Source: http://www.concorsiepremi.it/it/provvedimento-del-garante-24022005/
Timestamp: 2019-05-21 16:47:23+00:00
Document Index: 128309657

Matched Legal Cases: ['art. 3', 'art. 4', 'art. 11', 'art. 13', 'art. 17', 'art. 10', 'art. 7', 'art. 17']

Provvedimento del garante 24/02/2005 - IPM 430 - Concorsi a premi
Le regole del Garante della Privacy per i programmi di fidelizzazione
Fidelity card e garanzie per i consumatori. Le regole del Garante per i programmi di fidelizzazione – 24 febbraio 2005
Esaminati i reclami e le segnalazioni pervenuti in ordine al trattamento di dati personali raccolti attraverso carte o tessere di “fidelizzazione”;
1. La “fidelizzazione” nell’ambito della grande distribuzione
Il Garante ha ricevuto reclami e segnalazioni su trattamenti di dati effettuati nell’ambito della crescente utilizzazione di carte o tessere di “fidelizzazione” volte a creare un rapporto duraturo con la clientela per acquisti e servizi.
Gli intestatari delle “carte” usufruiscono di alcuni vantaggi per effetto della titolarità della carta, oppure del genere o volume di spesa o delle prestazioni richieste (ad es., sconti per l’acquisto di prodotti; premi o bonus correlati; priorità; servizi accessori; facilitazioni di pagamento).
Le prescrizioni contenute nel presente provvedimento riguardano in termini generali tutti i tipi di “carte” nel settore della c.d. grande distribuzione, siano esse rilasciate o meno gratuitamente, su supporto cartaceo o elettronico, presso punti-vendita oppure on line, nominativamente ovvero assegnando un codice identificativo, accumulando o meno punti rapportati a spese e servizi.
Il fenomeno ha assunto ampia portata interessando, oltre alla commercializzazione di beni di consumo, la prestazione di servizi nei trasporti, nel credito, nella telefonia, nell’editoria, nel noleggio, ecc. I principi normativi richiamati in questa sede per la grande distribuzione hanno carattere generale e sono già applicabili in diversi ambiti.
Tali informazioni vengono di frequente trattate unitariamente, per finalità diverse che richiedono quindi modalità differenziate; non di rado, è fornita solo un’informativa generica che descrive i trattamenti in modo non adeguatamente distinto.
Consumatori, relativi nuclei familiari ed altre persone da essi indicati, ricevendo i vantaggi legati alla fidelizzazione, sono monitorati in dettaglio nei loro comportamenti, vengono profilati anche all’interno di specifiche banche dati centrali o locali e fatti oggetto di raffronto con altri clienti, senza esserne peraltro consapevoli non avendo ricevuto un’adeguata informativa.
Si definiscono anche profili individuali o di gruppo (segmenti di clientela con caratteristiche omogenee, c.d. cluster), ovvero propensioni al consumo, senza che gli interessati vi abbiano potuto acconsentire sulla base di informazioni chiare e specifiche. L’acquisto di beni e di servizi può persino determinare, in talune circostanze particolari, la raccolta di dati di natura sensibile, il cui trattamento non è di regola consentito per le finalità in esame.
in applicazione del principio di necessità (art. 3 del Codice), i sistemi informativi e i programmi informatici devono essere configurati, già in origine, in modo da ridurre al minimo l’utilizzo di informazioni relative a clienti identificabili. Il trattamento di dati personali relativi a clienti non è lecito se le finalità del trattamento, in particolare di profilazione, possono essere perseguite con dati anonimi o solo indirettamente identificativi;
Come premesso, l’utilizzazione di dati sensibili (art. 4, comma 1, lett. d), del Codice) non è di regola ammessa per alcuna delle finalità indicate, fatta salva l’ipotesi eccezionale nella quale il trattamento di dati sia realmente indispensabile in rapporto allo specifico bene o servizio richiesto e sia stato autorizzato dal Garante, oltre che acconsentito per iscritto dall’interessato. Ciò, vale anche per eventuali ricerche di mercato, sondaggi ed altre ricerche campionarie (cfr. aut. gen. del Garante n. 5/2004, in G.U. 14 agosto 2004, n. 190).
