Source: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/2547834
Timestamp: 2019-12-11 22:43:13+00:00
Document Index: 157098162

Matched Legal Cases: ['art. 17', 'art. 17', 'art. 17', 'art. 17', 'art. 29', 'art. 30', 'art. 13', 'art. 7', 'art. 23', 'art. 23', 'art. 4', 'art. 17', 'art. 7']

Trattamento dei dati personali della clientela per finalità di profilazione... - Garante Privacy
[doc. web n. 2547834]
Trattamento dei dati personali della clientela per finalità di profilazione e marketing. Verifica preliminare presentata da Salvatore Ferragamo S.p.A. - 30 maggio 2013
n. 263 del 30 maggio 2013
ESAMINATA la richiesta di verifica preliminare presentata da Salvatore Ferragamo S.p.A. (di seguito "Ferragamo") rispetto al trattamento dei dati personali della propria clientela per finalità di profilazione, presentata ai sensi dell´art. 17 del Codice;
Relatore la dottoressa Augusta Iannini;
1. Trattamento di dati personali diretto alla profilazione della clientela da parte di Ferragamo S.p.A.
Ferragamo ha presentato al Garante, in data 30 agosto 2010, una richiesta di verifica preliminare ai sensi dell´art. 17 del Codice, sulla base del provvedimento generale adottato in data 24 febbraio 2005, relativo alle carte di fidelizzazione ("´Fidelity card´ e garanzie per i consumatori. Le regole del Garante per i programmi di fidelizzazione" [in www.garanteprivacy.it, doc. web n. 1103045], di seguito "provvedimento generale"). Tale provvedimento ha stabilito che chiunque voglia conservare i dati della propria clientela per finalità di profilazione e marketing, per un periodo superiore a dodici mesi, deve presentare al Garante una richiesta di verifica preliminare, ai sensi dell´art. 17 del Codice.
L´istanza proposta da Ferragamo riguarda la possibilità di conservare i dati della propria clientela per un periodo pari a dieci anni, per attività di profilazione e marketing conseguente.
Già in precedenza, conformemente a quanto previsto dagli artt. 37, comma 1, lett. d) e 38 del Codice, in data 15 aprile 2004, Ferragamo aveva effettuato la prima notificazione al Garante (modificata successivamente per aggiornare alcuni dati il 4 marzo 2010 e il 27 aprile 2011) relativa alla profilazione e, specificamente, al "trattamento effettuato con l´ausilio di strumenti elettronici volti a definire il profilo o la personalità dell´interessato, o a analizzare abitudini o scelte di consumo, ovvero a monitorare l´utilizzo di servizi di comunicazione elettronica con l´esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi".
In tale notificazione Ferragamo ha dichiarato che i cittadini cui si riferiscono i dati sono quelli di Paesi appartenenti all´Unione Europea e di Paesi non appartenenti all´Unione Europea. Inoltre ha dichiarato che le finalità per le quali intende effettuare il trattamento sono quelle relative: all´analisi delle abitudini o scelte di consumo, all´attività commerciale, all´attività di marketing diretto e all´attività informativa; nonché per la fornitura di beni e servizi; ha altresì dichiarato che i server utilizzati per tali attività si trovano in Italia.
Nell´istanza citata e nella successiva nota integrativa, inviata al Garante il 29 novembre 2012 (a seguito di una richiesta di informazioni formulata nel maggio 2011), Ferragamo ha descritto le modalità attraverso le quali intende procedere a tale profilazione e cioè mediante la creazione di un sistema di Custom Relation Management (di seguito "CRM") contenente i dati personali dei clienti che hanno la possibilità di registrarsi presso un negozio fisico o tramite il portale di Ferragamo.
Secondo il progetto presentato da Ferragamo, in tale CRM dovrebbero confluire i dati personali dei clienti: anagrafica, professione, taglia abiti e misura scarpe e registrazione dei singoli acquisti. Tali dati, presenti nel CRM, sarebbero «accessibili» a tutte le società «consociate», nonché ai negozi distribuiti nelle zone del mondo in cui Ferragamo ha i propri punti vendita e cioè in Europa, America, Asia e Oceania.
