CARABINIERI

Il garante per la protezione dei dati personali:
nella riunione odierna, in presenza del prof. Stefano Rodotà, presidente, del prof. Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. Giovanni Buttarelli, segretario generale;

Esaminata la segnalazione presentata dalla sig.a XY nei confronti della Banca Nazionale del Lavoro S.p.A.;
Vista la documentazione in atti;
Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;
Relatore il prof. Stefano Rodotà;

PREMESSO

1. L'interessata ha segnalato che la Banca Nazionale del Lavoro S.p.A. ha comunicato illecitamente ad un legale alcune informazioni concernenti i propri rapporti di conto corrente e di deposito titoli, in violazione delle disposizioni della legge n. 675/1996 e degli obblighi nella materia del c.d. segreto bancario.

L'8 giugno 1999, per resistere ad una azione civile proposta dall'interessata dinanzi al Tribunale di Roma ai fini di un aumento dell'assegno mensile di divorzio, il legale ha presentato nell'interesse del coniuge divorziato dell'interessata una memoria di costituzione che indicava alcuni dati relativi ai rapporti intrattenuti dall'interessata presso le agenzie di Roma della Banca nn. 18 e 226 (dati concernenti il saldo e l'ammontare di alcuni titoli).

L'interessata ha precisato che tali dati sono stati comunicati illecitamente al legale prima ancora che la banca le avesse inviato i periodici estratti conto ed ha evidenziato che tali informazioni non potevano che essere state fornite da addetti della banca, presso la quale aveva presentato un reclamo.

A seguito della prima richiesta di informazioni di questa Autorità l'istituto di credito ha precisato con nota del 31 marzo 2000 di aver appurato, a seguito di un'indagine interna, che "un dipendente, che per motivi d'ufficio ha contatti di lavoro con legali esterni alla banca, ha dichiarato di aver confermato ad uno di questi legali dati relativi ai rapporti intrattenuti dalla sig.ra XY, dati che, peraltro, secondo le dichiarazioni del legale predetto, sarebbero già stati in possesso del medesimo".

La banca ha quindi allegato copia della nota inviata all'interessata il 12 ottobre 1999, in risposta al predetto reclamo, nella quale aveva comunicato: a) che il 28 maggio 1999 un legale esterno alla banca -e che ha con questa contatti periodici per motivi professionali- ha ottenuto la comunicazione dei dati in questione a seguito di una interrogazione del sistema informatico effettuata da un dipendente; b) di aver adottato in relazione a tale episodio "le conseguenti iniziative affinché la circostanza non abbia a ripetersi in futuro".

Nell'audizione svoltasi il 29 maggio 2000 presso l'Ufficio del Garante, nonché nei documenti successivamente inviati, la segnalante ha ribadito che il dipendente della banca avrebbe rivelato i dati in modo illecito e in violazione degli obblighi contrattuali relativi ai rapporti bancari, e che il legale non aveva avuto in precedenza conoscenza dei dati medesimi.

L'istituto di credito ha invece argomentato che "una "normativa" sul segreto bancario non esiste, esistendo, invece, un obbligo della banca, ai sensi dell'art. 1375 c.c., di non ledere legittimi interessi della propria clientela", e che nel caso di specie non si sarebbe verificata alcuna violazione della legge n. 675/1996, poiché la comunicazione dei dati in esame poteva essere effettuata dalla banca anche senza il consenso dell'interessata (ai sensi dell'art. 20, comma 1, lett. g), della medesima legge), essendo necessaria per l'esercizio in sede giudiziaria di un diritto del coniuge dell'interessata.

L'interessata ha nuovamente contestato tali deduzioni, affermando che:

- il rispetto dell'obbligo del c.d. segreto bancario rappresenterebbe una manifestazione del dovere di buona fede nell'esecuzione del contratto (art. 1375 cod. civ.), per cui il cliente vanterebbe un diritto, anziché un mero interesse a che la banca non comunichi a terzi dati relativi ai propri rapporti;

- la richiamata fattispecie dell'esercizio di un diritto in sede giudiziaria, che permette di prescindere dal consenso per la comunicazione dei dati, non sarebbe applicabile da parte della banca quando l'esigenza di difesa in sede giudiziaria riguarda diritti di un soggetto estraneo al rapporto bancario, per cui i dipendenti della banca non potrebbero fornire informazioni ad un terzo che intenda tutelare le ragioni processuali di un proprio cliente, in assenza di un provvedimento dell'autorità giudiziaria.

