Deliberazione Garante Privacy 6 ottobre 2022
Codice di condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei pagamenti.
PREAMBOLO
L’Associazione Italiana Società di Referenza Creditizia (di seguito “AISReC”), in qualità di associazione rappresentativa dei gestori di sistemi di informazioni creditizia che ne fanno parte, unitamente all’Associazione Italiana Leasing e al Consorzio per la Tutela del Credito sottoscrivono il presente Codice di condotta con gli allegati da 1 a 4 che ne costituiscono parte integrante, sottoposto all’approvazione del Garante per la protezione dei dati personali (di seguito il “Garante”) ai sensi dell’art. 40 del Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (Regolamento Generale sulla Protezione dei Dati, di seguito il “Regolamento”) e nel rispetto della procedura stabilita dall’art. 20 del D.lgs. 101/2018, recante disposizioni di adeguamento del D.lgs. 196/2003, il Codice in materia di protezione dei dati personali (di seguito denominato "Codice") alle norme del Regolamento, sulla base delle seguenti
PREMESSE
1. L’art. 40 del Regolamento prevede che gli Stati membri, le autorità di controllo, il comitato e la Commissione incoraggino l’elaborazione di codici di condotta destinati a contribuire alla corretta applicazione del Regolamento in funzione delle specificità dei vari settori di trattamento e delle esigenze specifiche delle micro, piccole e medie imprese. Il considerando n. 98 del Regolamento prevede che i codici di condotta possono calibrare gli obblighi dei titolari del trattamento e dei responsabili del trattamento, tenuto conto del potenziale rischio del trattamento per i diritti e le libertà delle persone fisiche.
2. Con Provvedimento del Garante n. 8 del 16 novembre 2004, Gazzetta Ufficiale 23 dicembre 2004, n. 300, come modificato dall’errata corrige pubblicata in Gazzetta Ufficiale 9 marzo 2005, n. 56 è stato adottato il Codice di deontologia e di buona condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei pagamenti (di seguito “Codice deontologico”).
3. L’art. 20 del d. lgs. n. 101/2018 recante disposizioni per l'adeguamento della normativa nazionale alle disposizioni del Regolamento, che ha modificato il d. lgs. n. 196/2003, prevede che il Codice deontologico continui a produrre effetti a condizione che entro il termine definito (12 mesi dalla entrata in vigore del decreto) venga avviata e portata a termine la procedura tesa ad elaborare un Codice di condotta rispondente ai criteri di cui agli artt. 40 e 41 del Regolamento e che permetta di trasfondere in nuovo testo, coerente con il quadro regolamentare europeo, i principi delle vigenti norme deontologiche.
4. Con nota del Garante per la protezione dei dati personali dell’11 ottobre 2018 i soggetti che professionalmente gestiscono i sistemi di informazioni creditizie sono stati esortati a predisporre una bozza di Codice di condotta da sottoporre alla approvazione dello stesso Garante per la protezione dei dati personali (entro sei mesi dalla data di entrata in vigore del d. lgs. n. 101/2018).
5. I partecipanti al SIC sono, in forza del Codice deontologico previgente, banche, intermediari finanziari e altri soggetti privati che, nell'esercizio di un'attività commerciale o professionale, concedono una dilazione di pagamento del corrispettivo per la fornitura di beni o servizi (articolo 1, comma 1, lett. e) del Codice deontologico) che operano in un quadro di reciprocità nello scambio di dati con gli altri partecipanti. Il legislatore è intervenuto a più riprese per consentire l’accesso ai dati presenti nel SIC a ulteriori soggetti quali, attualmente, in forza dell’articolo 6-bis, del decreto-legge 13 agosto 2011, n. 138 convertito con la legge 14 settembre 2011, n. 148 e del vigente articolo 30-ter del decreto legislativo 13 agosto 2010, n.141 (come successivamente modificato):
- i fornitori di servizi di comunicazione elettronica e i fornitori di servizi interattivi associati o di servizi di accesso condizionato (tra cui, quindi, le società telefoniche);
- le imprese di assicurazione;
-i soggetti autorizzati a svolgere le attività di vendita a clienti finali di energia elettrica e di gas naturale ai sensi della normativa vigente.
Per effetto delle predette norme, tali soggetti (cosiddetti accedenti), attualmente hanno facoltà di consultare i dati personali presenti nei SIC, stipulando a tal fine appositi accordi con uno o più gestori di Sic.
6. Inoltre, la legge 4 agosto 2017, n. 124, recante Legge annuale per il mercato e la concorrenza, all’art. 1, comma 85, ha stabilito anche che “al fine di promuovere la concorrenza attraverso la riduzione delle asimmetrie informative, anche intersettoriali, all'articolo 6-bis del decreto-legge 13 agosto 2011, n. 138, convertito, con modificazioni, dalla legge 14 settembre 2011, n. 148, dopo il comma 1 sono aggiunti i seguenti: «1-bis. L'accesso ai sistemi informativi di cui al comma 1 da parte dei soggetti ivi indicati può avvenire anche in un quadro di reciprocità, ma solo nel rispetto delle prescrizioni stabilite dal Garante per la protezione dei dati personali necessarie ad assicurare proporzionalità, correttezza e sicurezza circa il trattamento di dati personali ai sensi del predetto comma 1 e il rispetto dei diritti e delle libertà fondamentali, nonché della dignità dei soggetti cui le 2 informazioni si riferiscono, con particolare riferimento alla riservatezza, all’identità personale e al diritto alla protezione dei dati personali”.
