Source: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/1797032
Timestamp: 2020-01-24 23:57:57+00:00
Document Index: 155379402

Matched Legal Cases: ['art. 4', 'art. 24', 'art. 29', 'art. 13', 'art. 154', 'art. 24', 'art. 4', 'art. 154', 'art. 24']

Customer care: garanzie per il trattamento dei dati personali degli... - Garante Privacy
Customer satisfaction , Call center outbound
[doc. web n. 1797032]
[Adempimenti semplificati per il customer care inbound]
Customer care: garanzie per il trattamento dei dati personali degli utenti e dei lavoratori di call center - 9 febbraio 2011
n. 058 del 9 febbraio 2011
VISTO il provvedimento del 15 novembre 2007, recante "Adempimenti semplificati per il customer care (inbound)";
VISTA la comunicazione del 26 aprile 2010 con cui il sindacato S.L.C.-C.G.I.L. ha chiesto un intervento di questa Autorità in relazione al sistema di registrazione delle telefonate "in entrata" presso i call center che Vodafone Omnitel N.V. ha in corso di implementazione;
VISTE le note inviate da Vodafone Omnitel N.V. in data 23 giugno e 22 ottobre 2010;
VISTE le indicazioni emerse nel corso di alcuni incontri informali con le parti tenutisi presso l’Autorità;
1. La nota del sindacato.
Con nota del 26 aprile 2010 il sindacato S.L.C.-C.G.I.L. ha prospettato possibili profili di violazione della disciplina in materia di protezione dei dati personali da parte di Vodafone Omnitel N.V. relativamente ad un sistema di registrazione delle telefonate in modalità inbound che la società vorrebbe utilizzare per "compiere indagini di mercato e/o analizzare il gradimento di specifiche offerte commerciali".
Secondo l’organizzazione sindacale, l’impiego di tale sistema, oltre a comportare possibili violazioni della pertinente disciplina di settore in tema di controllo a distanza dell’attività dei lavoratori (art. 4, l. n. 300/1970), darebbe luogo a un trattamento di dati personali riferiti tanto all’utenza che agli operatori di call center che, per le modalità con cui verrebbe attuato, non sarebbe conforme alla disciplina di protezione dei dati personali.
Più in dettaglio, l’organizzazione sindacale rileva, in particolare, che:
a) l’informativa da rendere agli utenti in sede di contatto telefonico dovrebbe richiamare anche "le finalità e modalità del trattamento, nonché la logica applicata in caso di trattamento effettuato con l’ausilio di strumenti elettronici";
b) l’informativa da rendere ai lavoratori dovrebbe concernere i "dati registrati, il loro utilizzo, la loro conservazione, le misure a tutela della sicurezza dei sistemi dove tali dati sono conservati e le caratteristiche dei soggetti autorizzati ad accedervi";
c) dovrebbero essere previste modalità di acquisizione del consenso da parte degli utenti, anche tramite meccanismi quali "continuazione della telefonata/assenso";
d) dovrebbero essere adottati accorgimenti atti a prevenire l’acquisizione di dati personali riferiti tanto agli operatori di call center che agli utenti medesimi.
Su tali profili, l’organizzazione sindacale ha chiesto un intervento dell’Autorità, sottolineando peraltro la dichiarata intenzione della società di effettuare le predette registrazioni con riferimento "a tutte le telefonate gestite sia dai propri operatori che dagli operatori dei call center in outsourcing".
2. I riscontri della società.
2.1. Successivamente agli incontri tenutisi presso l’Autorità, Vodafone Omnitel N.V., modificando la posizione originariamente assunta (secondo cui l’impiego del sistema oggetto di contestazione non avrebbe comportato l’effettuazione di trattamenti di dati personali), ha fatto pervenire le proprie osservazioni sulla vicenda, evidenziando preliminarmente la necessità di garantire un’elevata competitività della società in un mercato ritenuto particolarmente complesso e in continua evoluzione (cfr. comunicazione del 23 giugno 2010).
A fronte di una clientela sempre più esigente, infatti, la qualità del servizio reso e la capacità di differenziarsi in un mercato "saturo" e altamente "competitivo" costituirebbero, secondo la società, un fattore di potenziale successo; tale obiettivo non sarebbe tuttavia perseguibile, nell’ottica societaria, senza un’efficace analisi dei processi aziendali che coinvolgono in maniera significativa anche le attività di "gestione" del cliente effettuate presso i call center.
Onde garantire un costante miglioramento del servizio erogato all’utenza, sarebbe quindi necessario dotarsi di strumenti in grado di monitorare i processi aziendali di gestione dei customer care per consentirne una valutazione in termini soprattutto qualitativi: la società ha ritenuto di poter individuare tale strumento nel sistema denominato "Quality Recording System".
