|
HOME PRIVILEGIA NE IRROGANTO di Mauro Novelli Documentazione Inserito l’8-5-2007 |
|||
|
|||
|
AUTORITA’
GARANTE DEI DATI PERSONALI Banche:
accesso ai dati e dipendenti infedeli È vietato
l'accesso ai dati personali dei clienti conservati nella
Centrale rischi della Banca d'Italia se non giustificato da legittime
esigenze. Il principio è stato ribadito dal Garante che ha dichiarato
illecito il comportamento di un dirigente di banca che, per scopi
personali, aveva fatto controllare la posizione debitoria del cognato.
L'Autorità, con un provvedimento di
cui è stato relatore Mauro Paissan, ha
prescritto all'istituto di credito di adottare misure di
sicurezza mirate a contenere i rischi di accesso non autorizzato e di
effettuare controlli più tempestivi ed efficaci sulla correlazione tra
l'accesso ai sistemi di informazione creditizia e l'esigenza di trattare una
pratica che giustifichi, nel rispetto della legge, le interrogazioni alla
banca dati. La decisione del Garante
è stata presa a seguito di una segnalazione presentata da un ex
cliente di una banca con la quale aveva cessato qualsiasi rapporto
contrattuale dal 2001. Il cliente, messo a conoscenza che dopo tale data erano
stati effettuati da parte dell'istituto di credito accessi alla
Centrale rischi della Banca d'Italia relativi alla sua persona e al
proprio coniuge, aveva chiesto spiegazioni. L'ente creditizio non aveva
fornito idoneo riscontro alla richiesta del cliente, il quale si è quindi rivolto al Garante per vedere tutelati i
suoi diritti. In seguito agli
accertamenti disposti dall'Autorità, la banca ha dovuto invece
dichiarare che le richieste alla Centrale rischi
della Banca d'Italia erano state effettuate indebitamente per ragioni di
natura personale da parte di un dirigente dell'istituto di credito, cognato
del cliente, che aveva incaricato alcuni collaboratori, pur apparentemente
estranei alle finalità private da lui perseguite e non consapevoli dell'illiceità
della richiesta, di effettuare le interrogazioni alla Centrale rischi. Il Garante ha pertanto
dichiarato illecito il trattamento dei dati effettuato a danno del cliente.
Inoltre, diversamente da quanto dichiarato all'Autorità, la banca non
aveva fornito al cliente, a fronte dei chiarimenti da lui richiesti, le vere
ragioni dell'accesso illecito e ha pertanto violato il suo diritto ad essere
preventivamente informato di ogni trattamento dati
che possa interessarlo. L'Autorità ha
infine disposto la trasmissione degli atti alla magistratura per le
valutazioni di competenza riguardo agli illeciti penali
eventualmente configurabili. Provvedimento del 8 marzo 2007 SEGUE IL
TESTO DEL PROVVEDIMENTO IL GARANTE
PER LA PROTEZIONE DEI DATI PERSONALI In
data odierna, in presenza del prof. Francesco
Pizzetti, presidente, del dott. Giuseppe Chiaravalloti,
vice presidente, del dott. Giuseppe Fortunato e del dott. Mauro Paissan, componenti, e del dott. Giovanni Buttarelli, segretario generale; Visto
il Codice in materia di protezione dei dati personali (d.lg.
30 giugno 2003, n. 196); Visto
il reclamo presentato da Gianpaolo Grespan nei
confronti di Banca di Roma S.p.a. relativamente ad
accessi abusivi da parte di incaricati della banca alla Centrale dei rischi
della Banca d'Italia ed al sistema centralizzato di rilevazione dei rischi di
importo contenuto gestito da SIA S.p.a.; Vista
la documentazione in atti; Viste
le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del
regolamento del Garante n. 1/2000; Relatore
il dott. Mauro Paissan; PREMESSO 1. Con nota
pervenuta il 3 aprile 2006, Gianpaolo Grespan ha
rappresentato che, pur non essendo più cliente dal 2001, presso la
Banca di Roma sarebbero stati effettuati vari accessi abusivi (sette), nel
2004 e nel 2005, al Servizio di prima informazione reso
disponibile presso la Centrale dei rischi della Banca d'Italia e al
sistema centralizzato di rilevazione dei rischi di importo contenuto gestito
da SIA S.p.a., al fine di verificare dati personali
che lo riguardano anche unitamente al proprio coniuge. Dalla
documentazione prodotta emerge che non hanno avuto idoneo e tempestivo riscontro
talune istanze (del 7 novembre 2005 e del 10 gennaio 2006) proposte ai sensi
dell'art. 7 del Codice, volte a conoscere l'identità delle persone che
(anche in qualità di responsabili o di incaricati) avrebbero avuto
accesso alle predette informazioni. In
una nota di risposta del 22 dicembre 2005 la banca ha così affermato:
le "richieste
di prima informazione sono state inoltrate alla
[…] Centrale rischi
con la motivazione "richiesta di fido" al fine di istruire una richiesta di
affidamento pervenuta al nostro dipendente";
nella medesima nota, la banca ha poi dichiarato all'interessato quanto segue:
"trattandosi
di attività svolta da nostri dipendenti che hanno operato nella
qualità di incaricati, la sua istanza di conoscere le relative
generalità risulta ultronea rispetto a
quanto previsto dal sopra citato art. 7 del decreto legislativo n.
