Source: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/1103045
Timestamp: 2019-10-24 02:07:10+00:00
Document Index: 152561907

Matched Legal Cases: ['art. 3', 'art. 4', 'art. 11', 'art. 13', 'art. 24', 'art. 23', 'art. 130', 'art. 10', 'art. 17', 'art. 10', 'art. 7', 'art. 17', 'art. 154']

'Fidelity card' e garanzie per i consumatori. Le regole del Garante per... - Garante Privacy
'Fidelity card' e garanzie per i consumatori Le regole del garante per i programmi di fidelizzazione - 3 marzo 2005
[doc. web n. 1103045]
[ doc. web n. 1109624]
1. La "fidelizzazione" nell´ambito della grande distribuzione
Il Garante ha ricevuto reclami e segnalazioni su trattamenti di dati effettuati nell´ambito della crescente utilizzazione di carte o tessere di "fidelizzazione" volte a creare un rapporto duraturo con la clientela per acquisti e servizi.
Gli intestatari delle "carte" usufruiscono di alcuni vantaggi per effetto della titolarità della carta, oppure del genere o volume di spesa o delle prestazioni richieste (ad es., sconti per l´acquisto di prodotti; premi o bonus correlati; priorità; servizi accessori; facilitazioni di pagamento).
Il fenomeno ha assunto ampia portata interessando, oltre alla commercializzazione di beni di consumo, la prestazione di servizi nei trasporti, nel credito, nella telefonia, nell´editoria, nel noleggio, ecc. I principi normativi richiamati in questa sede per la grande distribuzione hanno carattere generale e sono già applicabili in diversi ambiti.
Tali informazioni vengono di frequente trattate unitariamente, per finalità diverse che richiedono quindi modalità differenziate; non di rado, è fornita solo un´informativa generica che descrive i trattamenti in modo non adeguatamente distinto.
Consumatori, relativi nuclei familiari ed altre persone da essi indicati, ricevendo i vantaggi legati alla fidelizzazione, sono monitorati in dettaglio nei loro comportamenti, vengono profilati anche all´interno di specifiche banche dati centrali o locali e fatti oggetto di raffronto con altri clienti, senza esserne peraltro consapevoli non avendo ricevuto un´adeguata informativa.
Si definiscono anche profili individuali o di gruppo (segmenti di clientela con caratteristiche omogenee, c.d. cluster), ovvero propensioni al consumo, senza che gli interessati vi abbiano potuto acconsentire sulla base di informazioni chiare e specifiche. L´acquisto di beni e di servizi può persino determinare, in talune circostanze particolari, la raccolta di dati di natura sensibile, il cui trattamento non è di regola consentito per le finalità in esame.
in applicazione del principio di necessità (art. 3 del Codice), i sistemi informativi e i programmi informatici devono essere configurati, già in origine, in modo da ridurre al minimo l´utilizzo di informazioni relative a clienti identificabili. Il trattamento di dati personali relativi a clienti non è lecito se le finalità del trattamento, in particolare di profilazione, possono essere perseguite con dati anonimi o solo indirettamente identificativi;
Come premesso, l´utilizzazione di dati sensibili (art. 4, comma 1, lett. d), del Codice) non è di regola ammessa per alcuna delle finalità indicate, fatta salva l´ipotesi eccezionale nella quale il trattamento di dati sia realmente indispensabile in rapporto allo specifico bene o servizio richiesto e sia stato autorizzato dal Garante, oltre che acconsentito per iscritto dall´interessato. Ciò, vale anche per eventuali ricerche di mercato, sondaggi ed altre ricerche campionarie (cfr. aut. gen. del Garante n. 5/2004, in G.U. 14 agosto 2004, n. 190).
Possono essere trattati esclusivamente i dati necessari per attribuire i vantaggi connessi all´utilizzo della carta.
dei dati direttamente correlati all´identificazione dell´intestatario della carta, quali le informazioni anagrafiche;
dei dati eventualmente relativi al volume di spesa globale progressivamente realizzato (senza, cioè, riferimenti di dettaglio ai singoli prodotti), nella misura in cui sia realmente necessario trattarli -e in particolare conservarli- per attribuire i vantaggi medesimi, e per il tempo a ciò strettamente necessario. L´eventuale conservazione di dati di dettaglio relativi alle particolari tipologie di beni e servizi acquistati, o ai vantaggi conseguiti (punti, premi, bonus, ecc.), non è di regola necessaria specie se si persegue la sola finalità di "fidelizzazione"; nei casi particolari in cui essa è lecita, deve essere rispettato il principio di proporzionalità.
