Ordinanza ingiunzione o revoca n. 340 del 06/06/2024

CA Auto Bank S.p.A. – trattamento illecito di dati tramite SCIPAFI per valutazione di un noleggio auto

Il Garante ha sanzionato CA Autobank S.p.A. (già FCA Bank S.p.A.) per avere consentito, per conto della società di noleggio del gruppo, accessi al sistema pubblico SCIPAFI finalizzati a verificare l’affidabilità della reclamante in vista della stipula di un contratto di autonoleggio.

Origine del procedimento

Il procedimento nasce da un reclamo ex art. 77 GDPR presentato dall’interessata, che lamentava il diniego del voucher di noleggio perché considerata inserita in una "black list" e la mancata risposta alle richieste di conoscere quali dati personali fossero stati utilizzati per giustificare il rifiuto e l’asserita qualifica di "cattivo pagatore".

Attività istruttoria e chiarimenti acquisiti

L’Ufficio ha svolto un’istruttoria nei confronti della banca e della società di noleggio. La banca ha dichiarato di svolgere controlli sui dati comunicati dai clienti mediante banche dati di gruppo per prevenire truffe e insolvenze, rilevando per la reclamante un esito negativo su SCIPAFI relativo ai documenti di reddito. Ha poi affermato che il gruppo aveva predisposto un Data Processing Agreement e ulteriori accordi per regolare i trattamenti e i rapporti intercompany.

Il Garante ha chiesto chiarimenti anche al MEF. Il Ministero ha precisato che la banca è aderente al sistema SCIPAFI e che l’autorizzazione a interrogare il sistema per conto della società di noleggio è stata rilasciata solo con nota del 6 luglio 2022. Ha inoltre richiamato il quadro dell’art. 30-ter del d.lgs. 141/2010 e la circolare del 17 luglio 2014, che interpreta in senso estensivo l’uso del sistema nei limiti dell’ambito soggettivo previsto.

Esito dell’attività ispettiva

Nel corso dell’accertamento ispettivo presso la banca è emerso che, nelle pratiche di leasing, finanziamento e noleggio, i dati vengono caricati tramite diversi canali e che alla società di noleggio viene messa a disposizione una watchlist contenente solo codici numerici associati alle anomalie. Per la reclamante risultavano quattro accessi a SCIPAFI; i primi tre erano connessi alla richiesta di noleggio a lungo termine e il quarto a una successiva verifica di aggiornamento della posizione.

Valutazioni sul quadro normativo e sui ruoli

Il Garante ha richiamato la disciplina di SCIPAFI, sistema pubblico di prevenzione delle frodi in materia di credito al consumo e pagamenti dilazionati, accessibile solo dai soggetti tassativamente individuati dall’art. 30-ter, commi 5, 5-bis, 7 e 7-bis, del d.lgs. 141/2010, nonché il d.m. 95/2014.

Sul piano privacy, è stato ribadito che il trattamento deve rispettare i principi dell’art. 5 GDPR e che il rapporto tra titolare e responsabile richiede un contratto o altro atto giuridico scritto che disciplini in modo puntuale, e non meramente esemplificativo, materia, durata, natura e finalità del trattamento, tipo di dati, categorie di interessati e obblighi del titolare.

Illiceità del trattamento accertata

L’Autorità ha ritenuto che, al momento dei fatti, la società di noleggio non fosse autorizzata ad accedere a SCIPAFI, né direttamente né tramite la banca. Di conseguenza, gli accessi effettuati dalla banca per conto della società erano illeciti, poiché finalizzati a valutare la stipula di un contratto di autonoleggio da parte di un soggetto non abilitato al sistema.

Il Garante ha inoltre evidenziato che SCIPAFI presuppone un riscontro puntuale su uno specifico documento presentato dall’interessato; nel caso concreto, la dichiarazione dei redditi della reclamante non era mai stata acquisita, rendendo ulteriormente illegittima l’interrogazione del sistema. È stata quindi ravvisata la violazione degli artt. 5, par. 1, lett. a), e 28 GDPR.

Sanzione e misure accessorie

Considerati la natura e la gravità della violazione, il grado di responsabilità, la condotta della banca, la cooperazione prestata, l’adeguamento organizzativo successivo e l’assenza di precedenti analoghi, il Garante ha applicato la sanzione amministrativa pecuniaria di euro 1.000.000,00.

È stata inoltre disposta la pubblicazione del provvedimento sul sito istituzionale del Garante. È stata richiamata la possibilità di opposizione avanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011.