Source: https://www.101professionisti.it/guida/privacy/leggi/banche-dati-dei-clienti-piu-protetti-447.aspx?pos=2
Timestamp: 2019-08-17 18:32:40+00:00
Document Index: 130650143

Matched Legal Cases: ['art. 15', 'art. 31', 'art. 11', 'art. 145', 'art. 7', 'art. 157']

Banche: dati dei clienti più protetti (Privacy) - 101Professionisti.it
101professionisti.it > Privacy > Normativa > Banche: dati dei clienti più protetti
Garante Privacy , provvedimento 18.06.2009
La banca deve proteggere con particolare attenzione i dati della clientela e deve dare immediata notizia al titolare del conto di eventuali accessi ingiustificati, anche se effettuati da propri dipendenti, alle informazioni riguardanti il conto corrente. Lo chiarisce il Provvedimento 18 giugno 2009 con il quale il Garante per la Privacy ha affrontato il caso di una signora che lamentava il trattamento illecito dei suoi dati personali da parte della propria banca nell'ambito di una causa di separazione in cui il marito aveva prodotto una memoria contenente informazioni relative a un conto corrente che solo la donna stessa o il personale della filiale presso la quale aveva aperto il conto potevano conoscere. L'Autorità ha infatti stabilito che gli istituti di credito (che sono innanzitutto obbligati ad adottare misure di sicurezza idonee a garantire la scrupolosa vigilanza sull'operato degli incaricati e a sensibilizzare i propri funzionari al rigoroso rispetto delle norme sulla privacy attraverso attività di formazione) una volta acquisita la conoscenza di accessi non autorizzati ai dati della clientela, inclusi quelli eventualmente effettuati dai suoi dipendenti, sono tenuti a comunicarlo tempestivamente agli interessati.
GARANTE PER LA PROTEZIONE DEI DATI PERSONALI, PROVVEDIMENTO 18 giugno 2009
Dati bancari: accesso non autorizzato e misure di sicurezza.
1. XY ha segnalato che, nell'ambito della causa di separazione personale che la vede coinvolta, è stata depositata nell'interesse del marito una memoria difensiva contenente informazioni bancarie a sé riferite trattate presso Intesa Sanpaolo, asseritamente acquisite per il tramite di un funzionario della banca medesima.
2. Nell'ambito di controlli svolti dall'Autorità al fine di verificare (tra l'altro) gli accessi effettuati sul conto corrente intestato alla segnalante, la banca ha fornito la documentazione attestante gli esiti della menzionata indagine interna dalla quale risultano accessi indebiti, in quanto non giustificati da esigenze operative, sul conto corrente della segnalante (cfr. verbale di operazioni compiute del 29 maggio 2008, p. 2). In particolare, è emerso che la banca ha riscontrato che un proprio dipendente del "centro imprese" di Cagliari ha effettuato alcune interrogazioni sui conti correnti bancari che facevano capo alla segnalante dando comunicazione degli esiti delle medesime ad altro dipendente (che gliene aveva fatto richiesta) appartenente a una società del medesimo gruppo bancario; detti accessi sono stati effettuati da una filiale diversa da quella nella quale il conto corrente risulta acceso.
Dalla documentazione in atti è comunque risultato che la banca aveva provveduto alla designazione degli incaricati, impartendo ai medesimi anche le relative istruzioni.
3. Alla luce di quanto esposto, risulta che presso Intesa Sanpaolo è stato effettuato, in assenza di consenso dell'interessata o di altro legittimo presupposto, un trattamento illecito di dati riferiti alla segnalante (artt. 11, lett. a), 23 e 24 del Codice), nelle forme della consultazione e della loro successiva comunicazione a terzi (nel caso di specie, altro dipendente dello stesso gruppo bancario). Ciò è avvenuto per effetto del comportamento dell'incaricato della banca che, discostandosi dalle istruzioni al medesimo impartite, ha effettuato il trattamento illecito (artt. 4, comma 1, lett. h), 30, 167 e 169 del Codice).
Impregiudicati gli eventuali profili di responsabilità civile (art. 15 del Codice) e le eventuali violazioni penalmente rilevanti in capo agli autori delle condotte oggetto della segnalazione, rispetto alle quali si dispone la trasmissione degli atti alla Procura competente, si rileva che la banca ha adottato le misure di sicurezza "minime" a protezione dei dati dei clienti trattati con l'ausilio di strumenti elettronici conformi a quanto prescritto dagli artt. 33 e 34 del Codice e dalle regole 1-26 dell'Allegato B) al Codice.
Deve tuttavia prescriversi a codesta banca di adottare, ai sensi dell'art. 31 del Codice, idonee misure di sicurezza, tese sia a garantire la scrupolosa vigilanza sull'operato degli incaricati, sia a sensibilizzare gli incaricati al rispetto delle istruzioni ricevute anche nel corso delle iniziative formative (prescritte dalla regola 19.6 dell'Allegato B) al Codice).
4.1. Deve altresì rilevarsi che la mancata comunicazione alla segnalante dell'accesso non autorizzato alle informazioni personali alla stessa riferibili, una volta accertato mediante le verifiche interne disposte dalla banca, integra una violazione del principio di correttezza nel trattamento (art. 11, comma 1, lett. a) del Codice). Tanto più, tenendo conto del comportamento osservato nel caso di specie nel quale la banca ha inizialmente dichiarato che le indagini aziendali concernenti gli accessi effettuati nei confronti dei conti correnti che facevano capo alla XY "non risulta[va]no direttamente riconducibili all'opera di dipendenti diversi da quelli addetti all'ordinaria e regolare gestione dei rapporti stessi" e che, pertanto, non erano stati riscontrati elementi oggettivi per ritenere che le informazioni utilizzate nell'ambito della controversia giudiziaria in corso provenissero da personale della banca (cfr. nota Intesa SanPaolo del 17 gennaio 2008); affermazioni risultate in seguito non rispondenti ai fatti realmente accaduti.
4.2. Con riferimento, infine, alla richiesta avanzata dalla segnalante volta a conoscere i nominativi dei soggetti che, senza autorizzazione, sarebbero venuti a conoscenza di dati personali alla stessa riferiti, essa non può essere esaminata in questa sede. Il presente provvedimento, infatti, adottato a seguito della segnalazione del 15 gennaio 2008 (proposta a seguito della mancata regolarizzazione del menzionato ricorso), non può riguardare tale aspetto, considerato che, ai sensi dell'art. 145, comma 1, del Codice "i diritti di cui all'art. 7 possono essere fatti valere dinanzi all'autorità giudiziaria o con ricorso al Garante", nei modi e nei termini di cui agli artt. 146 ss. del Codice.
a. di adottare, entro e non oltre il 30 luglio 2009 idonee misure di sicurezza tese sia a garantire la scrupolosa vigilanza sull'operato degli incaricati, sensibilizzando gli stessi al rispetto delle istruzioni ricevute in occasione di iniziative formative (prescritte dalla regola 19.6 dell'Allegato B) al Codice) (punto 3);
2. richiede, ai sensi dell'art. 157 del Codice, a Intesa Sanpaolo S.p.a. di comunicare a questa Autorità, entro e non oltre il 30 luglio 2009, le misure adottate per dare attuazione alle prescrizioni indicate al punto 1 del presente dispositivo;
3. dispone la trasmissione degli atti e di copia del presente provvedimento all'autorità giudiziaria per le valutazioni di competenza in ordine agli illeciti penali che riterrà eventualmente configurabili (punto 3).
ONLINE ADESSO 1357 UTENTI