196/2003". In una successiva nota del 27
febbraio 2006, la banca non ha infine effettuato alcun riferimento ai
contestati accessi informatici. 3. Alla luce
di quanto sopra evidenziato, presso la banca è stato effettuato un
trattamento illecito ai sensi dell'art. 11, lett. a) e b) del Codice,
conseguente ad accessi indebiti ai menzionati sistemi informativi, non
giustificati da legittime esigenze (relative, in particolare, a richieste di
credito). Ciò, per effetto del comportamento illecito di uno o
più dipendenti del cui operato la banca
risponde (artt. 4, comma
1, lett. f), 15 e 28-30 del Codice). Le
operazioni sono state effettuate in violazione della disciplina di settore
che regola l'accesso ai menzionati sistemi
informativi, in particolare di quella riguardante il servizio centralizzato
dei rischi gestito dalla Banca d'Italia, la quale "fornisce agli intermediari
partecipanti un'informativa utile […] per la valutazione del merito di
credito della clientela e, in generale, per l'analisi e la gestione del
rischio di credito" (cfr.
Banca d'Italia, Centrale dei rischi, Istruzioni per gli intermediari
creditizi, circ. n. 139, 11 febbraio 1991, 9° Agg. del 22 giugno 2004, p. I.3). Nel
caso di specie, i ripetuti accessi sono stati infatti
compiuti, come ammesso solo da ultimo dalla banca, al di fuori dei casi
previsti e realizzando una grave violazione dei diritti dell'interessato,
perseguendo indebitamente finalità private di un terzo in contrasto
con gli obblighi correlati all'utilizzazione dei due sistemi informativi. 3.1.
Deve altresì riscontrarsi un'ulteriore, grave violazione della
disciplina di protezione dei dati ascrivibile alla
banca, riguardo al non veritiero riscontro fornito all'interessato a seguito
dell'esercizio dei diritti di accesso di cui all'art. 7 del Codice avvenuto
in due occasioni. Da
un lato, la banca ha inizialmente dichiarato che le finalità del
trattamento erano state quelle della consultazione dei sistemi informativi
nell'ambito di un'istruttoria relativa a richieste
di affidamento, la cui esistenza è stata, invece, negata
successivamente dalla stessa banca nella comunicazione inviata
all'Autorità. Il
riscontro fornito alla richiesta dell'interessato volta a conoscere i
soggetti che sarebbero venuti a conoscenza di
informazioni tratte dai predetti sistemi informativi, non risponde,
altresì ai requisiti prescritti dal Codice, avendo l'interessato il
diritto (art. 7, comma 2, lett. e)) di ottenere un'indicazione esaustiva
dei soggetti che possono venire a conoscenza dei dati personali anche in
qualità di responsabili o incaricati. La
banca ha contravvenuto non solo alla puntuale previsione contenuta nell'art.
7 del Codice, ma, più in generale, all'obbligo di correttezza
(rilevante anche ai sensi dell'art. 11, comma 1, lett. a), del Codice), non
essendo stato, altresì, consentito all'interessato di conoscere
tempestivamente e agevolmente notizie veritiere sul trattamento di dati
personali che lo riguardano (art. 10, comma 1, lett. a), del Codice). 3.2.
Presso la banca, l'illecito trattamento è stato effettuato in
più occasioni all'insaputa dell'interessato, violando anche il suo
diritto ad essere preventivamente informato di ogni trattamento di dati che
possa riguardarlo (artt. 13 e 161 del Codice). Per
la violazione di tale obbligo di preventiva informativa l'Autorità
provvederà con separato provvedimento. Va
disposta la trasmissione di copia degli atti e del presente provvedimento
all'autorità giudiziaria per la valutazione di profili di competenza
in ordine agli illeciti penali che riterrà
eventualmente configurabili. La
sequenza dei fatti documentata in atti, nonché delle diverse versioni fornite
all'interessato, evidenzia che, malgrado le
ordinarie misure di sicurezza attestate in atti dalla banca, non risulta in
essere un idoneo meccanismo tale da consentire controlli più
tempestivi ed efficaci sull'effettiva correlazione tra l'accesso ai predetti
sistemi informativi e una documentata pratica di riferimento che giustifichi,
in conformità alle norme, l'accesso stesso. Ne deriva la
necessità di prescrivere a Banca di Roma S.p.a.
di adottare la misura necessaria di cui al seguente
dispositivo, entro il 30 maggio 2007. TUTTO
CIÒ PREMESSO, IL GARANTE
Roma, 8 marzo 2007 IL PRESIDENTE IL RELATORE IL SEGRETARIO GENERALE |