Gazzetta n. 24 del 30 gennaio 2007 (vai al sommario) GARANTE PER LA PROTEZIONE DEI DATI PERSONALI PROVVEDIMENTO 18 gennaio 2007 Cessione in blocco e cartolarizzazione dei crediti. IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI In data odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Giovanni Buttarelli, segretario generale; Visto il codice in materia di protezione dei dati personali (decreto legislativo 30 giugno 2003, n. 196), con particolare riguardo all'art. 13, comma 5, lettera c); Visti i provvedimenti del Garante del 26 novembre 1998 e del 4 aprile 2001, riportati sul sito internet del Garante http://www.garanteprivacy.it (rispettivamente, doc. web n. 39624 e doc. web n. 40763); Esaminate le richieste di esonero dall'obbligo di rendere l'informativa agli interessati (art. 13, comma 5, del codice) nell'ambito di operazioni che comportano la cessione in blocco di crediti; Vista la documentazione in atti; Viste le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000; Relatore il dott. Mauro Paissan; Premesso: 1. Cessioni in blocco di crediti e protezione dei dati personali. 1.1. Cessioni in blocco. Le operazioni di cessione in blocco di crediti determinano la comunicazione dal cedente al cessionario di dati personali relativi al debitore ceduto («interessato»). In particolare, tale fenomeno ricorre: a) nelle operazioni di cessione di crediti in blocco disciplinate all'art. 58 del decreto legislativo 1° settembre 1993, n. 385 (testo unico delle leggi in materia bancaria e creditizia), disposizione che, in deroga alla previsione contenuta nell'art. 1264 del codice civile, consente la notificazione dell'avvenuta cessione di rapporti giuridici in blocco - ai fini della sua opponibilita' ai ceduti - mediante la pubblicazione di apposito annuncio nella Gazzetta Ufficiale; b) nelle operazioni di cessione in blocco a titolo oneroso di portafogli di crediti pecuniari, anche futuri, di cui alla legge 30 aprile 1999, n. 130, recante disposizioni sulla cartolarizzazione di crediti, il cui art. 4, comma 1, richiama il menzionato art. 58 del decreto legislativo n. 385/1993; c) nelle operazioni di «cessione dei crediti futuri e di crediti in massa», disciplinate dalla legge 21 febbraio 1991, n. 52, in materia di cessione di crediti d'impresa. 1.2. Contratto di servicing e accordi-cornice. Nelle operazioni di cessione in blocco dei crediti e, in particolare, nelle cartolarizzazioni, la societa' cedente (denominata anche originator), o altro soggetto, talora appartenente al medesimo gruppo (cfr. provv. 18 maggio 2006, doc. web n. 1299100), riceve frequentemente dalla cessionaria, abitualmente denominata «societa' veicolo» (special purpose vehicle), l'incarico di procedere per suo conto alla gestione dei crediti ceduti (c.d. contratto di servicing), venendo in pari tempo designata quale «responsabile del trattamento» ai sensi dell'art. 29 del codice. In qualche caso, anche altre societa' prestano ulteriori servizi per conto della cessionaria, alcuni dei quali previsti dalla legge (cfr. art. 2, comma 4, legge n. 130/1999: servizi di carattere amministrativo, assicurativo, calcolo e analisi relativi agli incassi su base aggregata dei crediti oggetto della cessione, rating, collocamento sul mercato e quotazione in borsa dei titoli, loro sponsorizzazione, concessione di idonee garanzie). Talora, le operazioni di cessione in blocco dei crediti si ripetono nel tempo tra le stesse parti (cedente e cessionario), nell'ambito e in base alle previsioni contenute in «accordi-cornice» (che, di regola, definiscono le tipologie dei crediti oggetto di futura cessione in vista della loro successiva individuazione, le cadenze temporali delle successive operazioni, etc.). 1.3. Ulteriori tipologie di cessione di crediti in blocco. Le cessioni di crediti in blocco mediante operazioni di cartolarizzazione, aventi ad oggetto per lo piu' crediti di soggetti pubblici connessi alla propria attivita' istituzionale, sono effettuate sulla base di apposite normative che rinviano, per i profili non espressamente disciplinati, alla disciplina generale in materia di cartolarizzazione dei crediti (legge n. 130/1999) o alla legge sulla cessione dei crediti di impresa (legge n. 52/1991). Allo stato, si tratta, in particolare, della: a) cessione e cartolarizzazione dei crediti contributivi dell'INPS (art. 13, legge 23 dicembre 1998, n. 448, come modificato dal decreto-legge 6 settembre 1999, n. 308, convertito con legge 5 novembre 1999, n. 402); b) cartolarizzazione dei crediti contributivi dell'INAIL (art. 36, legge 23 dicembre 1999, n. 488); c) cartolarizzazione dei «crediti d'imposta, contributivi ovvero di altri crediti dello Stato e di altri enti pubblici» (art. 15, legge 23 dicembre 1998, n. 448, applicata per crediti di istituti previdenziali o assicurativi o relativi a finanziamenti di investimenti in ricerca ed innovazione, ovvero quelli derivanti da giochi); d) cartolarizzazione dei proventi derivanti dalla dismissione del patrimonio immobiliare dello stato e di altri enti pubblici (art. 2 del decreto-legge 25 settembre 2001, n. 351, convertito con legge 23 novembre 2001, n. 410). 