Source: http://www.privacy.it/archivio/garantesanz200605044.html
Timestamp: 2018-10-21 10:16:05+00:00
Document Index: 28363897

Matched Legal Cases: ['art. 157', 'art. 12', 'art. 12', 'art. 11', 'art. 1', 'art. 117', 'art. 117', 'art. 1', 'art. 11', 'art. 154', 'art. 11', 'art. 13', 'art. 13', 'art. 13', 'art. 13', 'art. 2220', 'art. 13', 'art. 161', 'art. 13', 'art. 23', 'art. 13', 'art. 11', 'art. 154', 'art. 154']

Informazioni sulla solvibilit� e affidabilit� dei clienti dei gestori telefonici: Telecom Italia
Visti gli accertamenti disposti dal Garante per verificare la liceit� e la correttezza dei trattamenti di dati personali effettuati, con riferimento a servizi di telefonia, da fornitori di servizi di comunicazione elettronica tramite i sistemi di informazione creditizia, alla luce delle disposizioni vigenti in materia di protezione dei dati personali e di quelle contenute nel codice di deontologia e di buona condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilit� e puntualit� nei pagamenti (pubblicato in G.U. 23 dicembre 2004, n. 300);
Visto il verbale relativo all'attivit� ispettiva condotta presso Telecom Italia S.p.A., con richiesta di informazioni ed esibizione di documenti ai sensi dell'art. 157 del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);
1. Il trattamento di dati personali nei sistemi di informazioni creditizie Il Garante, ad un anno dall'adozione del "codice di deontologia e di buona condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilit� e puntualit� nei pagamenti" adottato in attuazione alle previsioni contenute negli artt. 12 e 117 del Codice (e consultabile in G.U. 23 dicembre 2004, n. 300), nonch� in considerazione delle conseguenze derivanti dai trattamenti di dati personali effettuati tramite tali sistemi sui soggetti che (in varie forme) accedono al credito, ha avviato dall'ottobre 2005 una serie di accertamenti ispettivi presso i principali sistemi di informazioni creditizie privati, cui ha fatto seguito l'adozione in data odierna di due provvedimenti nei confronti di Crif S.p.A. ed Experian Information Services S.p.A.
Tale attivit� � stata posta in essere per accertare la liceit� e la correttezza dei trattamenti di dati personali effettuati da tali titolari del trattamento, tenuto anche conto che il rispetto delle predette regole deontologiche, adottate secondo la particolare procedura descritta all'art. 12 del Codice, costituisce condizione essenziale per la liceit� del trattamento (cfr. art. 12 del medesimo Codice; v. anche l'art. 11 , comma 2).
2. L'attivit� di controllo nei confronti di Telecom Italia S.p.A. In considerazione delle risultanze delle verifiche svolte –che hanno evidenziato anche un trattamento di dati personali da parte dei sistemi di informazioni creditizie con riferimento all'attivit� posta in essere da diversi fornitori di servizi di comunicazione elettronica–, l'Autorit� ha avviato un'ulteriore serie di accertamenti di natura ispettiva volti a definire meglio il quadro dei trattamenti effettuati e a valutare compiutamente la loro liceit� alla luce della complessiva disciplina in materia di protezione dei dati personali.
In data 11 aprile 2006, � stata effettuata un'ispezione presso Telecom Italia S.p.a. (di seguito Telecom).
Il presente provvedimento tiene conto sia degli accertamenti svolti presso i sistemi di informazioni creditizie, sia delle risultanze dell'attivit� ispettiva effettuata presso Telecom.
3.1. Nel corso dell'ispezione e alla luce della documentazione acquisita presso Telecom � emerso che, per il perfezionamento di contratti di abbonamento a servizi di telefonia mobile (c.d. post-pagato), "limitatamente ai clienti Business (persone giuridiche, liberi professionisti e comunque soggetti dotati di partita IVA o codice fiscale numerico), la societ� si avvale dei servizi forniti dalle societ� Experian Information Services S.p.A. e Experian Scorex s.r.l."; il ricorso a queste ultime societ� sarebbe invece escluso con riguardo alle grandi imprese e ai consumatori, come pure, pi� in generale, in relazione ai contratti di telefonia fissa.
