g-docweb-display Portlet

Provvedimento del 29 dicembre 2003 [1053768]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc web n. 1053768]

Provvedimento del 29 dicembre 2003

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

 

Nella riunione odierna, in presenza del prof. Giuseppe Santaniello che presiede la riunione, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminato il ricorso presentato da XY

nei confronti di

Bipielle Ducato S.p.A. e Crif S.p.A.;

Visti gli articoli 13 e 29 della legge 31 dicembre 1996, n. 675 e gli articoli 18, 19 e 20 del d.P.R. 31 marzo 1998, n. 501;

Viste le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Mauro Paissan;

PREMESSO

Il ricorrente afferma di non aver ricevuto idoneo riscontro ad una istanza con la quale, accanto ad alcune richieste non riguardanti i diritti previsti dall´art. 13 della legge n. 675/1996, aveva chiesto a Bipielle Ducato S.p.A. di attivarsi affinché fosse rettificata la posizione che lo riguarda, segnalata a Crif S.p.A. per ritardi ed irregolarità nei pagamenti relativi ad una carta di credito "revolving" poi estinta. Il ricorrente espone altresì di non essere stato mai informato della ritenuta irregolarità dei suoi pagamenti, effettuati secondo un piano di rimborsi differente da quello convenuto con conseguente segnalazione alla "centrale rischi" privata.

Il ricorrente dichiara inoltre di non aver ricevuto idoneo riscontro da Crif S.p.A. ad un´istanza con la quale aveva chiesto di conoscere i dati personali che lo riguardano al fine di verificare le informazioni detenute in merito alla segnalazione effettuata da Bipielle Ducato S.p.A.. In proposito, la "centrale rischi" resistente aveva inviato un report contenente le informazioni richieste, privo di riferimenti a "dati circa i punteggi di affidabilità/solvibilità-c.d. credit scoring".

Nel ricorso presentato a questa Autorità ai sensi dell´art. 29 della legge n. 675/1996 il ricorrente ha ribadito la richiesta formulata nei confronti di Bipielle Ducato S.p.A., ai fini della cancellazione presso Crif S.p.A. di "ogni traccia dell´arbitraria ed ingiustificata segnalazione" circa il mancato pagamento di bollettini postali nel periodo "orientativo" settembre 2002-marzo 2003 (segnalazione che contestava anche in relazione alle "centrali rischi" di Experian Information Services S.p.A. e CTC-Consorzio per la tutela del credito), nonché la richiesta formulata a Crif S.p.A. per la comunicazione dei dati personali che lo riguardano "valorizzata dai punteggi di credit scoring"; ha chiesto altresì che le spese del procedimento siano poste a carico delle controparti.

All´invito ad aderire spontaneamente a tali richieste formulato da questa Autorità ai sensi dell´art. 20, comma 1, del d.P.R. n. 501/1998, in data 19 novembre 2003, Bipielle Ducato S.p.A. ha risposto con note inviate via fax in data 9 e 11 dicembre 2003, sostenendo che:

  • "l´esposizione del ricorrente risulta completamente rimborsata in data 05/08/03"; pertanto, nella banca dati di Crif S.p.A non risulterebbe a carico del ricorrente "alcuna evidenza in merito al mancato pagamento dei bollettini postali";
  • nessuna segnalazione è stata effettuata ad Experian Information Services S.p.A.. Risulta aggiornata anche la posizione debitoria censita presso l´archivio di CTC-Consorzio per la tutela del credito, nel quale la stessa risulta "completamente rimborsata, anche se con ritardi maturati nel corso del rimborso";
  • "da una ricostruzione delle dinamiche e delle movimentazioni prese in esame" emerge che il ricorrente avrebbe utilizzato più volte "il sistema automatico di risponditore vocale per variare l´importo della rata, senza provvedere poi al pagamento coerente con l´impostazione della rata prescelta";
  • lo scostamento tra rata prescelta e pagamenti effettuati avrebbe portato alla registrazione di insoluti "per la differenza non rimborsata (…), con conseguente aggiornamento in tal senso della posizione presso le Centrali rischi" che cancelleranno i dati relativi al ricorrente decorso "un anno dal completo rimborso della posizione".

