Source: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/30000
Timestamp: 2018-06-25 17:26:19+00:00
Document Index: 160827872

Matched Legal Cases: ['art. 13', 'art. 9', 'art. 3', 'art. 1', 'art. 11', 'art. 13', 'art. 9', 'art. 29', 'art. 13']

Diritto di accesso - Prescrizioni di carattere generale per le 'centrali... - Garante Privacy
Banche credito e finanza , Centrali rischi , Credito al consumo
[doc. web n. 30000]
Diritto di accesso - Prescrizioni di carattere generale per le "centrali rischi private" - 31 luglio 2002
Sollecitato da numerose segnalazioni ed istanze presentate da interessati e da associazioni di consumatori, il Garante prescrive alcune indicazioni a "centrali rischi" private, banche e finanziarie dei dati personali per conformare alla legge i trattamenti relativi ai sistemi informativi di rilevazione dei rischi creditizi, in vista dell´adozione del codice deontologico in materia.
Le finanziarie e le banche cui vengono rivolte richieste di finanziamento si obbligano, reciprocamente e con i soggetti che gestiscono le "centrali rischi" private, anche sulla base di regolamenti consortili ed accordi associativi, a comunicare con carattere di sistematicità i dati relativi agli interessati (di regola conservati nelle "centrali rischi" per periodi ulteriori rispetto all’esito delle richieste o dei rapporti di finanziamento, oscillanti da uno a cinque anni).
Alcuni sistemi informativi di rilevazione dei rischi creditizi possono essere connotati come banche dati negative o "liste nere", in quanto registrano soltanto dati personali relativi a morosità o altre situazioni ritenute meritevoli di annotazione, unitamente alla segnalazione di sofferenze o dell’esistenza di azioni legali, procedure concorsuali o cessioni del credito a terzi.
Altri sistemi, che rappresentano la maggior parte delle "centrali rischi" private operanti in Italia, gestiscono invece sistemi di tipo positivo/negativo, raccogliendo informazioni sul rapporto di finanziamento, a partire dalla richiesta dell’interessato, indipendentemente dalla sussistenza di inadempimenti, per incentivare gli operatori finanziari ad una valutazione più ampia del rischio creditizio sulla base dell’osservazione di diversi comportamenti e situazioni personali del richiedente. In presenza di adeguate garanzie, tale tipologia di trattamento di dati potrebbe non comportare un effetto pregiudizievole nei confronti del cliente, potendolo invece agevolare nell’accesso al credito, tutelandolo in pari tempo dal rischio di sovraindebitamento.
Nel nostro ordinamento manca una regolamentazione dell’attività svolta dalle "centrali rischi" private; esiste, invece, una specifica normativa del servizio di centralizzazione dei rischi gestito dalla Banca d’Italia (la c.d. "centrale rischi" pubblica, per i finanziamenti di importo superiore ai 75.000 euro o comunque crediti in "sofferenza": artt. 13, 53, comma 1, lett. b), 60, comma 1, 64, 67, comma 1, lett. b), 106, 107, 144 e 145 del d.lg. 1 settembre 1993, n. 385 - Testo unico delle leggi in materia bancaria e creditizia -, delibera Cicr del 29 marzo 1994, provvedimento Banca d’Italia 10 agosto 1995, circolare della stessa Banca 11 febbraio 1991, n. 139 e successivi aggiornamenti).
Nel 1999 è stata altresì introdotta una disciplina per la rilevazione dei rischi di importo contenuto (affidamenti di importo inferiore a quello censito nella centrale rischi gestita dalla Banca d’Italia - 75.000 euro - e superiore a quello previsto per le operazioni di credito al consumo - 30.000 euro -: v. la deliberazione Cicr del 3 maggio 1999), con la quale è stato previsto un sistema centralizzato gestito da una società, sottoposto alla vigilanza della Banca d’Italia e disciplinato, nel dettaglio, da istruzioni della medesima Banca (pubblicate in G.U. - serie generale n. 272 del 21 novembre 2000), che prevedono in capo alle banche, società ed intermediari finanziari (individuati in base agli artt. 106 e 107, d.lg. n. 385/1993) l’obbligo di comunicare dati relativi alle esposizioni creditizie dei clienti.
