Source: http://www.privacy.it/archivio/garantesanz200711153.html
Timestamp: 2018-02-20 01:20:14+00:00
Document Index: 39062603

Matched Legal Cases: ['art. 23', 'art. 24', 'art. 11', 'art. 11', 'art. 154', 'art.11', 'art. 157']

1. Trattamento di dati personalidella clientela nell'ambito dei programmi di fidelizzazione della clientela
1.1. Per verificare la conformit� alladisciplina di protezione dei dati e alle prescrizioni individuate nelprovvedimento del Garante del 24 febbraio 2005, l'Autorit� ha svoltoaccertamenti presso alcuni operatori economici con riguardo al trattamento didati personali nell'ambito di programmi di fidelizzazione della clientela. Atal fine l'Autorit�, avvalendosi del "Comando Nucleo Speciale Funzionepubblica e privacy" dellaGuardia di finanza, in data 10 maggio 2006, ha effettuato verifiche presso"I Viaggi del Ventaglio S.p.A." (di seguito, la societ�) per leoperazioni di trattamento effettuate in occasione del programma difidelizzazione c.d. "Riparty".
Il presente provvedimento attiene aiprofili di violazione riscontrati al riguardo (cfr. verbale del 16 maggio 2006e documentazione allegata, in atti).
1.2. Dagli accertamenti � emerso che lasociet� tratta dati personali della clientela nell'ambito del programma "Riparty"; essi vengono suddivisi in "datirelativi alla prenotazione" e"dati personali del richiedente". Quest'ultimi consistono, in particolare, in:
0. dati relativi al sesso;
0. ulteriori informazioni relativeai componenti del nucleo familiare dell'intestatario della carta, al titolo distudio, alla professione e alle sue preferenze e abitudini di viaggio.
Tali informazioni sono raccolte mediantel'utilizzo di un modulo cartaceo (intitolato Riparty tutto l'anno connoi–Il programma fedelt� del Gruppo del Ventaglio, all. 3 al verbale cit.) reso disponibile presso leagenzie di viaggio (cfr. all. 7 al verbale cit.) e, direttamente, presso lestrutture turistiche della societ�, come pure tramite il relativo sito web (cfr. modulo di inscrizione comprensivo diinformativa, all. 3 e 6 al verbale cit.).
Sulla base delle dichiarazioni rese, idati risultano trattati per consentire alla clientela di "collezionaredei punti, a seguito di viaggi organizzati con il nostro Gruppo, e ottenuti uncerto numero di punti, fare partecipare il [�] cliente a programmi riservati e privilegiati della [�] societ�".
La societ� ha precisato che i dativengono utilizzati "sia per finalit� di marketing verso le agenzie diviaggio, sia per finalit� statistiche ad uso interno. La societ� non svolgeattivit� di profilazione, non vengono effettuate analisi di abitudini o sceltedi consumo del cliente, i dati raccolti vengono utilizzati in forma anonima esolo per attivit� statistiche"(cfr. verbale cit., p. 3). Deve per� rilevarsi che dalla documentazioneacquisita e, in particolare, dalle informative rese con il modello cartaceo econ quello presente on-line inoccasione della richiesta dell'adesione al programma di fidelizzazione (cfr.all. 3 al verbale cit.), i dati personali raccolti risultano utilizzati, ancheper finalit� di marketing, sia daparte della societ�, sia"da societ� terze selezionate dallo stessogruppo".
2. Liceit� del trattamento
2.1. Consenso. La societ� raccoglie dati personali della clientelain sede di adesione al programma di fidelizzazione "Riparty", per le seguenti finalit�:
a. per il conseguimento dei premi e disconti (c.d. fidelizzazione in senso stretto);
b. per finalit� di marketing, sia nei confronti delle agenzie che operano nelproprio interesse, sia nei confronti della clientela (profilo sul quale sisofferma il presente provvedimento).
