Source: https://www.101professionisti.it/guida/privacy/sentenze/le-aziende-che-raccolgono-dati-dei-loro-clienti-anche-di-quelli-potenziali-non-possono-tenerli-a-1299.aspx
Timestamp: 2020-06-06 05:40:25+00:00
Document Index: 117823926

Matched Legal Cases: ['art. 157', 'art. 13', 'art. 154', 'art. 161', 'art. 13', 'art. 13', 'art. 13', 'art. 13', 'art. 23', 'art. 24', 'art. 11', 'art. 170', 'art. 2220', 'art. 11', 'art. 11', 'art. 154', 'art. 170', 'art. 154', 'art. 13', 'art. 154', 'art. 154']

Le aziende che raccolgono dati dei loro clienti, anche di quelli potenziali, non possono tenerli a tempo indeterminato (Privacy) - 101Professionisti.it
101professionisti.it > Privacy > Sentenze > Le aziende che raccolgono dati dei loro clienti, anche di quelli potenziali, non possono tenerli a tempo indeterminato
Le aziende che raccolgono dati dei loro clienti, anche di quelli potenziali, non possono tenerli a tempo indeterminato
Con provvedimento del 19 maggio 2008 il Garante per la Protezione dei dati personali ha imposto una società di individuare, entro il 15 luglio, tempi massimi di conservazione dei dati personali raccolti e utilizzati. Ne consegue che le aziende che raccolgono dati dei loro clienti, anche di quelli potenziali, non possono tenerli a tempo indeterminato.
1.1. Trattamento di dati della clientela da parte di Mondial Casa S.p.A..
In data 28 giugno 2006 l'Autorità ha effettuato accertamenti ai sensi dell'art. 157 del Codice presso la sede legale di Mondial Casa S.p.A. al fine di verificare l'osservanza della disciplina di protezione dei dati rispetto alla fornitura di beni e servizi attraverso vendite a distanza previste dalla legge, nonché ad eventuali operazioni di trattamento volte a verificare l'affidabilità e solvibilità economica della clientela.
Dagli elementi acquisiti risulta che la società commercializza oggetti per la casa ("principalmente batterie di pentole alle quali vengono associate di volta in volta, a seconda delle offerte periodicamente effettuate, anche altri beni per la casa": cfr. verbale operazioni compiute, pag. 2, in atti), venduti alla clientela in occasione di visite dimostrative effettuate da propri incaricati.
Tali visite sono effettuate a richiesta della clientela (inoltrata via Internet o per telefono): quando l'interessato contatta telefonicamente la società un software, registrato il numero chiamante, attiva una chiamata al potenziale cliente e lo assegna a un operatore. Questi, forniti i chiarimenti eventualmente chiesti, concorda un appuntamento dimostrativo finalizzato alla vendita e registra dati anagrafici e recapiti del cliente, informandolo "che i dati raccolti verranno utilizzati per [fissare] un appuntamento con il nostro incaricato nell'arco dei prossimi [...] giorni" (secondo la procedura denominata "script-telefonata di conferma dati": all. 2 al verbale di accertamento, in atti). La possibilità di fissare un appuntamento con gli incaricati alle vendite della società (raccogliendo le medesime informazioni personali) è offerta anche mediante il sito www.mondialcasa.it.
In occasione dell'incontro dimostrativo, svolto generalmente presso il domicilio dell'interessato, l'incaricato di zona della società fornisce l'informativa prevista dall'art. 13 del Codice (conforme al modello di cui all'allegato n. 4 al verbale, in atti) e acquisisce il consenso al trattamento dei dati personali per le diverse finalità perseguite dalla società stessa (in merito alle quali v. par. 2).
1.2. Tempi di conservazione dei dati raccolti.
Dagli elementi in atti emerge che "i dati relativi ai clienti [che hanno effettuato un acquisto] vengono conservati dall'azienda a tempo indeterminato, atteso che gli stessi hanno diritto, secondo le condizioni contrattuali, a una garanzia a vita con riferimento alle pentole vendute dalla società". Tali informazioni sono trattate, però, anche per effettuare attività di telemarketing.
La società, inoltre, "non ha stabilito un tempo di conservazione" anche per i dati di chi, pur avendo concordato un incontro con i responsabili di zona, non abbia proceduto ad alcun acquisto. Tali informazioni sono utilizzate dalla società (nel cui data base risultano circa 400.000 anagrafiche) per contattare questa parte della clientela al fine di comprendere "se il mancato acquisto sia dipeso dal prodotto o dall'atteggiamento del venditore"(cfr. p. 4 del verbale, in atti).
1.3. Alla luce della documentazione acquisita, e tenuto conto delle osservazioni formulate dalla società, questa Autorità ravvisa, nei termini di seguito illustrati, taluni profili di violazione della disciplina vigente in relazione al trattamento dei dati personali; con il presente provvedimento, pertanto, ai sensi dell'art. 154, comma 1, lett. c) e d), del Codice, prescrive l'adozione delle misure necessarie per rendere i trattamenti sopra indicati conformi alle disposizioni contenute nel medesimo Codice e vieta di effettuare ulteriori trattamenti in violazione di legge.
