Source: http://www.privacy.it/archivio/garantesanz200603091.html
Timestamp: 2018-02-24 00:11:45+00:00
Document Index: 3479486

Matched Legal Cases: ['art. 3', 'art. 13', 'art. 13', 'art. 13', 'art. 7', 'art. 13', 'art. 37', 'art. 23', 'art. 109', 'art. 24', 'art. 24', 'art. 23', 'art. 154', 'art. 154']

PRESCRIZIONE 9 marzo 2006
1.1. Al fine di verificare l'osservanza della disciplina di protezione dei dati personali da parte di catene alberghiere con particolare riferimento alle informazioni raccolte mediante schede di dichiarazione delle generalità o più propriamente connesse all'esecuzione del contratto (ivi comprese quelle registrate nell'ambito dello svolgimento di operazioni a premio), il 4 novembre 2005 l'Autorità ha avviato d'ufficio accertamenti preliminari presso Italjolly Compagnia italiana dei Jolly hotels S.p.a. (di seguito, la "società").
1.3. Tali informazioni, unitamente a quelle relative alla tipologia di servizi, anche accessori, di cui la clientela usufruisce presso ciascuna struttura alberghiera, comprensive della durata del soggiorno e della tariffa applicata, dal 2001 sono trattate dalla società, oltre che per assolvere ad obblighi legali (ivi compreso quello appena menzionato) e per dare esecuzione al rapporto contrattuale, per "definire i profili dei clienti allo scopo di orientare l'offerta della società in occasione di successive visite da parte dello stesso cliente" (così come risulta dal verbale delle attività ispettive dell'8 novembre 2005  di seguito "verbale"). Questi dati, limitatamente agli ultimi tre soggiorni, restano quindi visibili nelle strutture alberghiere della società.
*	dati anagrafici;
*	recapiti, anche telefonici, e coordinate di posta elettronica;
*	professione;
*	"accrediti" maturati (in misura proporzionale alle somme corrisposte per il godimento di servizi) e alla loro scadenza; come risulta dal verbale degli accertamenti effettuati, "in relazione a tali accrediti è altresì possibile visualizzare il dettaglio relativo alle strutture presso le quali sono stati maturati, la data, l'ammontare e i servizi che li hanno generati (camera, cantina, ristorante)";
*	ulteriori informazioni personali (il cui conferimento è facoltativo), fornite in forma di risposta a quesiti (cfr. il modulo di adesione al programma "optime"), relative alla frequenza di pernottamenti, alla consumazione di pasti e alle modalità di prenotazione abitualmente utilizzate.
Queste ultime finalità vanno considerate tra loro distinte, come già rilevato da questa Autorità nel provvedimento generale sull'uso delle c.d. carte di fidelizzazione (Provv. 24 febbraio 2005, in http://www.garanteprivacy.it, doc. web n. 1103045), e come risulta anche dal differenziato statuto normativo ad esse riservato. Mentre la definizione di profili individuali relativi alle preferenze e alle scelte di consumo è regolata in alcune disposizioni del Codice (artt. 14, 22, comma 10 e 37, comma 1, lett. d)), i trattamenti di dati personali effettuati a fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale trovano diversa disciplina (artt. 7, comma 4, lett. b) e 130 del Codice). La specifica finalità del trattamento di dati personali connessi alle operazioni a premio si desume poi dalla particolare normativa vigente (art. 3 d.P.R. 26 ottobre 2001, n. 430).
*	realizzazione delle operazioni a premio, risulta congrua la conservazione dei dati personali relativi al solo ammontare degli esborsi effettuati essendo questo il criterio utilizzato per commisurare, in valori percentuali, l'ammontare degli "accrediti" sino al conseguimento da parte del cliente del vantaggio previsto e comunque non oltre la scadenza del termine dell'operazione a premio indicato nel regolamento (o della sua eventuale proroga);
*	creazione di profili dei clienti partecipanti o meno al programma "optime", risulta congrua la conservazione dei dati raccolti per la durata di dodici mesi decorrenti dalla registrazione delle informazioni e conformemente a quanto stabilito nel menzionato provvedimento del 24 febbraio 2005 (v. il relativo par. 8).