In ordine alle finalit� appena descritte,entrambe legittime, deve rilevarsi che non sempre, in ragione delle modalit�prescelte per acquisire il consenso, la societ� risulta aver rispettato ladisciplina in materia di protezione dei dati personali nella parte in cui essaprevede che, per il trattamento dei dati della clientela per la finalit� di marketing, deve essere acquisito un consenso specifico edistinto (art. 23 e 24 del Codice; v. pure Provv. 24 febbraio 2005, punto 7).
Diversamente da quanto accade inrelazione ai modelli diffusi presso le agenzie (all. 7 al verbale cit.), chelasciano libero l'interessato di prestare o meno il proprio consenso per losvolgimento della finalit� di marketing (e che sono quindi conformi alla disciplina vigente), sia nelmodello cartaceo, sia in quello on-line (all. 3 al verbale cit.), non � invece possibile dissociare l'adesioneal programma di fidelizzazione (e il conseguente trattamento di dati personaliper tale finalit�) dal consenso a trattare i dati personali per la distintafinalit� di marketing (cfr. Provv. 24 febbraio 2005, punto 6).
In pi�, limitatamente al modello on-line, il consenso prestato non pu� considerarsi"libero" tenuto conto che l'opzione indicata nel testo (con leformule "Do il consenso"e "Nego il consenso")non � lasciata all'autonoma valutazione dell'interessato. Oltre al fatto che lasociet� preimposta la scelta preselezionando la casella "Do il consenso" (cfr. Provv. 12 ottobre 2005, doc. web n. 1179604), qualora l'interessato non presti il consenso neitermini richiesti (comprensivi dell'utilizzo dei dati per finalit� di marketing) il sistema non gli consente di aderire al programmadi fidelizzazione.
Fermo restando che per quanto riguarda iltrattamento di dati preordinato all'esecuzione del programma a premi (c.d.fidelizzazione in senso stretto) non � necessario il consenso al trattamentodei dati e lo stesso non dovrebbe essere quindi acquisito (art. 24, comma 1,lett. b), del Codice; v. pure Provv. 24 febbraio 2005, punto 7), la societ� deveindividuare modalit� autonome di acquisizione del consenso per la finalit� di marketing in modo da consentire ai clienti interessati diaderire al solo programma di fidelizzazione e di esprimere liberamente leproprie scelte anche in ordine ad altre finalit�.
Alla luce di tali considerazioni i datiraccolti mediante il modello on-line e il modello cartaceo non sono pertanto utilizzabili per ilperseguimento di finalit� di marketing (art. 11, comma 2, del Codice), mentre va vietato alla societ� disvolgere ulteriori trattamenti di dati personali in violazione della disciplinadi protezione dei dati personali.
2.2. Principio di correttezza. Inoltre, come stabilito nel citato provvedimento inriferimento al principio di correttezza (art. 11, comma 1, lett. a), del Codice), non sono consentiti comportamentisuscettibili di incidere sulle scelte libere e consapevoli del clientenell'adesione ai "programmi di fidelizzazione".
Con specifico riguardo alla procedura diadesione on-line, la stessa �infatti strutturata in modo tale da ingenerare confusione nella clientela,considerato che l'acquisizione del consenso dell'interessato precede la fasedella compilazione del modulo di acquisizione dei dati degli interessati (c.d.fase di registrazione).
Una soluzione conforme al principio dicorrettezza richiede invece che, in un unico contesto (anche ricorrendo ad accorgimentiquali la realizzazione di "tendine" o di link ipertestuali), l'interessato abbia contezza deltrattamento e dei dati destinati ad essere raccolti.
La societ� dovr� pertanto modificare,anche alla luce dei princ�pi appena illustrati, la modalit� di raccolta deidati personali sul proprio sito web.
2.3. Principio di pertinenza enon eccedenza. Per il perseguimentodi finalit� di fidelizzazione in senso stretto e per quella di marketing (in presenza del consenso prestato validamentedall'interessato) possono essere utilizzati, di regola, soltanto i datidirettamente correlati all'identificazione dell'intestatario della carta o disuoi familiari, quali le informazioni anagrafiche e i recapiti (cfr. Provv. 24 febbraio 2005, cit., punti 2, 3 e 5).