7. Il Garante ha adottato un provvedimento interpretativo di alcune disposizioni del Codice deontologico il 26 ottobre 2017 (pubblicato sulla Gazzetta Ufficiale n. 279 del 29 novembre 2017).
8. Il trattamento di dati personali, effettuato nell'ambito dei sistemi informativi regolati dal presente Codice di condotta deve svolgersi nel rispetto dei principi dettati dalla normativa applicabile, avuto particolare riguardo a quella dettata in materia di protezione dei dati personali.
9. Con il presente Codice di condotta, che recepisce quanto indicato nelle premesse 5 e 7 e vuole altresì mettere le basi per una piena realizzazione di quanto indicato nella premessa 6 al fine di una coerente regolamentazione del settore, sono individuate adeguate garanzie in conformità con il Regolamento al fine di precisarne e facilitarne la sua applicazione.
10. Il presente Codice di condotta è elaborato ai sensi dell’art. 40 del Regolamento per garantire, settorialmente, ed in funzione delle specifiche esigenze delle diverse categorie dei partecipanti ai SIC, l’applicazione efficace, coerente ed omogenea del Regolamento e, nel contempo, per garantire un corretto bilanciamento di interessi tra i soggetti coinvolti nel trattamento.
11. Le disposizioni del presente Codice di condotta si applicano esclusivamente al trattamento di dati personali effettuato nell’ambito dei sistemi di informazioni creditizie e, in particolare, il presente Codice di condotta non riguarda sistemi informativi di cui sono titolari soggetti pubblici, quale il servizio di centralizzazione dei rischi gestito dalla Banca d'Italia (artt. 13, 53, comma 1, lett. b), 60, comma 1, 64, 67, comma 1, lett. b), 106 107, 144 e 145 del d.lgs. 1 settembre 1993, n. 385 -Testo unico delle leggi in materia bancaria e creditizia; delibera Cicr del 29 marzo 1994; provvedimento Banca d'Italia 10 agosto 1995; circolare Banca d'Italia 11 febbraio 1991, n. 139 e successivi aggiornamenti).
12. Tutti i soggetti che gestiscono sistemi di informazioni creditizie possono aderire al presente Codice di condotta, anche attraverso le rispettive associazioni di categoria, seguendo le procedure di seguito stabilite.
Articolo 1
Ambito di applicazione
Il presente Codice di condotta è riferito ad attività di trattamento dei dati personali relativi a persone fisiche limitatamente al territorio dello Stato Italiano ed è applicabile unicamente a livello nazionale. Per tale motivo, l’approvazione di cui all’art. 40 del Regolamento è richiesta al Garante in qualità di Autorità di controllo competente ai sensi dell’art. 55 del Regolamento.
Articolo 2
Definizioni
1. Ai fini del presente Codice di condotta, si applicano le definizioni previste dall’art. 4 del Regolamento.
2. Ai medesimi fini, si intende per:
a) "richiesta/rapporto": qualsiasi richiesta o rapporto riguardanti la concessione, nell'esercizio di un'attività commerciale o professionale, di un credito, di una dilazione di pagamento, di un pagamento differito, di un finanziamento o di un’altra analoga facilitazione finanziaria; rientrano nell’accezione di facilitazione finanziaria, il noleggio a lungo termine, il leasing operativo1, la cessione di crediti e di dilazioni di pagamento e il prestito tra privati gestito attraverso piattaforme digitali (c.d. peer to peer lending) nei limiti stabiliti dal Legislatore, dalla normativa di settore, dalle Autorità di vigilanza e dalla Giurisprudenza;
b) “regolarizzazione”: l’estinzione delle obbligazioni pecuniarie inadempiute (derivanti sia da un mancato pagamento, sia da un ritardo), senza perdite o residui per il creditore anche a titolo di interessi e spese o comunque a seguito di vicende estintive diverse dall’adempimento, in particolare a seguito di transazioni, o concordati o accordi raggiunti anche in via stragiudiziale o con l’ausilio di organismi di composizione delle crisi;
c) “sistema di informazioni creditizie” o “SIC”: banca di dati concernenti richieste/rapporti di cui alla lettera a) gestita da una persona giuridica, un ente, un’associazione o un altro organismo in ambito privato. Il SIC può contenere, in particolare:
i. informazioni di tipo negativo, che riguardano soltanto rapporti per i quali si sono verificati inadempimenti;
ii. informazioni di tipo positivo e negativo, che attengono a richieste/rapporti a prescindere dalla sussistenza di inadempimenti registrati nel SIC al momento del loro verificarsi;
d) “gestore”: il soggetto privato, autonomo titolare del trattamento dei dati personali registrati in un SIC, che gestisce tale sistema stabilendone le modalità di funzionamento e di utilizzazione;