Nel caso di richiesta di attivazione di contratti business, la procedura stabilita dalla societ� prevede che nel corso delle trattative il cliente si rivolga ad uno degli agenti autorizzati dalla societ� presenti sul territorio (Tim business promoter-Tbp), il quale, resa l'informativa predisposta dalla societ�, inserisce i dati identificativi del cliente nel sistema informativo aziendale –o, in taluni casi, si avvale di una delle sette articolazioni territoriali di Telecom che provveder� a tale incombenza–, concludendo il contratto di abbonamento "con riserva di effettuazione delle verifiche sulla solvibilit� ed affidabilit�" del cliente. Detto processo consiste in una "procedura automatizzata di verifica della presenza dell'anagrafica sul sistema informativo aziendale in relazione a contratti gi� in essere o estinti".
Quindi, attraverso il collegamento con il sistema informativo di Experian (Febo), vengono acquisite informazioni provenienti da archivi pubblici (rilevando, ad esempio, le iscrizioni pregiudizievoli e i protesti); viene effettuata, inoltre, la verifica del codice fiscale con i dati anagrafici (tramite Sogei) e viene altres� interrogato il sistema di informazioni creditizie di Experian: "all'esito delle interrogazioni effettuate, la procedura fornisce tre possibili esiti codificati: Verde (� possibile attivare il contratto); Rosso (non � possibile attivare il contratto); Giallo (l'attivazione deve essere processata da un operatore)".
In quest'ultima ipotesi, il cui verificarsi pu� prescindere dalla tipologia delle informazioni personali disponibili con riguardo all'interessato (potendo darsi anche in presenza di problemi di natura tecnica), "l'istruttoria non � automatizzata, ma avviene a seguito di valutazioni effettuate da personale specializzato e all'uopo preposto": operatori della societ� appositamente autorizzati (analisti) possono a tal fine accedere alle informazioni trattate da Experian. In particolare, il sistema consente a tali soggetti di accedere "via Internet al sistema di Experian attraverso l'inserimento di una password attribuita all'azienda e, di seguito, di credenziali di autenticazione univoche per ciascun operatore" e visualizzare, in tal modo, le "informazioni relative alle istruttorie sulle attivazioni dei contratti effettuate da Telecom negli ultimi sei mesi". Qualora sia necessario acquisire informazioni relative a richieste risalenti ad un periodo superiore a sei mesi, queste, previa specifica richiesta scritta formulata da Telecom, vengono fornite da Experian. In tali casi vengono visualizzati "i dati sia pubblici che del Sic che il codice attribuito dal sistema, nonch� lo score finale Febo (frutto della elaborazione del delphi score di Experian e delle risultanze della consultazione delle banche dati pubbliche), gli elementi (eccezioni) che hanno determinato l'attribuzione del codice rosso o giallo e la decisione finale dell'operatore che ha trattato la pratica in termini di accettazione/non accettazione del contratto".
All'esito delle descritte procedure, nei sistemi informativi di Telecom resta comunque memorizzato l'esito delle ricerche svolte e lo score riferito al singolo cliente.
3.2. Il trattamento di dati appena descritto posto in essere da Telecom, si pone in contrasto con i principi di protezione dei dati personali nei termini di seguito specificati.
Le informazioni che formano oggetto di comunicazione da parte di Experian a Telecom, in forma di punteggio sintetico o, all'occorrenza, di dato analitico, sono il frutto di operazioni di trattamento effettuate da sistemi di informazioni creditizie nei quali sono censiti dati, trattati per valutare il merito creditizio, relativi a richieste e rapporti di finanziamento conferiti da soggetti "partecipanti" (meglio individuati alla luce delle disposizioni contenute all'art. 1, comma 1, lett. a) ed e), del predetto codice deontologico).
Come gi� affermato in passato dal Garante, infatti, gestori e partecipanti ai sistemi di informazioni creditizie devono rispettare il principio di finalit� che nel caso di specie, sulla base della disciplina vigente, riguarda solo la tutela del credito e il contenimento del relativo rischio: in base ad esso la consultazione dei dati personali riguardanti gli interessati allo stato pu� avvenire soltanto se strettamente connessa all'istruttoria di una richiesta di finanziamento (cfr. punto 4 del provvedimento del 31 luglio 2002, in Bollettino n. 30 del 2002, p. 47).
Tale principio, enunciato anche in riferimento ad altri sistemi di informazioni creditizie che perseguono analoga finalit� (cfr. per la Centrale rischi della Banca d'Italia, il cap. 1, punto 2, delle "Istruzioni degli intermediari creditizi", Circ. n. 139, 11 febbraio 1991–9� aggiornamento del 22 giugno 2004 e, per il sistema di rilevazione dei rischi di importo contenuto il punto 3 della delibera Cicr del 3 maggio 1999, in G.U. 8 luglio 1999, n. 158), trova ulteriore riscontro nella collocazione sistematica dell'art. 117 del Codice, inserito all'interno del titolo IX del medesimo Codice che riguarda il sistema bancario e finanziario.
