Source: http://www.privacy.it/archivio/garantesanz200711152.html
Timestamp: 2018-02-19 12:03:23+00:00
Document Index: 124016772

Matched Legal Cases: ['art. 23', 'art. 24', 'art. 11', 'art.11', 'art. 154', 'art.11', 'art. 157']

1.1. Per verificare la conformit� alladisciplina di protezione dei dati e alle prescrizioni individuate nelprovvedimento del Garante del 24 febbraio 2005, l'Autorit� ha svoltoaccertamenti presso alcuni operatori economici con riguardo al trattamento didati personali nell'ambito di programmi di fidelizzazione della clientela; inparticolare, avvalendosi del "Comando Nucleo Speciale Funzione pubblicae privacy" della Guardia difinanza, l'Autorit� ha effettuato verifiche in data 4 novembre 2005 presso"C.d.s. S.p.A." (di seguito, la societ�) sulle operazioni ditrattamento effettuate in relazione al rilascio della carta fedelt� "Io&Max". Il presente provvedimento attiene ai profilidi violazione riscontrati al riguardo.
1.2. Dagli accertamenti � emerso che lasociet� tratta dati personali della clientela consistenti, in particolare, in:
0. dati anagrafici: nome, cognome edata di nascita;
0. dati relativi al sesso, allaprofessione e al numero dei componenti del nucleo familiare (con l'indicazionedell'et� e della professione svolta).
Tali informazioni sono raccolte a seguitodella compilazione di un modulo cartaceo distribuito presso "i puntivendita dei supermercati a insegna Max Market, Ipermax o comunque recanti segnidistintivi Max".
1.3. Dalle dichiarazioni rese per contodella societ� risulta che i dati sono trattati per "finalit� difidelizzazione in senso stretto [�]e per eventuali iniziative promozionali personalizzate" (cfr. verbale 4 novembre 2005, p. 2). Dall'informativaemerge, altres�, che la societ� registra dette informazioni "susupporti magnetici protetti"senza "comunicarli o diffonderli all'esterno, ad eccezione delleaziende operativamente incaricate del trattamento, a non farne altro uso se nonquello di studiare e applicare iniziative promozionali personalizzate edeventualmente di comunicarle a mezzo posta, e-mail o sms, ove tali dati sianoforniti" (cfr. all. 1 alverbale cit.).
2. Liceit� del trattamento:informativa e consenso
2.1. La societ� tratta dati personalidella clientela in sede di rilascio della carte di fidelizzazione sia perfinalit� del conseguimento dei premi e degli sconti connessi all'utilizzo dellacarta fedelt� "Io&Max"(c.d. fidelizzazione in senso stretto), sia per attivit� di marketing (finalit� che, pur distinte, spesso sonocompresenti nei programmi di fidelizzazione: cfr. in tal senso Provv. 24 febbraio 2005, punti 3 e 5). Per taluni aspetti,di seguito indicati, i trattamenti effettuati dalla societ� non sono pienamenteconformi alla disciplina di protezione dei dati.
2.2. Informativa. Nell'informativa fornita agli interessatirisulta indicato erroneamente, quale titolare del trattamento, Carmelo Carbone.Dal regolamento della carta "Io&Max" (all. 1 al verbale cit.), come puredall'informativa resa contestualmente, emerge invece che il titolare deltrattamento, cui competono le decisioni in ordine al rilascio e alla revocadella carta di fidelizzazione, nonch� quelle relative al conseguentetrattamento dei dati personali ("la Cds si impegna a registrarli su supporti magnetici protetti e a noncomunicarli o diffonderli all'esterno"),� la societ� e non la persona fisica del sig. Carbone che ne � amministratoredelegato.
La societ� deve quindi rettificarel'indicazione del titolare del trattamento nella modulistica resa disponibilealla clientela presso i punti-vendita, aggiornando contestualmente iriferimenti normativi in relazione alla disciplina vigente (d.lg. 30 giugno2003, n. 196) anzich� alla legge n. 675/1996 (cui si riferisce la modulisticain atti).
2.3. Consenso. Il modello di adesione al programma difidelizzazione non appare pienamente conforme alla disciplina di protezione deidati personali anche sotto un ulteriore profilo. L'informativa � infattiassociata al consenso con un'unica formula e il consenso � altres� riferitoindifferentemente sia al trattamento dei dati personali per le finalit� sopraindicate, sia all'adesione al programma di fidelizzazione.
Quest'ultima scelta, effettuata dallasociet� per acquisire il consenso al trattamento dei dati per finalit� di marketing, non rispetta i requisiti previsti dall'art. 23,comma 3 del Codice secondo il quale il consenso deve essere espresso "liberamentee specificamente in riferimento ad un trattamento chiaramente individuato".
