Ordinanza ingiunzione o revoca n. 347 del 20/10/2022

Intesa Sanpaolo S.p.a. - riscontro tardivo e non trasparente a istanza di accesso sui dati relativi a operazioni in derivati

Il provvedimento riguarda Intesa Sanpaolo S.p.a. e trae origine da un reclamo dell’interessato, che lamentava il mancato e/o tardivo riscontro a una richiesta di accesso ai sensi dell’art. 15 GDPR relativa a operazioni in derivati e alle connesse evidenze presenti nei sistemi bancari. L’Autorità ha esaminato la vicenda nel contesto della complessa operazione di cessione delle banche venete a Intesa Sanpaolo.

Origine del procedimento e contenuto della richiesta

L’interessato aveva chiesto il 23 settembre 2019 di accedere ai dati personali riferiti a quattro operazioni in derivati che riteneva essere state aperte a sua insaputa da Veneto Banca il 3 ottobre 2015 e chiuse il 13 novembre 2017 da Intesa Sanpaolo, subentrata a Veneto Banca in forza del contratto di cessione del 26 giugno 2017. Con il reclamo del 24 ottobre 2019, l’interessato ha lamentato la mancata risposta alla propria istanza di accesso.

Sviluppo dell’istruttoria e difese della banca

Intesa Sanpaolo ha sostenuto di aver dato riscontro con lettera del 28 ottobre 2019 e ha poi precisato, in varie note, che le operazioni contestate non sarebbero state veri rapporti contrattuali ma "linee tecniche" o mere evidenze contabili presenti nei sistemi di Veneto Banca, non migrate nei sistemi ISP. La banca ha anche affermato che per i chiarimenti occorresse rivolgersi a Veneto Banca, ritenuta unico titolare del trattamento per le informazioni richieste.

L’interessato ha contestato questa impostazione, evidenziando che in precedenza le stesse posizioni erano state descritte come "linee operative" e che, comunque, Intesa Sanpaolo aveva chiuso le posizioni nel novembre 2017. Ha inoltre richiamato documenti e comunicazioni che, a suo avviso, dimostravano la riconducibilità della vicenda alla banca cessionaria.

Accertamenti ulteriori e chiarimenti acquisiti

A fronte di elementi ritenuti contraddittori, l’Ufficio ha svolto ulteriori richieste di chiarimenti e ha disposto un accertamento ispettivo presso la filiale di Cassola. Nel corso dell’istruttoria è emerso che la documentazione contestata proveniva dal sistema informatico di Veneto Banca e che la banca cessionaria aveva effettuato attività di bonifica dei dati prima della migrazione informatica.

Veneto Banca ha poi dichiarato che i rapporti del reclamante e l’operatività in derivati risultavano estinti nel 2010 e che le asserite operazioni in derivati erano in realtà mere evidenze anagrafiche e codici interni assegnati massivamente ai clienti che avevano operato in derivati, senza corrispondere a una nuova operatività bancaria. Intesa Sanpaolo, dal canto suo, ha ribadito che sui propri sistemi non erano presenti dati relativi alle evidenze oggetto del reclamo e che tali dati erano stati utilizzati solo per difesa in un contenzioso giudiziario.

Valutazione del Garante sulle violazioni

Il Garante ha ritenuto accertato che Intesa Sanpaolo, in qualità di titolare, avesse effettuato un trattamento non conforme alla disciplina privacy, con specifico riferimento al riscontro all’istanza di accesso. In particolare, l’Autorità ha richiamato:

• l’art. 12, par. 1, 3 e 4, GDPR, che impone di fornire le informazioni in forma concisa, trasparente, intellegibile e senza ingiustificato ritardo, al più tardi entro un mese;
• l’art. 15 GDPR, sul diritto di accesso;
• l’art. 5, par. 1, lett. a), GDPR, sul principio di liceità, correttezza e trasparenza.

Secondo il Garante, il primo riscontro utile era stato fornito oltre il termine di legge e senza indicare all’interessato i motivi dell’inottemperanza né le possibilità di reclamo o ricorso. Inoltre le informazioni fornite nel corso del procedimento sono state giudicate non esaustive rispetto alla richiesta, poco chiare, tecniche e talvolta contraddittorie, con conseguente difficoltà per l’interessato nel comprendere chi fosse il titolare effettivamente competente e quale fosse il trattamento in corso.

Esito: illiceità del trattamento e sanzione

L’Autorità ha quindi dichiarato l’illiceità del trattamento effettuato da Intesa Sanpaolo, nei limiti sopra indicati, ai sensi degli artt. 57, par. 1, lett. f), e 83 GDPR. In applicazione dell’art. 58, par. 2, lett. i), GDPR, e dell’art. 166 del Codice privacy, è stata irrogata una sanzione amministrativa pecuniaria di 40.000 euro per la violazione degli artt. 12 e 5, par. 1, lett. a), GDPR.

Criteri di quantificazione della sanzione

Nel determinare l’importo, il Garante ha considerato i criteri dell’art. 83, par. 2, GDPR, richiamando in particolare:

• la natura della violazione, relativa ai diritti degli interessati e ai principi di trasparenza e correttezza;
• il grado di responsabilità del titolare, che aveva fornito risposte parziali e incongruenti;
• precedenti provvedimenti pertinenti del Garante;
• la particolare complessità e durata dell’istruttoria, aggravata dalla scarsa chiarezza delle comunicazioni rese;
• le circostanze attenuanti, tra cui il fatto che la violazione ha inciso sulla posizione di un singolo cliente e si è collocata nel contesto straordinariamente complesso della transizione delle banche venete.

Dispositivo e termini di pagamento

Il provvedimento dispone il pagamento della sanzione entro 30 giorni dalla notifica, con facoltà di definizione agevolata mediante pagamento della metà dell’importo nei termini previsti dalla legge. È inoltre ordinata la pubblicazione del provvedimento sul sito internet del Garante. Avverso il provvedimento è ammesso ricorso dinanzi all’autorità giudiziaria ordinaria nei termini di legge.