Il medesimo principio � sviluppato nel codice di deontologia e di buona condotta adottato ai sensi dell'art. 117 del Codice, in virt� del quale le informazioni relative all'affidabilit� e puntualit� nei pagamenti della clientela possono essere trattate in base alla vigente disciplina a fini di "concessione, nell'esercizio di un'attivit� commerciale o professionale, di credito sotto forma di dilazione di pagamento, di finanziamento o di altra analoga facilitazione finanziaria ai sensi del testo unico delle leggi in materia bancaria e creditizia (d.lg. 1� settembre 1993, n. 385)" [cfr. art. 1, comma 1, lett. a), del codice di deontologia].
Peraltro, anche il verbale di sottoscrizione del predetto codice di deontologia e di buona condotta del 26 ottobre 2004 esclude dall'ambito di applicazione il trattamento dei dati personali nell'ambito dei servizi di telefonia, rimettendo ad una trattazione distinta ed autonoma, "la tematica della ricognizione dell'affidabilit� e della puntualit� dei pagamenti in altri contesti, con specifico riferimento ad inadempimenti nel settore della telefonia, individuando idonee soluzioni circa la questione del se e come determinati operatori possano anche consultare, per alcune categorie di interessati, taluni dati di sintesi relativi ai suddetti inadempimenti presenti nei sistemi di informazioni creditizie, ferma restando la diversit� degli ambiti ora considerati".
In questi ultimi contratti, la scadenza pattuita delle singole rate non � riconducibile alla diversa figura della dilazione del pagamento (e tantomeno dell'obbligo restitutorio derivante da un finanziamento). Le scadenze periodiche rappresentano, infatti, non un differimento del pagamento della somma dovuta, ma (semplicemente) i termini nei quali quest'ultima deve essere versata dall'utente quale corrispettivo delle prestazioni godute per le correlative rate temporali (connesse, nel caso di specie, all'erogazione di servizi di telefonia o al godimento di beni). In tal senso il Garante si � gi� pronunciato disponendo la cancellazione dei dati comunicati da alcuni dei predetti fornitori ai sistemi di informazioni creditizie, in quanto reputati non pertinenti per commisurare il rischio creditizio (cfr. decisioni su ricorso del 16 settembre 2004 e 5 novembre 2004).
Per tali ragioni, l'illiceit� del trattamento effettuato da Crif S.p.A. nei termini accertati da questa Autorit� con il provvedimento del 4 maggio 2006, –anche in ragione dell'inosservanza delle regole deontologiche (ex artt. 12 e 117 del Codice)–, determina l'inutilizzabilit� ulteriore dei dati trattati nel sistema di informazioni creditizie (art. 11, comma 2 del Codice), nel caso di specie da parte di Telecom. Quest'ultima, contravvenendo ai principi di liceit� del trattamento e di pertinenza rispetto alla finalit� che allo stato pu� essere perseguita lecitamente, ha effettuato trattamenti illeciti di dati personali.
Alla luce delle considerazioni sopra esposte, ai sensi dell'art. 154, comma 1, lett. d), del Codice, il Garante vieta a Telecom di porre in essere ulteriori operazioni di trattamento del genere appena descritto, consistenti in particolare nella raccolta di dati personali provenienti da un sistema di informazioni creditizie istituito per la finalit� esclusiva di referenziazione creditizia; deve conseguentemente provvedersi alla cancellazione dei dati personali provenienti dal sistema di informazione creditizia di Experian, qualora registrati da Telecom.
3.3. Dalle dichiarazioni rese, inoltre, risulta che formano oggetto di conservazione nel sistema informativo di Telecom "le richieste di attivazioni respinte" il cui esito viene conservato "nei sistemi informativi della societ� con finalit� di documentazione dell'attivit� svolta". In particolare, le informazioni a contenuto negativo vengono conservate nel sistema della societ�; "allo stato, non � stabilito il periodo di conservazione dei predetti dati sia su supporto cartaceo che informatico e [�] pertanto il sistema non prevede la cancellazione dei dati pi� risalenti".