e) “partecipante”: il soggetto privato, che in virtù di contratto o accordo con il gestore partecipa al relativo SIC e può accedere ed utilizzare i dati presenti nel sistema. Il partecipante, autonomo titolare del trattamento dei dati personali raccolti in relazione a richieste/rapporti, comunica al gestore i relativi dati personali in modo sistematico, in un quadro di reciprocità nello scambio di dati con gli altri partecipanti e in base alle categorie di dati ed agli standard individuati nel presente Codice di condotta; rientrano nella categoria dei partecipanti le banche, comprese quelle comunitarie e quelle extracomunitarie, le società finanziarie e tutti gli intermediari finanziari la cui attività è regolamentata nell’ambito del decreto legislativo 1° settembre 1993, n. 385, i soggetti autorizzati a svolgere in Italia l’attività di factoring (legge 21 febbraio 1991, n. 52 e successive modifiche), soggetti appartenenti a gruppi bancari o finanziari, gli istituti di pagamento, i soggetti privati che, nell’esercizio di attività commerciale o professionale, concedono una dilazione del pagamento del corrispettivo per la fornitura di beni o servizi, ovvero svolgono l’attività di leasing anche operativo, o l’attività di noleggio a lungo termine, nonché l’attività di gestione di piattaforme digitali per prestiti tra privati;
f) “tempo di conservazione dei dati”: il periodo nel quale i dati personali relativi a richieste/rapporti rimangono registrati in un SIC e sono utilizzabili per le finalità di cui al presente Codice di condotta;
g) “trattamenti di scoring”: le modalità di organizzazione, aggregazione, raffronto od elaborazione di dati personali relativi a richieste/rapporti di cui alla lettera a), consistenti nell’impiego di trattamenti automatizzati basati sull’applicazione di metodi o modelli matematici e/o statistici per valutare il rischio, e i cui risultati sono espressi in forma di esiti sintetici, indicatori numerici o punteggi, associati all’interessato, diretti a fornire una rappresentazione, in termini predittivi o probabilistici, del suo profilo di rischio.
Articolo 3
Finalità del trattamento
Il trattamento dei dati personali contenuti in un SIC può essere effettuato dal gestore e dai partecipanti, ciascuno per le attività di propria competenza, coerentemente con quanto disciplinato nel presente Codice di condotta, esclusivamente per finalità connesse alla valutazione, all’assunzione o alla gestione di un rischio di credito, alla valutazione dell’affidabilità e della puntualità nei pagamenti dell’interessato. Rientrano in tali finalità la prevenzione del rischio di frodi e del furto di identità.
Articolo 4
Requisiti e categorie dei dati
1. Per ogni richiesta/rapporto segnalato ad un SIC possono essere trattate le seguenti categorie di dati personali:
a) dati identificativi, anagrafici e sociodemografici (quali, ad esempio: codice fiscale, partita Iva, dati di contatto, documenti di identità, tessera sanitaria, codice Iban, dati relativi alla occupazione/professione, al reddito, al sesso, all’età, alla residenza/domicilio, allo stato civile, al nucleo familiare);
b) dati relativi alla richiesta/rapporto, descrittivi, in particolare, della tipologia di contratto, dell'importo dovuto, delle modalità di pagamento e dello stato della richiesta o dell'esecuzione del contratto;
c) dati di tipo contabile, relativi, in particolare, agli utilizzi o ai pagamenti, al loro andamento periodico, all'esposizione debitoria anche residua e alla sintesi dello stato contabile del rapporto;
d) dati relativi al contenzioso e ad attività di recupero del credito, alla cessione del credito o a eccezionali vicende che incidono sulla situazione soggettiva o patrimoniale degli interessati.
2. Nell'ambito di un SIC possono essere registrati i dati personali riferiti all’interessato che chiede di instaurare o che è parte di un rapporto con un partecipante, o all’interessato:
- che è coobbligato, anche in solido, la cui posizione è chiaramente distinta da quella del debitore principale, o
- che è terzo ceduto, in relazione all’ipotesi di cessione di crediti o dilazioni di pagamento o
- che è un esponente aziendale o un partecipante al capitale della società e/o ente, che è parte di una richiesta/rapporto, o
- che è comunque legato sul piano economico o giuridico al soggetto che è parte di una richiesta/rapporto, come specificato nel successivo art. 8, lettera d).
Al fine della prevenzione delle frodi per i contratti di locazione finanziaria, ed altresì per le altre richieste/rapporti di cui all’art.2 comma 2 lettera A, possono essere registrati i dati personali del fornitore dei beni che ne formano oggetto.
3. Non possono essere oggetto di trattamento nell’ambito di un SIC categorie particolari di dati personali di cui all’art. 9 del Regolamento e i dati personali relativi a condanne penali, ai reati e a connesse misure di sicurezza di cui all’art. 10 del Regolamento. Il trattamento concerne dati personali di tipo obiettivo, adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati, e concerne anche ogni vicenda intervenuta a qualsiasi titolo o causa in relazione ad una richiesta/rapporto, nel rispetto dei tempi di conservazione dei dati stabiliti nel presente Codice di condotta.
