Source: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/7297817
Timestamp: 2018-11-13 04:19:55+00:00
Document Index: 68733840

Matched Legal Cases: ['art. 7', 'art. 168', 'art. 7', 'art. 7', 'art. 9', 'art. 146']

Provvedimento del 13 settembre 2017 [7297817] - Garante Privacy
Trattamento di dati aggregati dei clienti per finalità di profilazione. Verifica preliminare richiesta da Tiscali Italia S.p.A. - 24 ottobre 2013 [2797824]
[doc. web n. 7297817]
n. 370 del 13 settembre 2017
VISTO il reclamo del 18 dicembre 2016 presentato dal XX nei confronti di Bulgari s.p.a.;
VISTA la richiesta di informazioni formulata nei confronti di Bulgari s.p.a. il 31 gennaio 2017 e il successivo riscontro del 20 febbraio 2017;
1.1. Il reclamante ha lamentato l´indebito invio al proprio indirizzo postale di una comunicazione a contenuto commerciale contenente un espresso richiamo ad un acquisto effettuato presso un negozio Bulgari, datata 1° giugno 2016, da parte di Bulgari s.p.a. A detta del reclamante, che conferma di aver «fornito un´autorizzazione a ricevere materiale promozionale generico» (p. 6), comunicazioni di tale natura non sarebbero invece state dallo stesso previamente autorizzate e si porrebbero in violazione degli artt. 11 e 23 del Codice. Inoltre, pervenuta detta comunicazione a conoscenza della propria convivente, il contenuto della stessa ingenerava un fraintendimento tale da compromettere il rapporto di coppia. Ciò in ragione del richiamato tenore della comunicazione, non riferita «genericamente a possibili clienti in forma anonima», ma ad un acquisto effettuato dal reclamante, e delle sue modalità di recapito, essendo stata inviata per posta ordinaria priva «di qualunque indicazione di riservatezza».
1.2. Il reclamante ha altresì lamentato il tardivo e parziale riscontro da parte della Società alle proprie rimostranze e all´esercizio dei diritti di cui all´art. 7 del Codice (formulati con le note del 1° giugno e 29 luglio 2016), con particolare riguardo alla richiesta di cancellazione dei suoi dati personali dai relativi archivi, nonché da quelli di soggetti terzi ai quali gli stessi fossero stati inopinatamente comunicati, oltre che alla richiesta di copia di «documenti autorizzativi» richiamati in una conversazione telefonica intercorsa con un responsabile del negozio Bulgari. La Società solo con comunicazione del 5 settembre 2016 (allegata al reclamo) avrebbe dato atto dell´avvenuta cancellazione dei relativi dati personali dai propri archivi.
1.3. Di qui la richiesta indirizzata al Garante volta ad accertare l´illiceità del trattamento posto in essere, prescrivendo alla società l´adozione delle misure opportune e/o necessarie per rendere il trattamento conforme alla normativa vigente.
2.1. Nel dare riscontro alla richiesta di informazioni formulata dall´Ufficio, con nota del 20 febbraio 2017, la Società ha prodotto il modello dell´informativa rilasciata ai propri clienti e, con riguardo agli ulteriori profili sopra richiamati, ha evidenziato che:
a. il personale Bulgari è tenuto a fornire un´informativa ai clienti prima di raccoglierne i dati ed in seguito gli eventuali consensi;
b. i dati forniti dagli interessati e le scelte relative alle manifestazioni di volontà da parte della clientela sono registrati nel sistema CRM (piattaforma gestita unicamente da Bulgari s.p.a.) da parte del personale di vendita, attraverso la compilazione di una scheda elettronica riferita al cliente;
c. i moduli di raccolta dei dati e del consenso vengono quindi archiviati presso i negozi Bulgari o strutture esterne incaricate dell´archiviazione dei documenti;
d. a partire dal 2016 la consegna dell´informativa e la raccolta del consenso sono stati digitalizzati in modo da facilitare e renderne più sicura l´archiviazione;
e. diversamente da quanto asserito dal reclamante, l´informativa presente presso i negozi specifica che i dati forniti previo consenso dell´interessato possono essere trattati per l´invio di comunicazioni commerciali, chiarendo che il consenso prestato si estende anche alle modalità tradizionali di contatto eventualmente indicate dal singolo interessato, come la posta cartacea (cfr. all. A alla comunicazione del 20 febbraio 2017);
f. la comunicazione ricevuta dal reclamante in data 1° giugno è stata inviata all´indirizzo postale dallo stesso fornito al momento della compilazione del modulo raccolta dati e della manifestazione del consenso;
g. la comunicazione inviata, dal contenuto generico ed inoltrata in busta chiusa, rientra nella tipologia di comunicazioni commerciali che Bulgari spedisce ai propri clienti a seguito di un acquisto;
h. il reclamante aveva già ricevuto altre comunicazioni commerciali presso il proprio indirizzo privato senza mai essersi opposto al trattamento o aver revocato il proprio consenso; peraltro il sistema CRM non permette di contattare clienti la cui scheda anagrafica non contenga il flag dello specifico consenso prestato.
2.2. Con riguardo al lamentato ritardo nel riscontro alle istanze formulate dal reclamante, avvenuto con nota del 5 settembre 2016, la Società ha rappresentato che tale ritardo è stato imputabile alla circostanza che la prima comunicazione inoltrata da quest´ultimo è stata indirizzata ad una casella di posta elettronica definita "contact us" su cui pervengono richieste di varia natura, diversa da quella appositamente dedicata (privacy@bulgari.com) ed indicata nell´informativa rilasciata dalla Società oltre che sul relativo sito web.