Al di l� delle considerazioni svolte al punto 3.2. in ordine alla illiceit� del trattamento dei dati provenienti dai sistemi di informazioni creditizie (anche nella forma dell'eventuale giudizio negativo in ordine alla conclusione del contratto derivante dalla loro consultazione), attesa la diversa finalit� per la quale il trattamento viene effettuato rispetto ai dati personali contenuti nei medesimi sistemi, deve altres� rilevarsi, con riferimento alla conservazione per il citato periodo di trenta giorni delle informazioni raccolte, che risulta violato il principio di qualit� dei dati, con particolare riferimento al precetto contenuto nell'art. 11, comma 1, lett. c), del Codice, secondo il quale i dati devono essere esatti e, se necessario, aggiornati: nella fattispecie in esame la conservazione dei dati trattati in vista di un loro possibile (ri-)utilizzo, cela il rischio che, a distanza di tempo, i dati originariamente raccolti e registrati possano aver subito variazioni che potrebbero influire sulle determinazioni assunte dalla societ�.
3.4. Per quanto riguarda il diverso profilo relativo ad eventuali comunicazioni di dati personali relativi alla propria clientela a vantaggio del sistema di informazioni creditizie (ulteriori rispetto a quelli strettamente necessari per effettuare le interrogazioni di cui si � detto al punto 3.1.), dagli accertamenti svolti risulta che la societ�, con cadenza mensile, "provvede a comunicare ad Experian i dati relativi alle attivazioni di contratti in abbonamento, nonch� le cessazioni per frode e quelle per morosit�".
Rispetto a tale ulteriore profilo il Garante si riserva di procedere ad una autonoma valutazione della liceit� dei trattamenti effettuati.
4.1. Dall'esame dell'informativa resa agli interessati da Telecom Italia S.p.a. (societ� risultante dalla fusione tra Telecom S.p.A. e Telecom Italia mobile S.p.A.), acquisita agli atti e allegata alle condizioni generali di contratto denominate "proposta di abbonamento multibusiness", si rileva (in riferimento ai profili presi in esame nel presente provvedimento), l'incompletezza e la genericit� della medesima informativa rispetto ai trattamenti effettuati, contemplando il testo in esame la mera dizione, nell'individuazione delle finalit� del trattamento, dello scopo di "prevenzione frodi e gestione morosi".
Tale informativa, per la vaghezza della formula utilizzata, non consente all'interessato di individuare chiaramente la specifica finalit� del trattamento effettuato in sede di formazione del contratto, ed omette di comunicare "i soggetti o le categorie di soggetti" (qui, i sistemi di informazione creditizia) ai quali, per detta finalit�, le informazioni anagrafiche dei potenziali clienti per i quali viene interrogato il sistema informativo di Experian "possono essere comunicati": sotto tale profilo, dunque, l'informativa resa non � conforme all'art. 13, comma 1, lett. a) e d) del Codice.
L'informativa resa (acquisita agli atti) prevede le "[c]ategorie di soggetti terzi ai quali i dati potrebbero essere comunicati in qualit� di titolari o che potrebbero venirne a conoscenza in qualit� di responsabili o incaricati". Al riguardo � previsto che "oltre che dai dipendenti di Telecom Italia, alcuni trattamenti dei Suoi dati personali potranno essere effettuati anche da soggetti terzi, ivi incluse le societ� del Gruppo Telecom Italia, con sede in Italia e/o all'estero, ai quali Telecom Italia affida talune attivit� (o parte di esse) [...]. In tal caso gli stessi soggetti opereranno in qualit� di titolari autonomi o saranno designati come responsabili o incaricati del trattamento. Ai responsabili o agli incaricati eventualmente designati Telecom Italia impartir� adeguate istruzioni operative, con particolare riferimento all'adozione delle misure minime di sicurezza, al fine di poter garantire la riservatezza e la sicurezza dei dati. I soggetti terzi sopra citati sono essenzialmente ricompresi nelle seguenti categorie: [�], (ii) societ� di recupero credito; (iii) societ� che elaborano dati di traffico per la fatturazione; (iv) societ� incaricate per la stampa e la spedizione delle fatture ai clienti; (v) consulenti; (vi) societ� cessionarie dei crediti; (vii) Agenti e Procacciatori d'affari e Franchisee; (viii) Autorit� per le garanzie nelle comunicazioni (Agcom) ed ogni altro soggetto pubblico legittimato a richiedere i dati".
Deve incidentalmente rilevarsi che, con riguardo al profilo qui esaminato, maggiore chiarezza e completezza delle informazioni rese era invece presente nell'informativa fornita in precedenza da Telecom Italia mobile S.p.A.-Tim S.p.A., nella "proposta di abbonamento multibusiness" relativa agli anni 2004-2005 (come risulta dalla documentazione acquisita in atti).