Con nota inviata via fax in data 10 dicembre 2003 Crif S.p.A. ha risposto sostenendo che:

  • l´istanza di rettifica rivolta alle resistenti dal ricorrente non avrebbe "ragione di essere poiché dal report attuale di Crif l´operazione risulta estinta, mentre gli insoluti sono regolarizzati da meno di un anno";
  • sarebbe stato fornito un riscontro completo all´istanza dell´interessato, essendo stati comunicati allo stesso "tutti i dati censiti e ricavabili dal sistema Crif di referenza creditizia";
  • le valutazioni complessive "di affidabilità" o "non affidabilità" del consumatore finale sono formulate non da Crif, ma "dagli enti finanziatori che fruiscono dei servizi, i quali sono e rimangono titolari esclusivi delle politiche decisionali e dei criteri posti a base delle medesime, residuando una responsabilità di Crif solo in ordine alla correttezza ed all´aggiornamento ab origine dei singoli dati";
  • per credit scoring si intendono "le modalità di organizzazione dei dati personali presenti in sistema di referenza creditizia, messe a disposizione degli operatori del mondo finanziario, consistenti nell´impiego di modelli statistici per la valutazione del rischio creditizio, e i cui risultati sono espressi in forma di indicatori numerici o punteggi diretti a fornire una rappresentazione sintetica (…) del complessivo profilo di rischio di un determinato interessato, della sua affidabilità o solvibilità ";
  • "tali risultati sono resi disponibili al solo ente finanziatore che ha ricevuto la richiesta di credito dall´interessato (…) e, comunque, non sono conservati nei sistemi di referenza creditizia, né resi accessibili agli altri enti finanziatori, anche perché è il singolo istituto che decide, sulla base delle proprie politiche di credito, di dare rilievo o peso positivo/negativo a determinate evidenze piuttosto che ad altre";
  • la richiesta di conoscere i dati relativi al "credit scoring" formulata dall´interessato sarebbe a suo avviso inammissibile, dal momento che "Crif non è titolare di alcuna banca dati dei suddetti risultati, che sono peraltro per loro natura "dinamici" e cioè potenzialmente differenti a seconda della banca che interroga e del momento storico in cui avviene l´interrogazione delle informazioni di base ed il calcolo".

Il ricorrente ha ribadito le proprie richieste con memorie inviate via fax l´11 ed il 15 dicembre 2003 nelle quali ha nuovamente sottolineato che la "genesi dalla quale i dati hanno preso vita" sarebbe stata la "lacunosa gestione di Bipielle".

CIÒ PREMESSO IL GARANTE OSSERVA

Il ricorso verte sul trattamento dei dati personali dell´interessato effettuato da una società finanziaria e da una c.d. "centrale rischi" privata in relazione ad alcune irregolarità nel pagamento dei ratei relativi ad una carta di credito revolving attualmente estinta.

Deve essere dichiarata inammissibile la richiesta a Bipielle Ducato S.p.A. di attivarsi per ottenere la cancellazione dei dati che lo riguardano dagli archivi di Experian Information Services S.p.A e di CTC-Consorzio per la tutela del credito. Si tratta infatti di richiesta che è stata proposta solo in sede di ricorso ex art. 29 della legge n. 675/1996 e rispetto alla quale non era stata proposta in precedenza la necessaria istanza ai sensi dell´art. 13 della medesima legge.

Deve essere poi dichiarata infondata l´analoga richiesta, parimenti rivolta a Bipielle Ducato S.p.A., di attivarsi per ottenere la cancellazione dei dati che lo riguardano dagli archivi di Crif S.p.A. Dalla documentazione in atti è infatti emerso che l´estinzione del credito è avvenuta da meno di un anno (termine indicato da questa Autorità nel provvedimento generale del 31 luglio 2002, noto alle parti, la cui motivazione su tale profilo deve intendersi richiamata quale parte integrante del presente provvedimento).

