Richieste informazioni e documentazione da presentare alla banca ai sensi del GDPR o ai sensi del TUB?
Il presente contributo prende spunto dalla prassi di rivolgere agli istituti di credito istanze di accesso informativo/documentale indifferentemente ai sensi dell'art. 15 del Regolamento UE 2016/679 (una sorta di successore universale dell'art. 7 del Codice della privacy ante-riforma) e dell'art. 119 della legge 385 del 1 settembre 1993 (Testo Unico delle leggi in materia bancaria e creditizia).
Ci è parso quindi opportuno, pur nella vastità dell'argomento (resa tale dalla sommatoria di pregevoli contributi dottrinali, di provvedimenti delle competenti autorità – Garante per la protezione dei dati personali e Arbitro Bancario Finanziario - e di pronunce giurisprudenziali), il tentativo di instaurare un pur sommario raffronto tra i due strumenti, articolando i seguenti 7 paragrafi:
1. L'oggetto dell'istanza ex art. 15 Reg.to UE 2016/679 e della richiesta ex art. 119 T.U.B. - In primis, bisogna precisare che con l'istanza ex art. 15 si chiedono delle informazioni, mentre con la richiesta ex art. 119 si chiedono dei documenti. Si è con ciò rinviati alla distinzione tra contenuto e contenitore, tra dati e supporti contenenti dati. La confusione tra i due strumenti è agevolata dalla circostanza (inevitabile) per cui le informazioni sono collocate su un supporto e su un supporto (analogico o digitale che sia) non possono che essere rese all'istante. Vi contribuisce (alla cosiddetta confusione) lo stesso art. 15.3, quando con formulazione non proprio felice - se la si prende alla lettera - prescrive al titolare del trattamento di fornire “una copia dei dati personali oggetto di trattamento”.
In secundis, le differenze sono anche più significative: con l'istanza ex art. 15 si richiedono le informazioni che la stessa disposizione individua nei paragrafi 1 e 2 (con la doverosa precisazione che l'accesso non può ritenersi limitato a quanto letteralmente ivi previsto, ma va esteso – secondo una interpretazione sistematica ispirata ad una coerenza complessiva d'impianto – a tutte le informazioni che il titolare deve rendere ai sensi degli artt. 13 e 14). La richiesta ex art. 119, intestato alle “comunicazioni periodiche alla clientela”, ha invece per oggetto (comma 4) “copia della documentazione inerente a singole operazioni poste in essere negli ultimi dieci anni”. Il diritto di accesso ai documenti viene poi riconosciuto, su base autonoma (cioè a prescindere dall'art. 119), alle copie dei contratti (che il cliente dell'istituto di credito - se il rapporto è stato avviato regolarmente - dovrebbe aver ricevuto già al momento della loro stipula) e ad altri documenti in virtù di quei principi di correttezza e buona fede (cfr. artt. 1175 e 1375 c.c) che debbono ispirare le condotte dei contraenti nella fase di svolgimento/esecuzione dei contratti.
E' dunque marcata la diversità della materia disciplinata dalle due disposizioni e dei dati oggetto delle relative procedure: l'istanza dell'art. 15 chiama la banca o l'intermediario finanziario a rendere conto, in tutto o in parte, del/dei trattamento/i dei dati riferiti all'interessato. La richiesta ex art. 119 è diretta invece ad ottenere documenti in cui sono riportate le operazioni nel contesto del contratto di durata (non importa se in essere o concluso) che il cliente ha stipulato con l'istituto di credito o l'intermediario finanziario.
2. I soggetti istanti/richiedenti - Il protagonista dell'istanza ex art. 15 è comunque l'interessato, mentre il richiedente ex art. 119 è sempre il cliente (ovvero “colui che gli succede a qualunque titolo e colui che subentra nell'amministrazione dei suoi beni”).Si tratta di profili che di regola si sovrappongono nelle persone fisiche e questa è (o perlomeno può essere) una ulteriore spiegazione della confusione insorta e/o che si pratica tra i due strumenti.
Senonché, per l'appunto, mentre l'interessato è sempre una persona fisica, non altrettanto vale per il cliente, che può essere anche altro soggetto, per esempio una società di capitali.
