Source: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/1116118
Timestamp: 2020-02-21 13:27:47+00:00
Document Index: 145530030

Matched Legal Cases: ['art. 145', 'art. 149', 'art. 149', 'art. 7', 'art. 149', 'art. 24', 'art. 11', 'art. 150', 'art. 29', 'art. 150', 'art. 150']

Provvedimento del 24 novembre 2004 [1116118] - Garante Privacy
Provvedimento del 24 novembre 2004 [1116118]
[doc. web n. 1116118]
Provvedimento del 24 novembre 2004
ESAMINATO il ricorso presentato da XY s.r.l.
Cerved Business Information S.p.A. rappresentata e difesa dagli avv.ti Antonio Boccuccia e Silvia Tagliente presso il cui studio ha eletto domicilio;
XY s.r.l. ha appreso di essere segnalata nella banca dati gestita da Cerved Business Information S.p.A. quale impresa ricompresa nella classe statistica di rischio n. 7 (relativa a soggetti definiti "a rischio elevato").
La valutazione sarebbe stata determinata dalla presenza, nell´ambito del "Quick report Cerved", di dati personali relativi a "pregiudizievoli di conservatoria su esponenti recessi" e "fallimenti su imprese connesse ad esponenti recessi".
Tali dati si riferiscono a due persone, VL e NL, che avrebbero rivestito la carica di amministratore unico di XY s.r.l. rispettivamente fino all´11 febbraio 1998 e fino al 28 settembre 1999. NL, in particolare, risulta attualmente "direttore tecnico" di XY s.r.l. "senza potere di amministrazione, né di rappresentanza alcuna ". Inoltre, il fallimento delle imprese, diverse da XY s.r.l., in cui tali soggetti rivestivano cariche sociali, sono intervenuti in un periodo ormai risalente (1998-1999), mentre l´ipoteca giudiziale iscritta nel 1998 a carico di VL trovava titolo in un provvedimento avente ad oggetto un´obbligazione contratta a titolo personale, senza alcun riferimento, quindi, a XY s.r.l..
Nel sostenere la non pertinenza ed eccedenza di tali dati "rispetto alla finalità perseguita dalla soc. Cerved di fornire informazione circa la solvibilità e l´affidabilità " della ricorrente, quest´ultima formulava un´istanza ai sensi degli artt. 7 e 8 del Codice con la quale chiedeva di conoscere l´origine, le finalità e le modalità del trattamento, i soggetti o le categorie di soggetti cui i dati possono essere comunicati e che possano venirne a conoscenza, oltre agli estremi identificativi del titolare e del responsabile del trattamento, ove designato. Inoltre, XY s.r.l. si opponeva al trattamento dei dati personali che la riguardano, sollecitando a tal fine la cancellazione di quelli per i quali non è più necessaria la conservazione, con particolare riguardo alle informazioni pregiudizievoli riferite a soggetti che hanno rivestito in passato cariche sociali all´interno della società e che attualmente non hanno poteri di amministrazione o rappresentanza della stessa. La medesima società chiedeva inoltre l´attestazione che l´operazione di cancellazione è stata portata a conoscenza dei soggetti cui i dati erano stati comunicati.
Con il ricorso ai sensi dell´art. 145 del Codice la società ha sottolineato come la valutazione operata da Cerved Business Information S.p.A. le avrebbe causato un notevole pregiudizio, essendo attualmente esclusa dall´accesso al credito. La società ha quindi ribadito le istanze già formulate ed ha anche chiesto che le spese del procedimento siano poste a carico della controparte.
All´invito ad aderire formulato da questa Autorità ai sensi dell´art. 149 del Codice il 14 luglio 2004, Cerved Business Information S.p.A., con nota inviata via fax il 23 settembre 2004, ha comunicato che "a causa di un disguido accaduto in relazione allo smistamento della corrispondenza" non era stato possibile dare un tempestivo riscontro alle richieste della ricorrente.
Successivamente alla proroga del termine per la decisione sul ricorso ai sensi dell´art. 149, comma 7, del Codice, con memoria inviata via fax il 25 ottobre 2004, Cerved Business Information S.p.A., nel fornire informazioni sul titolare del trattamento, origine dei dati, modalità e finalità del trattamento, ha altresì sostenuto:
di aver "ritenuto opportuno", già a seguito della ricezione dell´istanza ex art. 7, "oscurare "in via definitiva" il prodotto Quick Report (…) oggetto di contestazione";
che "sin dalla data del 7 giugno 2004 il Quick Report della società XY s.r.l. non è più visibile, né è più accessibile da nessuno";
che i dati censiti dalla resistente in relazione a XY s.r.l. sarebbero pertinenti e non eccedenti in quanto le società fallite indicate nel Quick Report avevano tutte la propria sede legale ove attualmente si trova la sede amministrativa della ricorrente ed inoltre "sono fallite tutte nel medesimo periodo";
che oltre a ciò, una delle due persone in riferimento alle quali sono indicate informazioni pregiudizievoli riveste ancora il ruolo di responsabile tecnico di XY s.r.l., mentre l´attuale amministratore unico di tale società "porta un cognome maritale in tutto identico" a tali persone.