Lo scopo del CRM consiste nella profilazione dei clienti in base agli acquisti effettuati e nella conseguente offerta di campagne di marketing mirate nei loro confronti.
Il tempo di conservazione dei dati presenti nel CRM prospettato da Ferragamo è di dieci anni.
Secondo le dichiarazioni rese, l´indicazione di tale periodo di conservazione nascerebbe dalla considerazione che Ferragamo offre beni di lusso, la cui frequenza media di acquisto da parte di un cliente è pari a due all´anno, in concomitanza dei periodi delle collezioni primavera-estate e autunno-inverno. Pertanto, qualora si considerasse un tempo inferiore di conservazione, la profilazione non sarebbe utile.
Dall´esame della documentazione in atti, l´attività che Ferragamo intende svolgere sui dati personali della propria clientela, e che viene sottoposta all´attenzione del Garante, integra un´ipotesi di trattamento di dati personali che presenta rischi specifici per gli interessati, ai sensi dell´art. 17 del Codice, relativamente al tempo di conservazione.
Nonostante il progetto presentato da Ferragamo non preveda l´emissione di una "carta fedeltà", appare necessario un intervento del Garante in quanto il trattamento dei dati personali che Ferragamo intende effettuare (la conservazione per il periodo suddetto dei dati personali suoi clienti nel CRM) presenta in ogni caso dei rischi specifici per i diritti e le libertà fondamentali degli interessati e, pertanto, può essere ammesso solo nel rispetto di misure e accorgimenti prescritti dal Garante nell´ambito della presente verifica preliminare.
Il trattamento di profilazione svolto da Ferragamo, infatti, può presentare per gli interessati rischi specifici che dipendono dalla durata della conservazione, nonché dalla qualità dei dati raccolti e dalle modalità tecniche utilizzate per profilare la clientela.
I dati che Ferragamo intende conservare nel CRM, in base alla documentazione inviata, sono: l´anagrafica del cliente, la sua professione, la taglia degli abiti e la misura delle scarpe e la registrazione dei singoli acquisti.
Nell´"anagrafica" del cliente, pur non essendo stato esplicitato nell´istanza citata, devono essere presumibilmente ricompresi (in base alle finalità ulteriori che Ferragamo intende perseguire e al modello di iscrizione presente sul sito di Ferragamo che prevede diversi campi da compilare), il nome e il cognome, la user id e la password, l´indirizzo fisico, il telefono, il fax, l´email e la nazionalità e nella "registrazione dei singoli acquisti" anche la tipologia di prodotto acquistato, la data dell´acquisto e l´importo speso.
Il tempo di conservazione dei dati degli interessati per attività di profilazione è stato prospettato da Ferragamo in dieci anni.
In precedenti casi il Garante ha individuato in dodici mesi il termine massimo di conservazione dei dati per finalità di profilazione (cfr. il provvedimento sulla tv interattiva del 3 febbraio 2005 [doc. web n. 1109503] e il citato provvedimento generale relativo ai programmi di fidelizzazione). Recentemente inoltre il Garante ha adottato un provvedimento (a seguito di una richiesta di prior checking) relativo alla conservazione di dati per finalità di profilazione e marketing, consentendone la conservazione per un periodo più ampio rispetto ai dodici mesi indicati.
Nel caso in esame, il Garante ritiene che i dati personali che Ferragamo intende conservare riguardano acquisti relativi a beni particolari di cd "fascia alta" e, pertanto, è ragionevole ritenere che dodici mesi siano un tempo di conservazione eccessivamente limitato, anche in considerazione del fatto che, come dichiarato nell´istanza presentata, la frequenza media annuale di acquisto, per ciascun cliente, è pari a due.
