Profili di legittimità della segnalazione a sofferenza in Centrale Rischi.

La decisione arbitrale in esame approfondisce la legittimità della segnalazione a sofferenza del nominativo del cliente nell’archivio della Centrale dei Rischi della Banca d’Italia[1], sotto un duplice profilo: preventiva comunicazione dell’imminente segnalazione e autorizzazione espressa al trattamento dei dati personali.

*****

1. Fatto e svolgimento del procedimento.

Il ricorrente lamentava di essere stato illegittimamente segnalato a sofferenza in Centrale dei Rischi da parte del proprio intermediario finanziario (cessionario del credito dell’importo di € 37.800,00).

L’asserita illegittimità riguardava il fatto che il ricorrente non avesse ricevuto la preventiva comunicazione della segnalazione[2], né alcun avviso in merito all’avvenuta cessione e acquisto del credito da parte del resistente. Il debitore sosteneva che, viste le molteplici cessioni del credito, il cessionario dovesse informarlo in modo da permettergli di conoscere facilmente quale fosse l’intermediario legittimato a ricevere il pagamento. Il ricorrente lamentava, infine, di non aver mai autorizzato la società cessionaria al trattamento dei propri dati personali ai sensi del D.lgs. 196/2003[3], e quindi deduceva che l’intermediario non potesse segnalare il nominativo alla CR. Per tali motivi, riteneva illegittima la segnalazione effettuata e ne chiedeva la cancellazione. L’intermediario finanziario, regolarmente costituito, rappresentava che il credito contestato traeva origine da un contratto di finanziamento sottoscritto con altro intermediario e rispetto al quale il ricorrente si era già reso inadempiente. Con successivo contratto di cessione crediti, un secondo intermediario diveniva titolare -tra gli altri- del credito riferito al ricorrente. Quest’ultimo veniva informato della cessione con apposita raccomandata con la quale veniva, altresì, diffidato al pagamento del dovuto e informato dell’imminente segnalazione in CR. A seguito di fusione per incorporazione con altro intermediario, il resistente subentrava in tutti i rapporti preesistenti in capo al cedente, compreso quello vantato nei confronti del ricorrente. Pertanto, l’intermediario rilevava una continuità nella titolarità del credito che lo esonerava dall’effettuare un nuovo avviso di segnalazione (adempimento già ottemperato dal primo cessionario), avendo semplicemente provveduto a confermare la segnalazione a seguito di scrupolose verifiche sul perdurante stato di inadempienza del debitore. Con riferimento, poi, alla mancata autorizzazione al trattamento dei dati personali, il resistente precisava di non essere tenuto ad acquisire il consenso prima di procedere alla segnalazione a sofferenza viste le finalità di natura pubblicistica sottese al sistema di segnalazione alla CR.