Dalla documentazione acquisita emergeinvece che la societ� raccoglie, sia mediante il modello in formatocartaceo, sia on-line, datiulteriori rispetto a quelli sopra indicati (tra i quali quelli concernenti iltitolo di studio, la professione e le preferenze e abitudini di viaggio),idonei a consentire la profilazione.
Rispetto a tali tipologie di dati,considerate le finalit� che la societ� dichiara di perseguire con il programma,il trattamento effettuato non pu� considerarsi conforme al principio di pertinenzae non eccedenza (artt. 11, comma 1, lett. d) e 3 del Codice; cfr. Provv. 3 novembre 2005, punto 4, doc. web n. 1195215). Infatti, nonostante la societ� abbia dichiaratoche i dati vengono acquisiti "solo per attivit� statistiche ad uso interno" e per promuovere le "promozioni e offertealle agenzie di viaggio", leinformazioni raccolte sono comunque riferibili ai singoli interessatiquantomeno nella fase iniziale della raccolta e registrazione. Al riguardo, vaaltres� rilevato che nell'informativa non vi � menzione del perseguimento diquesta ulteriore finalit�.
� quindi necessario che la societ�individui, rispetto all'utilizzo di dati personali per finalit� statistiche,modalit� di trattamento delle informazioni appena descritte tali da non esserein alcuna fase riconducibili ai singoli interessati: ci�, in relazione ai datiraccolti sia on-line, siamediante modelli cartacei (ad esempio, utilizzando in quest'ultimo caso unmodello di raccolta delle informazioni distinto e non riconducibile,direttamente o indirettamente, all'interessato). Delle modalit� prescelte lasociet� dovr� dare comunicazione a questa Autorit�.
Per quanto riguarda i dati personali gi�raccolti indicati nel presente paragrafo, la societ� dovr� cancellare ovvero,qualora intenda proseguire il loro trattamento per finalit� statistiche, dovr�comunicare a questa Autorit�, entro e non oltre il 15 febbraio 2008, le misuretecniche adottate per renderli anonimi, dandone comunicazione entro lo stessotermine a questa Autorit�.
1) ai sensi degli artt. 154, comma 1,lett. c) del Codice, prescrive a"I Viaggi del Ventaglio S.p.A." di:
a) riformulare le modalit� di raccoltadel consenso in modo da consentire alla clientela di esprimere un consensolibero in ordine al trattamento dei dati personali per lo svolgimento diattivit� di marketing (punto2.1.);
b) modificare il procedimento di raccoltadei dati on-line in modo dafornire preventivamente in un unico contesto tutti gli elementi necessariall'interessato per avere contezza del trattamento e dei dati destinati adessere raccolti (punto 2.2.);
c) con riguardo ai dati raccolti perfinalit� statistiche:
i. individuare modalit� di trattamento delleinformazioni il cui conferimento � indicato come facoltativo tali da non esserein alcuna fase riconducibili ai singoli interessati (punto 2.3.);
ii. per quanto riguarda i dati personaligi� raccolti, comunicare a questa Autorit�, le misure tecniche adottate percancellarli o renderli anonimi (punto 2.3.);
2) ai sensi dell'art. 154, comma 1, lett.d), del Codice, ferma restandol'inutilizzabilit� dei dati gi� trattati in modo illecito e non corretto (art.11, comma 2), vieta a "I Viaggi del Ventaglio S.p.A." ulterioritrattamenti in violazione della disciplina di protezione dei dati personali(punto 2);
3) ai sensi dell'art. 157 del Codiceprescrive a "I Viaggi del Ventaglio S.p.A." di dare conferma a questaAutorit�, entro e non oltre il 15 febbraio 2008, dell'attuazione delleprescrizioni di cui al presente dispositivo allegando la pertinentedocumentazione.