. in riferimento alla vicenda in questione, con effetto immediato dalla data di ricezione del presente provvedimento.

Parimenti, Banca d´Italia dovrà contestualmente attivarsi al fine di disporre l´avvenuta cancellazione dei dati in questione dall´archivio C.A.I. nei termini sopra precisati (art. 5, comma 4, reg. 29 gennaio 2002 del Governatore della Banca d´Italia).

Banca Unipol S.p.A. e Banca d´Italia dovranno inoltre dare conferma a quest´Autorità ed all´interessato, entro il 5 novembre 2004, dell´avvenuto adempimento di quanto disposto con il presente provvedimento.

Sussistono giusti motivi per compensare le spese fra le parti.

PER QUESTI MOTIVI IL GARANTE:

a) accoglie il ricorso e ordina ai resistenti di attivarsi al fine di cancellare i dati personali del ricorrente conservati nell´archivio C.A.I., nei termini di cui in motivazione;

b) dichiara compensate le spese fra le parti.

Roma, 27 settembre 2004

IL PRESIDENTE
Rodotà

IL RELATORE
Rodotà

IL SEGRETARIO GENERALE
Buttarelli