Quindi si potrebbe dare il caso in cui, al contempo, una società a responsabilità limitata, per il tramite del proprio legale rappresentante, inoltra una richiesta di documenti ex art. 119; e la stessa persona fisica che ha la rappresentanza legale comunica, ex art. 15, una istanza di accesso ai dati personali che la riguardano.
Infine non si può non ricordare, quanto all'interessato che rivolge alla banca o all'intermediario l'istanza ex art. 15, che potrebbe anche trattarsi di una persona fisica diversa dal cliente, ovvero di un dipendente, di un collaboratore, di un fornitore dell'istituto di credito o dell'intermediario finanziario.
3. I tempi per l'inoltro delle istanze/richieste - La richiesta ex art. 119 dà diritto al cliente di ricevere “copia della documentazione inerente a singole operazioni poste in essere negli ultimi dieci anni” e quindi per tali documenti vale il limite decennale. Limite che però non si reputa valido per i contratti e per gli altri documenti non richiamati dall'art. 119 (ex multis: Trib. Bari, sent. 7.10.2020; ABF Roma, 1045/2020; Trib. Catania, sent., 14.01.2020; Trib. Napoli, sent. 19.06.2019), per i quali dovrà di norma applicarsi l'ordinaria prescrizione decennale a partire dal momento della chiusura del rapporto; tutto ciò salvo prendere atto di un tempo di conservazione potenzialmente anche più ampio per i saldi di conto corrente, posto che l'istituto di credito sarebbe obbligato a produrli sino a risalire al momento dell’apertura del conto stesso, dal momento che solo tali documenti consentono, attraverso una integrale ricostruzione del dare e dell’avere, di determinare il credito effettivo della banca (cfr. Cass. civ., sez. VI, sent. 13258 del 25 maggio 2017).
Tutt'altra situazione si para per l'istanza ex art. 15: qui nessuna scadenza, nessun termine è previsto, in ragione dell'oggetto stesso della richiesta che, come da paragrafo 1 della disposizione, consegna all'interessato, innanzitutto, il diritto “di ottenere (…) la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano”; potendo darsi non di rado l'ipotesi in cui, ad esempio per errore, l'istanza venga rivolta ad un titolare che non ha mai avuto rapporti con l'interessato e di cui per la prima volta acquisisca i dati personali... con l'istanza stessa; ovvero quella per cui l'interessato a distanza di moltissimi anni vorrà verificare che i tempi di conservazione comunicati all'inizio del rapporto siano stati rispettati. L'assenza del termine si può ricondurre alla specificità ontologica del diritto di accesso ex art. 15.
4. I termini per i riscontri/risposte - L'istituto di credito o l'intermediario interpellato ai sensi dell'art. 15 deve osservare i termini per il riscontro (termine mutuato dall'abrogato art. 10 del Codice privacy, oggi formalmente rimosso ma che chi scrive ritiene ancora valido e utile a denominare la risposta del titolare a fronte di una richiesta di esercizio dei diritti da parte dell'interessato ai sensi degli articoli da 15 a 22) stabiliti dall'art. 12.3: le informazioni richieste debbono essere fornite “senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa”. Termine prorogabile di due mesi, “se necessario, tenuto conto della complessità e del numero delle richieste”. Ma in tal caso il titolare è onerato dell'avviso all'interessato “di tale proroga, e dei motivi del ritardo” comunque entro il termine in cui avrebbe dovuto fornire le informazioni: un mese.
Infine, in base al par. 4 della disposizione, il titolare è tenuto a comunicare all'interessato l'inottemperanza alla istanza presentata e i motivi della decisione di non dare seguito alla comunicazione di riscontro.
Per quanto riguarda la consegna dei documenti a seguito di richiesta ex art. 119 T.U.B, essa deve avvenire “entro un congruo termine e comunque non oltre novanta giorni”.
5. Ostensibilità dei dati dei terzi - Sussiste una differenza più sottile ed insidiosa tra le due disposizioni in esame, che chiama in causa l'adeguatezza dell'apparato procedurale degli interpellati, in particolare dei titolari dei trattamenti. Tutto nasce dal paragrafo 4 dell'art. 15, per il quale “il diritto di ottenere una copia di cui al paragrafo 3 non deve ledere i diritti e le libertà altrui”. Che significa? Significa che l'obbligo di riscontro del titolare si arresta ai confini dell'area coperta dai dati personali concernenti l'interessato e non può riguardare dati personali di terzi, relativamente ai quali, ove indebitamente messi a disposizione, dovrebbe parlarsi di violazione dei dati rilevante ex art. 33.