4. Le codifiche ed i criteri eventualmente utilizzati per registrare dati personali in un SIC e per facilitarne il trattamento sono diretti esclusivamente a fornire una rappresentazione oggettiva e corretta degli stessi dati, nonché delle vicende del rapporto segnalato. L'utilizzo di tali codifiche e criteri è accompagnato da precise indicazioni circa il loro significato, fornite dal gestore, osservate dai partecipanti e rese dagli stessi agevolmente disponibili agli interessati.
5. Nel SIC sono registrati gli estremi identificativi del partecipante che ha comunicato i dati personali relativi alla richiesta/rapporto. Tali estremi sono accessibili al gestore o agli interessati e non anche agli altri partecipanti.
6. Il gestore registra i dati relativi agli accessi al SIC, anche ai fini dei controlli di cui al presente Codice di condotta.
Articolo 5 Modalità di raccolta e registrazione dei dati
1. I partecipanti aderiscono ad un SIC in forza di accordi sulla base del principio di reciprocità ed all’atto della consultazione hanno accesso al dettaglio completo dei dati relativi a richieste e rapporti, oltre che indicatori di sintesi e scoring.
Salvo quanto previsto dal comma 5, il gestore acquisisce esclusivamente dai partecipanti i dati personali da registrare nel SIC.
2. Il partecipante adotta idonee procedure di verifica per garantire la lecita utilizzabilità nel sistema, la correttezza, l’aggiornamento e l’esattezza dei dati comunicati al gestore.
3. All’atto del ricevimento dei dati, il gestore verifica la loro congruità attraverso controlli di carattere formale e logico e, se i dati risultano incompleti od incongrui, li ritrasmette al partecipante che li ha comunicati, ai fini delle necessarie integrazioni e correzioni. All’esito dei controlli e delle eventuali integrazioni e correzioni, i dati sono registrati nel SIC e resi disponibili.
4. Il partecipante verifica con cura i dati da esso trattati e risponde tempestivamente alle richieste di verifica del gestore, anche a seguito dell’esercizio di un diritto da parte dell’interessato.
5. Eventuali operazioni di cancellazione, integrazione o modificazione dei dati registrati in un SIC sono disposte direttamente dal partecipante che li ha comunicati, ove tecnicamente possibile, ovvero dal gestore su richiesta del medesimo partecipante o d’intesa con esso, anche a seguito dell’esercizio di un diritto da parte dell’interessato, oppure in attuazione di un provvedimento dell’autorità giudiziaria o del Garante.
6. Al verificarsi di ritardi nei pagamenti, il partecipante, anche unitamente all’invio di solleciti o di altre comunicazioni, o eventualmente con le modalità indicate nel contratto, invia all’interessato un preavviso circa l’imminente registrazione dei dati in uno o più SIC. I dati relativi al primo ritardo possono essere resi accessibili ai partecipanti solo decorsi almeno quindici giorni dalla spedizione del preavviso all’interessato. Le modalità, anche digitali e innovative, per garantire la ricezione di detto preavviso sono definite dal partecipante sulla base di quanto previsto dal Garante nel provvedimento del 26 ottobre 2017 e nell’Allegato 1 al presente Codice di condotta.
7. I dati registrati in un SIC sono aggiornati periodicamente, con cadenza mensile, a cura del partecipante che li ha comunicati.
Articolo 6
Base giuridica e Informazione agli interessati
1. Il trattamento dei dati personali da parte del gestore e dei partecipanti al SIC secondo i termini e le condizioni stabilite nel Codice di condotta risulta lecito ai sensi dell’art. 6 comma 1 lett. f) del Regolamento in quanto è necessario per il perseguimento di legittimi interessi dei partecipanti all’utilizzo del SIC per le finalità di cui al presente Codice di condotta. Pertanto, non è necessario acquisire il consenso dell’interessato.
Costituiscono legittimi interessi: la corretta misurazione del merito e del rischio creditizio, la corretta valutazione dell’affidabilità e della puntualità dei pagamenti dell’interessato, la prevenzione del rischio di frode, ivi inclusa la prevenzione del rischio del furto di identità.
2. Al momento della raccolta dei dati personali relativi a richieste o rapporti, il partecipante informa l’interessato ai sensi degli artt. 13 e 14 del Regolamento anche con riguardo al trattamento dei dati personali effettuato nell’ambito di un SIC.
3. Le informazioni di cui al comma 2 recano in modo chiaro e preciso, nell’ambito della descrizione delle finalità e delle modalità del trattamento, nonché degli altri elementi di cui all ́art. 13 del Regolamento, le seguenti indicazioni:
a) estremi identificativi e dati di contatto dei SIC cui sono comunicati i dati personali o presso il quale tali dati sono consultati e dei rispettivi gestori;
b) categorie di partecipanti;
c) tempi di conservazione dei dati nei SIC, cui sono comunicati;
d) modalità di organizzazione, raffronto ed elaborazione dei dati, nonché eventuale uso di trattamenti
o processi decisionali automatizzati di scoring;
e) modalità per l’esercizio da parte degli interessati dei diritti previsti dal Regolamento;
f) eventuali trasferimenti di dati personali in paesi non facenti parte dello Spazio Economico Europeo.