22. Il sistema, secondo le dichiarazioni rese, risulta idoneo alla registrazione anche delle chiamate in modalità inbound, e verrebbe "utilizzato […] al fine di analizzare la qualità e l’efficacia dei processi, prodotti e servizi, nel momento di erogazione del servizio di assistenza clienti, attraverso il contatto telefonico". Lo stesso sistema verrebbe inoltre impiegato per "capire nel dettaglio le cause generanti picchi di chiamate e la verifica dell’efficacia degli script di gestione delle chiamate forniti agli operatori", oltre che per l’eventuale "identificazione di gap formativi dei Customer Care"; ciò, anche al fine di erogare "una formazione più mirata alle esigenze dei vari team" –cellula "primaria" del call center, composta di norma da circa "15-20 persone"– "la cui specializzazione è sempre più fondamentale in un mercato in cui le tecnologie evolvono con estrema rapidità".
Secondo quanto riferito, "le chiamate, una volta registrate, ve[rrebber]o archiviate in un apposito Data Base"; le informazioni ivi contenute consentirebbero poi "tramite opportune chiavi di ricerca, di facilitare le analisi individuando, in particolare, specifiche aree di osservazione riguardo ai prodotti, servizi o processi oggetto di rilevazione"; ciò, muovendo dal presupposto che "l’evoluzione dell’organizzazione del Servizio Clienti […] richiede[rebbe] sempre più la focalizzazione su specifiche aree tematiche (ad esempio, il servizio dati, la configurazione di palmari e smartphone ecc.) e sull’efficacia dei relativi processi di gestione da parte delle diverse aree di specializzazione".
Al fine di rendere l’utilizzo dello strumento conforme alla disciplina di protezione dei dati, la società intende adottare alcuni accorgimenti tecnici e procedurali volti, in particolare, a:
a) campionare le telefonate registrate, pari a circa "il 25-30%, secondo […] criteri[…] di archiviazione del tutto casual[i]";
b) delimitare l’ascolto a circa "il 6-8% del totale delle chiamate" registrate;
c) "circoscrivere" i tempi di conservazione dei dati a 90 giorni (durata che, secondo quanto dichiarato dai rappresentanti di Vodafone Omnitel N.V. nel corso degli incontri tenutisi presso l’Autorità, coinciderebbe con quella delle singole campagne pubblicitarie/promozionali), decorsi i quali "le registrazioni saranno automaticamente cancellate dal sistema";
d) predisporre un database "separato rispetto agli altri sistemi aziendali";
f) consentire l’accesso ai dati ai soli operatori autorizzati (ivi compresi i team leader, limitatamente alle "squadre" diverse da quelle concretamente gestite), ritualmente designati quali incaricati del trattamento;
g) alterare la voce degli interlocutori (c.d. morphing), con possibile neutralizzazione del timbro vocale;
h) criptare i file contenenti le registrazioni, con relativa impossibilità di ascolto su sistemi diversi da quelli appositamente preposti;
i) "eliminare" gli orari di registrazione e i primi secondi di conversazione, nei quali sovente avviene "la presentazione dell’operatore e del cliente".
L’impiego del sistema verrebbe preceduto dal rilascio di un’apposita informativa ai lavoratori interessati, mentre alla clientela la stessa sarebbe fornita, in forma semplificata, "in fase di collegamento con l’operatore", rimandando ad un’informativa di carattere più "generale" disponibile sul sito della società per una più compiuta "panoramica" sulle caratteristiche del trattamento svolto.
Le registrazioni acquisite, a detta della società, non verrebbero in alcun modo utilizzate "per finalità diverse da quelle rappresentate, per cui ogni dato, ogni registrazione, ogni ascolto (anche parziale) […] non potrà essere usato dall’azienda per qualsivoglia fine disciplinare".
La società si è comunque manifestata disponibile a un confronto con le organizzazioni sindacali sulla possibilità di adottare "modalità procedurali" atte a garantire l’eventuale cancellazione dei files contenenti elementi identificativi dell’operatore da parte degli "incaricati addetti alle registrazioni" (tale disponibilità si è peraltro concretizzata nell’accordo sindacale di cui appresso).
2.3. Con successiva nota del 22 ottobre 2010, la società ha dichiarato di aver medio tempore sottoscritto uno specifico accordo sindacale volto a disciplinare l’utilizzo del sistema in esame. Tale accordo risulta sottoscritto "a livello nazionale, con due delle tre sigle sindacali rappresentative dei lavoratori di Vodafone (FISTEL CISL-UILCOM UIL), mentre con le organizzazioni sindacali facenti capo alla SLC-CGIL sono intervenuti o stanno per essere raggiunti accordi, del medesimo tenore, a livello territoriale". Tali accordi costituirebbero già di per sé, in "un’ottica di bilanciamento degli interessi in campo (le finalità di miglioramento dei processi di CRM [customer relationship management] e della qualità del servizio, da un lato, e i casi –[invero] rari– di trattamento dei dati dei lavoratori, dall’altro) […] una modalità consensuale, tra Azienda e lavoratori, per l’utilizzo del Sistema", tale quindi da giustificare la possibile riconducibilità della fattispecie, tra l’altro, nell’alveo dell’art. 24, comma 1, lett. g), del Codice.
