Privacy in Europa: il caso degli SWIFT

http://www.giuristitelematici.it
Un grave deficit di trasparenza nei confronti della clientela, l’assenza di un’adeguata base giuridica per il trasferimento di dati personali ad autorità USA, la mancata consultazione delle autorità di protezione dati: sono queste le principali critiche espresse dai Garanti europei rispetto al caso Swift - la Società per le Telecomunicazioni Finanziarie Interbancarie Mondiali con sede in Belgio - e all’inosservanza delle normative sulla protezione dei dati. I Garanti hanno invitato tutti i soggetti responsabili (Swift, Banche centrali, istituzioni bancarie e finanziarie) a porre rapidamente rimedio alla situazione attuale, onde evitare possibili sanzioni da parte delle autorità nazionali per la protezione dei dati.

Swift è la società, con sede in Belgio, di cui si servono da decenni le banche ed i soggetti operanti nel settore finanziario di tutti i Paesi europei per i trasferimenti internazionali di valuta. Tali trasferimenti riguardano anche Paesi al di fuori dell’Ue, come gli Usa, con tutti i problemi che ciò comporta in termini di adeguato rispetto per i dati personali dei soggetti coinvolti (ad esempio, i soggetti che effettuano il pagamento, o i beneficiari del pagamento stesso).

I Garanti europei, riuniti nel Gruppo di lavoro “Articolo 29″, hanno affrontato questi problemi il 22 e 23 novembre scorso a Bruxelles dopo un’attenta analisi della documentazione e delle informazioni fatte pervenire da Swift, sollecitati anche da articoli di stampa comparsi negli ultimi mesi. In particolare, si trattava di capire in che modo avessero operato Swift e le istituzioni finanziarie che di Swift si servono rispetto alle richieste formulate da autorità federali Usa che, nel quadro della lotta contro le attività terroristiche, più volte avevano chiesto ed ottenuto da Swift di accedere ad informazioni contenute nelle transazioni finanziarie. L’analisi condotta dal Gruppo dei Garanti europei ha portato a stabilire che Swift e le istituzioni finanziarie sono contitolari del trattamento in questione, seppure per aspetti distinti. Entrambi hanno, pertanto, la responsabilità di assicurare il rispetto delle norme europee e nazionali in materia di protezione dei dati.

Swift e le istituzioni finanziarie hanno violato le disposizioni della Direttiva 95/46 in materia di protezione dei dati personali, poiché non hanno informato adeguatamente i clienti della possibilità che i loro dati fossero trasferiti negli Usa per le finalità sopra ricordate. In particolare, Swift ha proceduto a fornire le informazioni richieste dalle autorità Usa senza consultare le autorità nazionali di protezione dati né altri soggetti competenti, mentre le istituzioni finanziarie che di Swift si servono hanno omesso di vigilare adeguatamente sul rispetto delle norme di protezione dati da parte di Swift. I Garanti hanno sottolineato che il trasferimento dei dati personali dei clienti alle autorità federali Usa è stato effettuato senza alcun valido fondamento giuridico e con un grave deficit di trasparenza che non ha consentito il controllo indipendente da parte delle autorità europee per la protezione dei dati.

I Garanti hanno invitato Swift e le istituzioni finanziarie ad adottare rapidamente tutte le misure necessarie, nei rispettivi ambiti, per porre rimedio alla situazione. In caso contrario, si sono riservati l’applicazione di tutte le sanzioni previste dalle norme nazionali in materia. Inoltre, anche le Banche centrali dei singoli Stati membri dovranno fare chiarezza sul proprio ruolo in quanto autorità di vigilanza rispetto all’operato di Swift.

Comments(0)

Anche il Garante Privacy interviene sullo spionaggio fiscale

http://repubblica.it

Interviene il Garante della Privacy, dopo quanto emerso oggi, chiedendo al Ministero dell’Economia e delle Finanze e all’autorita’ giudiziaria di Milano, le informazioni “utili” e “conoscibili” per la sua attivita’ di competenza. “In riferimento alle indagini in corso relativamente ad accessi abusivi a banche dati pubbliche - si legge in una nota - il Collegio del Garante per la privacy ha deliberato oggi di chiedere al Ministero dell’Economia e delle Finanze e all’autorita’ giudiziaria milanese, nei tempi e nei modi appropriati in rapporto alle esigenze investigative e di giustizia, ogni informazione ritenuta utile e conoscibile per l’attivita’ di competenza dell’Autorita’ Garante”.