4. L’informativa di cui al comma 2 è fornita agli interessati secondo il modello allegato al presente Codice di condotta nell’Allegato 3 e, se inserita in un modulo utilizzato dal partecipante, è adeguatamente evidenziata e collocata in modo autonomo ed unitario, in parti o riquadri distinti da quelli relativi ad eventuali altre finalità del trattamento effettuato dal medesimo partecipante.
5. L’informativa dovuta per effetto di eventuali aggiornamenti o modifiche relativi alle indicazioni rese ai sensi del comma 3, anche in caso di cambiamento dei SIC utilizzati dal partecipante e/o della denominazione e della sede del gestore, è fornita attraverso comunicazioni periodiche, o attraverso uno o più siti internet e a richiesta degli interessati.
6. Ad integrazione dell’informativa resa dai partecipanti singolarmente ad ogni interessato, il gestore fornisce un’informativa più dettagliata attraverso il proprio sito internet e/o altre eventuali ulteriori modalità anche digitali.
7. Quando la richiesta di credito o di un servizio o prodotto non è accolta, il partecipante comunica all’interessato se, per istruire la richiesta, ha consultato dati personali relativi ad informazioni di tipo negativo in uno o più SIC, indicandogli gli estremi identificativi del SIC da cui sono state rilevate tali informazioni e del relativo gestore.
8. Il partecipante fornisce all’interessato le altre notizie di cui agli articoli 10, comma 1, lett. d) e 11, comma 1, lett. c) del Codice di condotta.
Articolo 7
Tempi di conservazione dei dati
I dati personali riferiti a richieste e/o rapporti, comunicati dai partecipanti, possono essere conservati in un SIC per il tempo previsto e con le modalità indicate nell’Allegato 2 al presente Codice di condotta.
Articolo 8
Utilizzazione dei dati
1. Il partecipante può accedere al SIC rispetto a dati per i quali sussiste un suo legittimo interesse, riguardanti esclusivamente:
a) interessati che chiedono di instaurare o sono parte o che, a seguito di operazioni di cessione di crediti o dilazioni di pagamento, possono divenire parte di un rapporto con il medesimo partecipante e soggetti coobbligati, anche in solido;
b) interessati che agiscono nell’ambito della loro attività imprenditoriale o professionale che chiedono di instaurare o sono parte o che, a seguito di operazioni di cessione di crediti, possono divenire parte di un rapporto con il medesimo partecipante e soggetti coobbligati, anche in solido;
c) interessati che rivestono la qualifica di esponente aziendale o partecipante al capitale di una società e/o ente, che è parte di una richiesta/rapporto;
d) soggetti aventi un collegamento di tipo giuridico o economico con quelli di cui alla lettera b), sempre che i dati personali cui il partecipante intende accedere risultino necessari per il perseguimento delle finalità di cui al presente Codice di condotta relativamente ai soggetti di cui alla stessa lettera b). In tali casi la posizione del soggetto collegato all’interno del SIC non subisce comunque alcuna modificazione in virtù delle vicende relative al soggetto a cui è riferito in via principale il rapporto.
2. Il partecipante può accedere al SIC anche mediante consultazione di copia della relativa banca dati.
3. Il SIC è accessibile solo da un numero limitato, rispetto all ́intera organizzazione del titolare del trattamento e/o dei suoi responsabili del trattamento, di persone autorizzate per iscritto al trattamento sotto l’autorità diretta del titolare o del responsabile ed istruite in tal senso, con esclusivo riferimento ai dati strettamente necessari, pertinenti e non eccedenti in rapporto alle finalità indicate nell ́articolo 3, in relazione alle specifiche esigenze derivanti dal perseguimento delle medesime finalità, concretamente verificabili sulla base degli elementi in possesso dei partecipanti medesimi, nonché per assolvere ad obblighi di legge e per garantire la corretta manutenzione dei sistemi e la qualità dei dati.
4. I partecipanti accedono al SIC attraverso le modalità e gli strumenti anche digitali individuati dal gestore, nel rispetto della normativa sulla protezione dei dati personali. I dati personali relativi a richieste/rapporti registrati in un SIC sono di norma consultabili con modalità di accesso graduale e selettivo, attraverso uno o più livelli di consultazione di informazioni sintetiche o riepilogative dei dati riferiti all’interessato, prima della loro visione in dettaglio e con riferimento anche ad eventuali dati riferiti a soggetti coobbligati o collegati ai sensi del comma 1. Sono, in ogni caso, precluse, anche tecnicamente, modalità di accesso che permettano interrogazioni di massa o acquisizioni di elenchi di dati personali concernenti richieste/rapporti relativi a soggetti diversi da quelli che hanno chiesto di instaurare o che sono o che, a seguito di operazioni di cessione di crediti o di dilazioni di pagamenti, possono divenire parte di un rapporto di credito.
