IL GARANTE PER LA PROTEZIONE
DEI DATI PERSONALI
In data odierna, in presenza del prof. Francesco Pizzetti,
presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del
dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del
dott. Giovanni Buttarelli, segretario generale;
Visto il codice in materia di protezione dei dati personali
(decreto legislativo 30 giugno 2003, n. 196), con particolare
riguardo all'art. 13, comma 5, lettera c);
Visti i provvedimenti del Garante del 26 novembre 1998 e del
4 aprile 2001, riportati sul sito internet del Garante
http://www.garanteprivacy.it (rispettivamente, doc. web n. 39624 e
doc. web n. 40763);
Esaminate le richieste di esonero dall'obbligo di rendere
l'informativa agli interessati (art. 13, comma 5, del codice)
nell'ambito di operazioni che comportano la cessione in blocco di
crediti;
Vista la documentazione in atti;
Viste le osservazioni formulate dal segretario generale ai sensi
dell'art. 15 del regolamento del Garante n. 1/2000;
Relatore il dott. Mauro Paissan;
Premesso:
1. Cessioni in blocco di crediti e protezione dei dati personali.
1.1. Cessioni in blocco. Le operazioni di cessione in blocco di
crediti determinano la comunicazione dal cedente al cessionario di
dati personali relativi al debitore ceduto («interessato»). In
particolare, tale fenomeno ricorre:
a) nelle operazioni di cessione di crediti in blocco disciplinate
all'art. 58 del decreto legislativo 1° settembre 1993, n. 385 (testo
unico delle leggi in materia bancaria e creditizia), disposizione
che, in deroga alla previsione contenuta nell'art. 1264 del codice
civile, consente la notificazione dell'avvenuta cessione di rapporti
giuridici in blocco - ai fini della sua opponibilita' ai ceduti -
mediante la pubblicazione di apposito annuncio nella Gazzetta
Ufficiale;
b) nelle operazioni di cessione in blocco a titolo oneroso di
portafogli di crediti pecuniari, anche futuri, di cui alla legge
30 aprile 1999, n. 130, recante disposizioni sulla cartolarizzazione
di crediti, il cui art. 4, comma 1, richiama il menzionato art. 58
del decreto legislativo n. 385/1993;
c) nelle operazioni di «cessione dei crediti futuri e di crediti
in massa», disciplinate dalla legge 21 febbraio 1991, n. 52, in
materia di cessione di crediti d'impresa.
1.2. Contratto di servicing e accordi-cornice. Nelle operazioni di
cessione in blocco dei crediti e, in particolare, nelle
cartolarizzazioni, la societa' cedente (denominata anche originator),
o altro soggetto, talora appartenente al medesimo gruppo (cfr. provv.
18 maggio 2006, doc. web n. 1299100), riceve frequentemente dalla
cessionaria, abitualmente denominata «societa' veicolo» (special
purpose vehicle), l'incarico di procedere per suo conto alla gestione
dei crediti ceduti (c.d. contratto di servicing), venendo in pari
tempo designata quale «responsabile del trattamento» ai sensi
dell'art. 29 del codice.
In qualche caso, anche altre societa' prestano ulteriori servizi
per conto della cessionaria, alcuni dei quali previsti dalla legge
(cfr. art. 2, comma 4, legge n. 130/1999: servizi di carattere
amministrativo, assicurativo, calcolo e analisi relativi agli incassi
su base aggregata dei crediti oggetto della cessione, rating,
collocamento sul mercato e quotazione in borsa dei titoli, loro
sponsorizzazione, concessione di idonee garanzie).
Talora, le operazioni di cessione in blocco dei crediti si ripetono
nel tempo tra le stesse parti (cedente e cessionario), nell'ambito e
in base alle previsioni contenute in «accordi-cornice» (che, di
regola, definiscono le tipologie dei crediti oggetto di futura
cessione in vista della loro successiva individuazione, le cadenze
temporali delle successive operazioni, etc.).
