g-docweb-display Portlet

Conservazione dei dati personali riguardanti la clientela per attività di profilazione e di marketing - 30 giugno 2016 [5411203]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 5411203]

Conservazione dei dati personali riguardanti la clientela per attività di profilazione e di marketing - 30 giugno 2016

Registro dei provvedimenti
n. 285 del 30 giugno 2016

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196, di seguito "Codice");

VISTO il provvedimento generale adottato in data 24 febbraio 2005 (in www.garanteprivacy.it, doc. web n. 1103045);

ESAMINATA la richiesta di verifica preliminare pervenuta il 30 settembre 2015 ai sensi dell´art. 17 del Codice da Tecnocasa Franchising s.p.a. (di seguito "Tecnocasa") rispetto al trattamento dei dati personali della propria clientela per finalità di profilazione e marketing;

VISTA l´ulteriore nota pervenuta il 18 febbraio 2016 a seguito di una richiesta di integrazioni rivolta alla società;

VISTE le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del Regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Augusta Iannini;

PREMESSO

1.1. Secondo quanto stabilito dal Garante nel provvedimento del 24 febbraio 2005, il 30 settembre 2015 Tecnocasa ha presentato un´istanza di verifica preliminare ai sensi dell´art. 17 del Codice (analoga ad altra, più risalente, non ulteriormente coltivata dopo la richiesta di elementi dell´Ufficio) concernente il trattamento di dati della propria clientela per finalità di profilazione e marketing per un periodo superiore, rispettivamente, a dodici e ventiquattro mesi.

1.2. In questa cornice, Tecnocasa - società presente in Italia nel settore dell´intermediazione immobiliare, allo stato attraverso circa 1700 soggetti operanti in franchising (di seguito "affiliati") - dichiara di coordinare le attività (gestendo i database) tra gli "affiliati", stabilendo le politiche generali di funzionamento concernenti la "condivisione" dei dati, e di essere soggetta a direzione e coordinamento da parte di Tecnocasa Holding s.p.a.

Ai fini del procedimento, l´istante ha rappresentato che anche Tecnorete Franchising s.r.l. (società soggetta a direzione e coordinamento da parte di Tecnocasa Holding s.p.a.) opera nel settore dell´intermediazione immobiliare in Italia, allo stato, attraverso circa 350 "affiliati".

1.3. Con l´istanza la società richiede di poter (conservare e) trattare i dati riferiti alla clientela propria e a quella dei propri "affiliati" per un periodo pari a venti anni per finalità di profilazione e marketing mediante un sistema di Customer relationship management ("Crm") contenente i dati personali dei clienti cui avrebbero accesso, secondo regole predefinite dall´istante, anche tutti gli "affiliati".

2.1. I dati che la società intende trattare nel Crm riguardano le richieste di acquisto o di affitto, le richieste di vendita o di locazione, le richieste di valutazione degli immobili, gli incarichi di acquisto o di affitto, gli incarichi di vendita o di locazione, le sottoscrizioni di proposte di acquisto/affitto e i dati concernenti i contratti preliminari o definitivi di compravendita o di locazione conclusi grazie alla mediazione degli "affiliati". Nel dettaglio si tratta delle seguenti tipologie di dati personali riferite alla clientela (cfr. istanza, all. 1, p. 3):

a. dati anagrafici;

b. categorizzazione (secondo le tipologie: famiglia, studi, lavoro);

c. dati di contatto (numero di telefono e indirizzo email);

d. residenza e domicilio;

e. informazioni sulla composizione del nucleo familiare;

f. provenienza dei dati (dato raccolto da un "affiliato" o proveniente dal sito o da terzi);

g. relazioni con gli immobili presenti nel sistema (incarichi di acquisto/affitto conferiti all´"affiliato", proposte di acquisto/affitto sottoscritte grazie alla mediazione dell´"affiliato", incarichi di vendita/locazione conferiti all´"affiliato", contratti di compravendita/locazione conclusi grazie alla mediazione dell´"affiliato");