4.2. Salvo quanto disposto al punto 3.2., in ordine alla liceit� del trattamento dei dati personali provenienti dai sistemi di informazioni creditizie, un ulteriore profilo di contrariet� alla disciplina di protezione dei dati personali riguarda l'informativa resa da Telecom agli interessati (acquisita agli atti) –limitando anche in questo caso le presenti considerazioni agli aspetti presi in esame nel presente provvedimento–: a questo proposito, deve rilevarsi che non vengono rese all'interessato (il potenziale cliente) le informazioni contenute nell'art. 13 del Codice, in relazione alle categorie delle informazioni raccolte sul suo conto presso terzi (nel caso di specie, presso Experian) con particolare riferimento alle categorie delle informazioni trattate, violando cos� la previsione contenuta nell'art. 13, comma 4, del Codice.
Affinch� l'interessato possa essere messo in condizione di comprendere l'effettiva natura (e portata) del trattamento a lui riferito –s� da poter eventualmente esercitare i diritti e le facolt� accordate dal Codice– � infatti necessario, in particolar modo in relazione a dati personali che vengono raccolti presso soggetti terzi (e non presso l'interessato medesimo, sui quali egli pu� comunque esercitare gi� in fase di raccolta un controllo diretto), che questi possa avere piena conoscenza della loro natura (ancorch� mediante l'individuazione per categorie degli stessi).
4.3. Un altro profilo di violazione dell'art. 13 del Codice riguarda l'omessa informativa nei confronti dell'interessato, se gi� cliente di Telecom, in ordine al trattamento delle informazioni personali al medesimo riferite all'interessato medesimo, pur legittimamente conservate dalla societ� per l'adempimento di obblighi di legge (ad esempio per l'assolvimento degli obblighi previsti all'art. 2220 c.c.), ma trattate nella fattispecie per una finalit� diversa ed ulteriore, non chiaramente esplicitata, consistente nell'utilizzazione delle medesime informazioni per assumere decisioni in ordine all'opportunit� di concludere (c.d. verde) o meno (c.d. rosso) con l'interessato un contratto di abbonamento a servizi di telefonia (in tal senso, v. pure la decisione su ricorso adottata dal Garante il 2 marzo 2006).
4.4. Con riguardo al profilo dell'inidonea informativa, questa Autorit� prescrive la riformulazione dell'informativa ai sensi dell'art. 13 del Codice, per indicare tutti i trattamenti leciti svolti, e si riserva di procedere, con separato provvedimento ai sensi dell'art. 161 del Codice, alla contestazione della violazione amministrativa per l'inidonea informativa.
4.5. Il profilo dell'inidonea informativa all'interessato inficia altres� il trattamento dei dati effettuato da Telecom e, prima ancora, il consenso al trattamento, quando � manifestato, non risultando quest'ultimo espresso "specificamente con riferimento a un trattamento chiaramente individuato" stante la mancanza delle informazioni da rendere in forza dell'art. 13 del Codice (art. 23, comma 3, del Codice).
Alla luce delle considerazioni svolte, sono pertanto illeciti e vengono vietati con il presente provvedimento, i trattamenti di dati personali per i quali l'informativa non � stata resa in osservanza delle prescrizioni contenute nell'art. 13, o non sussistono i presupposti di liceit� di cui agli artt. 23 o 24 del Codice, tenendo anche presente il disposto dell'art. 11, comma 2, del medesimo Codice secondo cui non sono utilizzabili i dati trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali. Resta unicamente ferma per la societ�, la facolt� di conservare la notizia dell'avvenuta richiesta di attivazione di un'utenza e della determinazione interna adottata, per mere finalit� di documentazione amministrativa.
a) ai sensi dell'art. 154, comma 1, lett. d), del Codice vieta a Telecom Italia S.p.A. l'ulteriore trattamento dei dati personali provenienti da sistemi di informazioni creditizie e relativi a contratti di finanziamento, anche in forma di punteggio sintetico (score), trattamento da interrompere senza ritardo e comunque entro e non oltre quindici giorni dalla data di ricezione del presente provvedimento, dando conferma a questa Autorit� entro la medesima data anche dell'avvenuta cancellazione dei dati provenienti dai menzionati sistemi di informazioni creditizie, se registrati nei sistemi informativi di Telecom Italia S.p.A.;
b) ai sensi dell'art. 154, comma 1, lett. c), del Codice prescrive a Telecom Italia S.p.A. di riformulare senza ritardo, e comunque entro e non oltre quarantacinque giorni dalla data di ricezione del presente provvedimento, l'informativa resa agli interessati, con riferimento alle operazioni oggetto di trattamento lecito, dandone conferma a questa Autorit� entro la medesima data.