"Linee guida per trattamenti dati relativi al rapporto banca-clientela" - 25 ottobre 2007
(G.U. n. 273 del 23 novembre 2007)

Registro delle deliberazioni Deliberazione n. 53 del 25 ottobre 2007

.... (omissis) ...

2.2. Principio di pertinenza e non eccedenza: dati identificativi della clientela.

Il principio di pertinenza dei dati deve essere osservato anche in relazione al trattamento di informazioni finalizzate a identificare i clienti in occasione dell´instaurazione del rapporto contrattuale o in sede di esecuzione di operazioni bancarie (quali, ad esempio, versamenti, pagamenti, altre disposizioni impartite dalla clientela e presentazioni per il pagamento di assegni o vaglia postali).

L´identificazione della clientela –che avviene, di regola, a seguito dell´esibizione di un documento di riconoscimento e, talvolta, anche acquisendone copia fotostatica (specie nei confronti di chi non sia cliente o comunque conosciuto dal personale della banca)– rappresenta un obbligo posto in capo agli istituti di credito da diverse norme e, in particolare, da quelle in materia di riciclaggio 5, nonché da quella secondo cui 6 "le banche, la società Poste italiane Spa, gli intermediari finanziari, le imprese di investimento, gli organismi di investimento collettivo del risparmio, le società di gestione del risparmio, nonché ogni altro operatore finanziario, fatto salvo quanto disposto […] per i soggetti non residenti, sono tenuti a rilevare e a tenere in evidenza i dati identificativi, compreso il codice fiscale, di ogni soggetto che intrattenga con loro qualsiasi rapporto o effettui, per conto proprio ovvero per conto o a nome di terzi, qualsiasi operazione di natura finanziaria ad esclusione di quelle effettuate tramite bollettino di conto corrente postale per un importo unitario inferiore a 1.500 euro".

L´onere di identificare l´interessato ricade sugli istituti di credito anche in caso di presentazione all´incasso di assegni; in tale circostanza possono essere utilizzati, oltre a idonei elementi di valutazione (quali la conoscenza personale o un´eventuale documentazione previamente acquisita, per esempio all´atto dell´instaurazione del rapporto), i dati personali degli interessati contenuti in un documento di riconoscimento la cui esibizione può essere richiesta e i cui estremi possono essere annotati sul titolo medesimo o sulla documentazione interna relativa all´operazione 7.

Per tale trattamento, fatta salva l´osservanza dell´obbligo di informativa (fornita anche una tantum al cliente 8), non è necessario richiedere il consenso dal momento che i dati sono trattati in base a un obbligo di legge o, comunque, per eseguire obblighi derivanti dal contratto o per adempiere a specifiche richieste dell´interessato (art. 24, comma 1, lett. a) e b), del Codice).

2.3. Principio di pertinenza e non eccedenza: servizi resi telefonicamente e registrazione del contenuto delle chiamate.

Per particolari ordini e istruzioni della clientela la banca può registrare il contenuto di conversazioni telefoniche intercorse, anche per eventuali profili di prova e di tutela di diritti in caso di controversia. In tal senso provvedono anche specifiche discipline di settore, con particolare riferimento agli ordini di borsa.

Fuori di questi specifici casi può risultare altresì giustificato procedere ad analoghe registrazioni in relazione a concrete esigenze, come ad esempio per servizi di telephone banking.

In tutti questi casi, l´interessato deve essere informato in ordine a tali registrazioni ai sensi dell´art. 13 del Codice, in sede di conclusione del contratto o, al più tardi, all´inizio della prima conversazione telefonica.

Per le registrazioni e gli eventuali dati personali connessi, se conservati, devono essere adottate le misure di sicurezza volte a prevenirne l´accesso, l´alterazione o l´uso non consentito da parte di soggetti non legittimati; il contenuto delle conversazioni, al quale l´interessato può accedere ai sensi dell´art. 7 del Codice (v. infra punto 5.1.), non deve essere conservato per un tempo superiore a quello necessario per conseguire le finalità per le quali la registrazione è stata effettuata 9.

2.4. Principio di qualità dei dati e pagamenti mediante la procedura "rapporti interbancari diretti" (Rid).

Nell´eseguire gli ordini di pagamento impartiti dal cliente nell´ambito di rapporti interbancari diretti (c.d. procedura Rid) 10, la banca del debitore/interessato (c.d. banca domiciliataria) deve verificare la completezza e l´esattezza dei dati trattati.

