Source: http://www.privacy.it/archivio/garantesanz20080519.html
Timestamp: 2018-10-16 14:28:50+00:00
Document Index: 105292758

Matched Legal Cases: ['art. 157', 'art. 13', 'art. 154', 'art. 161', 'art. 13', 'art. 13', 'art. 13', 'art. 13', 'art. 23', 'art.23', 'art. 24', 'art. 11', 'art. 170', 'art. 2220', 'art. 11', 'art. 11', 'art. 154', 'art. 170', 'art. 154', 'art. 13', 'art. 154', 'art. 154']

Prescrizioni e divieto del Garante: Non si possono conservare i dati dei clienti a tempo indeterminato
Provvedimento del 19maggio 2008
In data odierna, in presenza del prof.Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Giuseppe Fortunato e del dott. Mauro Paissan, componenti,e del dott. Giovanni Buttarelli, segretario generale;
Visto il Codice in materia di protezionedei dati personali (d.lg. 30 giugno 2003, n. 196);
1.1. Trattamento di dati della clientelada parte di Mondial Casa S.p.A.. In data 28 giugno 2006 l'Autorit� haeffettuato accertamenti ai sensi dell'art. 157 del Codice presso la sede legaledi Mondial Casa S.p.A. al fine di verificare l'osservanza della disciplina diprotezione dei dati rispetto alla fornitura di beni e servizi attraversovendite a distanza previste dalla legge, nonch� ad eventuali operazioni ditrattamento volte a verificare l'affidabilit� e solvibilit� economica dellaclientela.
Dagli elementi acquisiti risulta che lasociet� commercializza oggetti per la casa ("principalmente batterie dipentole alle quali vengono associate di volta in volta, a seconda delle offerteperiodicamente effettuate, anche altri beni per la casa": cfr. verbale operazioni compiute, pag. 2, inatti), venduti alla clientela in occasione di visite dimostrative effettuate dapropri incaricati.
Tali visite sono effettuate a richiestadella clientela (inoltrata via Internet o per telefono): quando l'interessatocontatta telefonicamente la societ� un software, registrato il numero chiamante, attiva una chiamataal potenziale cliente e lo assegna a un operatore. Questi, forniti ichiarimenti eventualmente chiesti, concorda un appuntamento dimostrativofinalizzato alla vendita e registra dati anagrafici e recapiti del cliente,informandolo "che i dati raccolti verranno utilizzati per [fissare] unappuntamento con il nostro incaricato nell'arco dei prossimi [...] giorni" (secondo la procedura denominata "script-telefonata diconferma dati": all. 2 alverbale di accertamento, in atti). La possibilit� di fissare un appuntamentocon gli incaricati alle vendite della societ� (raccogliendo le medesimeinformazioni personali) � offerta anche mediante il sito www.mondialcasa.it.
In occasione dell'incontro dimostrativo,svolto generalmente presso il domicilio dell'interessato, l'incaricato di zonadella societ� fornisce l'informativa prevista dall'art. 13 del Codice (conformeal modello di cui all'allegato n. 4 al verbale, in atti) e acquisisce ilconsenso al trattamento dei dati personali per le diverse finalit� perseguitedalla societ� stessa (in merito alle quali v. par. 2).
1.2. Tempi di conservazione dei datiraccolti. Dagli elementi in atti emerge che "i dati relativi aiclienti [che hanno effettuato unacquisto] vengono conservati dall'azienda a tempo indeterminato, atteso chegli stessi hanno diritto, secondo le condizioni contrattuali, a una garanzia avita con riferimento alle pentole vendute dalla societ�". Tali informazioni sono trattate, per�, ancheper effettuare attivit� di telemarketing.
La societ�, inoltre, "non hastabilito un tempo di conservazione"anche per i dati di chi, pur avendo concordato un incontro con i responsabilidi zona, non abbia proceduto ad alcun acquisto. Tali informazioni sonoutilizzate dalla societ� (nel cui data base risultano circa 400.000anagrafiche) per contattare questa parte della clientela al fine di comprendere"se il mancato acquisto sia dipeso dal prodotto o dall'atteggiamentodel venditore"(cfr. p. 4 delverbale, in atti).
1.3. Alla luce della documentazioneacquisita, e tenuto conto delle osservazioni formulate dalla societ�, questaAutorit� ravvisa, nei termini di seguito illustrati, taluni profili diviolazione della disciplina vigente in relazione al trattamento dei datipersonali; con il presente provvedimento, pertanto, ai sensi dell'art. 154,comma 1, lett. c) e d), del Codice, prescrive l'adozione delle misurenecessarie per rendere i trattamenti sopra indicati conformi alle disposizionicontenute nel medesimo Codice e vieta di effettuare ulteriori trattamenti inviolazione di legge.
Non formano invece oggetto del presenteprovvedimento i profili relativi al distinto ed autonomo procedimentosanzionatorio attivato e concluso a seguito della contestazione dellaviolazione amministrativa ai sensi dell'art. 161 del Codice.