Nel ritenere che la propria condotta è stata lecita, la resistente ha infine sostenuto che i dati da essa raccolti "sono unicamente aggregati dalla società per agevolare la rappresentazione di un quadro unitario della situazione patrimoniale e delle pregresse attività commerciali dei singoli operatori economici", al fine "di fornire un´ampia informazione commerciale sulla solvibilità e sull´affidabilità dei soggetti a cui si riferisce l´informativa".
La resistente ha anche chiesto che il Garante, in via preliminare, dichiari non luogo a provvedere sul ricorso in considerazione "dell´avvenuto oscuramento definitivo" del Quick report relativo a XY s.r.l., o, qualora decida nel merito, respinga il ricorso in quanto infondato. Ha inoltre chiesto che le spese del procedimento siano poste a carico della ricorrente.
Con nota inviata il 28 ottobre 2004, la ricorrente ha sostenuto di aver appreso dell´avvenuto "oscuramento definitivo" del Quick report alla stessa relativo soltanto dalla memoria della resistente; ciò, in quanto a XY s.r.l. "non è stato fornito alcun riscontro del cennato oscuramento", nonostante nell´istanza ex artt. 7 e 8 del Codice fosse stato espressamente richiesta "l´attestazione in forma intelligibile delle operazioni richieste". Inoltre, ad avviso della ricorrente, il riscontro fornito dalla resistente non sarebbe soddisfacente in quanto non recherebbe l´indicazione dei soggetti cui i dati erano stati comunicati o diffusi. Infine, XY s.r.l. ha sostenuto che, contrariamente a quanto affermato dalla resistente, in data 27 ottobre 2004 un´agenzia della Banca Popolare di Milano Soc. coop. a r.l., nell´ambito dell´istruttoria relativa ad una richiesta di mutuo, avrebbe avuto pieno accesso al Quick report relativo alla ricorrente e che, "per effetto della segnalazione" ivi contenuta, la citata banca avrebbe rifiutato la concessione del mutuo stesso. Al fine di conoscere le informazioni acquisite dalla banca attraverso il Quick report in questione, XY s.r.l. ha quindi formulato, in data 28 ottobre 2004, un´istanza ex artt. 7 e 8 del Codice nei confronti del citato istituto di credito.
Nell´audizione tenutasi in data 2 novembre 2004 le parti hanno ribadito quanto già sostenuto nei propri scritti difensivi.
Con nota inviata l´8 novembre 2004 la resistente ha ulteriormente ribadito che l´oscuramento definitivo del Quick report in questione, avvenuto sin dal 7 giugno 2004, "è facilmente riscontrabile mediante un libero accesso su Internet ove esplicitamente appare la schermata "Documento non disponibile".
Con nota inviata il 15 novembre 2004 la ricorrente ha informato il Garante di aver ottenuto da Banca Popolare di Milano Soc. coop. a r.l. un parziale riscontro alle proprie richieste, che ha quindi rinnovato, con nota in data 10 novembre 2004. In particolare, la ricorrente ha chiesto alla banca di conoscere gli eventuali dati pregiudizievoli acquisiti, "successivamente alla data del 7 giugno 2004", dalla banca dati gestita da Cerved Business Information S.p.A..
Con nota pervenuta il 23 novembre 2004, Banca Popolare di Milano Soc. coop. a r.l. ha allegato "copia del prospetto delle informazioni disponibili in Cerved" in relazione alla ricorrente, alla data del 15 novembre 2004.
Il ricorso concerne il trattamento dei dati effettuato da una società di informazioni commerciali, con particolare riferimento ai dati pregiudizievoli relativi ad una società e riferiti, in particolare, ad alcuni soggetti che al suo interno hanno rivestito in passato la carica di amministratore.
In ordine alle richieste volte a conoscere l´origine dei dati, le finalità e le modalità del trattamento e gli estremi identificativi del titolare del trattamento va dichiarato non luogo a provvedere sul ricorso ai sensi dell´art. 149, comma 2, del Codice, avendo la resistente fornito al riguardo un sufficiente riscontro.
In ordine all´opposizione al trattamento dei dati pregiudizievoli in questione, nonché alla richiesta di cancellazione delle informazioni riferite ai soggetti che avevano in passato rivestito la qualifica di amministratore della società, il ricorso è invece fondato e deve essere accolto.