Ulteriori elementi sono stati infine acquisiti dall'Ufficio con richiesta del 20 aprile 2001.

Ciò premesso, il garante osserva:

2. La comunicazione dei dati al legale è da ritenersi pacifica essendo ammessa dalla banca e dal dipendente che l'ha effettuata ed avendo formato oggetto anche di un provvedimento con il quale la banca ha applicato a quest'ultimo una sanzione disciplinare.

Nelle giustificazioni scritte fornite dal dipendente il 5 ottobre 1999 si sostiene che la verifica sulle condizioni economiche dell'interessata è stata effettuata in favore del legale "in buona fede e nel presupposto che tali elementi erano già a conoscenza del professionista". Quest'ultima circostanza -che è però contestata dall'interessata- è tuttavia priva di rilievo ai fini dell'accertamento dell'illiceità della comunicazione, in quanto il dipendente, quand'anche si raggiungesse la prova che si è trattato di una semplice verifica e conferma dell'esattezza di dati già conosciuti dal legale, ha comunque posto in essere una "comunicazione" divulgando notizie od elementi che hanno fornito un contributo aggiuntivo di conoscenza al terzo richiedente (v., in proposito, le definizioni di "dato personale" e di "comunicazione" di cui all'art. 1, comma 2, lettere c) e g), della legge n. 675/1996).

3. La predetta comunicazione deve ritenersi contraria al principio di liceità e correttezza del trattamento (art. 9 legge n. 675/1996).

L'art. 20, comma 1, lett. g), di tale legge permette al titolare del trattamento di comunicare dati personali senza il consenso dell'interessato, qualora la loro comunicazione sia necessaria per far valere o difendere un diritto in sede giudiziaria anche da parte di un terzo.

Tale fattispecie prevede però per il titolare del trattamento una mera facoltà di fornire dati e non determina a suo carico l'obbligo giuridico di comunicarli. Simmetricamente, la norma non riconosce al terzo che richiede i dati il diritto di ottenerli.

Nell'esercitare o meno tale facoltà, il titolare del trattamento, oltre a valutare l'effettiva necessità della comunicazione ai fini dell'esercizio del diritto di difesa, deve verificare che la natura dei dati, il contesto in cui essi sono trattati e, in particolare, il rapporto giuridico che lega il titolare medesimo all'interessato permetta di esercitare tale facoltà senza violare obblighi nascenti dalla legge o da un rapporto contrattuale.

Nel caso di specie, il rapporto di conto corrente e quello legato alla gestione dei titoli precludeva la comunicazione dei dati in assenza del consenso dell'interessata o di un obbligo normativo.

Nei rapporti delle banche con la clientela viene infatti in considerazione il c.d. segreto bancario, inteso come obbligo di mantenere il riserbo sulle operazioni, sui conti e sulle posizioni concernenti gli utenti dei servizi bancari (v., in particolare, Corte Cost. 3-18 febbraio 1992, n. 51).

Tale obbligo, comunemente configurato come connaturato al rapporto banca-cliente in applicazione dei principi di correttezza e buona fede nell'esecuzione del contratto (artt. 1175, 1375 e 1337 del codice civile), è anche espressamente richiamato o presupposto da diverse disposizioni normative in materia fiscale e tributaria o in materia di riciclaggio, in relazione ai poteri di accertamento che permettono a determinati soggetti pubblici di acquisire notizie ed informazioni presso istituti di credito (v., ad es., l'art. 10, comma 2, n. 12) della l. 9 ottobre 1971, n. 825; l'art. 4 l. 9 agosto 1993, n. 328 di ratifica della convenzione di Strasburgo sul riciclaggio dell'8 novembre 1990; le norme sull'anagrafe dei rapporti di conto e di deposito, di cui all'art. 20, comma 4, l. n. 413/1991 e al d.m. 4 agosto 2000, n. 269 del Ministro del tesoro, del bilancio e della programmazione economica; Corte cost. 3-6 luglio 2000, n. 260 e Cass. Civ. Sez. I, 7 agosto 1990, n. 7953, in materia di ordine di esibizione rivolto dal giudice civile ad un istituto di credito; v. anche la deliberaz. Consob n. 11522/1998 di attuazione del d.lg. n. 58/1998, che impone al personale delle banche e degli altri intermediari precisi obblighi di riservatezza sulle informazioni di carattere confidenziale acquisite dagli investitori o di cui si disponga in ragione della propria funzione).