Dunque il titolare è tenuto ad adottare misure adeguate ad impedire senz'altro l'indebito accesso dell'interessato a dati personali che non lo riguardano tramite l'esecuzione della comunicazione di riscontro.
Nel caso di richiesta ex art. 119, invece, già il Garante stesso ha precisato che “tale diritto non prevede limitazioni rispetto all´ostensibilità delle informazioni contenute nella documentazione richiesta (ivi compresi dati personali relativi a terzi che dovessero esservi contenuti), neanche nelle forme di un parziale oscuramento delle informazioni stesse” (Linee guida per trattamenti dati relativi al rapporto banca clientela - 25 ottobre 2007, par. 5.2; vedasi anche ABF, Collegio di Napoli, decisione n. 8707 del 05.10.2016).
6. I costi delle operazioni/adempimenti conseguenti agli atti di esercizio dei diritti ex artt. 15 Reg.to UE 2016/679 e 119 T.U.B. - Regola generale dell'istanza di accesso ex art. 15 è che essa è gratuita. La materia della gratuità/onerosità dei riscontri è disciplinata per l'esercizio dei vari diritti informativi e dispositivi in materia di 'data protection' dall'art. 12.5, per cui l'addebito di un contributo spese si giustifica soltanto quando le richieste dell'interessato siano “manifestamente infondate o eccessive”. Per la verità, si aggiunge una seconda eccezione, stavolta ad opera del paragrafo 3 dell'art. 15, che prevede l'addebito di “un contributo spese ragionevole basato sui costi amministrativi” quando l'interessato richieda ulteriori copie dei dati personali (ovvero, come si preferisce scrivere: dei documenti o supporti contenenti dati personali).
Quanto all'art. 119, l'ultimo periodo del comma 4 prevede che “al cliente possono essere addebitati solo i costi di produzione di tale documentazione”. Dunque, qui vige la regola del rimborso dei costi effettivamente sostenuti per la produzione dei documenti richiesti dal cliente.
Sul tema pare particolarmente opportuno il rinvio ad una decisione dell'Arbitro Bancario Finanziario (Collegio di Milano, n. 2609 del 10 marzo 2017) in cui viene specialmente affrontato l'argomento della quantificazione di questi costi. Osserva il Collegio che “nella applicazione giurisprudenziale dell’Arbitro Bancario Finanziario con tale espressione ci si riferisce ai costi vivi affrontati dall’intermediario per lo svolgimento essenzialmente delle seguenti tre operazioni: 1) recupero del materiale, 2) riproduzione del materiale e 3) invio dei documenti”.
Non risultano giustificate, alla luce di quanto sopra, prassi di liquidazione dei costi che siano svincolate dai costi di produzione (per cui si rinvia a anche ad ABF, Collegio di Roma, decisione n. 7464 del 2015), come l'applicazione di costi fissi, mentre risultano ammessi, per ragioni organizzative, meccanismi forfettari di calcolo dei medesimi.
7. I rimedi rispetto all'inottemperanza/silenzio dei soggetti interpellati - Chiude la presente rassegna una analisi necessariamente breve delle differenze che l'interessato e il cliente presentano in tema di disponibilità di rimedi per fronteggiare la condotta omissiva, neghittosa dei soggetti interpellati.
Ebbene, in base all'art. 12.4, l'interessato ha la possibilità di proporre un reclamo all'autorità di controllo ovvero di proporre un ricorso dinanzi all'autorità giudiziaria ordinaria. Stando all'art. 140-bis del Codice privacy (intestato a “forme alternative di tutela”), la scelta delle due vie è appunto alternativa: o si sceglie l'una o si sceglie l'altra. Né mancano in dottrina voci critiche sul punto, avendo la normativa nazionale chiuso spazi di manovra che il Regolamento UE 2016/679 (artt. 77.1 e 79.1) aveva concepito come disponibili.
Nel caso del richiedente ex art. 119, invece, a fronte dell'inadempimento da parte del soggetto interpellato dell’obbligo di consegna della documentazione, il cliente potrà depositare un ricorso per decreto ingiuntivo ex art. 633 c.p.c., se non addirittura (ricorrendone i presupposti) un ricorso per provvedimento d'urgenza ex art. 700 c.p.c..