Le diverse modalità di raccolta delle informazioni personali della clientela in occasione del soggiorno presso strutture alberghiere della società oppure con l'adesione all'operazione a premi o, ancora, mediante la compilazione di modelli resi disponibili online implicano che, in ciascuna circostanza e indipendentemente dal mezzo di volta in volta utilizzato, debbano essere rese all'interessato le informazioni contenute nell'art. 13 del Codice.
a)	con riguardo all'informativa resa a tutta la clientela, indipendentemente dall'adesione dell'interessato all'operazione a premio "optime" (all'atto dell'arrivo) presso le singole strutture alberghiere, la medesima informativa prevede che i dati raccolti siano soggetti ad ulteriori operazioni di trattamento "in forma anonima [] per redigere statistiche operative e commerciali". L'informativa, pertanto, non esplicita, come dovrebbe, l'ulteriore finalità perseguita dalla società (come risulta da quanto rappresentato al punto 1.3) nel definire i profili dei clienti con riguardo alle preferenze e scelte di consumo individuali;
b)	con riguardo all'informativa resa ai clienti aderenti al programma "optime", l'interessato non viene reso edotto del fatto che taluni suoi dati personali possono essere comunicati ad altre società, con le quali può essere concordata una partnership nello svolgimento di altri programmi di fidelizzazione, in caso di richiesta di conversione degli "accrediti" maturati;
c)	con riguardo all'informativa resa alla clientela in occasione della raccolta on-line di dati personali al fine di prenotare soggiorni, essa non risulta previamente fornita rispetto al conferimento dei dati da parte dell'interessato, come richiesto dall'art. 13, comma 1, del Codice;
d)	in relazione all'iscrizione on-line alla newsletter della società, il testo dell'informativa pur presente in calce al modello di raccolta dei dati e contenente altresì inesattezze, quali il richiamo all'art. 13 anziché all'art. 7 del Codice, e il diritto, in base al richiamato art. 13, ad "accedere ai registri del Garante" (facoltà attribuita a chiunque dall'art. 37, comma 4, del Codice) non enuncia la finalità di marketing del trattamento, indicando in suo luogo, quale scopo perseguito dalla società, l'utilizzazione dei dati raccolti per la valutazione "del possibile interesse alla futura costituzione di un rapporto contrattuale da determinarsi nel contenuto": tale dizione non è idonea a rendere edotto l'interessato in ordine alla reale finalità per la quale i dati (e non diversamente il consenso) vengono effettivamente raccolti, e cioè per l'invio della newsletter.
Il trattamento effettuato per le ulteriori finalità di marketing e di definizione dei profili dei clienti, ricorrenti nel caso di specie nei termini sopra precisati, necessita del consenso specifico e informato dell'interessato (art. 23 del Codice; Provv. 24 febbraio 2005, punto 7). Il consenso non è invece richiesto con riguardo ai dati trattati in base ad obblighi di legge (ad esempio, per assolvere ad obblighi contabili e tributari o alla richiamata disposizione contenuta nell'art. 109, comma 3, del t.u.l.p.s.: art. 24, comma 1, lett. a) del Codice). Non diversamente, il consenso non occorre per le operazioni di trattamento finalizzate all'esecuzione del contratto ivi comprese quelle derivanti dall'operazione a premi "optime" (in tal senso v. Provv. 24 febbraio 2005, cit.) o per adempiere, anche in fase precontrattuale, a specifiche richieste del cliente (art. 24, comma 1, lett. b), del Codice).
a)	con riguardo ai dati raccolti presso le singole strutture alberghiere in occasione dell'esecuzione del contratto d'albergo (cfr. modello dell'informativa) e successivamente trattati per le ulteriori finalità di definizione dei profili della clientela relativi alle preferenze e alle scelte di consumo, non risulta essere stato raccolto un apposito consenso informato;
b)	con riguardo ai dati personali raccolti in occasione dell'adesione all'operazione a premi "optime", l'"autorizzazione" del cliente al trattamento per finalità di marketing svolto dalla società non è distinta da quella richiesta per beneficiare, più in generale, dei vantaggi connessi alla partecipazione all'operazione a premio (pur non essendo necessario raccogliere tale consenso per detto trattamento, come sopra precisato) e la mancata accettazione delle condizioni relative al trattamento dei dati personali (nell'indicata formula onnicomprensiva) preclude l'iscrizione al programma "optime".