1.3. Ulteriori tipologie di cessione di crediti in blocco. Le
cessioni di crediti in blocco mediante operazioni di
cartolarizzazione, aventi ad oggetto per lo piu' crediti di soggetti
pubblici connessi alla propria attivita' istituzionale, sono
effettuate sulla base di apposite normative che rinviano, per i
profili non espressamente disciplinati, alla disciplina generale in
materia di cartolarizzazione dei crediti (legge n. 130/1999) o alla
legge sulla cessione dei crediti di impresa (legge n. 52/1991). Allo
stato, si tratta, in particolare, della:
a) cessione e cartolarizzazione dei crediti contributivi
dell'INPS (art. 13, legge 23 dicembre 1998, n. 448, come modificato
dal decreto-legge 6 settembre 1999, n. 308, convertito con legge
5 novembre 1999, n. 402);
b) cartolarizzazione dei crediti contributivi dell'INAIL (art.
36, legge 23 dicembre 1999, n. 488);
c) cartolarizzazione dei «crediti d'imposta, contributivi ovvero
di altri crediti dello Stato e di altri enti pubblici» (art. 15,
legge 23 dicembre 1998, n. 448, applicata per crediti di istituti
previdenziali o assicurativi o relativi a finanziamenti di
investimenti in ricerca ed innovazione, ovvero quelli derivanti da
giochi);
d) cartolarizzazione dei proventi derivanti dalla dismissione del
patrimonio immobiliare dello stato e di altri enti pubblici (art. 2
del decreto-legge 25 settembre 2001, n. 351, convertito con legge
23 novembre 2001, n. 410).
1.4. Richieste di esonero dall'obbligo di rendere l'informativa.
Rispetto alle fattispecie riassunte al punto 1.3 (atteso che i dati
sono trattati per obbligo di legge) il cessionario che raccoglie i
dati presso il terzo cedente non deve rendere al debitore ceduto
l'informativa sul trattamento (art. 13, comma 5, lettera a), del
codice).
Tale obbligo permane invece per le ipotesi individuate al punto
1.1, in relazione alle quali continuano a pervenire al Garante
istanze volte ad ottenere l'autorizzazione a rendere in forma non
individualizzata l'informativa disciplinata dall'art. 13 del codice.
L'informativa effettuata singolarmente a ciascun debitore, stante
l'elevato numero di debitori ceduti nelle menzionate operazioni,
comporterebbe infatti costi ed impegni amministrativi manifestamente
sproporzionati rispetto al diritto tutelato, dovendo essere fornita a
innumerevoli debitori ceduti (spesso pari a svariate migliaia di
unita), individuati ovvero individuabili secondo parametri obiettivi
e predeterminati nell'operazione di cessione in blocco.
Per queste ragioni (sempre nelle ipotesi indicate al punto 1.1),
secondo le societa' che presentano istanze al Garante, l'informativa
potrebbe essere resa nelle medesime forme previste, seppur a diverso
fine, dall'art. 58 del menzionato decreto legislativo n. 385/1993.
2. Trattamento dei dati personali.
2.1. Decisioni del Garante vigente la legge n. 675/1996. Vigente la
legge n. 675/1996 (parzialmente diversa, in punto di informativa,
rispetto a quella attuale), sono pervenute all'Autorita' analoghe
richieste con particolare riferimento alle operazioni individuate
alla lettere a) e b) del punto 1.1. A tale proposito, con il
menzionato provvedimento di natura generale del 4 aprile 2001, il
Garante ha gia' individuato modalita' sostitutive per rendere
l'informativa ai soggetti ceduti anche in forma non individualizzata.