3. Finalità di “fidelizzazione” in senso stretto
Possono essere trattati esclusivamente i dati necessari per attribuire i vantaggi connessi all’utilizzo della carta.
dei dati direttamente correlati all’identificazione dell’intestatario della carta, quali le informazioni anagrafiche;
dei dati eventualmente relativi al volume di spesa globale progressivamente realizzato (senza, cioè, riferimenti di dettaglio ai singoli prodotti), nella misura in cui sia realmente necessario trattarli -e in particolare conservarli- per attribuire i vantaggi medesimi, e per il tempo a ciò strettamente necessario. L’eventuale conservazione di dati di dettaglio relativi alle particolari tipologie di beni e servizi acquistati, o ai vantaggi conseguiti (punti, premi, bonus, ecc.), non è di regola necessaria specie se si persegue la sola finalità di “fidelizzazione”; nei casi particolari in cui essa è lecita, deve essere rispettato il principio di proporzionalità.
4. Finalità di “profilazione” della clientela
L’attività di profilazione riguardante singoli individui o gruppi può essere svolta, in diversi casi, disponendo solo di dati anonimi o non identificativi (ad esempio, un codice numerico), senza una relazione tra i dati che permettono di individuare gli interessati e le indicazioni analitiche relative alla loro sfera personale (gusti, preferenze, abitudini, bisogni e scelte di consumo). Se la finalità può essere perseguita con tali modalità (specie per quanto riguarda la profilazione della clientela per categorie omogenee), non è lecito utilizzare -e tanto meno conservare- dati personali o identificativi.
Negli altri casi, le informazioni che si intende acquisire (sia all’atto dell’adesione del cliente all’iniziativa, sia per effetto dell’eventuale registrazione di singoli beni e servizi accessori), e le modalità del loro trattamento, devono essere pertinenti e non eccedenti rispetto alla tipologia dei beni commercializzati o dei servizi resi.
Il principio di proporzionalità va osservato anche per quanto riguarda l’eventuale intenzione di registrare le informazioni in banche di dati, tanto più se centrali. Inoltre, queste ultime non devono essere interconnesse -o fonte di intrecci e raffronti di dati- con quelle utilizzate per la fidelizzazione in senso stretto.
5. Finalità di “marketing” diretto
Possono essere raccolti ed utilizzati i dati pertinenti e non eccedenti per l’invio di materiale pubblicitario -anche attraverso riviste di settore- o di comunicazioni commerciali o per la vendita diretta. Si tratta, di regola, dei soli dati direttamente correlati all’identificazione dell’intestatario della carta o di suoi familiari, ovvero di persone da esso indicate. L’eventuale utilizzazione di dati personali derivanti dalla profilazione deve essere oggetto di un consenso differenziato dei diretti interessati.
Prima del conferimento dei dati e del rilascio della carta deve essere fornita al cliente un’informativa chiara e completa, al fine di consentire un’adesione pienamente consapevole alle iniziative proposte.
Nel rispetto del principio di correttezza (art. 11, comma 1, lett. a), del Codice), non sono consentiti comportamenti suscettibili di incidere sulle scelte libere e consapevoli del cliente nell’adesione ai “programmi di fidelizzazione”.
Nello svolgimento delle operazioni preordinate al rilascio della “carta”, non è corretto indurre il cliente ad aderire al programma senza aver avuto le spiegazioni e il tempo necessari per essere previamente informati e maturare un consenso consapevole riguardo ai dati da fornire, specie in ordine alla profilazione o al marketing (come potrebbe ad esempio accadere sollecitando una rapida sottoscrizione mentre il cliente è in fila alla cassa senza un esame preventivo di un’informativa).
L’informativa può utilizzare formule sintetiche e colloquiali, purché chiare e inequivoche; deve contenere comunque tutti gli elementi richiesti dal Codice (art. 13, comma 1).