Ne deriva che il consenso al trattamento dei dati per finalità di marketing non soddisfa i requisiti posti dalla legge, in base ai quali esso "è validamente prestato solo se è espresso liberamente" (art. 23, comma 3, del Codice). In casi come quello in esame, come già rilevato da questa Autorità (Provv. 12 ottobre 2005, in http://www.garanteprivacy.it, doc. web n. 1179604; Provv. 3 novembre 2005 in http://www.garanteprivacy.it, doc. web n. 1195215), non può definirsi libero, e risulta indebitamente necessitato, il consenso al trattamento dei dati personali che l'interessato deve prestare, accettando (nel caso di specie quale condizione per conseguire i vantaggi dell'operazione a premi) l'utilizzo di propri dati personali conferiti ad altri scopi per l'invio di comunicazioni pubblicitarie.
a)	dichiara illecito il trattamento dei dati personali della clientela effettuato da Italjolly Compagnia italiana dei Jolly hotels S.p.a. e descritto nei punti da 1 a 6 in motivazione, con particolare riguardo ai seguenti profili:
*	omessa e incompleta informativa, con riguardo a quella resa:
*	a tutta la clientela presso le singole strutture alberghiere (punto 4, lett. a);
*	alla clientela aderente all'operazione a premi denominata "optime" (punto 4, lett. b);
*	alla clientela in occasione della raccolta on-line di dati personali al fine di prenotare soggiorni (punto 4, lett. c);
*	all'atto dell'iscrizione on-line alla newsletter della società (punto 4, lett. d);
*	mancata acquisizione del consenso per le attività connesse alla definizione dei profili individuali in relazione a scelte e preferenze di consumo (punto 5);
*	mancata acquisizione di un ulteriore e specifico consenso per svolgere operazioni di marketing nell'ambito della gestione dell'operazione a premi denominata "optime" (punto 5);
*	omessa notificazione dei trattamenti volti a definire il profilo degli interessati e ad analizzarne abitudini o scelte di consumo (punto 6);
b)	vieta a Italjolly Compagnia italiana dei Jolly hotels S.p.a., ai sensi dell'art. 154, comma 1, lett. d), del Codice, la prosecuzione delle operazioni di trattamento di dati personali effettuate in violazione di legge nei termini di cui alla lettera a);
c)	ferma restando l'inutilizzabilità dei dati personali sinora trattati in violazione di legge nei termini di cui alla lettera a), prescrive a Italjolly Compagnia italiana dei Jolly hotels S.p.a., ai sensi dell'art. 154, comma 1, lett. c), del Codice di adottare le misure necessarie indicate nel presente provvedimento (punti da 3 a 6) al fine di conformare alle disposizioni vigenti nuovi trattamenti di dati personali che intenda intraprendere, con specifico riferimento, per quanto attiene ai tempi di conservazione dei dati trattati per la gestione dell'operazione a premio e per la definizione dei profili della clientela, a quanto indicato nel punto 3;
d)	dispone che Italjolly Compagnia italiana dei Jolly hotels S.p.a. confermi a questa Autorità, qualora intenda intraprendere nuovi trattamenti di dati personali del genere qui esaminato (la definizione dei profili della clientela e l'invio alla medesima di comunicazioni commerciali), e prima che i trattamenti siano effettuati, che gli stessi sono conformi alle prescrizioni del presente provvedimento, indicando ogni informazione utile al riguardo ed allegando la pertinente documentazione.