IL GARANTE PER LA PROTEZIONE DEI DATI
PERSONALIIl ricorrente, titolare di una carta di credito emessa da
……………………….., deduce di non aver ricevuto riscontro da parte di
quest’ultima ad un’istanza formulata ai sensi dell’art. 13 della legge n.
675/1996.
Rappresentando un indebito utilizzo da parte di terzi della carta
smarrita, l’interessato aveva chiesto di accedere ai dati che lo
riguardano, di conoscere la loro origine, la logica e le modalità del
trattamento, nonché gli estremi identificativi del responsabile del
trattamento eventualmente designato. Aveva altresì manifestato la volontà
di opporsi al trattamento dei dati a fini di informazione commerciale e
promozionale.
Nel ricorso ai sensi dell’art. 29 della legge n. 675/1996 l’interessato
ha ribadito le proprie richieste e ha chiesto di porre a carico della
società resistente le spese del procedimento.
A seguito dell’invito ad aderire formulato da questa Autorità in data 4
luglio 2002 ai sensi dell’art. 20 del d.P.R. n. 501/1998, …………………………., con
nota fax del 10 luglio 2002, ha fornito alcune indicazioni in ordine alla
logica ed alle finalità del trattamento ed ha indicato gli estremi
identificativi dei responsabili del trattamento designati. Nella medesima
nota la resistente ha altresì precisato di detenere nei propri archivi
dati forniti dal medesimo ricorrente al momento della richiesta delle
carte di credito, nonché "quelli relativi alle carte (…) rilasciate ed
alle operazioni di spesa effettuate con le stesse". Ha però fornito solo
un quadro riepilogativo di alcuni dati personali.
Nell’audizione del 18 luglio 2002 il ricorrente ha ribadito le proprie
posizioni con particolare riguardo all’opposizione al trattamento dei dati
che lo riguardano a fini promozionali e ha depositato una memoria nella
quale ha lamentato che la resistente avrebbe "comunicato solo parzialmente
i dati personali (…) in suo possesso" ed inviato materiale pubblicitario
anche dopo l’opposizione manifestata.
A seguito di una richiesta di informazioni formulata da questa Autorità
in data 19 luglio 2002, ai sensi dell’art. 29, comma 4, della legge n.
675/1996, nei confronti di……………….., quest’ultima ha fornito un ulteriore
riscontro:
- provvedendo a specificare le modalità di eventuale registrazione
negli archivi informatici dei numeri di telefono e dei dati relativi a
titolo di studio e professione;
- confermando di aver interrotto l’invio di ogni tipo di materiale
pubblicitario;
- precisando che le "operazioni di spesa effettuate dai titolari
vengono rendicontate direttamente al titolare stesso, tramite invio
mensile di un analitico estratto conto…".
CIÒ PREMESSO IL GARANTE OSSERVA
Il ricorso verte sul trattamento di dati personali del cliente di una
società che ha curato l’emissione di una carta di credito.
La società ha fornito sufficiente riscontro, sia pure tardivo, ad
alcune richieste dell’interessato volte a conoscere la logica e le
finalità del trattamento e gli estremi identificativi dei responsabili
designati. Ha fornito inoltre positivo riscontro alla richiesta volta ad
ottenere la cessazione di ogni trattamento dei dati effettuati per fini
promozionali o di invio di materiale pubblicitario.
In relazione a tali richieste e ai dati personali già comunicati
all’interessato deve essere dichiarato non luogo a provvedere sul ricorso.
Per quanto concerne invece la più ampia richiesta di accesso ad altri
dati personali dell’interessato, il ricorso deve essere accolto.
Il titolare del trattamento ha infatti fornito idoneo riscontro solo
per quanto riguarda i dati personali registrati negli archivi informatici
della società e specificamente indicati nella menzionata nota del 10
luglio 2002 e in quella integrativa del 23 luglio 2002 (in riferimento a
numeri di telefono, titolo di studio e professione).
Per quanto riguarda invece altri dati e, specificamente, quelli
collegati alle rendicontazioni periodiche, ………………………... si è limitata a
rinviare alle comunicazioni mensili già inoltrate all’interessato.
Tale tipo di riscontro non è sufficiente.
Il titolare, in presenza di un’istanza di accesso a tutti i dati
personali di un interessato, deve fornire un completo riscontro al
riguardo, a prescindere dalla circostanza che tali dati, in tutto o in
parte, siano stati eventualmente già comunicati al ricorrente in
adempimento di obblighi contrattuali o in applicazione dell’art. 119 del
testo unico delle leggi in materia bancaria e creditizia (d.lg. n.
385/1993), che riconosce al cliente altri diritti in tema di comunicazione
e documentazione di operazioni.
…………………….. dovrà integrare i recenti riscontri inviati fornendo al
ricorrente i restanti dati personali allo stesso riferiti e non descritti
nelle note del 10 e del 23 luglio 2002, con particolare riferimento a
quelli contenuti nei resoconti contabili disponibili negli archivi
cartacei ed automatizzati. Ciò entro il termine del 28 febbraio 2003.
Qualora l’estrazione di tali dati, per la quantità e la qualità delle
informazioni richieste, risulti particolarmente difficoltosa, il titolare
potrà (come evidenziato più volte da questa Autorità, vedi, ad es.,
Bollettino 2001, n. 22, p. 27) corrispondere alla richiesta
dell’interessato anche attraverso la messa a disposizione, entro la
medesima data, di copia dei documenti contenenti i dati medesimi.
Per quanto concerne infine le spese va posto a carico del titolare del
trattamento l’ammontare delle spese sostenute nel presente procedimento,
determinato nella misura forfettaria di euro 250, di cui euro 25,82 per
diritti di segreteria, tenuto conto degli adempimenti connessi alla
redazione e presentazione del ricorso al Garante, posto per metà a carico
della resistente previa parziale compensazione per giusti motivi legati
alla specificità del caso e al parziale adempimento sia pure tardivo.
PER QUESTI MOTIVI IL GARANTE:
a) dichiara, ai sensi dell’art. 20, comma 2, del d.P.R. n. 501/1998,
non luogo a provvedere sul ricorso in relazione alle richieste
dell’interessato volte a conoscere la logica e le finalità del
trattamento, gli estremi identificativi dei responsabili designati e i
dati personali descritti nelle note del 10 e del 23 luglio 2002 richiamate
in motivazione, nonché ad opporsi al trattamento dei dati a fini
commerciali e promozionali;
b) accoglie il ricorso per quanto concerne la richiesta
dell’interessato di accedere agli altri dati personali riferiti al
ricorrente e ordina a …………………………………………. di consentire l’accesso ai dati
medesimi nei termini di cui in motivazione, entro il 28 febbraio 2003,
dando conferma dell’adempimento a questa Autorità entro la stessa data;
c) determina, ai sensi dell’art. 20, commi 2 e 9, del d.P.R. n.
501/1998, nella misura forfettaria di euro 250, di cui 25,82 per diritti
di segreteria, l’ammontare delle spese e dei diritti del presente
procedimento, posti per metà, previa parziale compensazione delle spese, a
carico di ……………………………. che dovrà liquidarli direttamente a favore del
ricorrente.