Source: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9141941
Timestamp: 2019-10-18 18:26:46+00:00

Document:
VEDI ANCHE COMUNICATO STAMPA DEL 19 SETTEMBRE 2019
[doc. web n. 9141941]
Provvedimento del 12 settembre 2019 - Codice di condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei pagamenti
Articolo 4 - Requisiti e categorie dei dati
Articolo 5 - Modalità di raccolta e registrazione dei dati
Articolo 6 - Base giuridica e Informazione agli interessati
Articolo 7 - Tempi di conservazione dei dati
Articolo 8 - Utilizzazione dei dati
Articolo 9 - Accesso ed esercizio di altri diritti degli interessati
Articolo 10 - Trattamenti o processi decisionali automatizzati di scoring
Articolo 11 - Trattamento di dati provenienti da fonti pubbliche e/o da altre fonti
Articolo 12 - Misure di sicurezza dei dati
Articolo 13 - Notifica di una violazione dei dati personali
Articolo 14 - Trasferimento di dati personali verso paesi terzi o organizzazioni internazionali
Articolo 15 - Verifiche sul rispetto del Codice di condotta ed organismo di monitoraggio
Articolo 16 - Modalità di adesione al Codice di condotta
Articolo 17 - Revisione del Codice di condotta
ALLEGATO 1 - PREAVVISO DI SEGNALAZIONE
ALLEGATO 2 - TEMPI DI CONSERVAZIONE
ALLEGATO 3 - MODELLO DI INFORMATIVA
ALLEGATO 4 - ORGANISMO DI MONITORAGGIO
L’Associazione Italiana Società di Referenza Creditizia (di seguito “AISReC”), in qualità di associazione rappresentativa dei gestori di sistemi di informazioni creditizia che ne fanno parte, unitamente all’Associazione Italiana Leasing e al Consorzio per la Tutela del Credito sottoscrivono il presente Codice di condotta con gli allegati da 1 a 4 che ne costituiscono parte integrante, sottoposto all’approvazione del Garante per la protezione dei dati personali (di seguito il “Garante”) ai sensi dell’art. 40 del Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (Regolamento Generale sulla Protezione dei Dati, di seguito il “Regolamento”) e nel rispetto della procedura stabilita dall’art. 20 del D.lgs. 101/2018, recante disposizioni di adeguamento del D.lgs. 196/2003, il Codice in materia di protezione dei dati personali (di seguito denominato "Codice") alle norme del Regolamento, sulla base delle seguenti
3. L’art. 20 del d. lgs. n. 101/2018 recante disposizioni per l'adeguamento della normativa nazionale alle disposizioni del Regolamento, che ha modificato il d. lgs. n. 196/2003, prevede che il Codice deontologico continui a produrre effetti a condizione che entro il termine definito (12 mesi dalla entrata in vigore del decreto) venga avviata e portata a termine la procedura tesa ad elaborare un Codice di condotta rispondente ai criteri di cui agli artt. 40 e 41 del Regolamento e che permetta di trasfondere in nuovo testo, coerente con il quadro regolamentare europeo, i principi delle vigenti norme deontologiche.
5. I partecipanti al SIC sono, in forza del Codice deontologico previgente, banche, intermediari finanziari e altri soggetti privati che, nell'esercizio di un'attività commerciale o professionale, concedono una dilazione di pagamento del corrispettivo per la fornitura di beni o servizi (articolo 1, comma 1, lett. e) del Codice deontologico) che operano in un quadro di reciprocità nello scambio di dati con gli altri partecipanti. Il legislatore è intervenuto a più riprese per consentire l’accesso ai dati presenti nel SIC a ulteriori soggetti quali, attualmente, in forza dell’articolo 6-bis, del decreto-legge 13 agosto 2011, n. 138 convertito con la legge 14 settembre 2011, n. 148 e del vigente articolo 30-ter del decreto legislativo 13 agosto 2010, n.141 (come successivamente modificato):
• i fornitori di servizi di comunicazione elettronica e i fornitori di servizi interattivi associati o di servizi di accesso condizionato (tra cui, quindi, le società telefoniche);
• le imprese di assicurazione;
• i soggetti autorizzati a svolgere le attività di vendita a clienti finali di energia elettrica e di gas naturale ai sensi della normativa vigente.