1.4. Richieste di esonero dall'obbligo di rendere l'informativa. Rispetto alle fattispecie riassunte al punto 1.3 (atteso che i dati sono trattati per obbligo di legge) il cessionario che raccoglie i dati presso il terzo cedente non deve rendere al debitore ceduto l'informativa sul trattamento (art. 13, comma 5, lettera a), del codice). Tale obbligo permane invece per le ipotesi individuate al punto 1.1, in relazione alle quali continuano a pervenire al Garante istanze volte ad ottenere l'autorizzazione a rendere in forma non individualizzata l'informativa disciplinata dall'art. 13 del codice. L'informativa effettuata singolarmente a ciascun debitore, stante l'elevato numero di debitori ceduti nelle menzionate operazioni, comporterebbe infatti costi ed impegni amministrativi manifestamente sproporzionati rispetto al diritto tutelato, dovendo essere fornita a innumerevoli debitori ceduti (spesso pari a svariate migliaia di unita), individuati ovvero individuabili secondo parametri obiettivi e predeterminati nell'operazione di cessione in blocco. Per queste ragioni (sempre nelle ipotesi indicate al punto 1.1), secondo le societa' che presentano istanze al Garante, l'informativa potrebbe essere resa nelle medesime forme previste, seppur a diverso fine, dall'art. 58 del menzionato decreto legislativo n. 385/1993. 2. Trattamento dei dati personali. 2.1. Decisioni del Garante vigente la legge n. 675/1996. Vigente la legge n. 675/1996 (parzialmente diversa, in punto di informativa, rispetto a quella attuale), sono pervenute all'Autorita' analoghe richieste con particolare riferimento alle operazioni individuate alla lettere a) e b) del punto 1.1. A tale proposito, con il menzionato provvedimento di natura generale del 4 aprile 2001, il Garante ha gia' individuato modalita' sostitutive per rendere l'informativa ai soggetti ceduti anche in forma non individualizzata. Sulla scorta di una precedente decisione - nella quale l'Autorita' aveva stabilito che la disciplina in materia di informativa consente non solo «esoneri» dal relativo obbligo rispetto ai dati raccolti presso terzi, ma anche modalita' sostitutive di informazione degli interessati (cfr. provv. del 26 novembre 1998, doc. web n. 39624) - i cessionari avrebbero potuto essere esonerati dall'obbligo di rendere l'informativa in forma individualizzata, presentando una richiesta di autorizzazione al Garante, pubblicando poi il testo dell'informativa nella Gazzetta Ufficiale della Repubblica italiana e su tre testate giornalistiche (due nazionali e una locale), e dando altresi' diffusione alla medesima informativa nei locali del cessionario. 2.3. Innovazioni normative. Il codice in materia di protezione dei dati personali (entrato in vigore successivamente all'adozione dei menzionati provvedimenti del Garante) ha aggiornato il quadro normativo vigente in materia di informativa sul trattamento. L'art. 13, comma 5, lettera c) del codice, innovando parzialmente la disciplina contenuta nel previgente art. 10, comma 4, della legge n. 675/1996 - posto a base della precedente pronuncia del Garante - ha dato integrale attuazione all'art. 11 della direttiva 95/46/CE disponendo che, in casi determinati, il titolare del trattamento possa essere esonerato dall'obbligo di fornire l'informativa all'interessato. Viene, poi, rimessa al Garante l'eventuale individuazione di «misure appropriate» per consentire, comunque, adeguata pubblicita' al trattamento. L'art. 2 del codice ha introdotto altresi' un principio di semplificazione degli adempimenti richiesti dalla disciplina in materia di protezione dei dati personali in capo ai titolari del trattamento, pur assicurando un elevato livello di tutela dei diritti e delle liberta' fondamentali dell'interessato nell'ambito di operazioni di trattamento (cfr. art. 2, comma 2, del codice; considerando n. 49 direttiva 95/46/CE). 3. Manifesta sproporzione ed esonero dall'informativa. 