2. Informativa 2.1. Le diversemodalit� di raccolta delle informazioni personali della clientela (in occasionedel contatto telefonico oppure mediante la compilazione di modelli residisponibili online, del successivo incontro dimostrativo e dell'eventuale stipuladel contratto) implicano che, indipendentemente dal mezzo di volta in voltautilizzato, debbano essere rese all'interessato le informazioni contenutenell'art. 13 del Codice; non risulta peraltro necessario fornirgli elementi chegli siano gi� noti (art. 13, comma 2 del Codice; v. pure, con specificoriferimento all'informativa resa da servizi di informazione e assistenza alpubblico, Provv. 15 novembre 2007).
Tenuto conto degli elementi in atti, lemodalit� utilizzate dalla societ� per adempiere a tale obbligo non risultanopienamente conformi alla disciplina di protezione dei dati personali.
2.2. Con riguardo all'informativa resa online –che presenta talune inesattezze quali il richiamo alla disciplinaprevigente (l. n. 675/1996) anzich� al Codice–, si rilevano alcunecarenze che la rendono inidonea a rappresentare, in modo agevole e trasparente,le varie fasi del trattamento posto in essere dalla societ�.
Sul relativo sito web figurano duemodelli di informativa. Nel primo, cui � possibile accedere dalla schermatadedicata all'inserimento dei dati necessari a fissare l'incontro dimostrativo,non sono indicati alcuni elementi caratterizzanti del trattamento effettuato,vale a dire le finalit� del trattamento e le informazioni indicate ai punti b),c), d) dell'art. 13 ("la natura obbligatoria o facoltativa delconferimento dei dati", "leconseguenze di un eventuale rifiuto di rispondere", "i soggetti o le categorie disoggetti ai quali i dati possono essere comunicati o che possono venirne aconoscenza in qualit� di responsabili o incaricati e l'ambito di diffusione deimedesimi"). Anche un secondomodello (non preordinato espressamente ad acquisire le informazioni personaliper la visita a domicilio), che � rinvenibile in una diversa sezione del sito eche presenta le carenze appena evidenziate (ad eccezione dell'identificazionedelle finalit� del trattamento e dell'identificazione nelle societ� finanziariedelle categorie di soggetti destinatari dei dati), fornisce l'informativarispetto al complessivo trattamento effettuato dalla societ�.
A tale riguardo l'Autorit� ha messo inluce gi� in passato l'esigenza che, al fine di rendere in modo chiaro e trasparentel'informativa agli interessati, gli elementi individuati all'art. 13 del Codicefigurino in un unico contesto (Provv. 13 gennaio 2000); tale principio� stato ribadito prescrivendo che "l'informativa inserita all'internodi moduli deve essere adeguatamente evidenziata e collocata in modo autonomo eunitario in un apposito riquadro, ed essere cos� agevolmente individuabilerispetto ad altre clausole del regolamento di servizio eventualmente riportatoin calce o a margine" (Provv. 24febbraio 2005, cit.).
Risulta quindi necessario che, formulandosenza ritardo le due informative in univoco contesto, la nuova informativa siaresa non carente delle predette notizie, chiara e di agevole comprensione pergli interessati.
2.3. Anche l'informativa resa inoccasione del contatto telefonico mediante call center, contenente l'indicazione di una sola delle finalit�del trattamento, risulta carente in ordine alla menzione, anche in formasintetica, dei diritti dell'interessato. La societ�, tenendo conto dei princ�pirichiamati nel menzionato provvedimento del 15 novembre 2007, dovr� integraresenza ritardo l'informativa resa inserendo, anche secondo uno stilecolloquiale, gli elementi che non siano gi� noti all'interlocutore.
2.4. La societ� dovr� fornire adeguatoriscontro a questa Autorit� dell'attuazione delle prescrizioni di cui alpresente punto 2 entro e non oltre il termine del 27 giugno 2008, che si stimacongruo per consentire la riformulazione dell'informativa e la predisposizionedella modulistica, allegando la pertinente documentazione.
3. Consenso al trattamento Comeevidenziato, i dati personali trattati dalla societ� sono richiesti nella faseprecontrattuale, oltre che per dare esecuzione all'eventuale rapportonegoziale, anche per la distinta finalit� di marketing (in particolare, ditelemarketing) per la quale � necessario il consenso specificodell'interessato, che non risulta essere acquisito dalla societ� rispettando ladisciplina in materia di protezione dei dati (art. 23 del Codice; Provv. 24 febbraio 2005).
La formulazione presente nellamodellistica a tal fine utilizzata dalla societ� non � quindi idonea asoddisfare i requisiti richiesti atteso che il consenso informato deve esseremanifestato "specificamente in riferimento ad un trattamentochiaramente individuato" (art.23, comma 1, del Codice).
n calce alla modulistica impiegata dallasociet�, che in un'unica sede fa riferimento anche all'accettazione dellecondizioni generali di contratto, l'interessato "autorizza", infatti, il trattamento dei dati personali"per i fini sopra indicati",tra i quali figura anche l'invio di "informazioni promozionali ecommerciali". Il consenso cos�raccolto mira, quindi, ad autorizzare con unica formulazione una pluralit� ditrattamenti invero ben distinti. Da un lato, si colloca infatti lo svolgimentodi attivit� di marketing; dall'altro, l'attivit� di gestione del rapportoprecontrattuale ed, eventualmente, contrattuale (per la quale, peraltro, aisensi dell'art. 24, comma 1, lett. b), del Codice non � richiesto il consensodell'interessato).