La società ha inoltre prodotto copia del testo recante l’informativa che verrebbe resa agli interessati (siano essi clienti –nella forma semplificata e, tramite collegamento al sito web della società, nella forma più "esaustiva"– o dipendenti), come pure la documentazione relativa alla designazione di società esterne operanti in regime di outsourcing quali responsabili del trattamento ai sensi dell’art. 29 del Codice; queste ultime, peraltro, secondo le dichiarazioni rese, avrebbero già sottoscritto specifici accordi con le organizzazioni sindacali per la gestione delle attività commissionate da Vodafone, la quale si è inoltre impegnata, per quanto di sua competenza, ad attuare "i medesimi standard di tutela indifferentemente per la registrazione e l’ascolto di chiamate dirette alle proprie strutture interne o a quelle di terze parti)".
Quanto all’individuazione dei soggetti autorizzati all’ascolto delle registrazioni (profilo oggetto anche dei predetti accordi sindacali), la società "si atterrà a criteri di stretta limitazione in termini di numero di persone, di controllo delle modalità di ascolto, ed in ogni caso escludendo la possibilità di ascolto da parte del c.d. Team Leader delle chiamate registrate sul proprio team".
3. Il trattamento effettuato a mezzo del sistema denominato "Quality Recording System".
3.1. Il sistema che Vodafone Omnitel N.V. intende utilizzare è funzionalmente preordinato a registrare le conversazioni intercorrenti tra l’utenza e gli addetti che lavorano nei call center.
Benché la società abbia previsto e adottato numerosi accorgimenti tecnici atti a prevenire l’acquisizione di informazioni riconducibili ad interessati identificabili (cfr. punto 22), non può tuttavia escludersi che l’impiego di detto sistema possa comunque comportare, sia pure in termini remoti e "residuali", un trattamento di dati personali riferiti sia agli utenti che agli operatori dei call center (si pensi, a titolo esemplificativo, alle registrazioni di conversazioni che, a dispetto dell’esclusione dei primi secondi di conversazione, riportino successivamente i dati identificativi di uno degli interlocutori).
A tali eventuali trattamenti devono dunque trovare applicazione le disposizioni del Codice, con particolare riferimento, tenuto anche conto dei profili evidenziati nella comunicazione sindacale del 26 aprile 2010, agli adempimenti che gravano in capo al titolare relativamente all’informativa da rendere agli interessati e all’acquisizione del loro consenso.
3.2. Con specifico riferimento al primo aspetto, le risultanze istruttorie hanno evidenziato che Vodafone Omnitel N.V. ha predisposto un’informativa specifica da rendere agli utenti –in forma sia semplificata (in accordo con le modalità previste nel provvedimento generale del 15 novembre 2007), che dettagliata (tramite il sito web della società)–, attraverso cui questi ultimi vengono resi edotti delle caratteristiche del trattamento eventualmente svolto. La società ha inoltre prodotto il testo dell’informativa, puntuale e dettagliata, che è stata predisposta in favore dei dipendenti.
Mentre il contenuto di quest’ultima appare conforme alle previsioni di cui all’art. 13 del Codice, il testo predisposto dalla società a vantaggio degli utenti –nella sua forma sintetica– non risulta invece chiara (limitandosi ad affermare che "la chiamata potrebbe essere registrata per fini di controllo qualità"), né contiene alcun richiamo alle modalità per il cui tramite è possibile acquisire un’informativa più dettagliata da parte degli interessati. Pertanto, anche alla luce di quanto previsto dal menzionato provvedimento generale (che ha autorizzato "coloro che prestano i servizi in esame a indicare la modalità attraverso la quale l’interessato potrà consultare o ascoltare a richiesta un’informativa più specifica ad esempio mediante un sito web"), si ritiene di dover prescrivere a Vodafone Omnitel N.V., ai sensi dell’art. 154, comma 1, lett. c) del Codice, di precisare e integrare l’informativa sintetica da rendere all’utenza nell’ambito del contatto telefonico, specificando:
- che il trattamento sarà effettuato per finalità di verifica della qualità del servizio reso all’utenza;
- le modalità con cui accedere all’informativa più dettagliata relativa al trattamento in esame.