Sulla scorta di una precedente decisione - nella quale l'Autorita'
aveva stabilito che la disciplina in materia di informativa consente
non solo «esoneri» dal relativo obbligo rispetto ai dati raccolti
presso terzi, ma anche modalita' sostitutive di informazione degli
interessati (cfr. provv. del 26 novembre 1998, doc. web n. 39624) - i
cessionari avrebbero potuto essere esonerati dall'obbligo di rendere
l'informativa in forma individualizzata, presentando una richiesta di
autorizzazione al Garante, pubblicando poi il testo dell'informativa
nella Gazzetta Ufficiale della Repubblica italiana e su tre testate
giornalistiche (due nazionali e una locale), e dando altresi'
diffusione alla medesima informativa nei locali del cessionario.
2.3. Innovazioni normative. Il codice in materia di protezione dei
dati personali (entrato in vigore successivamente all'adozione dei
menzionati provvedimenti del Garante) ha aggiornato il quadro
normativo vigente in materia di informativa sul trattamento.
L'art. 13, comma 5, lettera c) del codice, innovando parzialmente
la disciplina contenuta nel previgente art. 10, comma 4, della legge
n. 675/1996 - posto a base della precedente pronuncia del Garante -
ha dato integrale attuazione all'art. 11 della direttiva 95/46/CE
disponendo che, in casi determinati, il titolare del trattamento
possa essere esonerato dall'obbligo di fornire l'informativa
all'interessato. Viene, poi, rimessa al Garante l'eventuale
individuazione di «misure appropriate» per consentire, comunque,
adeguata pubblicita' al trattamento.
L'art. 2 del codice ha introdotto altresi' un principio di
semplificazione degli adempimenti richiesti dalla disciplina in
materia di protezione dei dati personali in capo ai titolari del
trattamento, pur assicurando un elevato livello di tutela dei diritti
e delle liberta' fondamentali dell'interessato nell'ambito di
operazioni di trattamento (cfr. art. 2, comma 2, del codice;
considerando n. 49 direttiva 95/46/CE).
3. Manifesta sproporzione ed esonero dall'informativa.
3.1. Esonero. Le citate innovazioni contenute nel codice e la
presentazione di istanze riferite a fenomeni contrattuali in parte
diversi da quelli venuti in rilievo in passato (in particolare, con
riferimento alla cessione di crediti d'impresa), rendono opportuno un
aggiornamento delle prescrizioni individuate dal Garante con il
menzionato provvedimento del 2001.
Analogamente a quanto considerato da questa Autorita' con tale
provvedimento, va rilevato che l'adempimento all'obbligo di rendere
l'informativa di cui all'art. 13 del codice singolarmente a ciascun
debitore ceduto comporterebbe, per i cessionari, un impiego di mezzi
sproporzionato rispetto al diritto tutelato dalla medesima
disposizione. Cio', tenuto conto sia del numero assai rilevante di
interessati, sia della peculiare natura dell'operazione effettuata e
della tipologia di informazioni personali trattate (generalmente
limitate ai dati anagrafici, ai recapiti degli interessati e alla
posizione debitoria di ciascuno), le quali non presentano gravi
rischi per gli interessati.
Alla luce di cio', in via generale e in relazione a ciascuna delle
operazioni di cessione in blocco dei crediti indicate al punto 1.1,
con il presente provvedimento il Garante, ai sensi dell'art. 13,
comma 5, lettera c) del codice, dichiara pertanto che l'impiego dei
mezzi necessari a rendere l'informativa singolarmente a ciascuno dei
debitori ceduti risulta sproporzionato rispetto all'interesse che il
precetto contenuto nel menzionato art. 13 del codice intende
tutelare.
3.2. Misure appropriate. Tuttavia, come gia' disposto in passato
dall'Autorita', e' necessario che venga assicurata comunque, in via
preventiva, un'adeguata informativa generale a vantaggio degli
interessati. Occorrono quindi misure appropriate - che l'Autorita' si
riserva di verificare - a cura dei cessionari che siano parte delle
operazioni di cessione in blocco dei crediti sopra indicate al punto
1.1 (e di ciascuna di esse, allorche' programmate in
accordi-cornice).
