Gazzetta n. 63 del 17 marzo 2003 (vai al sommario) ISTITUTO PER LA VIGILANZA SULLE ASSICURAZIONI PRIVATE E DI INTERESSE COLLETTIVO PROVVEDIMENTO 10 marzo 2003 Banca dati dei sinistri relativi all'assicurazione obbligatoria della responsabilita' civile derivante dalla circolazione dei veicoli a motore immatricolati in Italia - Disciplina delle procedure e delle modalita' di funzionamento della banca dati sinistri r.c. auto, nonche' delle modalita' e dei limiti di accesso alle informazioni raccolte. (Provvedimento n. 2179). L'ISTITUTO PER LA VIGILANZA SULLE ASSICURAZIONI PRIVATE E DI INTERESSE COLLETTIVO Vista la legge 24 dicembre 1969, n. 990 e successive modificazioni ed integrazioni, sull'assicurazione obbligatoria della responsabilita' civile derivante dalla circolazione dei veicoli a motore e dei natanti; Visto il decreto del Presidente della Repubblica 24 novembre 1970, n. 973 e successive modificazioni ed integrazioni, recante il regolamento di esecuzione della legge 24 dicembre 1969, n. 990; Vista la legge 12 agosto 1982, n. 576 e successive modificazioni ed integrazioni, recante riforma della vigilanza sulle assicurazioni; Visto il decreto del Presidente della Repubblica 18 aprile 1994, n. 385, di semplificazione dei procedimenti amministrativi in materia di assicurazioni private e di interesse collettivo di competenza del Ministero dell'industria, del commercio e dell'artigianato; Visto il decreto legislativo 17 marzo 1995, n. 175 e successive modificazioni ed integrazioni, di attuazione della direttiva 92/49/CEE in materia di assicurazione diretta diversa dall'assicurazione sulla vita; Visto il decreto legislativo 13 ottobre 1998, n. 373, di razionalizzazione delle norme concernenti l'Istituto per la vigilanza sulle assicurazioni private e di interesse collettivo (ISVAP); Vista la legge 26 maggio 2000, n. 137, di conversione, con modificazioni, del decreto-legge 28 marzo 2000, n. 70, recante disposizioni urgenti per il contenimento delle spinte inflazionistiche, ed in particolare l'art. 2, comma 5-quater, che ha istituito presso l'ISVAP una banca dati dei sinistri dei veicoli immatricolati in Italia allo scopo di rendere piu' efficace la prevenzione e il contrasto di comportamenti fraudolenti nel settore della assicurazione obbligatoria per i veicoli a motore; Vista la legge 5 marzo 2001 n. 57, recante disposizioni in materia di apertura e regolazione dei mercati, che ha integrato e modificato la legge 26 maggio 2000, n. 137, ed in particolare l'art. 2 commi 4 e 5, che attribuisce all'ISVAP i compiti di stabilire sia le procedure e le modalita' di funzionamento della banca dati, sia le modalita' di accesso alle informazioni contenute nella banca dati sinistri, per lo svolgimento delle funzioni di prevenzione e contrasto dei fenomeni fraudolenti; Visto il provvedimento ISVAP 21 dicembre 2000, n. 1764, come modificato dal provvedimento ISVAP 15 marzo 2002, n. 2065, con il quale sono stati specificati il contenuto, l'ambito e le modalita' di acquisizione dei dati; Visto il decreto del Presidente della Repubblica 28 dicembre 2000, n. 445, recante il testo unico delle disposizioni legislative e regolamentari in materia di documentazione amministrativa; Vista la legge 31 dicembre 1996, n. 675, e successive modificazioni ed integrazioni, in materia di tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali; Visto il decreto legislativo 11 maggio 1999, n. 135, in materia di trattamento di dati sensibili da parte di soggetti pubblici; Ritenuto che, per le rilevanti finalita' di interesse pubblico perseguite con l'istituzione presso l'ISVAP della suddetta banca dati ed espressamente previste dall'art. 2, comma 5-quater, della citata legge n. 137 del 2000, si rende necessaria la rilevazione di informazioni relative anche a sinistri con danni alle persone e, in particolare, il trattamento di alcuni tipi di dati idonei a rivelare lo stato di salute delle persone fisiche coinvolte nei sinistri, relativi all'indicazione delle zone anatomiche delle lesioni personali subite e delle percentuali di invalidita' permanente causata