Quanto alla seconda richiesta del reclamante, inviata il 2 agosto 2016, essendo pervenuta a ridosso del periodo feriale, è stata riscontrata (come detto il 5 settembre 2016), nell´immediatezza della cessazione dello stesso, mettendo a parte il reclamante dell´avvenuta cancellazione dei dati a sé riferiti.
2.3. La Società non è stata invece in grado di offrire prova del consenso manifestato nel 2010 dal reclamante confermando le circostanze già evidenziate nella menzionata comunicazione del 5 settembre 2016, nella quale si rappresentava che, a seguito della chiusura del negozio presso il quale era stata raccolta e custodita la pertinente documentazione, «tutti i documenti e i materiali in esso presenti sono stati inviati ad un centro raccolta esterno presso il quale sarà nostra cura effettuare le dovute ricerche».
Ricerche che non si sono rivelate fruttuose pendente il procedimento avanti al Garante. Né la Società è stata in grado di fornire nel corso del procedimento ulteriori evidenze (ivi comprese quelle relative all´asserito invio pregresso di comunicazioni di analogo tenore all´interessato in passato), avendo proceduto, a seguito alle richieste del reclamante, alla cancellazione di tutti i dati personali allo stesso riferiti nel proprio sistema gestionale della clientela.
3. Alla luce delle dichiarazioni rese dalle parti, anche per gli effetti previsti dall´art. 168 del Codice, deve ritenersi che, ancorché la Società non abbia rinvenuto la documentazione relativa al consenso prestato dal reclamante all´invio di comunicazioni commerciali, tale consenso sia stato effettivamente prestato, come dichiarato dal reclamante che ha riconosciuto di aver «fornito un´autorizzazione a ricevere materiale promozionale generico» (cfr. reclamo, p. 6). Invero, nel modello di informativa prodotto dalla Società, tra le finalità del trattamento perseguite dalla Società cui il reclamante avrebbe prestato consenso, si fa riferimento all´impiego dei dati del cliente «per fornire servizi personalizzati di vendita presso i negozi Bulgari di tutto il mondo» (cfr. modello allegato A alla comunicazione del 20 febbraio 2017). Tale finalità, espressa in termini generali, trova poi esemplificazione (sia nell´informativa che nel modello predisposto per la manifestazione del consenso) nelle modalità attraverso le quali detti servizi avrebbero potuto essere resi: da un lato, mediante servizi di personal shopping, di assistenza gratuita e di cortesia; dall´altro, nelle forme, più tradizionali, dell´invio di materiale pubblicitario e newsletter nonché nell´invio di comunicazioni promozionali anche personalizzate, utilizzando modalità di contatto sia automatizzate che tradizionali.
Orbene, deve ritenersi che la comunicazione oggetto del reclamo, avente indiscussa natura commerciale essendo idonea a valorizzare il marchio della Società (cfr. art. 7, comma 4, lett. b), del Codice), sia suscettibile di rientrare tra le menzionate comunicazioni promozionali personalizzate rispetto alle quali il consenso dell´interessato sarebbe stato acquisito (come asserito dalla Società e riconosciuto dallo stesso reclamante).
Di qui deriva che il trattamento effettuato dalla Società non può ritenersi illecito.
4. Con riguardo alle modalità seguite dalla Società per dare riscontro alle richieste dell´interessato, nel prendere atto delle misure già in essere relative alle istanze volte a far valere i diritti di cui all´art. 7 del Codice ‒ con l´attivazione, in conformità con quanto previsto dall´art. 9, comma 1, del Codice, di apposita casella di posta elettronica adeguatamente pubblicizzata ‒, deve rilevarsi la tardività del riscontro fornito, oltre l´intervallo di quindici giorni stabilito dall´art. 146, comma 2 del Codice. In considerazione tuttavia della presentazione dell´istanza in corrispondenza della pausa estiva e del riscontro comunque fornito il successivo 5 settembre 2016 (cfr. punto 2.2) non si ritiene di dover formulare al riguardo ulteriori prescrizioni nei confronti della Società, fatto salvo il richiamo alla Società di rispettare, in futuro, i termini procedimentali stabiliti dalla disciplina rilevante in materia di protezione dei dati personali.
5. Considerato però che la Società, dopo aver infruttuosamente svolto ricerche volte a reperire la documentazione comprovante il consenso del reclamante al trattamento dei dati personali per finalità promozionali, non è stata in grado di rintracciare tale documentazione, deve essere prescritto alla Società di dotarsi, entro 60 giorni dal ricevimento del presente provvedimento, di adeguate procedure interne (policy) aventi ad oggetto le modalità di conservazione dei supporti materiali contenenti i dati personali della clientela, impartendo le necessarie istruzioni relative alla corretta conservazione degli stessi ai propri responsabili ed incaricati del trattamento.
dichiara infondato il reclamo. Ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c), del Codice, prescrive a Bulgari s.p.a. di dotarsi, entro 60 giorni dal ricevimento del presente provvedimento, di adeguate procedure interne (policy) aventi ad oggetto le modalità di conservazione dei supporti materiali contenenti i dati personali della clientela, impartendo le necessarie istruzioni relative alla corretta conservazione degli stessi ai propri responsabili ed incaricati del trattamento (punto 5).