Da un lato, infatti, il consensoacquisito una tantum dallasociet� riferendosi a profili diversi, contrattuali (per l'adesione alprogramma di fidelizzazione) e non contrattuali (finalit� di marketing), non � specificamente espresso in riferimento ad untrattamento chiaramente individuato; dall'altro, il consenso per il marketing non � "libero" essendo condizionato dall'adesione alprogramma di fidelizzazione (Provv.3 novembre 2005, punto 3.1., doc. web n. 1195215). Gli interessati debbono invece essere messi ingrado di esprimere liberamente le proprie scelte in ordine al trattamento deidati (Provv. 27 maggio 1997, doc.web n. 40425), manifestando inoltre distintamente la propriavolont� per ciascuna finalit� perseguita (cfr. Provv. 24 febbraio 2005, cit., punto 7), ivi compresaquella dell'invio di comunicazioni commerciali, che � diversa da quella dellafidelizzazione in senso stretto.
Peraltro, per la finalit� di esecuzionedel programma di fidelizzazione il consenso dell'interessato non � necessario enon dovrebbe essere quindi richiesto (art. 24, comma 1, lett. b), del Codice).
Alla luce di tali considerazioni lasociet� risulta aver trattato illecitamente i dati degli interessati conriferimento alla finalit� di marketing e non potr� quindi trattare ulteriormente, rispetto a tale scopo,i dati raccolti in violazione di legge (artt. 11, commi 1, lett. a) e 2; 23, comma 3).
Qualora la societ� intenda porre inessere ulteriori attivit� di marketing con i dati raccolti in occasione dell'adesione della clientela apropri programmi di fidelizzazione, dovr� servirsi di una modulistica diversarispetto a quella attualmente in uso, in modo da consentire alla clientela dideterminarsi liberamente in ordine al trattamento dei dati per detta finalit�,rendendo possibile l'acquisizione di un consenso specifico per il perseguimentodella finalit� di marketing (adesempio, predisponendo un distinto check box per chi, oltre ad aderire al programma difidelizzazione, intenda autorizzare il titolare del trattamento allosvolgimento di attivit� di marketing).
2.4. Principio di pertinenza enon eccedenza. Con riferimento allatipologia dei dati personali registrati dalla societ� relativi alla professionesvolta dal titolare della carta di fidelizzazione e dai suoi congiunti deverilevarsi la violazione del principio di pertinenza e non eccedenza (art. 11,comma 1, lett. d), del Codice; v.pure Provv. 24 febbraio 2005,cit., punto 2).
Per la finalit� che la societ� dichiarasotto la propria responsabilit� di perseguire in via esclusiva (fidelizzazionedella clientela, e non anche profilazione), possono essere trattati solo i datinecessari per attribuire i vantaggi connessi all'utilizzo della carta, cio�"i dati direttamente correlati all'identificazione dell'intestatariodella carta, quali le informazioni anagrafiche; i dati eventualmente relativial volume di spesa globale progressivamente realizzato (senza, cio�,riferimenti di dettaglio ai singoli prodotti), nella misura in cui siarealmente necessario trattarli –ein particolare conservarli– perattribuire i vantaggi medesimi, e per il tempo a ci� strettamente necessario.L'eventuale conservazione di dati di dettaglio relativi alle particolaritipologie di beni e servizi acquistati, o ai vantaggi conseguiti (punti, premi,bonus, ecc.), non � di regola necessaria specie se si persegue la sola finalit�di fidelizzazione" (cfr. Provv. 24 febbraio 2005, cit., punto 3).
Nel caso di specie risulta quindieffettuato in violazione di legge il trattamento di alcuni dati, relativi allaprofessione, i quali dovranno pertanto essere cancellati o resi anonimi (art.11 del Codice).
1) ai sensi degli artt. 154, comma 1,lett. c), del Codice, prescrive a"C.d.s. S.p.A.", di:
a. riformulare l'informativa, indicandoil reale titolare del trattamento, da identificarsi nella societ� stessa, eaggiornando i riferimenti legislativi alla disciplina vigente (punto 2.2.);
b. individuare modalit� che assicurinouna libera manifestazione del consenso degli interessati, prevedendo unospecifico riferimento alla finalit� di marketing (punto 2.3.);
c. cancellare o rendere anonimi i datipersonali riferiti ai partecipanti al programma di fidelizzazione consistentinella professione svolta dal titolare della carta e dai componenti del nucleofamiliare (punto 2.4.);
2) ai sensi dell'art. 154, comma 1, lett.d), del Codice, ferma restandol'inutilizzabilit� dei dati gi� trattati in modo illecito e non corretto (art.11, comma 2), vieta a "C.d.s. S.p.A.", limitatamente all'utilizzo deidati per finalit� di marketing,ulteriori trattamenti in violazione della disciplina di protezione dei datipersonali (punto 2.3.);
3) ai sensi dell'art. 157 del Codiceprescrive a "C.d.s. S.p.A." di dare conferma a questa Autorit�, entroe non oltre il 15 febbraio 2008, dell'attuazione delle prescrizioni di cui alpresente dispositivo allegando la pertinente documentazione.