Comments(0)

Garante Europeo Privacy sulle transazioni bancarie SWIFT

http://giuristitelematici.it

Inviato da Giovanni Battista Gallus
L’European Data Protection Supervisor, ad un’audizione pubblica dinnanzi il Parlamento Europeo, tenutasi il 3/10, sul tema “Le intercettazioni delle transazioni bancarie del sistema SWIFT da parte dei Servizi Segreti degli Stati Uniti”, pur precisando che le indagini sono ancora in corso, ha mosso dure critiche alla Banca Centrale, che avrebbe continuato a permettere che i dati delle transazioni bancarie venissero trasmesse agli Stati Uniti, nonostante fosse a conoscenza che alle stesse accedessero, sistematicamente, le autorità americane.

L’Autorità Garante ha soggiunto che la Banca Centrale avrebbe dovuto quantomeno avvisare i governi europei e le altre Autorità.

Si pone quindi, una volta di più, il problema della compatibilità tra la normativa europea in tema di trattamento dei dati personali, e il trasferimento di dati verso gli Stati Uniti.

SWIFT: EDPS preliminary findings on the role of the ECB
This morning, the European Data Protection Supervisor (EDPS) participated in a public hearing in the European Parliament on “The Interception of Bank Transfer Data from the SWIFT System by the US Secret Services”. The EDPS presented some preliminary observations and provisional findings on ongoing investigations into the case by European data protection authorities. Supporting the key findings of the Belgian Privacy Commission, the EDPS focused on the role of the European Central Bank (ECB).
Peter Hustinx, EDPS, said: “We have not concluded our investigation on ECB’s role yet, but there are already some observations that I can share publicly. I basically challenge the fact that the ECB continued to allow confidential client banking data to pass to the US although it had become aware of the systematic access by American authorities. Moreover, I cannot help feeling that the ECB should have at least felt morally obliged to inform European governments and authorities about this scheme.”
Serious questions have arisen on the routine sharing of financial data by SWIFT with
complete ‘mirror system’ in the US, allowing access through a ‘black box’ arrangement. These questions need further analysis and reflection on compatibility with European data protection law and on different issues of responsibility.
As to the role of the ECB as financial overseer, the EDPS would have expected more initiative to bring this arrangement - of which it was made aware in February 2002 - to the notice of relevant authorities and responsible governments.
As to the role of the ECB as a SWIFT customer, the EDPS could not avoid feeling that it had accepted an inappropriate risk by continuing to transfer financial data through SWIFT after becoming aware of the arrangement with the US authorities.
Referring to the report of the Belgian Privacy Commission, published last week, the EDPS confirmed that European data protection law applies to activities of and via SWIFT. SWIFT should be considered as a responsible controller and not only as a processor. Participating banks should be seen as responsible controllers, each for their own parts of the personal data processing.
The EDPS is available to advise on any measures needed to deal with the present situation.

Comments(0)

Erroneo trattamento dati sulla solvibilità: risarcimento danni di 1.200.000 euro

Articolo di Valentina Frediani
Tratto da http://consulentelegaleinformatico.it

Dati relativi alla solvibilità segnalati erroneamente ad una centrale rischi? Da oggi il danno si paga.

Questo quanto stabilito dal Tribunale di Roma con sentenza n. 31848 depositata a fine 2004,  a seguito di domanda di risarcimento danni avanzata da una società operativa nel settore informatico in occasione di una vicenda relativa all’erroneo trattamento di dati. Nei fatti la società di informatica subiva un arrestamento nel proprio disegno di sviluppo dell’attività a causa di due episodi contemporanei aventi come controparti, banche. In un caso alla società di informatica veniva revocato un fido a suo tempo concesso, in un altro le veniva rigettata la domanda di allargamento del fido.

Indagando sulle motivazioni di tali rifiuti, la società veniva a conoscenza che un istituto di credito di cui era cliente  aveva segnalato alla centrale rischi della Banca d’Italia – che monitora i dati relativi alla solvibilità di privati ed imprese – dati erronei relativamente ad un credito classificato “in sofferenza” (ovvero “etichettando” la società di informatica non adempiente su quel pagamento).

Errore sulla rilevazione del dato costato assai caro all’istituto di credito: il Tribunale di Roma lo ha infatti condannato ad un maxi-risarcimento di ben 1.200.000 euro!!! Cifra più che plausibile leggendo la sentenza: con la comunicazione del dato erroneo l’istituto di credito ha provocato alla società di informatica  un abbandono di quelli che erano stati i progetti di sviluppo basati sui finanziamenti che certamente avrebbe ottenuto in condizioni normali senza l’alterazione del dato sbagliato. Nonostante che l’istituto di credito si sia difeso lamentando un generico calo di profitti nella new economy, il Tribunale ha stabilito che con la sua condotta l’istituto di credito ha causato sia un danno emergente (cioè da una diminuzione del patrimonio) che un lucro cessante (ovvero un mancato guadagno che la società di informatica avrebbe potuto al contrario conseguire, in condizioni normali). La sentenza rispecchia sostanzialmente una conseguenza della violazione di quanto sancito  all’art. 11 del Testo Unico sulla privacy, il quale stabilisce che i dati personali oggetto di trattamento devono essere “esatti”. Ciò perché evidentemente l’erroneità può cagionare dei danni, ed è proprio il caso di dire che in questa vicenda “qualcuno ne ha fatto le spese”…. 