Per le attività delle "centrali rischi" private, come detto non oggetto di disciplina normativa, la modulistica contrattuale predisposta dagli operatori del settore prevede, nei confronti degli interessati, clausole di informativa e di richiesta del consenso al trattamento dei dati personali; ciò al fine di individuare una base di liceità del trattamento sia per la comunicazione dei dati relativi al finanziamento da parte dell’istituto bancario o finanziario alle "centrali rischi" private ("soggetti terzi" rispetto al rapporto instaurato con la clientela), sia per il successivo trattamento dei dati da parte di queste ultime e la loro conseguente messa a disposizione di una cerchia assai ampia di operatori.
La parte dell’informativa riguardante la comunicazione di dati alle "centrali rischi" private deve essere formulata con indicazione precisa degli estremi identificativi delle "centrali rischi" alle quali i dati verranno trasmessi, con una sintesi delle principali caratteristiche del trattamento svolto da queste ultime. Ciò anche per agevolare l’esercizio da parte degli interessati dei diritti previsti dall’art. 13 della stessa legge.
In molti casi sottoposti all’esame di questa Autorità la comunicazione di un’ampia mole di dati, non sempre o non più significativi rispetto alle finalità perseguite (lievi morosità poi sanate, richieste di finanziamento non concesso, ecc.), determina conseguenze per gli interessati di sostanziale estromissione dal credito anche per effetto di automatismi (ad esempio, nei frequenti casi relativi ad operatori che rifiutano, al pari di altri, l’instaurazione di rapporti a seguito della mera presenza in "centrale rischi" di generiche indicazioni concernenti il semplice, mancato rilascio di un finanziamento oppure brevi ritardi nel rimborso dei ratei).
Specie nei casi di finanziamenti di minore importo, con rate di modesta entità, le segnalazioni delle morosità devono anzitutto essere effettuate alla "centrale rischi" solo in caso di mancato pagamento di consistenti somme, di più rate o di gravi ritardi, anche al fine di evitare la registrazione di dati relativi a situazioni verificatesi a causa di disguidi bancari o postali non sempre imputabili all’interessato. Appare ragionevole e corrispondente ai requisiti richiesti dal richiamato art. 9 della legge n. 675/1996 la previsione di soglie temporali minime o di più rate cumulate tra di loro (ad es., per ritardi di almeno quattro mesi o di quattro rate, secondo prassi già seguite da alcuni operatori).
In alcune "centrali rischi" private sono conservati dati personali relativi a richieste di finanziamento anche quando gli interessati vi abbiano rinunciato o gli istituti di credito o finanziari le abbiano rifiutate. In genere è previsto che, anche se il finanziamento non viene accolto, i dati rimangano in banca dati per dodici mesi o per periodi inferiori a seconda dell’esito della richiesta di finanziamento, che viene a sua volta indicato con particolari termini o codifiche (ad esempio, 3 o 6 mesi se non vi sono successivi aggiornamenti, oppure 9 mesi, qualora il richiedente rinunci al finanziamento o quest’ultimo non sia concesso perché non rientrante nella tipologia di operazioni e servizi offerti dalla società cui si è rivolto l’interessato).
La conservazione dei dati relativi alla richiesta di finanziamento può essere giustificata nell’intervallo di tempo richiesto dalla relativa istruttoria - che può avere a volte una durata anche di sei mesi -, poiché, in tale periodo, può venire in considerazione l’esigenza di verificare, anche presso altri soggetti, l’eventuale esposizione complessiva del richiedente (il quale potrebbe ricorrere a meccanismi di c.d. credit shopping o di frazionamento del credito, chiedendo un finanziamento contemporaneamente a diverse banche e finanziarie).
I periodi di conservazione devono essere resi omogenei tra di loro e correlati alle descritte esigenze di cautela concernenti i tempi dell’istruttoria delle richieste di finanziamento, con una durata massima di sei mesi dalla registrazione dei dati e comunque di un mese dalla rinuncia dell’interessato o dalla mancata concessione del finanziamento (termine, quest’ultimo, funzionale all’inserimento degli aggiornamenti periodici nelle "centrali rischi").
Tuttavia questo tipo di indicazioni ingenerano comunque in altre società che consultano la "centrale rischi" una valutazione negativa sull’interessato, esponendolo al sospetto che il rifiuto di finanziamento derivi non tanto da politiche contrattuali dell’operatore, quanto da comportamenti dell’interessato documentati solo agli atti della banca, anziché anche nella centrale rischi.