Posto che le informazioni necessarie a eseguire l´operazione (con particolare riferimento alle coordinate bancarie e al conto corrente sul quale effettuare l´addebito) possono essere raccolte presso il debitore anche a cura del creditore (ad esempio, il fornitore di un servizio) 11 e essere inviati successivamente alla banca domiciliataria tramite la banca di quest´ultimo (c.d. banca assuntrice o di allineamento) 12, in tali fasi potrebbero verificarsi errori od omissioni.

È pertanto necessario che, in caso di discordanze o incongruenze nei dati trasmessi, vengano effettuati (a cura della banca domiciliataria o con la cooperazione del creditore) appropriati controlli preventivi, se necessario contattando il cliente prima di dare esecuzione all´ordine, al fine di garantire l´esattezza dei dati trattati e di prevenire l´eventuale addebito su conti diversi da quello individuato dal debitore.

.... (omissis) ...

1 Allo stato, in base al d.P.R. 14 marzo 2001, n. 144 (Regolamento recante norme sui servizi di bancoposta), adottato in attuazione della delega contenuta nell´art. 40 della l. 23 dicembre 1998, n. 448.

2 Così, al fine di elevare il grado di sicurezza di beni e persone (segnatamente, del personale dipendente degli istituti di credito e della clientela), le banche possono effettuare trattamenti di dati personali della clientela, nella forma della rilevazione di impronte digitali e di immagini, nei limiti e in conformità alle misure e agli accorgimenti stabiliti nel Provv. 27 ottobre 2005, in www.garanteprivacy.it, doc. web n. 1246675 (pubblicato in G.U. 22 marzo 2006, n. 68).

3 Cfr. Provv. 8 marzo 2007, doc. web n. 1390872, relativo all´accesso per finalità personali (e non istituzionali) da parte di un funzionario di banca alla Centrale dei rischi della Banca d´Italia e al sistema centralizzato di rilevazione dei rischi di importo contenuto.

4 In merito, vigente la l. n. 675/1996, l´Autorità (anche a seguito del Provv. 28 maggio 1997, doc. web n. 40425) si era espressa in termini generali in ordine al rispetto della disciplina relativa all´informativa da rendere alla clientela e alle modalità per raccogliere, ove necessario, il consenso degli interessati: cfr. Newsletter 10 maggio 1999.

5 Allo stato, v. art. 2 d.l. 3 maggio 1991, n. 143 (Provvedimenti urgenti per limitare l´uso del contante e dei titoli al portatore nelle transazioni e prevenire l´utilizzazione del sistema finanziario a scopo di riciclaggio), convertito con modificazioni dalla l. 5 luglio 1991, n. 197 e successivamente modificato dal d.lg. 26 maggio 1997, n. 153. In merito v. pure Comitato di Basilea per la vigilanza bancaria (Dovere di diligenza delle banche nell´identificazione della clientela), ottobre 2001.

6 Art. 7, comma 6, del d.P.R. 29 settembre 1973, n. 605, come sostituito, a far data dal 1° gennaio 2006, dal comma 332 dell´art. 1 l. 30 dicembre 2004, n. 311 e, infine, così modificato dal d.l. 30 settembre 2005, n. 203.

7 Cfr. Provv. 27 ottobre 2005, doc. web n. 1189435, relativo all´identificazione della clientela.

8 Provv. 28 maggio 1997, doc. web n. 40425, in materia di informativa e consenso della clientela nell´ambito dei servizi bancari.

9 In merito v. le prescrizioni contenute nel regolamento Consob 1° luglio 1998 n. 11522 (Regolamento di attuazione del decreto legislativo 24 febbraio 1998, n. 58, concernente la disciplina degli intermediari), con particolare riguardo all´art. 69.

10 In particolare, la prassi conosce tre tipologie di tale procedura corrispondenti a diverse esigenze commerciali: Rid utenze, Rid commerciale e Rid veloce. In merito cfr. circolare Abi n. 45, serie tecnica O del 6 giugno 1983; v. altresì le circolari Abi Prot. SP6014 del 22 dicembre 2004; prot. SP1453 del 29 marzo 2005; prot. SP/003076 del 17 giugno 2005.

.... (omissis) ...

Fonte: Garante per la Protezione dei dati - Linee guida in materia di trattamento di dati personali della clientela in ambito bancario

LINK: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/1457247