I doveri di confidenzialità connessi al c.d. segreto bancario trovano anche riscontro negli usi e nelle consuetudini bancarie, nonché negli impegni che gli istituti di credito assumono nei confronti della clientela allorché dichiarano di rispettare le regole di comportamento indicate dalla relativa associazione di categoria, anche per ciò che attiene alla riservatezza nella raccolta e nel trattamento delle informazioni sui clienti (v. il Codice di comportamento del settore bancario e finanziario predisposto dall'Associazione bancaria italiana, parte I e parte IV, punto 2, cui la B.N.L. ha aderito nel giugno del 1996, nonché il codice di autodisciplina deliberato dall'A.B.I. in tema di intermediazione finanziaria, punto 1, cui la B.N.L. ha aderito nel dicembre del 1998; v. inoltre l'art. 11 del c.c.n.l. del 22 giugno 1995, relativo al personale direttivo delle banche che stabilisce il divieto per il funzionario di comunicare notizie riservate di ufficio).

4. Da quanto sopra esposto, emerge che, fuori dei casi di operazioni di comunicazione di dati connesse alle prestazioni richieste o ai servizi erogati (e dei casi di adempimento di obblighi normativi in base ai quali gli istituti di credito devono fornire determinate informazioni a soggetti pubblici), gli istituti stessi ed il relativo personale devono mantenere il riserbo sulle informazioni relative ai propri clienti e non divulgarle a terzi.

Il dipendente della B.N.L. che ha fornito i dati al legale li ha quindi comunicati in violazione del principio secondo cui i dati devono essere trattati lecitamente e secondo correttezza (art. 9, comma 1, lett. a), legge n. 675/1996) e degli impegni assunti dalla banca (che assume la responsabilità giuridica della violazione quale titolare del trattamento) nei confronti della clientela in relazione ai servizi prestati, senza che l'interessata ne venisse peraltro informata.

La segnalazione dell'interessata è pertanto fondata. Deve quindi ritenersi che la comunicazione non sia avvenuta nel rispetto del predetto principio.

La banca ha comunicato all'interessata di aver introdotto accorgimenti per evitare il ripetersi di analoghi comportamenti da parte dei propri dipendenti. Ha poi trasmesso all'Ufficio del Garante copia degli atti relativi al procedimento interno conclusosi con l'applicazione di una sanzione disciplinare. Si è potuto inoltre appurare che la banca aveva conferito al dipendente un incarico scritto per trattare i dati della clientela per le finalità proprie delle mansioni e delle attività affidate, e lo aveva invitato ad attenersi alle "normative interne aziendali" (in particolare, ad alcune circolari in materia di sicurezza dei dati), provvedendo anche alla diffusione interna dei richiamati codici di comportamento e di autodisciplina.

Pur in presenza di questi adempimenti, va comunque segnalata alla banca la necessità di impartire ulteriori istruzioni al personale affinché i princìpi richiamati nel presente provvedimento siano oggetto di un più diffuso e rigoroso rispetto.

Copia del presente provvedimento è altresì trasmessa per ogni opportuna conoscenza alle associazioni di categoria e di consumatori, nonché a soggetti e ad organismi pubblici e privati interessati.

Per questi motivi, il garante:

a) dichiara fondata la segnalazione nei termini di cui in motivazione;

b) segnala alla Banca Nazionale del Lavoro S.p.A., ai sensi dell'art. 31, comma 1, lett. c), della legge n. 675/1996, la necessità di impartire ulteriori istruzioni al personale per conformare il trattamento dei dati ai principi richiamati nel presente provvedimento, e di fornire all'Ufficio del Garante, entro il 30 giugno 2001, copia delle determinazioni adottate;

c) dispone la trasmissione di copia del presente provvedimento alle associazioni di categoria e di consumatori e a soggetti e ad organismi pubblici e privati interessati.