dai sinistri; Considerato che, ai sensi dell'art. 22, commi 3 e 3-bis, della citata legge n. 675/1996, con il presente provvedimento si identificano e si rendono pubblici i tipi di dati sensibili e di operazioni del relativo trattamento strettamente pertinenti e necessari in rapporto alle finalita' della menzionata banca dati istituita presso l'ISVAP; Sentito il Garante per la protezione dei dati personali che ha espresso parere positivo sul contenuto del presente provvedimento; Emana il seguente provvedimento: Art. 1. Definizioni Nel presente provvedimento, si intende per: a) "legge": la legge 26 maggio 2000, n. 137, di conversione, con modificazioni, del decreto-legge 28 marzo 2000, n. 70, e successive integrazioni e modificazioni; b) "provvedimento n. 1764": il provvedimento ISVAP 21 dicembre 2000, n. 1764 e successive modificazioni; c) "imprese": le imprese di assicurazione di cui all'art. l del provvedimento n. 1764; d) "sinistri": i sinistri relativi all'assicurazione obbligatoria della responsabilita' civile derivante dalla circolazione dei veicoli a motore immatricolati in Italia; e) "banca dati sinistri": l'archivio elettronico dei dati relativi ai sinistri comunicati dalle imprese all'ISVAP, accessibile ai sensi dell'art., 2, comma 5-quater, della legge; f) "comunicazioni": le trasmissioni periodiche all'ISVAP dei dati relativi ai sinistri da parte delle imprese, secondo le modalita' indicate dal provvedimento n. 1764; g) "controlli di conformita' tecnica": i controlli logico-formali effettuati sulle comunicazioni delle imprese prima della registrazione dei dati, effettuati secondo le modalita' tecniche indicate nel provvedimento n. 1764; h) "soggetti autorizzati": le imprese, gli organi giudiziari e di polizia giudiziaria che, in base alla legge, possono accedere alla banca dati sinistri; i) "soggetti abilitati": le persone fisiche incaricate dalle imprese abilitate ad accedere ai dati registrati nella banca dati sinistri; j) "liquidazione": la conclusione del procedimento, curato da una impresa, di accertamento, liquidazione e pagamento dei danni derivanti da un sinistro.   Art. 2. Finalita' della banca dati sinistri 1. Presso l'ISVAP e' istituita la banca dati sinistri per l'esclusiva finalita' di prevenzione e contrasto di comportamenti fraudolenti nel settore dell'assicurazione obbligatoria per i veicoli a motore immatricolati in Italia.   Art. 3. Informazioni contenute nella banca dati sinistri 1. Nella banca dati sinistri sono raccolti e trattati i dati relativi ai sinistri comunicati dalle imprese, dal momento del loro accadimento fino alla liquidazione, nel rispetto del principio di proporzionalita' nel trattamento dei dati e con modalita' e logiche di organizzazione ed elaborazione delle informazioni dirette esclusivamente ad assicurare una rappresentazione statica della situazione storica di ciascun sinistro. 2. Nella banca dati sinistri sono contenuti i seguenti tipi di dati relativi ai sinistri comunicati dalle imprese, completi degli elementi specificati negli allegati al provvedimento n. 1764: a) data delle comunicazioni e codici relativi alle imprese trasmittenti; b) data e luogo di accadimento dei sinistri; c) numero, tipo e stato dei sinistri, date ed importi dei risarcimenti eventualmente effettuati; d) codice centro liquidazione sinistri e data di arrivo richiesta o denuncia danni; e) targa o telaio, marca, tipo o modello e anno di immatricolazione dei veicoli coinvolti con indicazioni delle parti danneggiate; f) numeri e periodi di copertura delle polizze assicurative e codici relativi alle imprese ed agli intermediari; g) generalita', data e luogo di nascita, codice fiscale, residenza o denominazione, codice fiscale o partita IVA dei contraenti le polizze assicurative relative ai veicoli coinvolti nei sinistri: h)generalita', data e luogo di nascita, codice fiscale, residenza, numero patente dei proprietari e conducenti dei veicoli coinvolti e del responsabile della circolazione (solo per i ciclomotori; in tal caso, possono essere indicate denominazione, partita iva e sede dell'eventuale