5. L’accesso ad un SIC è consentito anche agli organi giudiziari e di polizia giudiziaria per ragioni di giustizia, oppure da parte di altre istituzioni, autorità, amministrazioni o enti pubblici nei soli casi previsti da leggi, regolamenti o normative comunitarie e con l’osservanza delle norme che regolano la materia.
Articolo 9
Accesso ed esercizio di altri diritti degli interessati
1. In relazione ai dati personali registrati in un SIC, gli interessati possono esercitare i propri diritti secondo le modalità, i termini e le condizioni stabiliti dal Regolamento, sia presso i partecipanti che li hanno comunicati sia presso il gestore, ad eccezione, riguardo a quest’ultimo, del diritto di cui all’art. 20 del Regolamento, non sussistendone i presupposti. Tali soggetti titolari del trattamento garantiscono, anche attraverso idonee misure organizzative e tecniche, un riscontro senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa. Tale termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste. Il partecipante o il gestore presso cui sia stato esercitato dall’interessato uno dei diritti allo stesso riconosciuti, informa quest’ultimo di tale proroga e dei motivi del ritardo, entro un mese dal ricevimento della richiesta.
2. Nella richiesta con la quale esercita i propri diritti, l’interessato indica i propri dati identificativi (ad esempio il codice fiscale e/o la partita Iva), anche al fine di agevolare la ricerca dei dati che lo riguardano nel SIC.
3. Il terzo al quale l ́interessato conferisce, per iscritto, delega o procura per l ́esercizio dei propri diritti, non deve avere alcun interesse, sia diretto che indiretto, riguardo alla conoscenza dei dati dell’interessato e può trattare i dati personali acquisiti presso un SIC esclusivamente nei limiti della delega stessa ed in ogni caso solamente per la finalità di tutela dei diritti dell’interessato e nel rispetto dei diritti fondamentali dell’interessato, con esclusione di ogni altro scopo perseguito dal terzo medesimo o da soggetti ad esso collegati. Nell’esercizio dei diritti dell’interessato, il terzo delegato dichiara per iscritto l’assenza di un suo interesse diretto o indiretto ed il partecipante o il gestore prima di rispondere possono verificarlo attraverso richieste di chiarimenti o altro, potendo, in mancanza, rifiutare la richiesta, contestualmente informandone il Garante. In caso di richieste massive e/o ripetitive provenienti da uno o più soggetti delegati dell’interessato, il gestore e il partecipante hanno comunque sempre la facoltà di rispondere direttamente a quest’ultimo.
4. Il partecipante, al quale è rivolta una richiesta con cui è esercitato taluno dei diritti di cui all’articolo 12 del Regolamento relativamente alle informazioni creditizie registrate in un SIC, fornisce direttamente riscontro nei termini previsti dall ́art. 12 del Regolamento e dispone le eventuali modifiche ai dati ai sensi del presente Codice di condotta. Se la richiesta è rivolta al gestore, quest’ultimo provvede anch’esso direttamente nei medesimi termini, consultando ove necessario il partecipante e fatta salva l’applicazione del successivo comma 6.
5. Qualora sia necessario svolgere ulteriori o particolari verifiche con il partecipante, il gestore informa l’interessato di tale circostanza entro il termine di un mese, prorogabile di due mesi ai sensi del precedente comma 1 del presente articolo 9. Durante il periodo necessario ad effettuare le ulteriori verifiche con il partecipante, il gestore:
- Nell’arco del primo mese, mantiene nel SIC l’indicazione relativa allo svolgimento delle verifiche, tramite specifica codifica o apposito messaggio da apporre in corrispondenza dei dati oggetto delle richieste dell’interessato;
- successivamente ne limita il trattamento sospendendo la visualizzazione nel SIC dei dati oggetto delle verifiche.
6. In caso di richieste di cui al comma 4 riguardanti effettive contestazioni relative ad inadempimenti del venditore/fornitore dei beni o servizi oggetto del contratto sottostante al rapporto, il gestore annota senza ritardo nel SIC, su richiesta dell’interessato, del partecipante o informando quest’ultimo, la notizia relativa all’esistenza di tali contestazioni, tramite l’inserimento di una specifica codifica da apporre in corrispondenza dei dati relativi al rapporto.
Articolo 10
Trattamenti o processi decisionali automatizzati di scoring
1. Nei casi in cui i dati personali contenuti in un SIC siano trattati anche mediante trattamenti o processi decisionali automatizzati di scoring, il gestore ed i partecipanti, fermo restando che i gestori non adottano ai sensi del Regolamento alcuna decisione che può incidere su diritti e libertà degli interessati, assicurano il rispetto dei seguenti principi:
a) tali trattamenti possono essere effettuati solo per l’istruttoria di una richiesta o per la gestione dei rapporti instaurati;
b) i dati relativi a esiti, indicatori o punteggi associati ad un interessato sono elaborati e comunicati dal gestore al solo partecipante che ha ricevuto la richiesta dall’interessato o che ha precedentemente comunicato dati riguardanti il relativo rapporto;
c) i modelli o i fattori di analisi statistica, nonché gli algoritmi di calcolo degli esiti, indicatori o punteggi sono verificati periodicamente con cadenza almeno biennale ed aggiornati in funzione delle risultanze di tali verifiche;
d) quando la richiesta non è accolta, l’interessato può richiedere al partecipante se, per istruire la richiesta, ha consultato dati relativi a esiti, indicatori o punteggi di tipo negativo ottenuti mediante trattamenti o processi decisionali automatizzati di scoring e di fornirgli tali dati, nonché una spiegazione delle logiche di funzionamento dei sistemi utilizzati e delle principali tipologie di fattori tenuti in considerazione nell’elaborazione.