2. Decisione.

Il Collegio, valutate le ragioni di ambo le Parti, rigetta il ricorso e dichiara legittima la segnalazione a sofferenza per i seguenti motivi. In primo luogo, con riferimento alla mancata comunicazione della segnalazione a carico del ricorrente, l’ABF precisa che il preavviso di segnalazione è dovuto ai clienti consumatori solo per la prima segnalazione negativa. In altre parole, l’onere di preavviso grava sul primo soggetto segnalante, vale a dire sull’intermediario cedente il credito; mentre il cessionario non è tenuto ad informare nuovamente il cliente[4]. Al riguardo, il Collegio di Coordinamento, nella decisione n. 1317/2023, ritiene legittima “la segnalazione a sofferenza effettuata dal cessionario in continuità col cedente, a meno che non risultino elementi sopravvenuti tali da rendere necessaria una diversa valutazione della posizione del debitore”[5]. Nel caso di specie, è emerso che l’intermediario abbia provveduto ad effettuare un’indagine sugli -eventuali- elementi sopravvenuti. Tale indagine, però, non ha evidenziato modifiche in melius della complessiva situazione finanziaria del cliente[6] che restava critica e tale da non poter procedere a una diversa classificazione del debito. In secondo luogo, per quanto attiene al trattamento dei dati personali, il Collegio, nel richiamare l’art. 6 co. 1 lett. c) del Reg. UE n. 679/2016 (GDPR)[7], precisa che l’acquisto del credito comporta anche il trasferimento in capo all’acquirente dei dati personali del debitore e ne consente il trattamento per specifiche finalità tra le quali rientra l’obbligo di trasmissione dei dati (ove necessario, di segnalazione del nominativo) alla CR da parte degli intermediari[8]. Lo stesso Collegio, peraltro, cita la Circolare della Banca d’Italia n. 139 dell’11/02/1991 -attualmente vigente nella versione aggiornata al 14/10/2021-, secondo la quale “la comunicazione dei dati relativi alla Centrale dei rischi risponde ad un compito di interesse pubblico ed è effettuata sulla base di apposita norma di legge, in osservanza dell’art. 2-ter del Codice privacy. Pertanto, gli intermediari partecipanti sono esonerati dall’obbligo di acquisizione del consenso degli interessati; sono invece tenuti a fornire un’informativa nella quale si rende noto che i dati personali dei clienti sono per legge comunicati alla Centrale dei rischi”[9].

__________________________________________________________

[1] Com’è noto, la Centrale dei Rischi (CR) è un archivio d’informazioni, una banca dati che fornisce un quadro d’insieme dei debiti che persone, famiglie e imprese hanno verso il sistema bancario e finanziario. È gestita dalla Banca d’Italia e costituisce un valido strumento per quei clienti che hanno alle spalle una buona “storia creditizia” affinché possano ottenere un finanziamento più facilmente e a condizioni migliori. Ma è uno strumento utile anche per le banche e le società finanziarie per valutare la capacità dei clienti di restituire l’importo dei finanziamenti concessi (c.d. merito di credito). In CR vengono registrati i finanziamenti (mutui, prestiti personali, aperture di credito, ecc.) e le garanzie (es. fideiussione) quando l’importo che il cliente deve restituire supera i 30.000 € (c.d. soglia di censimento). Tale soglia si abbassa a 250 € se il cliente ha gravi difficoltà nel pagare il suo debito, ossia è “in sofferenza”. Per ciascun cliente, la CR raccoglie ogni mese informazioni dagli intermediari (banche, società finanziare, società di cartolarizzazione del credito, Cassa Depositi e Prestiti, ecc.). Successivamente, la CR, sempre ogni mese e per ogni cliente, fornisce agli intermediari un prospetto, in modo tale che questi siano a conoscenza dell’indebitamento complessivo dei loro clienti e della regolarità o meno dei pagamenti. In tal modo, anche nell’ottica della vigilanza di Banca d’Italia sulla prudente gestione del credito, la CR consente agli intermediari di gestire il rischio e di proporre soluzioni di credito adeguate alle effettive capacità di rimborso dei clienti per scongiurare il loro “sovraindebitamento”. Si precisa che la CR non è un elenco di “cattivi pagatori”, semplicemente registra la “storia creditizia” dei singoli clienti: contiene quindi sia informazioni positive (regolarità del pagamento delle rate, chiusura [anche anticipata] del rapporto di finanziamento), sia eventuali informazioni negative (inadempimento persistente, ossia uno scaduto di più di 90 giorni, non essendo sufficiente, affinché il cliente sia segnalato “in sofferenza”, il mancato pagamento di una sola rata). In Italia esistono anche altri archivi “centralizzati” sul credito gestiti però da soggetti privati e ai quali gli intermediari partecipano su base volontaria (mentre nella CR partecipano su base obbligatoria). Tali archivi sono i c.d. Sistemi di Informazione Creditizia (SIC), ad es. Crif, Eurisc, Experian, Assilea.

[2] Con riferimento alla preventiva comunicazione della segnalazione, l’art. 125 co. 3 TUB stabilisce che “i finanziatori informano preventivamente il consumatore la prima volta che segnalano a una banca dati le informazioni negative previste dalla relativa disciplina. L’informativa è resa unitamente all’invio di solleciti, altre comunicazioni, o in via autonoma”.