persona giuridica); i) generalita', data e luogo di nascita, codice fiscale, residenza dei terzi danneggiati; j) generalita', data e luogo di nascita, codice fiscale dei professionisti incaricati (periti, legali o patrocinatori, medici); k) estremi identificativi delle carrozzerie o autofficine di riparazione (tipo, nome e cap); l) generalita', data e luogo di nascita dei testimoni eventualmente intervenuti; m) indicazioni su eventuali autorita' intervenute nei luoghi di accadimento dei sinistri, presidi di pronto soccorso (in caso di ricoveri per danni alle persone) e organi giudiziari (in caso di sinistri in contenzioso). 3. Sono inoltre comunicate e registrate nella banca dati sinistri le indicazioni relative a decessi e, in caso di danni alle persone, alle zone anatomiche delle lesioni subite dai soggetti coinvolti nei sinistri e alle percentuali di invalidita' permanente causata dagli stessi sinistri.   Art. 4. Modalita' di funzionamento 1. Il funzionamento della banca dati sinistri si articola nelle seguenti fasi ed attivita': a) ricevimento delle comunicazioni delle imprese; b) svolgimento dei controlli di conformita' tecnica; c) registrazione dei dati; d) accesso da parte dei soggetti autorizzati. 2. In relazione alla sola finalita' di cui all'art. 2, la banca dati sinistri e' organizzata anche in modo da consentire all'ISVAP, quale titolare del trattamento dei dati personali e sensibili registrati nella banca dati sinistri, lo svolgimento di elaborazioni statistiche, ricerche, studi ed analisi dei dati, nonche' la loro eventuale comunicazione o diffusione soltanto in forma anonima ed aggregata tale da non rendere identificabili gli interessati.   Art. 5. Comunicazioni delle imprese 1. Le comunicazioni sono effettuate dalle imprese secondo le modalita' stabilite nel provvedimento n. 1764.   Art. 6. Completezza delle comunicazioni 1. Le imprese adottano idonee procedure di controllo al fine di garantire l'esattezza, la completezza e l'aggiornamento dei dati raccolti e comunicati all'ISVAP. 2. Le imprese adottano altresi' idonee modalita' per la rettificazione, l'integrazione, l'aggiornamento o la cancellazione dei dati, anche a seguito di richieste formulate dagli interessati ai sensi dell'art. 13 della legge 31 dicembre 1996, n. 675. 3. Le imprese danno tempestiva notizia all'ISVAP dell'esecuzione delle operazioni di cui al comma 2, anche per quanto riguarda il loro contenuto, al piu' tardi con la comunicazione immediatamente successiva a tali operazioni. 4. L'ISVAP, ricevuta dall'impresa la notizia della necessita' di rettificare, integrare, aggiornare o cancellare i dati gia' comunicati, sospende la loro visibilita' fino alla comunicazione di cui al comma 3.   Art. 7. Controlli delle comunicazioni 1. Al ricevimento delle comunicazioni l'ISVAP effettua controlli di conformita' tecnica. 2. Qualora la comunicazione risulti incompleta l'ISVAP ritrasmette i dati, in tutto o in parte, all'impresa trasmittente, affinche' questa provveda ad una nuova comunicazione con le necessarie integrazioni o correzioni. 3. Nel caso di cui al comma 2, l'ISVAP applica le sanzioni stabilite dall'art. 2, comma 5-quinquies della legge.   Art. 8. Registrazione dei dati 1. I dati sono registrati nella banca dati sinistri e resi disponibili ai soggetti autorizzati per cinque anni dalla data di liquidazione dei sinistri, secondo le modalita' di accesso previste ai successivi capi. 2. I dati registrati non sono modificabili autonomamente dall'ISVAP. L'ISVAP, quale titolare del trattamento dei dati personali registrati nella banca dati sinistri, effettua eventuali operazioni di rettificazione, integrazione, aggiornamento o cancellazione dei dati soltanto su richiesta dell'impresa che li ha comunicati o d'intesa con essa anche a seguito di esercizio dei diritti da parte degli interessati, nonche' in attuazione di provvedimenti dell'autorita' giudiziaria o del Garante per la protezione dei dati personali. 3. Decorso il termine previsto al comma 1 i dati relativi ad ogni sinistro liquidato sono trasposti su altro supporto informatico ed eliminati dalla banca dati sinistri. 