Articolo 11
Trattamento di dati provenienti da fonti pubbliche e/o da altre fonti
1. Nei casi in cui il gestore di un SIC, direttamente o per il tramite di società controllate o collegate, effettua in ogni forma il trattamento di dati provenienti da fonti pubbliche e/o da altre fonti o comunque fornisce ai partecipanti servizi per accedere a tali dati, fermi restando i limiti e le modalità che le leggi stabiliscono per la loro conoscibilità e pubblicità, il gestore ed i partecipanti assicurano il rispetto dei seguenti principi:
a) i dati provenienti da fonti pubbliche e/o da altre fonti, se registrati, devono figurare in banche di dati personali separate dal SIC;
b) nel caso di accesso del partecipante sia a dati personali contenuti in un SIC sia a dati personali contenuti in una delle banche dati di cui alla lettera a), anche nell'eventualità che gli stessi siano associati tra di essi, il gestore adotta le adeguate misure tecniche ed organizzative al fine di assicurare la separazione e la distinguibilità dei dati provenienti dal SIC rispetto a quelli provenienti dalle banche dati di cui alla lettera a), anche attraverso l ́inserimento di idonee indicazioni, eliminando ogni possibilità di equivoco circa la diversa natura ed origine dei dati oggetto dell ́accesso;
c) quando la richiesta non è accolta, l’interessato può richiedere al partecipante se, per istruire la richiesta di credito, ha consultato anche dati personali di tipo negativo nelle banche di dati di cui alla lett. a) ed ottenere dettagli circa la fonte da cui provengono i dati medesimi e gli estremi identificativi del gestore del SIC che ha fornito tali informazioni.
Articolo 12
Misure di sicurezza dei dati
1. I dati personali oggetto di trattamento nell’ambito di un SIC hanno carattere riservato e non possono essere divulgati a terzi, al di fuori dei casi previsti dal Regolamento e dal presente Codice di condotta.
2. Le persone fisiche che, in funzione dell’organizzazione del gestore o dei partecipanti operano sotto l’autorità di detti titolari del trattamento o dei loro responsabili del trattamento ed hanno accesso al SIC, possono trattare i dati personali solo se istruiti in tal senso dal titolare del trattamento mantengono il segreto sui dati personali acquisiti e rispondono della violazione degli obblighi di riservatezza derivanti da un ́utilizzazione dei dati o una divulgazione a terzi per finalità diverse o incompatibili con le finalità di cui al presente codice o comunque non consentite.
3. Il gestore ed i partecipanti adottano e sono tenuti a far assumere dai propri eventuali responsabili del trattamento l’impegno ad adottare misure tecniche ed organizzative idonee per garantire un livello di sicurezza adeguato al rischio fin dalla fase della progettazione e per impostazione predefinita. Tali misure comprendono, tra le altre, se del caso: a) la pseudonimizzazione e la cifratura dei dati personali; b) la capacità di assicurare su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento; c) la capacità di ripristinare tempestivamente la disponibilità e l'accesso dei dati personali in caso di incidente fisico o tecnico; d) una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento.
4. Il gestore adotta ed è tenuto a far assumere dai propri eventuali responsabili del trattamento l’impegno ad adottare adeguate misure di sicurezza al fine di garantire il regolare funzionamento del SIC e il controllo degli accessi. Questi ultimi sono registrati e memorizzati nel sistema informativo del gestore medesimo o di ogni partecipante presso cui risieda copia della stessa banca dati.
5. In relazione al rispetto degli obblighi di sicurezza, riservatezza e segretezza di cui al presente articolo, il gestore ed i partecipanti impartiscono specifiche istruzioni al personale impiegato e vigilano sulla loro puntuale osservanza, anche attraverso verifiche da parte di idonei organismi di controllo.
Articolo 13
Notifica di una violazione dei dati personali
1. Ai sensi e nei limiti dell’art. 33 del Regolamento, in caso di violazione di dati personali contenuti nei SIC il gestore comunica la violazione medesima all’autorità di controllo compente e si impegna ad informare i partecipanti senza ingiustificato ritardo e, comunque, entro i termini fissati dal Regolamento, unitamente alla descrizione dettagliata della violazione ed informazioni circa la natura della violazione, il numero approssimativo di interessati in questione nonché le categorie di dati personali trattati, il numero approssimativo di registrazioni di dati personali in questione, il nome e i dati di contatto del responsabile della protezione dei dati, le probabili conseguenze della violazione e le misure adottate o da adottare per porre rimedio alla violazione, mitigare l’impatto sugli interessati e prevenire il ripetersi della violazione. I contenuti della notifica sono quelli indicati nel paragrafo 3 dell’art. 33 del Regolamento.