3.1. Esonero. Le citate innovazioni contenute nel codice e la presentazione di istanze riferite a fenomeni contrattuali in parte diversi da quelli venuti in rilievo in passato (in particolare, con riferimento alla cessione di crediti d'impresa), rendono opportuno un aggiornamento delle prescrizioni individuate dal Garante con il menzionato provvedimento del 2001. Analogamente a quanto considerato da questa Autorita' con tale provvedimento, va rilevato che l'adempimento all'obbligo di rendere l'informativa di cui all'art. 13 del codice singolarmente a ciascun debitore ceduto comporterebbe, per i cessionari, un impiego di mezzi sproporzionato rispetto al diritto tutelato dalla medesima disposizione. Cio', tenuto conto sia del numero assai rilevante di interessati, sia della peculiare natura dell'operazione effettuata e della tipologia di informazioni personali trattate (generalmente limitate ai dati anagrafici, ai recapiti degli interessati e alla posizione debitoria di ciascuno), le quali non presentano gravi rischi per gli interessati. Alla luce di cio', in via generale e in relazione a ciascuna delle operazioni di cessione in blocco dei crediti indicate al punto 1.1, con il presente provvedimento il Garante, ai sensi dell'art. 13, comma 5, lettera c) del codice, dichiara pertanto che l'impiego dei mezzi necessari a rendere l'informativa singolarmente a ciascuno dei debitori ceduti risulta sproporzionato rispetto all'interesse che il precetto contenuto nel menzionato art. 13 del codice intende tutelare. 3.2. Misure appropriate. Tuttavia, come gia' disposto in passato dall'Autorita', e' necessario che venga assicurata comunque, in via preventiva, un'adeguata informativa generale a vantaggio degli interessati. Occorrono quindi misure appropriate - che l'Autorita' si riserva di verificare - a cura dei cessionari che siano parte delle operazioni di cessione in blocco dei crediti sopra indicate al punto 1.1 (e di ciascuna di esse, allorche' programmate in accordi-cornice). In sostituzione di quanto gia' disposto in passato dal Garante (provv. 4 aprile 2001, cit.), cio' dovra' essere assicurato mediante la pubblicazione dell'informativa contenente gli elementi previsti dall'art. 13, commi 1 e 2, del codice nella Gazzetta Ufficiale della Repubblica italiana, al piu' tardi contestualmente al prodursi degli effetti della cessione in blocco, anche nell'eventuale interesse di altri autonomi titolari del trattamento coinvolti nell'operazione. La medesima informativa deve consentire di individuare univocamente, secondo parametri obiettivi e predeterminati, le posizioni debitorie oggetto di cessione. Con particolare riguardo alle operazioni di cessione in blocco di crediti pecuniari, anche futuri, di cui alla legge 30 aprile 1999, n. 130, l'informativa potra' essere resa contestualmente alla pubblicazione dell'avviso previsto dall'art. 58 del decreto legislativo 1° settembre 1993, n. 385. In applicazione del principio di semplificazione (art. 2 del codice) i titolari del trattamento non dovranno piu' presentare al Garante la menzionata richiesta preventiva di esonero dall'informativa. L'elevato livello di tutela degli interessati (art. 2 cit.) dovra' essere garantito adottando, in luogo della pubblicazione dell'informativa su tre testate giornalistiche, la misura che risulta appropriata (art. 13, comma 5, lettera c) del codice), di seguito indicata. I cessionari dovranno, infatti, fornire direttamente ai debitori ceduti gli elementi contenuti nell'art. 13, commi 1 e 2, del codice; cio', alla prima occasione utile successiva all'avvenuta cessione in blocco (ad esempio, in sede di invio dell'estratto conto o della prima richiesta di pagamento, se del caso anche tramite la societa' incaricata dei servizi di servicing). Tale modalita' aggiuntiva favorisce una maggiore conoscibilita' dell'avvenuta raccolta dei dati presso terzi ad opera della cessionaria (analoga prescrizione e' stata impartita dalla Banca d'Italia, seppure a diverso fine, in relazione alle operazioni di cessione in blocco di crediti: cfr. comunicazione della Banca d'Italia del 16 luglio 2001 relativa alle operazioni di cessione di rapporti giuridici da parte di intermediari finanziari non bancari; in tal senso, v. pure le istruzioni di vigilanza per le banche, tit. II, cap. 5). Tutto cio' premesso, il Garante dispone ai sensi dell'art. 13, comma 5, lettera c), del codice che i cessionari di crediti in blocco individuati al punto 1.1 del presente provvedimento possano effettuare l'informativa prevista dal medesimo art. 13 in forma non individualizzata, a condizione che le informazioni previste dallo stesso articolo siano rese comunque conoscibili, in modo tale da consentire l'individuazione univoca, secondo parametri obiettivi e predeterminati, delle posizioni debitorie oggetto di cessione, mediante l'adozione nei termini di cui in motivazione delle misure appropriate prescritte al punto 3.2, ovvero: a) mediante pubblicazione nella Gazzetta Ufficiale della Repubblica italiana dell'informativa avente le caratteristiche di cui al medesimo art. 13, commi 1 e 2; b) mediante la successiva comunicazione ai debitori ceduti, alla prima occasione utile, degli elementi contenuti nello stesso art. 13, commi 1 e 2. Il Garante dispone altresi' che copia del presente provvedimento sia trasmessa al Ministero della giustizia - Ufficio pubblicazione leggi e decreti, per la sua pubblicazione nella Gazzetta Ufficiale della Repubblica italiana ai sensi dell'art. 143, comma 2, del codice. Roma, 18 gennaio 2007 Il presidente: Pizzetti