4. I dati trasposti su altri supporti sono trattati, con tecniche che non permettono di identificare anche indirettamente gli interessati, dall'ISVAP esclusivamente a scopi statistici per le finalita' di cui all'art. 2, fatte salve le esigenze di giustizia penale e di esercizio dei diritti degli interessati. I dati non possono essere comunicati o diffusi, se non in forma aggregata con modalita' che non permettano di identificare gli interessati ad alcun soggetto esterno. 5. Trascorsi ulteriori cinque anni dalla eliminazione dei dati dalla banca dati sinistri, i dati che permettono di identificare persone fisiche e giuridiche coinvolte a vario titolo nei sinistri, vengono cancellati affinche' i restanti dati vengano conservati in forma anonima e non possano essere utilizzati al fine di identificare nuovamente gli interessati.   Art. 9. Dati sensibili 1. Il presente provvedimento, nelle parti riguardanti i tipi di dati sensibili e di operazioni eseguibili in relazione agli stessi dati, e' adottato anche in attuazione dell'art. 22, comma 3-bis, della legge 31 dicembre 1996, n. 675, e successive modificazioni ed integrazioni. 2. I dati sensibili sono trattati e conservati secondo le modalita' stabilite dall'art. 3, commi 4 e 5, del decreto legislativo 11 maggio 1999, n. 135.   Art. 10. Misure di sicurezza 1. L'ISVAP adotta le misure tecniche, logiche, informatiche, procedurali, fisiche ed organizzative idonee a garantire il corretto ed il regolare funzionamento della banca dati sinistri, nonche' la riservatezza, la sicurezza e l'integrita' dei dati in conformita' alla normativa in materia di protezione dei dati personali. 2. Le imprese assumono adeguate misure al fine di assicurare la riservatezza, la sicurezza e l'integrita' dei dati e delle comunicazioni in conformita' alla normativa in materia di protezione dei dati personali, anche sulla base delle modalita' tecniche stabilite con circolare dell'ISVAP, di cui al successivo art. 12, comma 1.   Art. 11. Accesso degli organi giudiziari e di polizia giudiziaria 1. L'accesso alla banca dati sinistri e il trattamento delle informazioni acquisite da parte degli organi giudiziari e di polizia giudiziaria e' consentito per esclusive finalita' di prevenzione, accertamento e repressione dei reati, con l'osservanza delle norme che regolano la materia. 2. Gli accessi alla banca dati sinistri sono registrati e memorizzati nel sistema informatico dell'ISVAP, con l'indicazione del soggetto autorizzato, della data e dell'ora dell'accesso, nonche' dei dati consultati. 3. Le modalita' tecniche di accesso alla banca dati sinistri da parte degli organi giudiziari e di polizia giudiziaria sono stabilite con specifiche convenzioni tra l'ISVAP e, rispettivamente, i Ministeri della giustizia e dell'interno, sentito il Garante per la protezione dei dati personali. 4. Fermo restando quanto stabilito nelle convenzioni di cui al comma 3, l'accesso alla banca dati sinistri e' consentito esclusivamente per singole chiavi di ricerca, con conseguente consultazione dei dati solo sinistro per sinistro, originata dalla prima interrogazione della medesima banca dati. In ogni caso e' resa tecnicamente impossibile l'acquisizione per via telematica di elenchi relativi a sinistri o persone.   Art. 12. Accesso da parte delle imprese 1. L'accesso alla banca dati sinistri da parte delle imprese avviene per via telematica sulla base di modalita' tecniche stabilite con circolare dell'ISVAP. 2. L'accesso e' esercitato, mediante i soggetti abilitati, con esclusivo riferimento ai dati strettamente necessari al perseguimento delle finalita' indicate all'art. 2. 3. L'accesso alla banca dati sinistri e il trattamento delle informazioni acquisite da parte dei soggetti abilitati e' consentito nei confronti di dati pertinenti e non eccedenti rispetto a specifiche esigenze derivanti da richieste o procedimenti di liquidazione di sinistri all'esame delle imprese, quando non siano sufficienti gli elementi gia' in loro possesso. 