Comments(0)

Privacy: osservanza delle regole da parte dei gestori di TLC

articolo di Cristina Matricardi

http://studiocataldi.it

Il Garante per la protezione dei dati personali (Newsletter del 25 luglio 2006) ha reso noto di aver completato il ciclo di ispezioni (avviate nell’ottobre dello scorso anno) per verificare l’osservanza delle regole contenute nel “Codice di deontologia e di buona condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei pagamenti”. L’Autorità ha inoltre reso noto di aver adottato provvedimenti con i quali ha prescritto ad alcune società che gestiscono i “sistemi di informazione creditizia” (Sic) misure per garantire il rispetto del codice di deontologia. Difatti, dagli accertamenti effettuati sono emerse violazioni in rapporto alla disciplina vigente, in particolare rispetto alla comunicazione di dati contenuti nel sistema di informazioni creditizie a favore di soggetti non autorizzati (in genere a vantaggio delle società telefoniche in occasione dell’attivazione di contratti di abbonamento a servizi di telefonia cd. post-pagato);all’incompletezza dell’informativa resa agli interessati; all’inadeguatezza delle misure adottate nel fornire un idoneo riscontro alle istanze di accesso ai dati personali presentate dagli interessati; all’utilizzo (in un caso) delle liste elettorali per finalità di c.d. “allarme antifrode”; il trattamento (in un caso) di dati ulteriori rispetto a quelli necessari al fine di verificare la puntualità dei pagamenti. In definitiva sono stati adottati sei distinti provvedimenti nei quali si è affermata l’illiceità trattamento dei dati provenienti dai Sic, raccolti per la diversa finalità di tutela del credito (e di contenimento del relativo rischio) e si è vietato ai gestori telefonici e ai Sic l’ulteriore trattamento di tali informazioni.
 

Comments(0)

Privacy e recupero crediti
http://unioneconsulenti.it
Il Garante per la protezione dei dati personali ha redatto un decalogo in riferimento alla Privacy per quelle società che si occupano prevalentemente dell’attività del recupero crediti.

Il Garante ha redatto il decalogo in riferimento a seguito degli accertamenti compiuti sui ricorsi presentati da numerosi cittadini e associazioni a tutela dei consumatori,che avevano segnalato un uso illecito dei loro dati personali.

Si tratta di un provvedimento a carattere generale che ha quali precisi destinatari finanziarie, banche, concessionari di pubblici servizi, che testualmente così recita: “chiunque svolga attività di recupero crediti non deve mettere in atto comportamenti che, sia nella fase di raccolta delle informazioni sul debitore sia nel tentativo di presa di contatto, possano ledere la riservatezza e la dignità personale”.

In particolare vengono censurate tutte quelle attività che possono rivelarsi “invasive o lesive della dignità personale”: qualora si renda necessario il sollecito per la riscossione dei pagamento dovuti, non è conforme ai principi legali, divulgare a persone estranee al rapporto creditizio, quali possono essere i familiari, colleghi di lavoro o vicini di casa,qualsiasi tipo di informazione che riguardi i mancati pagamenti.

Rientra in tale casistica il ricorso alle cd. telefonate preregistrate, che prevedono il probabile rischio di rendere note le vicende debitorie in questione a soggetti terzi ,come pure l’attività di affissione degli avvisi di mora sulla porta di casa.

Qualora si renda necessario effettuare delle comunicazioni postali o l’invio di plichi, deve essere assolutamente reso non visibile a persone estranee il suo contenuto, quali la dicitura sull’involucro esterno di recupero crediti o formule equivalenti come lo stesso Garante testualmente precisa :”E’ necessario, invece, che le sollecitazioni di pagamento vengano portate a conoscenza del solo debitore, usando plichi chiusi e senza scritte”.

Per quanto concerne le limitazioni quantitative all’utilizzo di dati personali viene prescritto agli incaricati di non utilizzarne altri oltre a quelli assolutamente necessari all’esecuzione del mandato (dati anagrafici, codice fiscale, ammontare del credito, recapiti telefonici), che devono essere prontamente cancellati con la cessazione della loro attività coincidente con la riscossione delle somme dovute.
 

Comments(0)

Spionaggio bancario CIA: Privacy Int. si rivolge a “Mister Dati”
 
http://ticinonline.ch

BERNA/LONDRA - La sorveglianza della CIA sulle transazioni finanziarie internazionali che passano attraverso la società SWIFT violano le leggi sulla protezione dei dati di numerosi Paesi, fra cui la Svizzera: ne è convinta Privacy International (PI), un’organizzazione non governativa (Ong) con sede a Londra, che chiede al preposto federale alla protezione dei dati Hanspeter Thür di far cessare immediatamente tale attività. “Mister Dati” si sta comunque già occupando di sua iniziativa del caso.