In sostituzione di quanto gia' disposto in passato dal Garante
(provv. 4 aprile 2001, cit.), cio' dovra' essere assicurato mediante
la pubblicazione dell'informativa contenente gli elementi previsti
dall'art. 13, commi 1 e 2, del codice nella Gazzetta Ufficiale della
Repubblica italiana, al piu' tardi contestualmente al prodursi degli
effetti della cessione in blocco, anche nell'eventuale interesse di
altri autonomi titolari del trattamento coinvolti nell'operazione.
La medesima informativa deve consentire di individuare
univocamente, secondo parametri obiettivi e predeterminati, le
posizioni debitorie oggetto di cessione.
Con particolare riguardo alle operazioni di cessione in blocco di
crediti pecuniari, anche futuri, di cui alla legge 30 aprile 1999, n.
130, l'informativa potra' essere resa contestualmente alla
pubblicazione dell'avviso previsto dall'art. 58 del decreto
legislativo 1° settembre 1993, n. 385.
In applicazione del principio di semplificazione (art. 2 del
codice) i titolari del trattamento non dovranno piu' presentare al
Garante la menzionata richiesta preventiva di esonero
dall'informativa. L'elevato livello di tutela degli interessati (art.
2 cit.) dovra' essere garantito adottando, in luogo della
pubblicazione dell'informativa su tre testate giornalistiche, la
misura che risulta appropriata (art. 13, comma 5, lettera c) del
codice), di seguito indicata.
I cessionari dovranno, infatti, fornire direttamente ai debitori
ceduti gli elementi contenuti nell'art. 13, commi 1 e 2, del codice;
cio', alla prima occasione utile successiva all'avvenuta cessione in
blocco (ad esempio, in sede di invio dell'estratto conto o della
prima richiesta di pagamento, se del caso anche tramite la societa'
incaricata dei servizi di servicing). Tale modalita' aggiuntiva
favorisce una maggiore conoscibilita' dell'avvenuta raccolta dei dati
presso terzi ad opera della cessionaria (analoga prescrizione e'
stata impartita dalla Banca d'Italia, seppure a diverso fine, in
relazione alle operazioni di cessione in blocco di crediti: cfr.
comunicazione della Banca d'Italia del 16 luglio 2001 relativa alle
operazioni di cessione di rapporti giuridici da parte di intermediari
finanziari non bancari; in tal senso, v. pure le istruzioni di
vigilanza per le banche, tit. II, cap. 5).
Tutto cio' premesso, il Garante
dispone ai sensi dell'art. 13, comma 5, lettera c), del codice che i
cessionari di crediti in blocco individuati al punto 1.1 del presente
provvedimento possano effettuare l'informativa prevista dal medesimo
art. 13 in forma non individualizzata, a condizione che le
informazioni previste dallo stesso articolo siano rese comunque
conoscibili, in modo tale da consentire l'individuazione univoca,
secondo parametri obiettivi e predeterminati, delle posizioni
debitorie oggetto di cessione, mediante l'adozione nei termini di cui
in motivazione delle misure appropriate prescritte al punto 3.2,
ovvero:
a) mediante pubblicazione nella Gazzetta Ufficiale della
Repubblica italiana dell'informativa avente le caratteristiche di cui
al medesimo art. 13, commi 1 e 2;
b) mediante la successiva comunicazione ai debitori ceduti, alla
prima occasione utile, degli elementi contenuti nello stesso art. 13,
commi 1 e 2.
Il Garante dispone altresi' che copia del presente provvedimento
sia trasmessa al Ministero della giustizia - Ufficio pubblicazione
leggi e decreti, per la sua pubblicazione nella Gazzetta Ufficiale
della Repubblica italiana ai sensi dell'art. 143, comma 2, del
codice.
Roma, 18 gennaio 2007
Il presidente: Pizzetti