Non formano invece oggetto del presente provvedimento i profili relativi al distinto ed autonomo procedimento sanzionatorio attivato e concluso a seguito della contestazione della violazione amministrativa ai sensi dell'art. 161 del Codice.
2.1. Le diverse modalità di raccolta delle informazioni personali della clientela (in occasione del contatto telefonico oppure mediante la compilazione di modelli resi disponibili online, del successivo incontro dimostrativo e dell'eventuale stipula del contratto) implicano che, indipendentemente dal mezzo di volta in volta utilizzato, debbano essere rese all'interessato le informazioni contenute nell'art. 13 del Codice; non risulta peraltro necessario fornirgli elementi che gli siano già noti (art. 13, comma 2 del Codice; v. pure, con specifico riferimento all'informativa resa da servizi di informazione e assistenza al pubblico, Provv. 15 novembre 2007, in www.garanteprivacy.it, doc. web n. 1462788).
Tenuto conto degli elementi in atti, le modalità utilizzate dalla società per adempiere a tale obbligo non risultano pienamente conformi alla disciplina di protezione dei dati personali.
2.2. Con riguardo all'informativa resa on line –che presenta talune inesattezze quali il richiamo alla disciplina previgente (l. n. 675/1996) anziché al Codice–, si rilevano alcune carenze che la rendono inidonea a rappresentare, in modo agevole e trasparente, le varie fasi del trattamento posto in essere dalla società.
Sul relativo sito web figurano due modelli di informativa. Nel primo, cui è possibile accedere dalla schermata dedicata all'inserimento dei dati necessari a fissare l'incontro dimostrativo, non sono indicati alcuni elementi caratterizzanti del trattamento effettuato, vale a dire le finalità del trattamento e le informazioni indicate ai punti b), c), d) dell'art. 13 ("la natura obbligatoria o facoltativa del conferimento dei dati", "le conseguenze di un eventuale rifiuto di rispondere", "i soggetti o le categorie di soggetti ai quali i dati possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati e l'ambito di diffusione dei medesimi"). Anche un secondo modello (non preordinato espressamente ad acquisire le informazioni personali per la visita a domicilio), che è rinvenibile in una diversa sezione del sito e che presenta le carenze appena evidenziate (ad eccezione dell'identificazione delle finalità del trattamento e dell'identificazione nelle società finanziarie delle categorie di soggetti destinatari dei dati), fornisce l'informativa rispetto al complessivo trattamento effettuato dalla società.
A tale riguardo l'Autorità ha messo in luce già in passato l'esigenza che, al fine di rendere in modo chiaro e trasparente l'informativa agli interessati, gli elementi individuati all'art. 13 del Codice figurino in un unico contesto (Provv. 13 gennaio 2000, doc. web n. 42276); tale principio è stato ribadito prescrivendo che "l'informativa inserita all'interno di moduli deve essere adeguatamente evidenziata e collocata in modo autonomo e unitario in un apposito riquadro, ed essere così agevolmente individuabile rispetto ad altre clausole del regolamento di servizio eventualmente riportato in calce o a margine" (Provv. 24 febbraio 2005, cit.).
2.3. Anche l'informativa resa in occasione del contatto telefonico mediante call center, contenente l'indicazione di una sola delle finalità del trattamento, risulta carente in ordine alla menzione, anche in forma sintetica, dei diritti dell'interessato. La società, tenendo conto dei princìpi richiamati nel menzionato provvedimento del 15 novembre 2007, dovrà integrare senza ritardo l'informativa resa inserendo, anche secondo uno stile colloquiale, gli elementi che non siano già noti all'interlocutore.
2.4. La società dovrà fornire adeguato riscontro a questa Autorità dell'attuazione delle prescrizioni di cui al presente punto 2 entro e non oltre il termine del 27 giugno 2008, che si stima congruo per consentire la riformulazione dell'informativa e la predisposizione della modulistica, allegando la pertinente documentazione.
Come evidenziato, i dati personali trattati dalla società sono richiesti nella fase precontrattuale, oltre che per dare esecuzione all'eventuale rapporto negoziale, anche per la distinta finalità di marketing (in particolare, di telemarketing) per la quale è necessario il consenso specifico dell'interessato, che non risulta essere acquisito dalla società rispettando la disciplina in materia di protezione dei dati (art. 23 del Codice; Provv. 24 febbraio 2005, doc. web n. 1103045).
In calce alla modulistica impiegata dalla società, che in un'unica sede fa riferimento anche all'accettazione delle condizioni generali di contratto, l'interessato "autorizza", infatti, il trattamento dei dati personali "per i fini sopra indicati", tra i quali figura anche l'invio di "informazioni promozionali e commerciali". Il consenso così raccolto mira, quindi, ad autorizzare con unica formulazione una pluralità di trattamenti invero ben distinti. Da un lato, si colloca infatti lo svolgimento di attività di marketing; dall'altro, l'attività di gestione del rapporto precontrattuale ed, eventualmente, contrattuale (per la quale, peraltro, ai sensi dell'art. 24, comma 1, lett. b), del Codice non è richiesto il consenso dell'interessato).