Nei riscontri forniti alla ricorrente in risposta alle istanze formulate, la resistente ha attestato di aver acquisito i dati dal registro delle imprese e dalla conservatoria dei registri immobiliari. La resistente utilizza quindi, nel caso di specie, informazioni provenienti da pubblici registri che i soggetti privati possono trattare anche senza il consenso degli interessati (art. 24, comma 1, lett. c), del Codice).
Tuttavia, l´inserimento, nell´ambito di un report relativo a XY s.r.l., di informazioni riferite ad eventi pregiudizievoli afferenti soggetti che in passato avrebbero rivestito la carica di amministratori della società ricorrente (ma che attualmente sono estranei alla compagine societaria o non rivestono più la qualifica di amministratore della stessa), dà luogo ad un trattamento di dati personali nel contesto in esame eccedente e non pertinente (art. 11, comma 1, lett. d), del Codice) e che getta una luce negativa sulla società interessata ("rischio elevato"). Quest´ultima viene in tal modo associata a soggetti ad essa allo stato estranei e da tale associazione vengono desunte valutazioni arbitrarie sull´affidabilità e la solvibilità patrimoniale della società ricorrente. Ciò, senza valutare congruamente il considerevole arco temporale trascorso (5 anni) dalla nomina dell´attuale amministratore di XY s.r.l., né la funzione attualmente esercitata nell´ambito della società stessa da uno degli ex amministratori.
Nel corso del procedimento, la resistente ha asserito di aver provveduto ad un "oscuramento in via definitiva" dei dati contestati. Tuttavia, da alcune risultanze documentali acquisite nel corso dell´istruttoria (copia di un report Cerved, aggiornato al 15 novembre 2004, visualizzato e stampato da Banca Popolare di Milano soc. coop. a r.l. in relazione a XY s.r.l.) risulta che alcune informazioni sarebbero solo "temporaneamente non disponibili".
Pertanto, in accoglimento del ricorso, quale "misura necessaria a tutela dei diritti dell´interessato" (art. 150, comma 2, del Codice), va ordinato a Cerved Business Information S.p.A. di cancellare dalla banca dati gestita dalla resistente, ove la stessa non vi abbia già provveduto, i dati personali oggetto di contestazione nell´odierno ricorso, entro e non oltre il 15 marzo 2005. Entro il medesimo termine, la resistente dovrà confermare alla ricorrente la cancellazione di tali dati e fornirle la richiesta attestazione che la cancellazione stessa è stata portata a conoscenza dei soggetti cui i dati erano stati comunicati, dando conferma di tale duplice riscontro anche a questa Autorità.
La resistente non ha inoltre fornito riscontro alla richiesta di conoscere i soggetti cui sono stati eventualmente comunicati i dati della ricorrente, né ha indicato gli estremi identificativi del responsabile eventualmente designato ai sensi dell´art. 29 del Codice. La resistente, entro il medesimo termine del 15 marzo 2005, dovrà pertanto corrispondere a tale richiesta, dando conferma di tale adempimento a questa Autorità entro il termine stesso.
L´ammontare delle spese sostenute nel presente procedimento è determinato ai sensi dell´art. 150, comma 3, del Codice, nella misura forfettaria di euro 250, di cui euro 25,82 per diritti di segreteria, tenuto conto degli adempimenti connessi alla redazione e presentazione del ricorso al Garante. Il medesimo ammontare è posto a carico di Cerved Business Information S.p.A., nella misura di euro 200, previa compensazione della restante parte, ai sensi del predetto art. 150, comma 3, per giusti motivi legati al contenuto del riscontro inviato, sia pure tardivamente ed in modo incompleto, dalla resistente.
a) accoglie il ricorso in riferimento alla richiesta di cancellazione dei dati - ed alla relativa attestazione - e ordina a Cerved Business Information S.p.A., quale misura necessaria a tutela dei diritti dell´interessata, di cancellare i dati personali oggetto di ricorso e di fornire la richiesta attestazione, nei termini di cui in motivazione;
b) accoglie il ricorso in ordine alla richiesta di conoscere i soggetti cui i dati siano stati eventualmente comunicati, nonché gli estremi identificativi del/i soggetto/i eventualmente designato/i quale responsabile del trattamento dei dati, ed ordina a Cerved Business Information S.p.A. di corrispondere a tali richieste, nei termini di cui in motivazione;
c) dichiara non luogo a provvedere sul ricorso in relazione ai restanti profili;
d) determina nella misura di 250 euro, di cui 25,82 per diritti di segreteria, l´ammontare delle spese e dei diritti del procedimento che pone nella misura di 200 euro, previa compensazione della restante parte per giusti motivi, a carico di Cerved Business Information S.p.A., la quale dovrà liquidarlo direttamente a favore della ricorrente.