1 - INFORMATIVA ALL'INTERESSATO

a) l'informativa scritta non rende anzitutto chiara la distinzione tra il caso in cui i dati siano stati raccolti presso l'interessato (art. 10, comma 1, n. 675) e l'ipotesi in cui i dati stessi siano raccolti presso terzi (art. 10, comma 3).

Per quanto riguarda le informazioni fornite direttamente dall'interessato, non è necessaria un'informativa data caso per caso in occasione di ciascuna operazione bancaria. E' tuttavia insufficiente un'informativa fornita una tantum e valida senza termine per qualsiasi operazione effettuata dal cliente che rientri nell'esecuzione del rapporto contrattuale al quale si riferisce l'informativa iniziale. Tuttavia, una specifica ed ulteriore informativa deve essere fornita, di regola, nell'instaurazione di nuovi rapporti, quando cambino le finalità o le modalità del trattamento o altri elementi previsti dall'art. 10. Un'informativa all'interessato è altresì necessaria per quanto riguarda i dati raccolti presso terzi (art. 10, comma 3)

Qualora s'intenda predisporre un unico modello cartaceo per le due informative previste dall'art. 10, si potrebbero quindi articolare sullo stesso modello distinte caselle da barrare a seconda delle sistuazioni;

b) le finalità del trattamento (art.10, comma 1, lett. a) sono indicate con una formula tautologica ("... per finalità istituzionali, quindi strettamente connesse e strumentali all'attività della nostra Banca ") e con un elenco per di più meramente esemplificativo delle finalità stesse, nel quale compaiono anche formule generiche (come: "... per esigenze di tipo operativo e gestionale " o "per informativa commerciale nell'interesse della clientela e indagini di mercato ").

Risulta generica anche la prospettazione delle modalità del trattamento (art. 10, comma 1, lett. a), la quale, pur non presupponendo un'elencazione di tutte le operazioni di trattamento effettuate, richiede tuttavia indicazioni più specifiche relative, in particolare, alla logica e alle finalità sulle quali si basa il trattamento (art. 13, comma 1, lett. c), n. 1);

c) l'indicazione della circostanza che i dati possono essere trattati "per conto della...Banca, ... da società, enti o consorzi che...forniscano specifici servizi elaborativi, nonchè da organismi che svolgano attività complementari a quella della ...Banca, ovvero necessarie all'esecuzione delle operazioni o dei servizi...richiesti " non chiarisce se tali soggetti effettuino il trattamento presso una struttura esterna "responsabile" del trattamento, o nella quale operi il "responsabile" del trattamento, oppure quali terzi estranei all'originario trattamento effettuato presso la B.N.L., ai quali i dati stessi siano stati comunicati o diffusi;

d) del tutto generica risulta l'indicazione dei soggetti ai quali i dati possono essere comunicati o diffusi, la quale si risolve o in un richiamo dei casi in cui la comunicazione dei dati a terzi sia obbligatoria per legge o per regolamento (ipotesi per cui l'art. 10, comma 4 permette di non inviare l'informativa), o in una menzione dei soggetti verso i quali il trasferimento dei dati sia "necessario" o più semplicemente "funzionale" per lo svolgimento dell'attività della Banca, senza precisazione alcuna delle categorie dei soggetti stessi, come pure è richiesto dall'art. 10, comma 1, lett. d).

Del pari, non può ritenersi conforme all'art. 10 la comunicazione all'interessato della semplice esistenza presso la Banca di un elenco di tali categorie, in quanto questa soluzione non consente un'effettiva conoscenza ed è basata su un elenco mutevole (le cui variazioni possono comunque essere agevolmente rese note alla clientela tramite le ordinarie comunicazioni);

e) analogamente a quanto previsto nella lettera precedente, l'indicazione del responsabile del trattamento deve rendere possibile l'individuazione del soggetto preposto;

f) non è conforme alla legge la prospettazione della circostanza che il rifiuto a fornire i dati personali può comportare la mancata esecuzione di un'operazione, la mancata prosecuzione del rapporto ovvero la mancata instaurazione di nuovi rapporti.

Non è infatti chiarito, come esplicitamente previsto dall'art. 10, comma 1, lett. b), il carattere obbligatorio o facoltativo del conferimento dei dati, inducendo così l'interessato a confondere situazioni che hanno rilevanza giuridica diversa. E' indispensabile una chiara distinzione tra i casi in cui taluni dati devono essere forniti in base ad un obbligo di legge (ad esempio per individuare operazioni di riciclaggio di denaro o valori), quelli in cui le informazioni sono strettamete funzionali all'esecuzione del rapporto contrattuale (per le quali il consenso dell'interessato non è necessario: art. 12, comma 1, lett. b), e 20, comma 1, lett. e) e quelli che si riferiscono allo svolgimento di ulteriori attività da parte dell'istituto di credito (subordinate ad uno specifico consenso dell'interessato).

Inoltre, la stessa mancanza di distinzione si avverte nella generica previsione dell'interruzione complessiva o mancata instaurazione del rapporto, qualora non siano state fornite le informazioni richieste per singole operazioni o servizi.