L´attività di profilazione riguardante singoli individui o gruppi può essere svolta, in diversi casi, disponendo solo di dati anonimi o non identificativi (ad esempio, un codice numerico), senza una relazione tra i dati che permettono di individuare gli interessati e le indicazioni analitiche relative alla loro sfera personale (gusti, preferenze, abitudini, bisogni e scelte di consumo). Se la finalità può essere perseguita con tali modalità (specie per quanto riguarda la profilazione della clientela per categorie omogenee), non è lecito utilizzare -e tanto meno conservare- dati personali o identificativi.
Negli altri casi, le informazioni che si intende acquisire (sia all´atto dell´adesione del cliente all´iniziativa, sia per effetto dell´eventuale registrazione di singoli beni e servizi accessori), e le modalità del loro trattamento, devono essere pertinenti e non eccedenti rispetto alla tipologia dei beni commercializzati o dei servizi resi.
Il principio di proporzionalità va osservato anche per quanto riguarda l´eventuale intenzione di registrare le informazioni in banche di dati, tanto più se centrali. Inoltre, queste ultime non devono essere interconnesse -o fonte di intrecci e raffronti di dati- con quelle utilizzate per la fidelizzazione in senso stretto.
Possono essere raccolti ed utilizzati i dati pertinenti e non eccedenti per l´invio di materiale pubblicitario -anche attraverso riviste di settore- o di comunicazioni commerciali o per la vendita diretta. Si tratta, di regola, dei soli dati direttamente correlati all´identificazione dell´intestatario della carta o di suoi familiari, ovvero di persone da esso indicate. L´eventuale utilizzazione di dati personali derivanti dalla profilazione deve essere oggetto di un consenso differenziato dei diretti interessati.
Prima del conferimento dei dati e del rilascio della carta deve essere fornita al cliente un´informativa chiara e completa, al fine di consentire un´adesione pienamente consapevole alle iniziative proposte.
Nel rispetto del principio di correttezza (art. 11, comma 1, lett. a), del Codice), non sono consentiti comportamenti suscettibili di incidere sulle scelte libere e consapevoli del cliente nell´adesione ai "programmi di fidelizzazione".
Nello svolgimento delle operazioni preordinate al rilascio della "carta", non è corretto indurre il cliente ad aderire al programma senza aver avuto le spiegazioni e il tempo necessari per essere previamente informati e maturare un consenso consapevole riguardo ai dati da fornire, specie in ordine alla profilazione o al marketing (come potrebbe ad esempio accadere sollecitando una rapida sottoscrizione mentre il cliente è in fila alla cassa senza un esame preventivo di un´informativa).
L´informativa può utilizzare formule sintetiche e colloquiali, purché chiare e inequivoche; deve contenere comunque tutti gli elementi richiesti dal Codice (art. 13, comma 1).
Non sono consentiti generici rinvii a regolamenti di servizio non acclusi per le parti di riferimento. L´informativa inserita all´interno di moduli deve essere adeguatamente evidenziata e collocata in modo autonomo e unitario in un apposito riquadro, ed essere così agevolmente individuabile rispetto ad altre clausole del regolamento di servizio eventualmente riportato in calce o a margine.
In particolare, devono essere poste in distinta e specifica evidenza le caratteristiche dell´eventuale attività di profilazione e/o di marketing, come pure l´intenzione di cedere a terzi specificamente individuati i dati per finalità da indicare puntualmente.
Poiché il trattamento di dati preordinato alla fidelizzazione in senso stretto è "necessario per eseguire obblighi derivanti da un contratto del quale è parte l´interessato" non è corretto, in questo caso, sollecitare il consenso al trattamento dei dati (art. 24, comma 1, lett. b), del Codice).
Ogni altra finalità di trattamento (profilazione e ricerche di mercato da un lato; marketing dall´altro) che comporti l´identificabilità degli interessati necessita, invece, del loro consenso specifico, informato e distinto per ciascuna di esse (art. 23 del Codice). Il consenso deve essere quantomeno documentato per iscritto a cura del titolare del trattamento, ovvero reso necessariamente per iscritto dall´interessato nel caso di dati sensibili.