Pertanto, la società risulta aver trattato in violazione di legge i dati degli interessati per finalità di marketing (artt. 11 e 23 e art. 11, comma 2 del Codice); va quindi disposto in proposito il divieto dell'ulteriore trattamento dei dati raccolti. L'inosservanza di tale divieto è sanzionata penalmente (art. 170 del Codice).
In termini generali, con particolare riferimento ai tempi di conservazione e in applicazione dei princìpi di pertinenza e non eccedenza (artt. 3 e 11, comma 1, lett. d), del Codice), va prescritta l'identificazione dei tempi massimi di conservazione dei dati trattati alla luce delle finalità in concreto perseguite dalla società (prenotazione dell'incontro dimostrativo, conclusione del contratto di vendita, gestione dell'eventuale sostituzione dei prodotti in garanzia), fatta salva la sussistenza di obblighi di legge (ad esempio, in relazione alla tenuta di scritture contabili: art. 2220 cod.civ.).
Tale principio deve trovare applicazione con riguardo sia alle anagrafiche della clientela che non effettua alcun acquisto, e rispetto ai quali "la società non ha stabilito un tempo di conservazione", sia ai dati relativi agli acquirenti.
In relazione ai dati personali riferiti ai soggetti che si siano resi acquirenti, potranno essere in particolare conservati a tempo indeterminato i dati relativi alla clientela a vantaggio della quale la società accordi una garanzia con durata illimitata; diversamente, i dati dovranno essere cancellati (o trattati in forma anonima) ove la loro conservazione non risulti altrimenti giustificata (art. 11, comma 1, lett. e), del Codice).
In relazione ai dati personali riferiti a soggetti che non si siano resi acquirenti, poi, non risulta dagli atti giustificata la conservazione di dati personali per un tempo ulteriore rispetto a quello necessario alla prenotazione ed effettuazione dell'incontro dimostrativo; ciò, salvo che sia acquisito validamente il consenso informato degli interessati per una successiva attività di promozione commerciale o ricerca di mercato.
Valutati gli adempimenti da svolgere per effettuare detta ricognizione e adottare le necessarie misure tecniche e tenuto conto dei diritti degli interessati, la società dovrà dare attuazione senza ritardo anche a tali prescrizioni provvedendo alla cancellazione o alla anonimizzazione dei dati la cui conservazione non risulti ulteriormente giustificata, fornendo altresì adeguato riscontro a questa Autorità entro e non oltre il congruo termine del 15 luglio 2008, allegando la pertinente documentazione.
1) in relazione ai dati personali che la società risulta aver trattato per finalità di marketing in violazione di legge (artt. 11 e 23 e art. 11, comma 2 del Codice), ai sensi dell'art. 154, comma 1, lett. d), del Codice vieta con effetto immediato a Mondial Casa S.p.A., anche agli effetti del reato di cui all'art. 170 del Codice, di svolgere, per quanto riguarda l'utilizzo dei dati raccolti per finalità di marketing, ulteriori trattamenti in violazione della disciplina di protezione dei dati personali (punto 3);
2) ai sensi dell'art. 154, comma 1, lett. c), del Codice prescrive a Mondial Casa S.p.A. di riformulare senza ritardo, dandone riscontro a questa Autorità entro e non oltre il congruo termine del 27 giugno 2008, l'informativa resa alla clientela in conformità alle indicazioni fornite nel presente provvedimento, in particolare:
a. indicando nell'informativa resa attraverso il sito web della società le informazioni indicate ai punti b), c), d) dell'art. 13 del Codice e collocando in un unico contesto tutti i suoi elementi costitutivi (punto 2.2.);
b. integrando l'informativa telefonica in relazione ai diritti dell'interessato (punto 2.3.);
3) ai sensi dell'art. 154, comma 1, lett. c), del Codice prescrive a Mondial Casa S.p.A. di adottare senza ritardo, dandone riscontro a questa Autorità entro e non oltre il congruo termine del 15 luglio 2008, le misure necessarie a prevenire la conservazione per tempi indefiniti dei dati personali della clientela –eccetto che per gli acquirenti che godono di una garanzia a durata illimitata– individuando tempi massimi di conservazione dei dati personali, salva l'osservanza di espresse disposizioni normative (punto 4);
4) ai sensi dell'art. 154, comma 1, lett. c), del Codice prescrive a Mondial Casa S.p.A. di provvedere senza ritardo, dandone riscontro a questa Autorità entro e non oltre il congruo termine del 15 luglio 2008, alla cancellazione o anonimizzazione dei dati la cui conservazione non risulti ulteriormente giustificata (punto 4).
ONLINE ADESSO 1106 UTENTI