Source: http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/6495144
Timestamp: 2018-05-27 15:55:25+00:00
Document Index: 49580642

Matched Legal Cases: ['art. 17', 'art. 17', 'art. 13', 'art. 7', 'art. 13', 'art. 29', 'art. 30', 'art. 17']

Verifica preliminare. Trattamento dei dati personali riguardanti la... - Garante Privacy
Verifica preliminare. Trattamento dei dati personali riguardanti la...
Verifica preliminare. Trattamento dei dati personali riguardanti la clientela per attività di profilazione e promozionali - 11 maggio 2017 [6495144]
[doc. web n. 6495144]
Verifica preliminare. Trattamento dei dati personali riguardanti la clientela per attività di profilazione e promozionali - 11 maggio 2017
n. 227 dell'11 maggio 2017
ESAMINATA la richiesta di verifica preliminare ai sensi dell'art. 17 del Codice del 19 settembre 2016 da Trussardi s.p.a., concernente il trattamento dei dati personali della clientela per finalità di profilazione e promozionali;
1.1. Trussardi s.p.a. ha presentato, sulla base di quanto stabilito dal Garante nel provvedimento del 24 febbraio 2005, un'istanza di verifica preliminare ai sensi dell'art. 17 del Codice, manifestando l'intenzione di trattare i dati personali riferiti alla clientela, raccolti su scala globale, per finalità di profilazione e promozionali (tra le quali la Società ha indicato il marketing e le ricerche di mercato), per un periodo superiore, rispettivamente, a dodici e ventiquattro mesi indicati nel citato provvedimento. In particolare, per le menzionate finalità, i dati della clientela verrebbero organizzati all'interno di un sistema di Customer relationship management (Crm) in corso di implementazione, al quale avrebbero accesso anche società del gruppo e partner commerciali (franchisee e concessionari) con sede in Italia e all'estero, tutti in qualità di responsabili del trattamento (v. infra punto 1.4).
1.2. In base a quanto dichiarato, i dati presenti nel Crm riguarderebbero: dati anagrafici (nome, cognome e data di nascita) e di contatto (indirizzo, numero di telefono, email); ammontare complessivo degli acquisti individuali e dati di dettaglio rispetto agli stessi (stagione e data dell'acquisto, tipologia, ovvero categoria merceologica, modello, tipologia materiale, taglia e colore, numero di prodotti acquistati, prezzo dei prodotti, incluso l'eventuale sconto praticato (cfr. istanza p. 2 e relativo all. A).
1.3. Mediante il trattamento dei dati che confluiscono nel Crm, del quale Trussardi è titolare, la Società intende perseguire le seguenti finalità: marketing nonché ricerche di mercato e studi rispetto al proprio settore di produzione (cfr. istanza pp. 1 e 2); personalizzazione dei servizi offerti alla propria clientela (ad es. nei diversi punti vendita, consentendo al personale addetto alle boutique del gruppo di verificare quali acquisti siano stati effettuati in precedenza dal cliente).
1.4. Come si evince dall'informativa allegata all'istanza (cfr. all. A), Trussardi, in qualità di titolare del trattamento, provvederà a designare quali responsabili del trattamento le Società del gruppo e i partner commerciali (franchisee e concessionari) che trattano i dati.
1.5. Sulla base di quanto prospettato, il tempo di conservazione dei dati presenti nel Crm sarebbe pari a dieci anni, in considerazione della tipologia (di lusso) di beni offerti e considerata la frequenza media di acquisto dei clienti (peraltro rappresentata in diminuzione con contestuale contrazione degli importi relativi allo "scontrino medio per cliente": cfr. all. B all'istanza): la prospettiva quindi sarebbe quella di fidelizzare nel lungo periodo i clienti già acquisiti attraverso azioni promozionali che permettano di aumentare importo e frequenza degli acquisti.
I tempi (inferiori) individuati nel ricordato provvedimento del Garante del 2005, a detta della Società, ridurrebbero (o vanificherebbero) i vantaggi della profilazione in quanto effettuata su un numero di acquisti non significativo (cfr. istanza pp. 3 e 4).
1.6. La Società ha allegato all'istanza presentata anche i modelli di raccolta dei dati e dell'informativa che intende fornire ed i cui elementi corrispondono a quelli previsti nell'art. 13 del Codice (cfr. all. A). Salvo quanto si dirà al punti 2.3. e 2.4., nell'informativa è contenuta l'indicazione che l'inserimento dei dati nel Crm per le descritte finalità è facoltativo e avverrà solamente previo consenso dell'interessato, richiamando anche i diritti che possono essere esercitati in base all'art. 7 del Codice.
1.7. La Società inoltre specifica che, al termine del prospettato periodo di conservazione di 10 anni, i dati relativi al dettaglio degli acquisti verrebbero resi in forma anonima, mentre i dati anagrafici dei clienti continuerebbero ad essere trattati per attività promozionali salvo l'esercizio del diritto di opposizione dell'interessato.
1.8. Infine, con riferimento all'attività di profilazione, la Società ha effettuato in data 16 dicembre 2015, modificandola il 1° settembre 2016, la notificazione previsa dagli artt. 37 e ss. del Codice.