4. In relazione anche alla natura delle informazioni consultate, tali esigenze e circostanze devono comunque risultare dagli atti in possesso delle imprese, le quali adottano idonee misure di documentazione in relazione alla pertinenza dell'accesso effettuato rispetto alle finalita' proprie della banca dati sinistri. 5. Fermo restando quanto stabilito nel presente provvedimento in ordine ai livelli di accesso dei soggetti abilitati, la consultazione della banca dati sinistri e' consentita esclusivamente per singole chiavi di ricerca, con la conseguente visione dei dati solo sinistro per sinistro, originata dalla prima interrogazione della medesima banca dati. In ogni caso, e' resa tecnicamente impossibile l'acquisizione per via telematica di elenchi relativi a sinistri o persone.   Art. 13. Livelli di accesso dei soggetti abilitati 1. Sono previsti due livelli di accesso da parte dei soggetti abilitati: a) accesso di primo livello ai dati indicati nell'allegato 1, relativi ai sinistri degli ultimi tre anni e con esclusione dei dati identificativi e sensibili delle persone coinvolte nei sinistri, riservato a soggetti abilitati preposti a strutture periferiche di liquidazione dei sinistri, i cui requisiti sono definiti con circolare dell'ISVAP di cui all'art. 12, comma l; b) accesso di secondo livello ai dati indicati nell'allegato 2, con esclusione dei dati sensibili, riservato a soggetti abilitati preposti ad uffici di direzione del settore sinistri o ad unita' istituite, anche in ambito associativo, per il contrasto alle frodi assicurative ed operanti su delega delle imprese. La delega puo' essere rilasciata, per gruppi di casi, con le cautele individuate nella predetta circolare. E' consentita l'acquisizione di ulteriori dati, anche sensibili, solo a seguito di richiesta scritta motivata all'ISVAP. 2. Le imprese comunicano all'ISVAP gli estremi identificativi dei soggetti abilitati preposti all'accesso alla banca dati sinistri, con l'indicazione dei relativi requisiti. 3. I soggetti abilitati preposti dall'impresa sono autorizzati all'accesso secondo le modalita' tecniche stabilite con la circolare di cui all'art. 12, comma 1. 4. Le imprese sono tenute a segnalare immediatamente all'ISVAP la perdita dei requisiti che legittimano l'accesso da parte di soggetti abilitati.   Art. 14. Controllo degli accessi 1. Gli accessi alla banca dati sinistri sono registrati e memorizzati nel sistema informatico dell'ISVAP, con l'indicazione del soggetto abilitato, della data e dell'ora dell'accesso, nonche' dei dati consultati. 2. L'ISVAP esegue controlli sugli accessi effettuati, anche attraverso verifiche periodiche o a campione, allo scopo di verificarne la regolarita' e la correttezza, nonche' il rispetto di quanto stabilito negli articoli 12 e 13. 3. In caso di accesso irregolare o difforme rispetto alle disposizioni del presente provvedimento o ad altre disposizioni applicabili, l'ISVAP contesta l'addebito e sospende o revoca, di regola, l'abilitazione del soggetto abilitato all'accesso.   Art. 15. Riservatezza dei dati e responsabilita' 1. Le persone che hanno accesso alle informazioni contenute nella banca dati sinistri sono tenute al rispetto dei doveri di segretezza e di riservatezza stabiliti dalla legge e dalla normativa in materia di protezione dei dati personali. 2. Salvi comunque gli obblighi e la responsabilita' delle imprese, i soggetti abilitati, i responsabili e il personale delle strutture e degli uffici dai quali e' effettuato l'accesso, sono obbligati a mantenere il segreto sugli elementi informativi acquisiti e sono personalmente responsabili per la violazione degli obblighi di riservatezza derivanti dal trattamento delle informazioni acquisite mediante accesso alla banca dati sinistri e dalla loro utilizzazione o divulgazione a terzi per finalita' non consentite dalla legge o comunque estranee alla finalita' per le quali la banca dati e' stata istituita. 3. I direttori generali e gli analoghi organi di vertice delle imprese sono tenuti a vigilare sulla puntuale osservanza delle disposizioni di cui ai commi 1 e 2 o delle altre disposizioni applicabili, anche attraverso verifiche di idonei organismi di controllo delle stesse imprese.   