Non sono consentiti generici rinvii a regolamenti di servizio non acclusi per le parti di riferimento. L’informativa inserita all’interno di moduli deve essere adeguatamente evidenziata e collocata in modo autonomo e unitario in un apposito riquadro, ed essere così agevolmente individuabile rispetto ad altre clausole del regolamento di servizio eventualmente riportato in calce o a margine.
In particolare, devono essere poste in distinta e specifica evidenza le caratteristiche dell’eventuale attività di profilazione e/o di marketing, come pure l’intenzione di cedere a terzi specificamente individuati i dati per finalità da indicare puntualmente.
7. Adesione al “programma di fidelizzazione” e consenso al trattamento
L’eventuale accettazione per iscritto delle clausole del regolamento di servizio deve essere distinta dalle formule utilizzate per ciascuna di queste due manifestazioni di libero consenso. L’adesione all’iniziativa di fidelizzazione non può essere condizionata alla manifestazione di tale consenso.
In applicazione del menzionato principio di proporzionalità, va prescritta ai titolari del trattamento l’identificazione di termini massimi di conservazione dei dati da osservare presso banche dati sia centrali, sia locali.
In ogni caso, i dati relativi al dettaglio degli acquisti con riferimento a clienti individuabili possono essere conservati per finalità di profilazione o di marketing per un periodo non superiore, rispettivamente, a dodici e a ventiquattro mesi dalla loro registrazione, salva la reale trasformazione in forma anonima che non permetta, anche indirettamente o collegando altre banche di dati, di identificare gli interessati. Eventuali intenzioni di trattare i dati oltre tali termini potranno essere attuate solo previa valutazione di questa Autorità ai sensi dell’art. 17 del Codice.
Nel caso di eventuale ritiro, disabilitazione per mancato utilizzo entro un determinato arco temporale, scadenza o restituzione della carta, deve essere individuato un termine di conservazione dei dati personali per esclusive finalità amministrative (e non anche di profilazione o di marketing), non superiore ad un trimestre (fatti salvi eventuali specifici obblighi di legge sulla conservazione di documentazione contabile). Occorre specificare questi aspetti nell’informativa e predisporre idonei meccanismi di cancellazione automatica dei dati anche da parte di terzi cui gli stessi siano stati eventualmente comunicati (specie per la profilazione o di marketing).
a) all’obbligo di notificazione al Garante dei trattamenti effettuati mediante l’ausilio di strumenti elettronici volti a definire profili di consumatori o ad analizzarne abitudini e scelte in ordine ai prodotti acquistati (artt. 37, comma 1, lett. d), e 163 del Codice);
b) agli obblighi relativi all’adozione delle misure anche minime di sicurezza (artt. 31-35 e Allegato B) del Codice;
d) all’obbligo dei titolari del trattamento di adottare le misure necessarie per agevolare l’esercizio dei diritti degli interessati e il relativo riscontro tempestivo (art. 10, comma 1, del Codice), con particolare riferimento alle concrete notizie da fornire in caso di richiesta di spiegazioni sulle finalità e modalità del trattamento (art. 7, comma 2, lett. b)) o di opposizione al trattamento.
i dati eventualmente trattati a fini di profilazione o di ricerche di mercato siano conservati con adeguate modalità che portino a limitare l’ambito di circolazione dei dati allo stretto indispensabile, circoscrivendo qualitativamente e quantitativamente il numero di addetti aventi eventuale accesso alle informazioni;
sia escluso l’uso di sistemi e programmi che permettano, fuori dei casi consentiti, una ricostruzione organica di scelte, comportamenti e profili di interessati identificabili non soggetta alle previe valutazioni di questa Autorità ai sensi dell’art. 17 del Codice;
non si eludano, attraverso la preposizione di soggetti esterni quali responsabili del trattamento, le richiamate garanzie in tema di comunicazione e conservazione dei dati e di trasparenza nell’informativa riguardo alle finalità e ai soggetti che le perseguono;
si pongano a disposizione degli interessati, anche nell’informativa, specifici recapiti, anche di posta elettronica, per un agevole esercizio dei diritti.
Buttarell