2. Quando la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche cui i dati personali contenuti nei SIC si riferiscono, il partecipante e/o il gestore sono tenuti, in base agli elementi di cui sono rispettivamente venuti a conoscenza, a comunicare la violazione all’interessato. Fermo restando quanto stabilito nel paragrafo 3 dell’art. 34 del Regolamento, in particolare nel caso che detta comunicazione, nei confronti del singolo interessato, richieda sforzi sproporzionati, il partecipante e/o il gestore procedono ad una comunicazione pubblica, o ad una analoga misura, tramite la quale gli interessati sono informati con analoga efficacia.
Articolo 14
Trasferimento di dati personali verso paesi terzi o organizzazioni internazionali
I dati personali oggetto di trattamento ai sensi del presente Codice di condotta possono essere trasferiti verso partecipanti, gestori e/o, comunque, altri destinatari, titolari o responsabili del trattamento, ubicati in paesi non appartenenti allo Spazio Economico Europeo, nel rispetto delle condizioni di cui al Capo V del Regolamento.
Articolo 15 Verifiche sul rispetto del Codice di condotta ed organismo di monitoraggio
Fatti salvi i compiti e i poteri del Garante di cui agli articoli da 56 a 58 del Regolamento, il rispetto del presente Codice di condotta per quanto attiene esclusivamente alle operazioni di trattamento di dati personali poste in essere dai gestori aderenti al presente Codice di condotta è garantito da un apposito organismo di monitoraggio (di seguito “OdM” o “Organismo”) costituito e accreditato ai sensi dell'articolo 41 del Regolamento, la cui composizione e il cui funzionamento sono disciplinati nell’Allegato 4 al presente Codice di condotta.
Articolo 16
Modalità di adesione al Codice di condotta
1. Tutti i gestori di sistemi di informazioni creditizie che non hanno ancora sottoscritto il presente Codice di condotta possono aderirvi in qualsiasi momento inviando formale richiesta all’OdM, corredata da una visura camerale aggiornata e dall’ultimo bilancio approvato. L’OdM verifica l’assenza di circostanze ostative all’adesione del gestore richiedente.
2. Entro 30 (trenta) giorni dall’inoltro della richiesta di adesione, l’OdM, accertato il possesso da parte del richiedente dei necessari requisiti, sentiti i gestori già aderenti, procede a comunicare la nuova adesione al Garante, affinché l’autorità possa aggiornare il registro di cui all’art. 40, paragrafo 6, del Regolamento.
3. L’eventuale mancata accettazione della domanda di adesione al Codice di condotta regolarmente presentata da parte di un gestore dovrà essere brevemente motivata da parte dell’OdM, fermo restando che tale diniego non preclude il successivo rinnovo della domanda di adesione. In quest’ultimo caso, tuttavia, il gestore richiedente dovrà allegare alla nuova istanza una breve nota che illustri le misure adottate per superare le ragioni che avevano condotto al precedente diniego.
Articolo 17
Riesame del Codice di condotta
1. Sul presupposto di quanto evidenziato nelle premesse 5 e 6, i gestori che sottoscrivono il presente Codice di condotta proporranno al Garante un nuovo progetto entro un termine massimo di ventiquattro mesi dall’entrata in vigore del presente Codice di condotta, nell’ottica di una coerente regolamentazione del settore, anche attraverso la riduzione delle asimmetrie informative.2. Fermo quanto sopra, i gestori che sottoscrivono il presente Codice di condotta possono promuovere il riesame e l’eventuale modifica dello stesso, anche alla luce di novità normative, delle prassi applicative del Regolamento, del progresso tecnologico o dell’esperienza acquisita nella sua applicazione.
Articolo 18
Disposizioni finali
1. In funzione di quanto indicato alla premessa 6, ai soggetti ivi richiamati si applicano le disposizioni del presente Codice di condotta tra le quali, in particolare, sebbene non siano ivi espressamente citati, quelle contenute nell’articolo 3, nell’articolo 4 comma 5, nell’articolo 5 commi 6 e 8, nell’articolo 6, nell’articolo 8 commi 1, 3 e 4, nell’articolo 9 commi 1 e 3, negli articoli 10, 11, 12, 13, 14 e 18.
2. Il presente Codice di condotta viene approvato con le modifiche e le integrazioni rese necessarie dal completamento della procedura di accreditamento da parte del Garante ai sensi dell’art. 40 del Regolamento, alla cui definizione era subordinata l’efficacia del Codice di condotta approvato il 12 settembre 2019.
Articolo 19
Entrata in vigore
Il presente Codice di condotta, inserito nei registri di cui all’art. 40, paragrafi 6 e 11, del Regolamento, è pubblicato nella Gazzetta ufficiale della Repubblica italiana ed acquista efficacia il giorno successivo a quello della pubblicazione.
