[doc. web. n. 1082142]

Diritti dell´interessato - Prestiti ed aggiornamento dei dati - 18 settembre 2003

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

ESAMINATO il ricorso presentato da XY rappresentato e difeso dall´avv. Mirco Minardi

nei confronti di

Citicorp Finanziaria S.p.A. - Citifin - Gruppo Citibank;

VISTA la documentazione in atti;

VISTI gli articoli 13 e 29 della legge 31 dicembre 1996, n. 675 e gli articoli 18, 19 e 20 del d.P.R. 31 marzo 1998, n. 501;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Gaetano Rasi;

PREMESSO:

Il ricorrente, quale coobbligato in relazione ad un contratto di prestito finalizzato, aveva ricevuto da Citicorp Finanziaria S.p.A.-Citifin-Gruppo Citibank una quietanza liberatoria datata 19 luglio 2002, attestante l´estinzione del finanziamento senza ulteriori pendenze.

Il ricorrente (il quale lamenta che alcuni istituti bancari avrebbero rifiutato un finanziamento a causa dell´iscrizione presso una "centrale rischi" privata del mancato pagamento di una rata relativa al predetto contratto), afferma che la finanziaria non avrebbe fornito riscontro ad un´istanza proposta ai sensi dell´art. 13 della legge n. 675/1996 con la quale aveva chiesto conferma dell´esistenza di dati personali che lo riguardano, di ottenerne la comunicazione in forma intelligibile e di conoscere l´origine dei dati medesimi, nonché la logica e le finalità del trattamento. L´interessato aveva chiesto altresì di cancellare i dati trattati in violazione di legge e di "provvedere all´aggiornamento dei dati relativamente alla solvenza del debito", nonché di portare a conoscenza dei terzi cui i dati erano stati comunicati la cancellazione e l´aggiornamento dei dati. L´interessato aveva chiesto infine di conoscere gli estremi identificativi dei terzi cui i dati medesimi erano stati comunicati.

Nel ricorso presentato a questa Autorità ai sensi dell´art. 29 della legge n. 675/1996 il ricorrente ha ribadito le proprie richieste ed ha chiesto di porre le spese del procedimento a carico della controparte.

A seguito dell´invito ad aderire formulato da questa Autorità l´8 luglio 2003 il titolare del trattamento, con nota inviata via fax il 21 luglio 2003, ha sostenuto che:

• i dati registrati negli archivi della resistente sono quelli comunicati dal ricorrente "mediante sottoscrizione del modulo di richiesta di finanziamento";
• quanto alla logica del trattamento, essa "è volta a permettere il trattamento dei dati personali solo per gli scopi per i quali sono stati raccolti" mediante l´adozione di "diverse misure di sicurezza", alcune delle quali descritte dalla resistente a titolo esemplificativo;
• i dati personali che riguardano il ricorrente sono stati cancellati dagli archivi della società, "ad eccezione di quelli che devono essere conservati, per la durata di dieci anni, ai sensi della normativa antiriciclaggio (Legge 197/91) e della prescrizione ordinaria dei diritti".

Con memoria difensiva pervenuta il 29 luglio 2003 la resistente, nell´inviare copia della documentazione relativa al contratto in questione, ha inoltre sostenuto che il rimborso delle rate del finanziamento iniziato il 28 agosto 1997 sarebbe stato "puntualmente eseguito, tramite la procedura dell´addebito diretto in conto corrente, fino alla rata in scadenza il 28 gennaio 1999" che sarebbe "ritornata insoluta con la causale "mancanza di fondi" dalla banca del ricorrente" e che, dopo essere "rimasta insoluta per tutta la durata residua del finanziamento e cioè fino al 28 luglio 2001", era stata pagata dal ricorrente "solo un anno più tardi", a seguito dell´intervento di "esattori esterni" alla finanziaria. La resistente ha inoltre sostenuto che presso la banca dati delle c.d. centrali rischi sarebbe "semplicemente riportato l´accadimento storico della rata non pagata". La circostanza che detta segnalazione avrebbe determinato il rifiuto del finanziamento richiesto dal ricorrente, sarebbe quindi da attribuirsi alla responsabilità dell´interessato inadempiente, anziché ad un "comportamento illegittimo da parte di Citifin".

Con memoria difensiva pervenuta il 29 luglio 2003 il ricorrente si è dichiarato insoddisfatto del riscontro ottenuto ed ha ribadito le proprie richieste.