La violazione non è eliminata dalla circostanza che l'interruzione del rapporto con la banca è posta in termini eventuali ("...può comportare...), ed è resa più marcata dal fatto che tale evento è prospettato anche in riferimento alla mancata prestazione del consenso alla comunicazione dei dati a terzi, anche per situazioni non dipendenti dall'economia negoziale e che possono essere prese in considerazione dal cliente interessato in base ad una sua libera scelta (es.: comunicazione dei dati da parte della Banca ad una società di customer satisfaction ).

2 - CONSENSO

a) la formula del consenso che la B.N.L. ha richiesto ai propri clienti riflette i vizi dell'informativa all'interessato.

La richiesta ultimativa di un consenso generale e incondizionato, proveniente da un soggetto in posizione nettamente più forte rispetto al destinatario dell'informativa, si risolve in una violazione della libertà contrattuale di quest'ultimo.

In base ai criteri generali che ormai sempre più nettamente ispirano il nostro ordinamento giurdico (in ossequio anche alle regole dettate in sede europea: si vedano, ad esempio, gli artt. 1469-bis e seguenti del codice civile, attuativi della direttiva CEE 93/13) e specificamente in base alle finalità della legge n. 675 (rese esplicite già dall'art. 1), il consenso può essere ritenuto effettivamente libero solo se si presenta come manifestazione del diritto all'autodeterminazione informativa, e dunque al riparo da qualsiasi pressione, e se non viene condizionato all'accettazione di clausole che determinano un significativo squilibrio dei diritti e degli obblighi derivanti dal contratto.

Ciò è esattamente quanto avverrebbe nel caso di un consenso generalizzato e fondato su informazioni generiche o insufficienti, accompagnate dall'esplicita previsione di una possibile rottura dei rapporti contrattuali. Verrebbero così negati proprio i diritti configurati dall'art. 1 della legge n. 675 come "fondamentali".

b) è evidente, peraltro, l'impraticabilità di un consenso richiesto nei confronti di categorie di destinatari individati solo indirettamente (tramite un elenco disponibile presso la Banca) e mediante una mera elencazione esemplificativa, anziché secondo una precisa elencazione che menzioni puntualmente, se non i singoli destinatari, almeno le relative categorie.
In secondo luogo, l'ampia elencazione dei soggetti in favore dei quali il cliente è chiamato a prestare il consenso è contraria alla legge sotto più profili.

Infatti, il consenso è richiesto sia per la comunicazione a terzi da parte della B.N.L., sia per l'ulteriore trattamento effettuato a cura dei terzi medesimi.

Nulla osta, in linea di principio, a che il consenso sia richiesto da un primo titolare anche nell'interesse di altri titolari.

Tuttavia, tale evenienza deve essere realizzata tenendo conto del disposto dell'art. 11, comma 3, secondo cui il consenso deve essere prestato "in forma specifica" e deve quindi riguardare un preciso genere di trattamento effettuato a cura di un ben individuato titolare del trattamento.

Inoltre, poichè il consenso è valido solo se sono fornite le informazioni di cui all'art. 10 (mentre nel caso di specie l'informativa resa dalla B.N.L. si riferisce solo alle attività effettuate dalla B.N.L. stessa anziché anche a quelle svolte dai terzi nell'interesse dei quali il consenso è stato sollecitato), l'informativa stessa dovrebbe essere rivista in modo tale da collegarla anche alle attività svolte dai terzi. Resta ferma, ovviamente, la possibilità che si circoscriva l'ambito di operatività dell'attuale formula di consenso con riferimento ai soli trattamenti effettuati dalla B.N.L. (compresa la comunicazione a terzi).

Qualora, invece, si richieda il consenso anche in relazione a terzi, oltre alla revisione del modello di informativa, si deve procedere ad un'elencazione non esemplificativa e puntuale dei terzi in favore dei quali il consenso potrebbe valere.

Quale che sia la soluzione prescelta circa l'ambito di operatività del consenso, la formula deve essere resa più specifica sotto un ulteriore duplice profilo, tenendo conto cioè, del principio di finalità di cui all'art. 9, nonché della necessità di evitare indicazioni generiche che non permettono all'interessato di rendersi sempre conto della reale ampiezza della sua manifestazione di consenso, quando questo appaia riferibile ad attività diverse da quelle relative al rapporto contrattuale.

Appare in aperto contrasto con l'anzidetto principio di finalità l'ampia richiesta di consenso per tutti i dati sensibili il cui trattamento generalizzato non può certo ritenersi connaturato alle esigenze nascenti da un comune contratto bancario.

E' del tutto erroneo, peraltro, il riferimento ai dati relativi a determinati provvedimenti giudiziari, il cui trattamento non è legato al consenso dell'interessato (art. 24), nonchè il riferimento all'art. 23 che riguarda gli esercenti le professioni sanitarie.

3 - LETTERA AL CLIENTE

La lettera al cliente che accompagna l'informativa e la dichiarazione di consenso non appare corretta nella misura in cui può indurre in errore il cliente stesso nel ritenere che il consenso (peraltro erroneamente indicato come un atto scritto necessitato) sia l'unico presupposto del trattamento. Deve tenersi conto, infatti, che gli artt. 12 e 20 indicano un'ampia casistica di trattamenti che prescindono dal consenso.