6. Inoltre, la legge 4 agosto 2017, n. 124, recante Legge annuale per il mercato e la concorrenza, all’art. 1, comma 85, ha stabilito anche che “al fine di promuovere la concorrenza attraverso la riduzione delle asimmetrie informative, anche intersettoriali, all'articolo 6-bis del decreto-legge 13 agosto 2011, n. 138, convertito, con modificazioni, dalla legge 14 settembre 2011, n. 148, dopo il comma 1 sono aggiunti i seguenti: «1-bis. L'accesso ai sistemi informativi di cui al comma 1 da parte dei soggetti ivi indicati può avvenire anche in un quadro di reciprocità, ma solo nel rispetto delle prescrizioni stabilite dal Garante per la protezione dei dati personali necessarie ad assicurare proporzionalità, correttezza e sicurezza circa il trattamento di dati personali ai sensi del predetto comma 1 e il rispetto dei diritti e delle libertà fondamentali, nonché della dignità dei soggetti cui le 2 informazioni si riferiscono, con particolare riferimento alla riservatezza, all’identità personale e al diritto alla protezione dei dati personali”.
8. Il trattamento di dati personali, effettuato nell'ambito dei sistemi informativi regolati dal presente Codice di condotta deve svolgersi nel rispetto dei principi dettati dalla normativa applicabile, avuto particolare riguardo a quella dettata in materia di protezione dei dati personali.
11. Le disposizioni del presente Codice di condotta si applicano esclusivamente al trattamento di dati personali effettuato nell’ambito dei sistemi di informazioni creditizie e, in particolare, il presente Codice di condotta non riguarda sistemi informativi di cui sono titolari soggetti pubblici, quale il servizio di centralizzazione dei rischi gestito dalla Banca d'Italia (artt. 13, 53, comma 1, lett. b), 60, comma 1, 64, 67, comma 1, lett. b), 106 107, 144 e 145 del d.lgs. 1 settembre 1993, n. 385 -Testo unico delle leggi in materia bancaria e creditizia; delibera Cicr del 29 marzo 1994; provvedimento Banca d'Italia 10 agosto 1995; circolare Banca d'Italia 11 febbraio 1991, n. 139 e successivi aggiornamenti).
a) "richiesta/rapporto": qualsiasi richiesta o rapporto riguardanti la concessione, nell'esercizio di un'attività commerciale o professionale, di un credito, di una dilazione di pagamento, di un pagamento differito, di un finanziamento o di un’altra analoga facilitazione finanziaria; rientrano nell’accezione di facilitazione finanziaria, il noleggio a lungo termine, il leasing operativo (1), la cessione di crediti e di dilazioni di pagamento e il prestito tra privati gestito attraverso piattaforme digitali (c.d. peer to peer lending) nei limiti stabiliti dal Legislatore, dalla normativa di settore, dalle Autorità di vigilanza e dalla Giurisprudenza;
b) dati relativi alla richiesta/rapporto, descrittivi, in particolare, della tipologia di contratto, dell'importo dovuto, delle modalità di pagamento e dello stato della richiesta o dell'esecuzione del contratto;
c) dati di tipo contabile, relativi, in particolare, agli utilizzi o ai pagamenti, al loro andamento periodico, all'esposizione debitoria anche residua e alla sintesi dello stato contabile del rapporto;
2. Nell'ambito di un SIC possono essere registrati i dati personali riferiti all’interessato che chiede di instaurare o che è parte di un rapporto con un partecipante, o all’interessato:
- che è coobbligato, anche in solido, o
- che è terzo ceduto, in relazione all’ipotesi di cessione di crediti o dilazioni di pagamento o
- che è un esponente aziendale o un partecipante al capitale della società e/o ente, che è parte di una richiesta/rapporto, come individuato dal successivo art. 8 o
- che è comunque legato sul piano economico o giuridico al soggetto che è parte di una richiesta/rapporto, come specificato nel successivo art. 8,
4. Le codifiche ed i criteri eventualmente utilizzati per registrare dati personali in un SIC e per facilitarne il trattamento sono diretti esclusivamente a fornire una rappresentazione oggettiva e corretta degli stessi dati, nonché delle vicende del rapporto segnalato. L'utilizzo di tali codifiche e criteri è accompagnato da precise indicazioni circa il loro significato, fornite dal gestore, osservate dai partecipanti e rese dagli stessi agevolmente disponibili agli interessati.
- Nell’arco del primo mese, mantiene nel SIC l’indicazione relativa allo svolgimento delle verifiche, tramite specifica codifica o apposito messaggio da apporre in corrispondenza dei dati oggetto delle richieste dell’interessato;
- successivamente ne limita il trattamento sospendendo la visualizzazione nel SIC dei dati oggetto delle verifiche.
b) nel caso di accesso del partecipante sia a dati personali contenuti in un SIC sia a dati personali contenuti in una delle banche dati di cui alla lettera a), anche nell'eventualità che gli stessi siano associati tra di essi, il gestore adotta le adeguate misure tecniche ed organizzative al fine di assicurare la separazione e la distinguibilità dei dati provenienti dal SIC rispetto a quelli provenienti dalle banche dati di cui alla lettera a), anche attraverso l´inserimento di idonee indicazioni, eliminando ogni possibilità di equivoco circa la diversa natura ed origine dei dati oggetto dell´accesso;