[3] A ben vedere, sulla base della normativa nazionale ed europea in materia di privacy (D.Lgs. 196/2003 e Regolamento Generale sulla Protezione dei Dati – Regolamento (UE) n. 2016/679, c.d. General Data Protection Regulation [GDPR]) non è necessario, per gli intermediari (banche e società finanziarie) e per la Banca d’Italia, acquisire il consenso dell’interessato al trattamento dei dati ai fini della segnalazione nella CR. Gli intermediari, che comunicano i dati alla Banca d’Italia sulla base di norma di legge sono esonerati dall’obbligo di acquisizione del consenso al trattamento da parte degli interessati. Ciò non significa che i dati possano essere comunicati ad altri o divulgati. Sono pur sempre coperti dal segreto d’ufficio, ma la Banca d’Italia li raccoglie nell’esercizio delle sue funzioni di vigilanza e per svolgere un compito di interesse pubblico, vale a dire quello di accrescere la stabilità del sistema finanziario. Possono accedere alle informazioni solo i clienti diretti interessati, a nome dei quali sono registrate le informazioni stesse, e altri soggetti ai quali è riconosciuto il diritto di accesso: gli intermediari, per valutare il merito di credito dei clienti; le altre Autorità di vigilanza -Consob e Ivass-, nell’esercizio delle loro funzioni istituzionali; l’Autorità giudiziaria nell’ambito di procedimenti penali.

[4] In senso conforme: Collegio di Roma decisione n 6939/2022; Collegio di Bologna decisione n. 6956/2022; Collegio di Napoli decisone n. 2325/2020. Di orientamento contrario: Collegio di Milano decisione n. 2061/2022; Collegio di Palermo decisione n. 5934/2022, secondo i quali l’obbligo di preavviso ex art. 125 co. 3 TUB deve essere esteso anche agli intermediari che procedono alla segnalazione in continuità poiché il preavviso assolve ad una funzione informativa che sussiste anche nelle ipotesi di cessione del credito. Ad ogni buon conto, giova ricordare che l’omesso preavviso rileva solo ai fini risarcitori per violazione di un obbligo di trasparenza e non già ai fini della cancellazione della segnalazione, che resta, pertanto, legittima anche in assenza di preventiva comunicazione (Cfr.: Collegio di Coordinamento ABF 10 maggio 2023 n. 4519; Collegio di Bari decisioni nn. 7410/2023, 3196/2022 e 17/2022; Collegio di Roma decisione n. 10194/2021).

[5] In senso conforme: Collegio di Coordinamento, decisione n. 4519/2023; Collegio di Bari decisione n. 8596/2023; Collegio di Bari decisione n. 5832/2023.

[6] Sul tema della valutazione dell’intera situazione patrimoniale del soggetto come presupposto per la segnalazione a sofferenza in CR, si è espresso il  Collegio di Palermo n. 8135 del 31 luglio 2023. Per una nota di commento sulla decisione, si segnala il contributo di B. TEMPESTA, “La valutazione negativa “deficitaria” dell’intera situazione patrimoniale del segnalando come presupposto sostanziale della legittimità della segnalazione in Centrale Rischi”, in Diritto del Risparmio, https://www.dirittodelrisparmio.it/2024/01/11/la-valutazione-negativa-deficitaria-dell-intera-situazione-patrimoniale-del-segnalando-come-presupposto-sostanziale-della-legittimita-della-segnalazione-in-centrale-rischi/.

[7] La norma richiamata, rubricata “liceità del trattamento”, prevede che: “il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni: […] c) il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento”.

[8] Cfr.: Collegio di Bari decisione n. 16261/2020; Collegio di Napoli decisione n. 17291/2021.

[9] In senso conforme: Collegio di Bari decisioni nn. 16261/2020 e 23808/2019.