Alla luce di quanto sopra, il Garante ritiene che i dati personali precedentemente indicati siano conservati per un termine pari ad un massimo di sette anni, in quanto tale arco temporale appare congruo e proporzionato sia alle finalità che si intendono realizzare sia alla tipologia di dati personali oggetto di trattamento che riguardano anagrafica, professione, taglia abiti e misura scarpe e registrazione dei singoli acquisti e, presumibilmente, nome e cognome, user id e password, indirizzo fisico, telefono, fax, e-mail e nazionalità nonché "registrazione dei singoli acquisti", tipologia di prodotto acquistato, data di acquisto e importo speso. Il medesimo termine di conservazione risulta altresì adeguato in relazione ai rischi degli interessati dei cui dati si tratta, in quanto nonostante i beni acquistati riguardino un genere particolare, di "fascia alta", i singoli prezzi variano a seconda della tipologia di prodotto, partendo da importi, per una vasta categoria di articoli, non particolarmente elevati.
Alla scadenza del suddetto periodo di conservazione, i dati personali, oggetto dell´attività di profilazione svolta da Ferragamo, dovranno essere cancellati automaticamente, ovvero resi anonimi in modo permanente.
I dati sono conservati, in base a quanto dichiarato, su server presenti in Italia e il titolare del trattamento è Ferragamo. Qualora Ferragamo decida di avvalersi di soggetti terzi per la gestione tecnica del CRM, tali soggetti saranno designati responsabili del trattamento e seguiranno le istruzioni impartite da Ferragamo, ai sensi dell´art. 29 del Codice. Giova ricordare che in caso contrario, qualora tali soggetti fossero autonomi titolari del trattamento, Ferragamo dovrebbe richiedere a ciascun interessato anche un consenso specifico per la comunicazione di dati a terzi.
La circostanza che ciascun addetto alla vendita in qualunque negozio di Ferragamo nel mondo possa accedere al CRM per creare un´"anagrafica", visualizzarla o modificarla, rende il trattamento dei dati personali particolarmente rischioso, anche in considerazione del fatto che la tipologia di dati conservati riguarda una particolare tipologia di clientela.
In ragione di ciò, si ritiene che tutti coloro che accedono al sistema CRM per inserire, visualizzare o modificare i dati personali dei clienti siano designati incaricati del trattamento da Ferragamo, ai sensi dell´art. 30 del Codice.
Come rappresentato nell´istanza di verifica preliminare, Ferragamo nominerà ciascuna società «consociata», avente sede in ciascun Paese con propri punti vendita, quale responsabile del trattamento e sarà quest´ultima (o direttamente Ferragamo) a designare i propri dipendenti quali incaricati del trattamento per quanto attiene l´utilizzo del CRM.
Un sistema di autenticazione con credenziali o dispositivi individualmente assegnati agli incaricati per l´accesso al CRM, sia in modalità di "consultazione", sia in modalità di "inserimento/modifica" dell´anagrafica, consentirebbe infatti una immediata identificazione del soggetto che ha avuto accesso al sistema, unitamente alla postazione e all´ora dell´accesso, garantendo così una maggiore sicurezza dei dati personali degli interessati.
Pertanto, l´informativa da rendere rispetto al trattamento dei dati personali che Ferragamo intende effettuare deve risultare completa degli elementi previsti dall´art. 13 del Codice.
In particolare, Ferragamo dovrà modificare l´attuale modulistica con riguardo all´informativa rivolta agli interessati, specificando, nella parte relativa alle finalità del trattamento, che il trattamento di profilazione della clientela, effettuato attraverso dati personali, viene realizzato nel rispetto delle garanzie e delle misure necessarie prescritte dal Garante.
Anche con riguardo al periodo di conservazione dei "dati di profilazione," la società dovrà specificare che gli stessi saranno conservati per il periodo massimo di sette anni precedentemente indicato, così come previsto dal presente provvedimento e che, alla relativa scadenza, tali dati saranno cancellati automaticamente ovvero resi anonimi in modo permanente.
L´informativa inoltre dovrà contenere anche l´indicazione delle finalità ulteriori ed eventuali per le quali i dati potranno essere trattati solo qualora l´interessato rilasci uno specifico consenso e cioè l´attività di marketing, diretto o realizzato attraverso strumenti automatizzati.