2.1. Tanto premesso, rilevato che, nel presentare la propria istanza, Trussardi ha ampiamente tenuto conto delle prescrizioni in passato impartite dal Garante in relazione a trattamenti che presentano numerose analogie rispetto a quello qui considerato (cfr. i provvedimenti richiamati al punto successivo), si procederà di seguito ad identificare i tempi massimi di conservazione dei dati, mettendo a fuoco i soli aspetti non espressamente considerati nella richiesta, con l'individuazione delle conseguenti prescrizioni.
2.2. Con riguardo all'oggetto specifico della presente verifica preliminare, consistente nell'individuazione dei tempi massimi di conservazione dei dati riferiti alla clientela per il perseguimento delle finalità di profilazione e promozionali mediante il Crm, considerato che i dati personali concernenti gli acquisti effettuati dalla clientela hanno una frequenza diradata (al di là del trend, contingente, in diminuzione) (cfr. punto 1.5), deve ritenersi che i ricordati tempi massimi di conservazione dei dati individuati nel menzionato provvedimento del 24 febbraio 2005 possano significativamente ridurre l'utilità dell'attività di profilazione.
Pertanto, considerato che in casi analoghi è stato ritenuto proporzionato per le ricordate finalità un più ampio intervallo di conservazione dei dati nel settore dei beni di lusso (cfr. provv.ti 24 aprile 2013, n. 219, doc. web n. 2499354; 30 maggio 2013, n. 263, doc. web n. 2547834; 7 novembre 2013, n. 500, doc. web n. 2920245; 2 dicembre 2015, n. 632, doc. web n. 4642844; 18 maggio 2016, n. 227, doc. web n. 5260385; 9 marzo 2017, n. 128), anche nel caso in esame, i dati (come sopra individuati al punto 1.2), nel rispetto del principio di pertinenza e non eccedenza, potranno essere conservati per un periodo massimo pari a sette anni a decorrere dalla relativa registrazione. Ciò in quanto tale arco temporale appare proporzionato alle finalità che si intendono realizzare, considerata la tipologia di dati personali oggetto di trattamento e le finalità dello stesso. Alla scadenza del suddetto periodo i dati personali oggetto dell'attività di profilazione e promozionali svolta da Trussardi dovranno essere cancellati automaticamente ovvero anonimizzati in modo permanente ed irreversibile.
2.3. Con riguardo all'informativa prevista dall'art. 13 del Codice, che la Società intende rendere alla clientela, si ricorda che essa dovrà contenere, in maniera analitica e dettagliata, anche attraverso una veste grafica che opportunamente ne dia specifica evidenza, l'indicazione:
a. esaustiva della tipologia dei dati che la Società intende trattare per la menzionata finalità di profilazione e promozionale;
b. del periodo massimo di conservazione dei dati, pari a sette anni, così come previsto dal presente provvedimento, con l'indicazione che, alla relativa scadenza, tali dati saranno cancellati automaticamente ovvero resi anonimi in modo permanente e non reversibile.
2.4. Atteso che il complessivo trattamento effettuato dalla Società mediante il Crm, cui possono accedere su scala globale soggetti operanti in Paesi terzi (cfr. punti 1.1. e 1.4.), può determinare il trasferimento all'estero dei dati, la Società dovrà assicurare che ciò avvenga nel rispetto di quanto previsto dagli artt. 43 e 44 del Codice.
Infine, la Società è tenuta a designare responsabili del trattamento, ai sensi dell'art. 29 del Codice, i soggetti che si occupano della gestione e manutenzione tecnica del Crm, mentre tutti coloro che accedono al sistema Crm, seppur con riferimento allo specifico settore di competenza, dovranno essere designati incaricati del trattamento, ai sensi dell'art. 30 del Codice.
alla luce di quanto dichiarato e considerati gli elementi forniti, accoglie la richiesta di verifica preliminare presentata ai sensi dell'art. 17 del Codice da Trussardi s.p.a., con sede in Milano, Piazza della Scala n. 5, relativa alla conservazione dei dati personali riguardanti la propria clientela, per attività di profilazione e promozionali, prescrivendo che siano adottate, a garanzia degli interessati in conformità alle disposizioni in materia di protezione dei dati personali, le misure e gli accorgimenti necessari nei termini di cui in motivazione e, in particolare, con riguardo:
1. al periodo di conservazione dei dati (punto 2.2):
a. conservando i dati utilizzati per l'attività di profilazione e promozionale per il periodo massimo di sette anni;
2. alla modulistica predisposta per raccogliere il consenso al trattamento dei dati da parte degli interessati, specificando in maniera analitica e dettagliata la tipologia dei dati trattati per la finalità di profilazione nonché il periodo massimo di conservazione degli stessi, pari a sette anni, con l'indicazione che, alla relativa scadenza, i dati saranno cancellati automaticamente ovvero resi anonimi in modo permanente e non reversibile (punto 2.3);
3. al trasferimento all'estero dei dati, assicurando che ciò avvenga nel rispetto di quanto previsto dagli artt. 43 e 44 del Codice, nonché alla designazione dei responsabili e degli incaricati del trattamento effettuato tramite il Crm ai sensi degli artt. 29 e 30 del Codice (punto 2.4).