Pertanto, la societ� risulta avertrattato in violazione di legge i dati degli interessati per finalit� di marketing (artt. 11 e 23 e art. 11, comma 2 del Codice); vaquindi disposto in proposito il divieto dell'ulteriore trattamento dei datiraccolti. L'inosservanza di tale divieto � sanzionata penalmente (art. 170 delCodice).
4. Tempi di conservazione deidati In termini generali, con particolare riferimento ai tempi diconservazione e in applicazione dei princ�pi di pertinenza e non eccedenza(artt. 3 e 11, comma 1, lett. d), del Codice), va prescritta l'identificazionedei tempi massimi di conservazione dei dati trattati alla luce delle finalit�in concreto perseguite dalla societ� (prenotazione dell'incontro dimostrativo,conclusione del contratto di vendita, gestione dell'eventuale sostituzione deiprodotti in garanzia), fatta salva la sussistenza di obblighi di legge (adesempio, in relazione alla tenuta di scritture contabili: art. 2220 cod.civ.).
Tale principio deve trovare applicazionecon riguardo sia alle anagrafiche della clientela che non effettua alcunacquisto, e rispetto ai quali "la societ� non ha stabilito un tempo diconservazione", sia ai datirelativi agli acquirenti.
In relazione ai dati personali riferitiai soggetti che si siano resi acquirenti, potranno essere in particolareconservati a tempo indeterminato i dati relativi alla clientela a vantaggiodella quale la societ� accordi una garanzia con durata illimitata; diversamente,i dati dovranno essere cancellati (o trattati in forma anonima) ove la loroconservazione non risulti altrimenti giustificata (art. 11, comma 1, lett. e),del Codice).
In relazione ai dati personali riferiti asoggetti che non si siano resi acquirenti, poi, non risulta dagli attigiustificata la conservazione di dati personali per un tempo ulteriore rispettoa quello necessario alla prenotazione ed effettuazione dell'incontrodimostrativo; ci�, salvo che sia acquisito validamente il consenso informatodegli interessati per una successiva attivit� di promozione commerciale oricerca di mercato.
Valutati gli adempimenti da svolgere pereffettuare detta ricognizione e adottare le necessarie misure tecniche e tenutoconto dei diritti degli interessati, la societ� dovr� dare attuazione senzaritardo anche a tali prescrizioni provvedendo alla cancellazione o allaanonimizzazione dei dati la cui conservazione non risulti ulteriormentegiustificata, fornendo altres� adeguato riscontro a questa Autorit� entro e nonoltre il congruo termine del 15 luglio 2008, allegando la pertinentedocumentazione.
1) in relazione ai dati personaliche la societ� risulta aver trattato per finalit� di marketing in violazione dilegge (artt. 11 e 23 e art. 11, comma 2 del Codice), ai sensi dell'art. 154,comma 1, lett. d), del Codice vieta con effetto immediato a Mondial CasaS.p.A., anche agli effetti del reato di cui all'art. 170 del Codice, disvolgere, per quanto riguarda l'utilizzo dei dati raccolti per finalit� di marketing, ulteriori trattamenti in violazione delladisciplina di protezione dei dati personali (punto 3);
2) ai sensi dell'art. 154, comma 1,lett. c), del Codice prescrive a Mondial Casa S.p.A. di riformulare senzaritardo, dandone riscontro a questa Autorit� entro e non oltre il congruotermine del 27 giugno 2008, l'informativa resa alla clientela in conformit�alle indicazioni fornite nel presente provvedimento, in particolare:
a. indicando nell'informativa resaattraverso il sito web dellasociet� le informazioni indicate ai punti b), c), d) dell'art. 13 del Codice ecollocando in un unico contesto tutti i suoi elementi costitutivi (punto 2.2.);
b. integrando l'informativatelefonica in relazione ai diritti dell'interessato (punto 2.3.);
3) ai sensi dell'art. 154, comma 1,lett. c), del Codice prescrive a Mondial Casa S.p.A. di adottare senza ritardo,dandone riscontro a questa Autorit� entro e non oltre il congruo termine del 15luglio 2008, le misure necessarie a prevenire la conservazione per tempiindefiniti dei dati personali della clientela –eccetto che per gliacquirenti che godono di una garanzia a durata illimitata– individuandotempi massimi di conservazione dei dati personali, salva l'osservanza diespresse disposizioni normative (punto 4);
4) ai sensi dell'art. 154, comma 1,lett. c), del Codice prescrive a Mondial Casa S.p.A. di provvedere senzaritardo, dandone riscontro a questa Autorit� entro e non oltre il congruotermine del 15 luglio 2008, alla cancellazione o anonimizzazione dei dati lacui conservazione non risulti ulteriormente giustificata (punto 4).