L´eventuale accettazione per iscritto delle clausole del regolamento di servizio deve essere distinta dalle formule utilizzate per ciascuna di queste due manifestazioni di libero consenso. L´adesione all´iniziativa di fidelizzazione non può essere condizionata alla manifestazione di tale consenso.
Per alcune forme di comunicazione mediante posta elettronica, fax, sistemi automatizzati di chiamata e messaggi del tipo Mms o Sms o di altro tipo, la necessità del consenso deriva anche da apposite disposizioni in tema di comunicazioni indesiderate o di vendite a distanza, le quali prevedono, altresì, regole particolari per l´offerta di servizi analoghi tramite posta elettronica (art. 130 del Codice; art. 10 d.lg. n. 185/1999). E´ opportuno che copia della documentazione attestante l´informativa fornita e il consenso eventualmente prestato sia rilasciata all´interessato, per consentirgli di verificare in ogni momento le proprie scelte e di modificarle.
In applicazione del menzionato principio di proporzionalità, va prescritta ai titolari del trattamento l´identificazione di termini massimi di conservazione dei dati da osservare presso banche dati sia centrali, sia locali.
In ogni caso, i dati relativi al dettaglio degli acquisti con riferimento a clienti individuabili possono essere conservati per finalità di profilazione o di marketing per un periodo non superiore, rispettivamente, a dodici e a ventiquattro mesi dalla loro registrazione, salva la reale trasformazione in forma anonima che non permetta, anche indirettamente o collegando altre banche di dati, di identificare gli interessati. Eventuali intenzioni di trattare i dati oltre tali termini potranno essere attuate solo previa valutazione di questa Autorità ai sensi dell´art. 17 del Codice.
Nel caso di eventuale ritiro, disabilitazione per mancato utilizzo entro un determinato arco temporale, scadenza o restituzione della carta, deve essere individuato un termine di conservazione dei dati personali per esclusive finalità amministrative (e non anche di profilazione o di marketing), non superiore ad un trimestre (fatti salvi eventuali specifici obblighi di legge sulla conservazione di documentazione contabile). Occorre specificare questi aspetti nell´informativa e predisporre idonei meccanismi di cancellazione automatica dei dati anche da parte di terzi cui gli stessi siano stati eventualmente comunicati (specie per la profilazione o di marketing).
a) all´obbligo di notificazione al Garante dei trattamenti effettuati mediante l´ausilio di strumenti elettronici volti a definire profili di consumatori o ad analizzarne abitudini e scelte in ordine ai prodotti acquistati (artt. 37, comma 1, lett. d), e 163 del Codice);
b) agli obblighi relativi all´adozione delle misure anche minime di sicurezza (artt. 31-35 e Allegato B) del Codice;
d) all´obbligo dei titolari del trattamento di adottare le misure necessarie per agevolare l´esercizio dei diritti degli interessati e il relativo riscontro tempestivo (art. 10, comma 1, del Codice), con particolare riferimento alle concrete notizie da fornire in caso di richiesta di spiegazioni sulle finalità e modalità del trattamento (art. 7, comma 2, lett. b)) o di opposizione al trattamento.
i dati eventualmente trattati a fini di profilazione o di ricerche di mercato siano conservati con adeguate modalità che portino a limitare l´ambito di circolazione dei dati allo stretto indispensabile, circoscrivendo qualitativamente e quantitativamente il numero di addetti aventi eventuale accesso alle informazioni;
sia escluso l´uso di sistemi e programmi che permettano, fuori dei casi consentiti, una ricostruzione organica di scelte, comportamenti e profili di interessati identificabili non soggetta alle previe valutazioni di questa Autorità ai sensi dell´art. 17 del Codice;
non si eludano, attraverso la preposizione di soggetti esterni quali responsabili del trattamento, le richiamate garanzie in tema di comunicazione e conservazione dei dati e di trasparenza nell´informativa riguardo alle finalità e ai soggetti che le perseguono;
si pongano a disposizione degli interessati, anche nell´informativa, specifici recapiti, anche di posta elettronica, per un agevole esercizio dei diritti.
prescrive ai titolari di trattamenti di dati personali oggetto del presente provvedimento, ai sensi dell´art. 154, comma 1, lett. c), del Codice, di adottare le misure necessarie ed opportune ivi indicate al fine di rendere i trattamenti medesimi conformi alle disposizioni vigenti.