Inoltre, l´informativa dovrà comprendere una chiara indicazione che l´inserimento nel CRM è facoltativo e avverrà solamente previo consenso dell´interessato. Dovrà altresì specificare che l´inserimento dei dati dell´interessato nel CRM comporterà automaticamente la visibilità dei medesimi da parte di tutti coloro che vi hanno accesso e cioè tutti i dipendenti di Ferragamo presso ciascun punto vendita nel mondo, designati incaricati del trattamento. Tali indicazioni dovranno avere una autonoma visibilità nel corpo del testo dell´informativa e dovranno essere separate da tutte le altre, ad esempio, inserite in un apposito paragrafo.
L´informativa predisposta da Ferragamo dovrà, infine, richiamare i diritti che l´interessato può esercitare in base all´art. 7 del Codice. Tali diritti devono essere evidenziati specificando che gli stessi riguardano anche l´attività di profilazione svolta dalla società, nel rispetto delle garanzie e delle misure necessarie prescritte dal Garante. In particolare, dovrà ricordare chiaramente la possibilità, per l´interessato, di esercitare il diritto di opposizione al trattamento dei suoi dati personali.
5. Consenso dell´interessato per l´attività di profilazione e di marketing.
Pertanto Ferragamo, oltre all´adozione delle misure e degli accorgimenti sopra descritti per svolgere l´attività di profilazione e al rilascio di un´idonea informativa dovrà necessariamente richiedere, ai sensi dell´art. 23 del Codice, un consenso specifico e distinto a ciascun interessato per il trattamento relativo alla profilazione.
Se poi, come dichiarato nelle note inviate al Garante, i dati personali di ciascun interessato, potranno essere utilizzati per attività ulteriori, quali quelle di marketing, Ferragamo dovrà richiedere, ai sensi dell´art. 23 del Codice, un consenso specifico a ciascun interessato per tale ulteriore trattamento.
Si rileva, infine, che l´attività promozionale potrà essere realizzata sia attraverso marketing "generico", sia "profilato", conseguente, cioè, all´attività di profilazione e consistente nella realizzazione di campagne mirate per una certa clientela che presenta determinate caratteristiche.
Si ricorda infine, che è solo il titolare del trattamento, e cioè Ferragamo, a poter svolgere attività di marketing. Qualora Ferragamo volesse effettuare attività promozionale tramite altri soggetti, dovrebbe richiedere agli interessati un ulteriore consenso, relativo alla comunicazione dei dati a terzi. E, a loro volta, i soggetti terzi dovrebbero acquisire un autonomo consenso per l´attività promozionale. In alternativa, Ferragamo potrebbe nominare tali soggetti responsabili o incaricati del trattamento ai sensi degli artt. 29 e 30 del Codice, impartendo, in questo caso, precise istruzioni su ogni aspetto del trattamento. Inoltre, si ricorda che qualora i soggetti terzi siano stabiliti al di fuori dall´Unione Europea, sarebbe necessario comunque anche rispettare le disposizioni relative al trasferimento dei dati all´estero (artt. 42 e ss. del Codice).
In base alle dichiarazioni rese da Ferragamo, i dati personali che confluiscono nel CRM provengono da tutti i Paesi in cui Ferragamo ha i propri punti vendita, dunque non solo all´interno dell´Unione europea.
Occorre pertanto chiarire i profili relativi alla qualificazione soggettiva di coloro che intervengono nella raccolta dei dati e alla conseguente comunicazione a Ferragamo, mediante inserimenti dei dati medesimi nel CRM.
Sul punto, il Parere 8/2010 sul diritto applicabile (adottato il 16 dicembre 2010 dal Gruppo di lavoro articolo 29 per la protezione dei dati) chiarisce il campo di applicazione dell´art. 4 della direttiva 95/46/CE relativamente principio dello stabilimento, ovvero il diritto nazionale applicabile. Il citato parere chiarisce infatti che il riferimento allo "stabilimento" significa che l´applicabilità della legge di uno Stato membro sarà determinata dall´ubicazione di un suo stabilimento, quale, ad esempio, un punto vendita.