PI ha presentato la richiesta a 33 Paesi. In un comunicato pubblicato oggi su Internet, l’Ong spiega di sospettare i servizi segreti degli Stati Uniti di aver ficcato il naso non solo nella banca dati della sede della SWIFT, a Bruxelles, e in quella della sua filiale Usa, bensì di essersi intrufolata anche in quelle delle altre filiali della Society for Worldwide Interbank Financial Telecommunications (SWIFT), fra cui la filiale di Zurigo. Una prassi stigmatizzata dall’Ong, che la giudica illegale. PI teme peraltro che le autorità statunitensi abbiano utilizzato i dati non solo nella lotta contro il terrorismo, bensì anche a fini fiscali e persino di spionaggio.

“Mister Dati” non ha ancora ricevuto la lamentela di Privacy International, ha indicato oggi all’ATS il suo portavoce Kosmas Tsiraktsopoulos. Comunque Thür, “molto preoccupato” per la vicenda, si è già attivato: ha preso contatto con tutte le istanze interessate, in Svizzera e all’estero, e sollecitato informazioni, ha spiegato il portavoce.
 

Comments(0)

Sentenza contro le segnalazioni in automatico alle centrali rischi

articolo di Carmelo Calì pubblicato sul sito www.confconsumatori.com

Nelle settimane scorse avevamo attenzionato la sentenza con la quale è stato riconosciuto al cittadino il diritto al risarcimento dei danni subiti.

Adesso è il caso dell’accoglimento del ricorso d’urgenza ai sensi dell’art. 700 del codice di procedura civile. E’ stato il Tribunale Santa Maria Capua Vetere che ha accolto il ricorso proposto da una società; il provvedimento comunque assume importanza anche per i consumatori perché quanto in esso statuito è applicabile anche ad essi.

E’ accaduto che è stata proposta azione legale nei confronti della banca al fine di eliminare gli illegittimi interessi anatocistici in ordine al contratto di conto corrente. Nonostante ciò l’istituto bancario ha inviato alla Banca d’Italia la segnalazione del nominativo per il credito che riteneva di vantare. Così, sul presupposto che tale condotta fosse violatrice della correttezza e buona fede contrattuale, e in considerazione del giudizio intrapreso finalizzato proprio all’accertamento dell’illegittimità del calcolo dell’anatocismo trimestrale, è stato chiesto al giudice di disporre a carico della banca la cancellazione della segnalazione alla centrale rischi, lesiva peraltro del diritto all’immagine e alla reputazione.

L’attività svolta con la centrale rischi, ha affermato il Tribunale, è di interesse pubblico finalizzata essenzialmente a consentire agli istituti bancari di valutare la solvibilità dei richiedenti il credito e in quest’ambito si inseriscono le segnalazioni dei crediti cd. in sofferenza. Il sistema, ha proseguito, il Tribunale impone di adottare tutte le cautele necessarie per il rispetto delle ragioni dell’utenza e delle altre imprese bancarie, evitando di incorrere in responsabilità da false informazioni. L’istituto bancario deve quindi procedere con più che attenta diligenza all’istruttoria per l’accertamento della posizione di sofferenza, anche in considerazione del fatto che attiva tale istruttoria inaudita altera parte, senza contraddittorio con la parte interessata.

E’ stata poi richiamata la giurisprudenza in materia per la quale non è corretto ritenere che la segnalazione sia un fatto automatico e non implichi invece una valutazione della banca in ordine all’insolvenza del cliente. Il soggetto segnalante, in altri termini, deve verificare sulla base degli elementi oggettivi a sua disposizione se il proprio debitore si trovi in una situazione che induca a ritenere la riscossione del credito a rischio, dovendo tenere conto degli elementi quali la liquidità del soggetto, la sua capacità produttiva e reddituale, la situazione di mercato in cui opera e l’ammontare complessivo del credito. Fermo restando che non possono tali elementi integrare da soli i presupposti per la segnalazione laddove la concreta situazione del cliente non crei allarme quanto alla sua generale solvibilità.

Partendo da tali premesse e con riferimento al caso sottoposto alla sua attenzione il Tribunale ha ritenuto pacifica l’adottabilità del provvedimento d’urgenza a fronte di una segnalazione illegittima effettuata dall’istituto bancario alla centrale rischi, risultando essa potenzialmente idonea pregiudicare in modo irreparabile la posizione del soggetto segnalato. Da ciò ne è conseguito l’accoglimento del ricorso e la revoca della segnalazione.
 

Comments(0)