c) quando la richiesta non è accolta, l’interessato può richiedere al partecipante se, per istruire la richiesta di credito, ha consultato anche dati personali di tipo negativo nelle banche di dati di cui alla lett. a) ed ottenere dettagli circa la fonte da cui provengono i dati medesimi e gli estremi identificativi del gestore del SIC che ha fornito tali informazioni;
3. Il gestore ed i partecipanti adottano e sono tenuti a far assumere dai propri eventuali responsabili del trattamento l’impegno ad adottare misure tecniche ed organizzative idonee per garantire un livello di sicurezza adeguato al rischio fin dalla fase della progettazione e per impostazione predefinita. Tali misure comprendono, tra le altre, se del caso: a) la pseudonimizzazione e la cifratura dei dati personali; b) la capacità di assicurare su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento; c) la capacità di ripristinare tempestivamente la disponibilità e l'accesso dei dati personali in caso di incidente fisico o tecnico; d) una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento.
Fatti salvi i compiti e i poteri del Garante di cui agli articoli da 56 a 58 del Regolamento, il rispetto del presente Codice di condotta per quanto attiene esclusivamente alle operazioni di trattamento di dati personali poste in essere dai gestori aderenti al presente Codice di condotta è garantito da un apposito organismo di monitoraggio (di seguito “OdM”) costituito e accreditato ai sensi dell'articolo 41 del Regolamento, la cui composizione e il cui funzionamento sono disciplinati nell’Allegato 4 al presente Codice di condotta.
per tutti gli operatori di SIC - Sistema di Informazioni Creditizie
Partecipante ... Recapiti utili (indirizzo, telefono, fax, e mail)
Nell'ambito dei SIC, i Suoi dati saranno trattati secondo modalità di organizzazione, raffronto ed elaborazione strettamente indispensabili per perseguire le finalità sopra descritte, e in particolare saranno…
I Suoi dati sono/non sono oggetto di particolari elaborazioni statistiche al fine di attribuirLe un giudizio sintetico o un punteggio sul Suo grado di affidabilità e solvibilità (cd. credit scoring), tenendo conto delle seguenti principali tipologie di fattori: ...
1. ESTREMI IDENTIFICATIVI: ... (denominazione)
DATI DI CONTATTO: ...
2. ESTREMI IDENTIFICATIVI: ... (denominazione)
3. ESTREMI IDENTIFICATIVI: ... (denominazione)
Lei ha diritto di accedere in ogni momento ai dati che La riguardano. Si rivolga alla nostra società [INDICARE L'UNITÁ O PERSONA RESPONSABILE PER IL RISCONTRO ALLE ISTANZE DI CUI Agli artt. da 15 a 22 del Regolamento n. 679/2016], oppure ai gestori dei SIC, ai recapiti sopra indicati.
Allo stesso modo può richiedere la correzione, l'aggiornamento o l'integrazione dei dati inesatti o incompleti, ovvero la cancellazione o il blocco per quelli trattati in violazione di legge, o ancora opporsi al loro utilizzo per motivi legittimi da evidenziare nella richiesta (artt. da 15 a 22 del Regolamento UE escluso art. 20).
4. Ai fini del controllo del rispetto del presente Codice di condotta da parte di tutti i gestori ad esso aderenti, l’OdM potrà in ogni momento, anche senza necessità di preavviso, svolgere - anche delegandole a soggetti terzi - tutte le verifiche ritenute opportune, ivi incluse ispezioni, sia in remoto che presso la sede dei gestori, i quali saranno tenuti a prestare la massima collaborazione ai fini del proficuo svolgimento di tali attività.
(1) L’attività di leasing operativo - caratterizzata dall’assenza dell’opzione finale di acquisto - è consentita sia a società commerciali che a soggetti vigilati dalla Banca d’Italia (banche o intermediari finanziari); in quest’ultimo caso si tratta di “attività connessa” secondo quando stabilito dalla Banca d’Italia nelle Disposizioni di vigilanza per gli intermediari finanziari (Circolare 3 aprile 2015, n. 288, Titolo I, cap. 3, sez. III).
b) dati relativi alla richiesta/rapporto, descrittivi, in particolare, della tipologia di contratto, dell'importo, delle modalità di rimborso/pagamento e dello stato della richiesta o dell'esecuzione del contratto;

References: Articolo 4

Articolo 5

Articolo 6

Articolo 7

Articolo 8

Articolo 9

Articolo 10

Articolo 11

Articolo 12

Articolo 13

Articolo 14

Articolo 15

Articolo 16

Articolo 17
 articolo 30
 art. 8
 art. 8
 art. 20