Art. 16. Accesso da parte degli interessati 1. Ai sensi dell'art. 13 della legge 31 dicembre 1996, n. 675 gli interessati possono esercitare presso l'ISVAP o presso le imprese i diritti di accesso ai dati personali contenuti nella banca dati sinistri. 2. In ogni caso, le operazioni di rettifica, aggiornamento, integrazione e cancellazione dei dati personali da effettuare in conseguenza dell'esercizio dei diritti indicati dall'art. 13 della citata legge n. 675/1996 sono disposte dall'ISVAP in conformita' agli articoli 6, commi 3 e 4, e 8, comma 2, secondo periodo.   Art. 17. Accesso di terzi 1. Ai sensi dell'art. 24, comma 4, della legge 7 agosto 1990, n. 241, e successive modificazioni ed integrazioni, le informazioni conservate nella banca dati sinistri sono sottratte al diritto di accesso da parte di soggetti diversi da quelli indicati dalla legge.   Art. 18. Efficacia 1. Il presente provvedimento, relativamente alle procedure di accesso alla banca dati sinistri da parte delle imprese di assicurazione, entra in vigore il 15 aprile 2003. 2. Le imprese effettuano entro e non oltre il 31 ottobre 2003 l'attenta verifica e aggiornamento dei dati gia' trasmessi anteriormente al presente provvedimento, che sono registrati dall'ISVAP nella banca dati sinistri solo a seguito dell'operazione di verifica e di conferma o aggiornamento dell'impresa. 3. Le richieste di autorizzazione all'accesso alla banca dati sinistri potranno essere inoltrate dopo l'emanazione della circolare di istruzioni dell'ISVAP.   Art. 19. Pubblicazione 1. Il presente provvedimento verra' pubblicato nella Gazzetta Ufficiale della Repubblica italiana. Roma, 10 marzo 2003 Il presidente: Giannini   Allegato 1 Informazioni disponibili per l'accesso di primo livello (effettuabile da preposti alle strutture periferiche delle imprese di assicurazione) 1) Sul sinistro, in generale: a) data di accadimento; b) luogo di accadimento; c) provincia di accadimento; d) intervento dell'autorita'; e) presenza di danni a persona; f) stato del sinistro; g) numero di veicoli coinvolti; h) tipologia dei soggetti coinvolti; i) modalita' di trattazione; j) contenzioso; k) grado giudizio finale; l) presenza di testimoni; m) numero di persone coinvolte ed eventuali decessi. 2) Veicoli: a) targa veicoli coinvolti; b) categoria veicoli coinvolti; c) ruolo nel sinistro; d) parte danneggiatasi nel sinistro.   Allegato 2 Informazioni disponibili per l'accesso di secondo livello (riservato a preposti alle strutture di direzione del settore sinistri delle imprese di assicurazione e alle unita' anti-frode) 1) Dati generali: a) data di accadimento; b) luogo di accadimento; c) provincia di accadimento; d) intervento dell'autorita'; e) presenza di danni a persona; f) stato del sinistro; g) numero di veicoli coinvolti; h) tipologia dell'autorita' eventualmente intervenuta; i) modalita' di trattazione; j) importo complessivo del risarcimento eventualmente effettuato; k) informazioni sul grado e la tipologia dell'eventuale contenzioso; l) presenza di testimoni; m) intervento di professionisti incaricati (periti, legali, medici). 2) Veicoli: a) numero di targa; b) marca, modello e categoria dei veicoli coinvolti; c) numero di telaio; d) impresa con cui risulta assicurato; e) ruolo nel sinistro; f) parte danneggiatasi nel sinistro; g) numero di altri sinistri in cui la vettura risulta coinvolta; h) autofficina di riparazione. 3) Conducente, contraente, proprietario dei veicoli coinvolti: a) nominativo; b) residenza; c) numero di altri sinistri in cui il soggetto risulta coinvolto. 4) Persone danneggiate: a) nominativo; b) data di nascita; c) luogo di nascita; d) codice fiscale/partita iva; e) nome e comune del pronto soccorso in cui sia avvenuto l'eventuale ricovero; f) eventuale decesso del soggetto; g) numero di altri sinistri in cui il soggetto risulta coinvolto. 5) Professionisti intervenuti nel sinistro: a) nominativo; b) luogo di nascita; c) data di nascita. 6) Testimoni del sinistro: a) nominativo; b) luogo di nascita; c) data di nascita.