Alla luce di quanto detto, pertanto i singoli punti vendita e Ferragamo sono contitolari del trattamento, ciascuno per gli aspetti di propria competenza (Sul punto cfr. anche il citato parere 8/2010, par. III.1. in cui viene descritto all´esempio n. 3 un caso del tutto analogo relativo ad una catena di negozi prêt-à-porter).
Laddove i dati, invece, siano raccolti per conto di Ferragamo, nell´ipotesi di volontaria iscrizione dell´interessato nel CRM, è Ferragamo stessa che, per tale ulteriore aspetto, deve considerarsi titolare del trattamento, rilasciare una idonea informativa e richiedere uno specifico consenso, come indicato in precedenza, mentre il punto vendita, sarà responsabile del trattamento.
Infatti, l´attività di profilazione sui dati presenti nel CRM, descritta nei paragrafi precedenti, viene effettuata da Ferragamo e non dai singoli negozi. Per tali profili, si applicherà quindi la legge italiana e Ferragamo dovrà rilasciare un´idonea informativa e richiedere uno specifico consenso.
Per quanto riguarda la raccolta dei dati fuori dall´Unione europea, il Garante ritiene che il principio da applicare è il medesimo, per cui la fase della raccolta sarà gestita autonomamente da ciascuna società in base alla normativa nazionale, ma l´inserimento nel CRM, di cui Ferragamo è titolare, potrà avvenire solamente previo rilascio della suddetta informativa e previo rilascio di uno specifico consenso da parte dell´interessato, secondo la normativa italiana (sul punto cfr. il citato parere 8/2010, par. II.2.b).
A titolo informativo si rammenta, infine, che qualunque comunicazione dei dati a soggetti terzi, facenti parte del gruppo societario (quindi società controllate o collegate) o completamente estranei al gruppo (società che effettuano ricerche o analisi di mercato) rappresenta una comunicazione di dati a terzi, per la quale è necessario che Ferragamo acquisisca un consenso specifico, a meno che tali soggetti non rivestano il ruolo di responsabili del trattamento, seguendo quindi tutte le istruzioni e le indicazioni che Ferragamo impartirà loro per le attività che svolgono.
alla luce di quanto dichiarato e allo stato degli elementi forniti, ai sensi dell´art. 17 del Codice, accoglie la richiesta di verifica preliminare presentata da Salvatore Ferragamo S.p.A., con sede in Firenze, Via Tornabuoni, 2, relativa alla conservazione dei dati personali riguardanti la propria clientela, per attività di profilazione e marketing conseguente, prescrivendo che:
i. i dati utilizzati per l´attività di profilazione devono essere conservati per il periodo individuato in motivazione;
ii. alla scadenza di detto periodo, Ferragamo deve provvedere alla cancellazione automatica di tali dati, ovvero alla trasformazione degli stessi in forma anonima in modo permanente.
b) l´inserimento dei dati personali nel CRM comporterà automaticamente la visibilità dei medesimi da parte di tutti coloro che vi hanno accesso e cioè tutti i dipendenti di Ferragamo presso ciascun punto vendita nel mondo;
d) il periodo di conservazione dei "dati di profilazione" non sarà superiore a quello individuato in motivazione e che, alla relativa scadenza, tali dati saranno cancellati automaticamente, ovvero resi anonimi in modo permanente;
e) i diritti che l´interessato può esercitare in base all´art. 7 del Codice riguardano anche l´attività di profilazione, con particolare riferimento al diritto di opposizione al trattamento.
4. considerata la natura e le caratteristiche tecniche degli adempimenti prescritti, venga trasmessa al Garante entro il termine di 60 giorni dalla data dell´eventuale attivazione del sistema, copia della documentazione comprovante l´adozione delle misure individuate ai precedenti punti 1, 2 e 3.