CIÒ PREMESSO IL GARANTE OSSERVA:

Il ricorso concerne il trattamento dei dati personali dell´interessat0 da parte di una finanziaria in relazione ad un finanziamento nel corso del quale si era verificato un ritardo nel pagamento di un rata, finanziamento poi estinto senza pendenze in data 18 luglio 2002.

Il ricorso è inammissibile per la parte relativa alla richiesta di conoscere gli estremi identificativi dei terzi cui i dati che riguardano l´interessato erano stati comunicati, non configurandosi tale richiesta come esercizio di alcuno dei diritti di cui all´art. 13, comma 1, della legge n. 675/1996, i soli per i quali possa essere proposto ricorso al Garante ai sensi dell´art. 29 della predetta legge.

Va invece dichiarato non luogo a provvedere sul ricorso per quanto riguarda la richiesta di avere conferma dell´esistenza dei dati, di conoscerne in forma intelligibile il contenuto e la loro origine, nonché la logica e le finalità del trattamento, avendo fornito al riguardo il titolare del trattamento un sufficiente riscontro confermando in particolare che i dati relativi all´interessato corrispondono a quelli indicati dallo stesso ricorrente nel modulo di richiesta del finanziamento allegato alla memoria pervenuta il 29 luglio 2003 (e negli allegati prospetti sugli insoluti).

Inoltre, per quanto riguarda la richiesta di cancellazione dei dati, va ugualmente dichiarato non luogo a provvedere sul ricorso in riferimento ai dati personali di cui è stata attestata la cancellazione.

Il ricorso deve invece essere accolto per quanto riguarda l´aggiornamento delle segnalazioni relative all´interessato.

Dalla documentazione in atti emerge che l´interessato, in data 18 luglio 2002, aveva provveduto a saldare mediante vaglia telegrafico la rata scaduta il 28 gennaio 1999, come risulta dalla quietanza liberatoria datata 19 luglio 2002 nella quale la resistente dichiarava di non avere nulla più a pretendere dal ricorrente in relazione al finanziamento in questione. La mancata attivazione della resistente presso le "centrali rischi" private cui i dati erano stati comunicati, ai fini dell´aggiornamento delle informazioni relative al ritardo nei pagamenti, non appare poi giustificata, in considerazione dell´avvenuta regolarizzazione dell´inadempimento da parte dell´interessato e del tempo maturato in concomitanza con la presentazione del ricorso. La permanenza dei dati dell´interessato nelle banche dati delle predette "centrali rischi" non risulta più giustificata in conformità con la normativa sulla protezione dei dati personali, in riferimento ai criteri generali indicati da questa Autorità con il provvedimento generale del 31 luglio 2002, già comunicato alla resistente, il quale prevede sul punto che i dati relativi agli eventuali inadempimenti regolarizzati debbano essere cancellati entro un anno dall´estinzione, anche anticipata del rapporto, avvenuta senza perdite, debiti residui o pendenze (il che, nel caso di specie, è avvenuto il 18 luglio 2002).

Citicorp Finanziaria S.p.A.-Citifin-Gruppo Citibank dovrà attivarsi, entro il 15 ottobre 2003, per far disporre la cancellazione delle informazioni che riguardano il ricorrente e relative ai ritardi nei pagamenti dalle "centrali rischi" private cui tali informazioni sono state comunicate dallo stesso titolare del trattamento, dando comunicazione di tale adempimento, entro la stessa data, a questa Autorità e all´interessato.

Sussistono giusti motivi per compensare integralmente le spese del procedimento in ragione della circostanza che il congruo periodo di conservazione dei dati in questione è venuto a compimento dopo la presentazione dell´istanza ex art. 13 e in epoca contestuale alla presentazione del ricorso.

PER QUESTI MOTIVI, IL GARANTE:

a) dichiara inammissibile il ricorso in ordine alla richiesta di conoscere gli estremi identificativi dei terzi cui i dati dell´interessato erano stati comunicati;

b) accoglie parzialmente il ricorso per quanto riguarda la richiesta di aggiornamento dei dati e ordina alla resistente di attivarsi per la cancellazione delle segnalazioni relative al ricorrente riportate negli archivi delle c.d. centrali rischi private cui i dati sono stati comunicati, nei termini di cui in motivazione;

c) dichiara non luogo a provvedere ai sensi dell´art. 20, comma 2, del d.P.R. n. 501/1998 in relazione alle altre richieste del ricorrente;

d) dichiara integralmente compensate tra le parti le spese del procedimento.

Roma, 18 settembre 2003

IL PRESIDENTE
Rodotà

IL RELATORE
Rasi

IL SEGRETARIO GENERALE
Buttarelli