Il ricorso deve essere invece parzialmente accolto in riferimento all´accesso ai dati personali detenuti da Crif S.p.A. Tale società ha fornito infatti solo un parziale riscontro alla richiesta di accesso dell´interessato, comunicando alcuni dati per i quali va dichiarato non luogo a provvedere ai sensi dell´art. 20, comma 2, del d.P.R. n. 501/1998. La società non ha invece comunicato, come invece specificatamente chiesto dall´interessato, i dati personali detenuti in forma di punteggi sul grado di affidabilità/solvibilità, dati che la società stessa ha ammesso di trattare in forma di "indicatori numerici o punteggi diretti a fornire una rappresentazione sintetica, in termini predittivi o probabilistici, del complessivo profilo di rischio di un determinato interessato, della sua affidabilità o solvibilità" (cfr. p. 4 memoria Crif del 9 dicembre 2003).

La società dovrà quindi, con riferimento alla totalità dei propri archivi e non solo con riguardo alla banca dati di referenza creditizia, comunicare tutti gli ulteriori dati personali riferiti all´interessato a qualunque titolo trattati, anche se espressi nei termini predetti in forma di punteggio. Crif S.p.A. è pertanto tenuta ad integrare il riscontro già fornito, comunicando tali informazioni al ricorrente entro il 29 febbraio 2004, dando comunicazione di tale adempimento a questa Autorità entro la medesima data.

Con autonomo procedimento attivato ai sensi dell´art. 31, comma 1, lett. b), della legge n. 675/1996, questa Autorità verificherà inoltre la liceità e la correttezza del complessivo trattamento dei dati relativi agli indicatori numerici e punteggi svolto dalla resistente.

L´ammontare delle spese sostenute nel presente procedimento posto a carico della resistente è determinato nella misura forfettaria di euro 250, di cui euro 25,82 per diritti di segreteria, tenuto conto degli adempimenti connessi alla redazione e presentazione del ricorso al Garante. Il medesimo ammontare è posto in misura pari a 100 euro a carico di Crif S.p.A., previa compensazione della restante parte per giusti motivi legati al contenuto dei riscontri (per quanto incompleti) forniti sia prima che dopo la presentazione del ricorso.

PER QUESTI MOTIVI, IL GARANTE

a) dichiara inammissibile la richiesta rivolta a Bipielle Ducato S.p.A. di attivarsi per ottenere la c+ancellazione dei dati dell´interessato da Experian Information Services S.p.A. e CTC-Consorzio per la tutela del credito;

b) dichiara infondata la richiesta rivolta a Bipielle Ducato S.p.A di attivarsi per ottenere la cancellazione dei dati dell´interessato dalla banca dati di Crif S.p.A.;

c) dichiara non luogo a provvedere ai sensi dell´art. 20, comma 2, del d.P.R. n. 501/1998 in ordine ai dati personali già comunicati al ricorrente da Crif S.p.A.;

d) accoglie parzialmente il ricorso nei confronti di Crif S.p.A., con riferimento alla richiesta di accedere a tutti i dati personali dell´interessato, nei termini di cui in motivazione;

e) determina, ai sensi dell´art. 20, commi 2 e 9, del d.P.R. n. 501/1998, nella misura forfettaria di euro 250, di cui 25,82 per diritti di segreteria, l´ammontare delle spese e dei diritti del presente procedimento che pone, nella misura di 100 euro, previa compensazione della restante parte per giusti motivi, a carico di Crif S.p.A., la quale dovrà liquidarli direttamente a favore del ricorrente.

 

Roma, 29 dicembre 2003

IL PRESIDENTE
Santaniello

IL RELATORE
Paissan

IL SEGRETARIO GENERALE
Buttarelli

Scheda

Doc-Web
1053768
Data
29/12/03

Tipologie

Decisione su ricorso