È necessario poi valutare la congruità del periodo di conservazione delle informazioni relative ai rapporti di finanziamento - oggetto di innumerevoli segnalazioni di clienti i cui dati sono stati registrati per disguidi od errori, oppure che hanno pagato regolarmente l’importo finanziato o comunque sanato il debito maturato -, che sono attualmente conservati e consultabili nelle "centrali rischi" private per una durata che può arrivare sino a cinque anni.
Risulta sproporzionata la scelta (che risale talvolta ad epoca antecedente all’entrata in vigore della legge n. 675/1996) di conservare in "centrale rischi" per cinque anni tutti i dati, anche quando questi ultimi siano integrati dalla menzione che la sofferenza è venuta meno o che il finanziamento è stato estinto.
Va garantita una piena tutela del c.d. diritto all’oblio degli interessati, in considerazione anche delle esperienze applicative della "centrale rischi" gestita dalla Banca d’Italia (che, attualmente, conserva per dodici mesi anche i dati relativi alle c.d. "sofferenze"), nonché di quanto previsto in materia di cancellazione dagli elenchi dei protesti cambiari.
In applicazione del principio di proporzionalità rispetto alle finalità della raccolta e dell’ulteriore trattamento di informazioni di carattere c.d. negativo, e in relazione alle conseguenze pregiudizievoli per gli interessati, va segnalata la necessità di ridurre in ogni caso i tempi di conservazione di dati relativi ad inadempimenti o "sofferenze" ancora pendenti, oppure a debiti solo parzialmente estinti. A tale proposito si ritiene congrua la loro conservazione per la durata del rapporto di finanziamento e comunque non oltre un triennio a decorrere dalla data in cui è risultato necessario il loro ultimo aggiornamento in "centrale rischi".
Ciò tenendo conto delle precipue finalità delle "centrali rischi" private, rispetto al più ridotto termine stabilito dalla Banca d’Italia per la conservazione dei dati relativi alle c.d. "sofferenze" (dodici mesi: v. cap. I, sez. 2, par. 8, Circolare n. 139 dell’11 febbraio 1991) e, comunque, in misura inferiore rispetto al termine di cinque anni previsto, dalle normative in materia di protesti cambiari, per dati relativi a fattispecie destinate a svolgere un ruolo più rilevante nei rapporti commerciali (art. 3-bis, d.l. 18 settembre 1995, n. 381, convertito con modificazioni dall’art. 1, comma 1, l. 15 novembre 1995, n. 480 e art. 11, d.m. 9 agosto 2000, n. 316).
Per quanto riguarda le modalità di raccolta e registrazione dei dati nei sistemi informativi, occorre segnalare infine alle società che gestiscono le "centrali rischi" private e a quelle che vi accedono la necessità di un’attenta verifica dei criteri utilizzati e dei controlli volti ad assicurare l’esattezza e l’aggiornamento delle informazioni. Ciò in ragione della circostanza che le "centrali rischi" sono gestite da autonomi titolari del trattamento tenuti all’osservanza dei principi in materia di protezione dei dati personali, a prescindere dall’inerzia o dal ritardo delle banche e delle società finanziarie nell’aggiornare i dati o nel compiere le verifiche chieste dagli interessati.
È necessario garantire un maggior rispetto dei diritti degli interessati anche riguardo alla tempestività ed alla completezza dei riscontri forniti alle richieste presentate ai sensi dell’art. 13 della legge n. 675. Alcuni comportamenti "scorretti" espongono peraltro sia le "centrali rischi", sia le banche e società finanziarie a responsabilità civile derivante dalla violazione dell’art. 9 della legge, anche sul piano dei danni non patrimoniali (art. 29, ultimo comma , legge citata), nonché al rischio di incorrere nel pagamento delle spese dei successivi procedimenti di ricorso al Garante.
Anche sotto questo profilo, appare condivisibile la prassi seguita da alcuni operatori di sospendere la visualizzazione dei dati per il periodo necessario a porre in essere le necessarie verifiche con l’istituto segnalante per fornire compiuto riscontro alle richieste avanzate dall’interessato ai sensi del citato art. 13 .