3.3. Per quanto riguarda il secondo aspetto, occorre ricordare che il trattamento di dati personali (nel caso di specie, attraverso l’utilizzo di strumenti elettronici che rendono astrattamente possibile anche un controllo a distanza dell’attività dei lavoratori) è consentito ai soggetti privati, limitatamente ai dati non sensibili, solo se fondato su uno dei presupposti di liceità previsti dagli artt. 23 e 24 del Codice (consenso libero ed espresso; adempimento ad un obbligo di legge; esecuzione di un obbligo contrattuale; ecc.).
Nella fattispecie in esame, peraltro, non pare possibile fare affidamento sul consenso espresso degli interessati quale presupposto di liceità del trattamento, atteso che un eventuale diniego da parte di questi ultimi (siano essi utenti o lavoratori del call center) potrebbe in concreto vanificare le finalità perseguite dalla società (volte, come detto a migliorare la qualità dei servizi erogati e a garantire una formazione più mirata del personale), peraltro nell’interesse anche degli stessi utenti (cfr. punto 34).
Occorre pertanto verificare se, nel caso di specie, il trattamento in esame possa essere effettuato sulla base di altri presupposti di equipollenza del consenso.
34. Un’idonea alternativa all’esplicito consenso degli interessati va ravvisata nell’istituto del bilanciamento di interessi, previsto dall’art. 24, comma 1, lett. g), del Codice.
A tale istituto si ritiene di poter dare attuazione attraverso il presente provvedimento, essendo ravvisabile nel caso in esame –ove siano stati raggiunti accordi sindacali con le r.s.a./r.s.u., ovvero, in difetto di questi ultimi, sia stato acquisito il provvedimento della preposta direzione provinciale del lavoro–, un’ipotesi in cui il trattamento dei dati non sensibili, eventualmente rilevati nel corso delle registrazioni delle conversazioni intercorrenti tra gli utenti e gli addetti ai call center operanti a vantaggio di Vodafone, può avvenire, nel rispetto delle modalità indicate e degli accorgimenti già adottati, senza il consenso degli interessati; ciò, al fine di perseguire un legittimo interesse del titolare del trattamento in riferimento a proprie esigenze di natura organizzativa e produttiva (analizzare, in un’ottica di costante miglioramento dei prodotti e servizi resi a vantaggio dell’utenza –anche attraverso l’individuazione e l’eliminazione di eventuali lacune formative degli incaricati–, la qualità e l’efficacia dei processi di customer care, specie in un mercato altamente competitivo e in rapida evoluzione).
Tale bilanciamento tiene conto, da un lato, delle garanzie che lo Statuto dei lavoratori prevede per il controllo "indiretto" a distanza dell’attività dei lavoratori, presupponendo non il consenso di questi ultimi, ma un accordo con le rappresentanze sindacali (o, in difetto, l´autorizzazione di un organo periferico dell´amministrazione del lavoro) e, dall’altro, dei numerosi accorgimenti tecnici già adottati dalla società, tali –per numero e caratteristiche– da ridurre significativamente i casi di trattamento di dati personali degli interessati. Al riguardo, occorre inoltre considerare quanto previsto dal codice civile in tema di organizzazione e direzione del lavoro da parte dell’imprenditore (artt. 2086, 2094 e 2104 cod. civ.) e del beneficio, in termini di assistenza più qualificata, che potrebbero trarre gli stessi utenti dal trattamento in esame.
Pertanto, ove risultino pienamente soddisfatti i requisiti di cui all’art. 4, comma 2, l. n. 300/1970, il trattamento in esame, nel rispetto delle modalità indicate e degli accorgimenti adottati, potrà essere lecitamente effettuato dalla società, senza il consenso degli interessati, per le sole finalità indicate e ad opera dei soli incaricati del trattamento deputati al miglioramento dei processi di customer care e alla formazione del personale.
a) ai sensi dell’art. 154, comma 1, lett. c) del Codice, prescrive a Vodafone Omnitel N.V. di precisare e integrare l’informativa sintetica da rendere all’utenza nell’ambito del contatto telefonico, specificando:
- che il trattamento sarà svolto per finalità di verifica della qualità del servizio reso all’utenza;
- le modalità con cui accedere all’informativa più dettagliata relativa al trattamento effettuato;
b) ai sensi dell´art. 24, comma 1, lett. g), del Codice, dispone che, per effetto del presente provvedimento, Vodafone Omnitel N.V. possa trattare, senza il consenso degli interessati, per le sole finalità di miglioramento dei processi di customer care e di formazione del personale, i dati non sensibili eventualmente rilevati nel corso delle registrazioni delle conversazioni intercorrenti tra gli utenti e gli addetti ai call center operanti a suo vantaggio, a condizione che ciò avvenga nel rigoroso rispetto della disciplina in tema di controllo a distanza dell’attività dei lavoratori, delle modalità indicate e degli accorgimenti adottati dalla società.