h. relazioni con richieste immobiliari presenti nel sistema (richiesta di acquisto/affitto, richiesta di valutazione di un immobile);

i. dati qualitativi e quantitativi in merito ad esigenze espresse dal cliente (caratteristiche, zone di interesse, prezzo);

j. attività/appuntamenti eseguiti e pianificati con l´"affiliato";

k. dati qualitativi e quantitativi in merito alle proprietà immobiliari (caratteristiche, indirizzo, coordinate geografiche);

l. dati su interessi del proprietario a vendere o affittare;

m. dati contrattuali per incarichi di vendita/locazione.

2.2. I dati possono essere raccolti:

a. presso il cliente, tramite:

i. i siti Internet www.tecnocasa.it e www.tecnorete.it;

ii. gli "affiliati", ove i clienti si rechino personalmente presso le strutture afferenti a Tecnocasa o Tecnorete e intendano acquistare/affittare o vendere/locare un immobile, conferendo o meno un incarico;

b. presso terzi, autonomi titolari del trattamento che gestiscono portali web in cui Tecnocasa può pubblicare annunci (ad oggi solo www.immobiliare.it, che raccoglie e inserisce nel Crm dati relativi a clienti che intendono acquistare/affittare un immobile).

2.3.1. In base a quanto rappresentato, ciascun "affiliato" agisce in qualità di autonomo titolare del trattamento e "condivide" (in base a regole prestabilite da Tecnocasa) i dati raccolti in via autonoma all´interno del sistema Crm con Tecnocasa e con altri "affiliati" (vedi punti 2.5.1 ss.).

2.3.2. Per quanto riguarda i dati raccolti tramite i siti Internet www.tecnocasa.it e www.tecnorete.it, Tecnocasa è invece titolare in via esclusiva del trattamento.

2.4. Il sistema Crm avrà una "architettura modulare": in base ad essa, un modulo sarà accessibile unicamente all´"affiliato" (ed in esso saranno inseriti tutti i dati e le informazioni non soggette a "condivisione"); altri moduli saranno accessibili anche da Tecnocasa nonché da altri "affiliati".

Tutti i dati personali andranno comunque ad alimentare un unico database gestito da fornitori esterni, allo stato Web Consult s.r.l. designata responsabile del trattamento, ed il servizio verrà erogato in modalità SaaS (software as a service) e sarà fruibile via web e in mobilità.

2.5.1. La "condivisione" dei dati tra i diversi "affiliati" avviene secondo criteri di prossimità geografica: a tal fine Tecnocasa ha suddiviso il territorio nazionale in aree denominate "località" (ad esempio, per la città di Roma sono state individuate 294 "località").

2.5.2. Rivolgendosi ad un "affiliato", il cliente indica le zone di interesse; in ragione di ciò, ogni "affiliato" visualizza i dati relativi alle richieste di ricerca di immobili da acquistare/affittare relative alla zona di competenza, nonché delle 12 "località" più vicine (cosicché i dati dei clienti che ricercano immobili da acquistare/affittare risultano essere "condivisi", in media, dai 4/5 "affiliati" più vicini alle zone di interesse selezionate dal cliente (cfr. comunicazione 18 febbraio 2016).

2.5.3. Tecnocasa distingue le regole di "condivisione" dei dati personali riferiti alla clientela in base ai:

A. soggetti che intendono acquistare/affittare un immobile, per cui i dati:

1. raccolti dagli "affiliati", allo scopo di ricerca di un immobile, saranno "condivisi" con:

gli "affiliati" delle zone rispetto alle quali il cliente ha manifestato interesse per la ricerca e quelli presenti nelle zone adiacenti;

-  Tecnocasa;

2. raccolti dagli "affiliati", per attività/appuntamenti, incarichi di acquisto/affitto, in occasione di proposte di acquisto/affitto, contratti di compravendita/locazione, saranno "condivisi" con:

- gli "affiliati" delle zone nei confronti delle quali il cliente ha manifestato interesse per la ricerca e, limitatamente ad alcuni dati (informazioni relative all´affiliato che ha contattato il cliente, alla data del contatto e alla tipologia di contatto), quelli presenti nelle zone adiacenti. Tecnocasa non ha accesso ad alcuno di questi dati;

3. raccolti tramite i siti www.tecnocasa.it e www.tecnorete.it allo scopo di ricerca di un immobile, saranno "condivisi" da Tecnocasa, con:

- gli "affiliati" incaricati di promuovere l´acquisto/affitto di un immobile di interesse per il cliente;

- gli "affiliati" delle zone rispetto alle quali il cliente ha manifestato interesse;

- gli "affiliati" delle zone adiacenti a quelle per le quali il cliente ha manifestato interesse;

4. raccolti tramite i siti www.tecnocasa.it e www.tecnorete.it allo scopo di inviare al cliente email riguardanti immobili da acquistare/affittare, saranno "condivisi" da Tecnocasa con:

- gli affiliati che hanno in gestione immobili oggetto di segnalazione;

5. provenienti da terzi (ad oggi solo immobiliare.it s.p.a.) che gestiscono portali in cui gli "affiliati" pubblicano annunci e con cui Tecnocasa ha stipulato accordi commerciali, saranno "condivisi":

-  con i soggetti di cui al punto 3.

B. soggetti che intendono vendere/locare un immobile, per cui i dati raccolti:

1. dagli "affiliati" trattati allo scopo di effettuare la valutazione di un immobile, non saranno "condivisi" (neanche con Tecnocasa);

2. dai singoli "affiliati", per attività/appuntamenti eseguiti e pianificati con il cliente, incarichi di vendita/locazione, proposte di acquisto/affitto, contratti di compravendita/locazione, eccetto che con Tecnocasa, saranno "condivisi" con:

- "affiliati" che hanno raccolto informazioni sullo stesso cliente, ma solo alcuni dati relativi alle attività appuntamenti (informazioni relative all´affiliato che ha contattato il cliente, alla data di contatto, alla tipologia di contatto);

3. tramite i siti www.tecnocasa.it e www.tecnorete.it allo scopo di effettuare la valutazione di un immobile, saranno "condivisi" da Tecnocasa, con:

- l´"affiliato" dell´area in cui è situato l´immobile.

2.6.1. Tecnocasa intende costituire il Crm, organizzandolo secondo le menzionate "regole" di condivisione, per le attività di profilazione dei clienti in base alle richieste/proposte effettuate nonché per la conseguente attività di marketing mediante offerte di proposte mirate oltre che per svolgere ricerche di mercato. In particolare, Tecnocasa ha precisato che i dati presenti nel Crm saranno utilizzati per finalità contrattuali (che non formano oggetto del presente procedimento) e per finalità di profilazione e marketing generalizzato o "profilato".

2.6.2. L´attività di marketing, previo consenso informato degli interessati, sarà effettuata attraverso modalità di contatto tradizionali (posta cartacea o chiamate tramite operatore) e automatizzate (email, sms).

2.7. Tecnocasa ha inoltre dichiarato che, previo consenso informato degli interessati, procederà alla comunicazione di dati a Ducale s.p.a. (società di costruzioni) e Kiron Parnter s.p.a. (società che offre servizi di mediazione finanziaria e assicurativa) nonché gli agenti Kiron e Epicas, società del gruppo Tecnocasa Holding, per lo svolgimento di ricerche di mercato e di marketing effettuato con modalità di contatto tradizionali (posta cartacea e chiamata telefonica con operatore).

2.8. Il tempo massimo di conservazione dei dati presenti nel Crm prospettato da Tecnocasa, come detto, è di venti anni e sarebbe necessario in considerazione delle caratteristiche dell´intermediazione immobiliare: la società ha infatti rappresentato che, di norma, i clienti si rivolgono ad una agenzia immobiliare da una a due volte nell´arco di dieci anni, per quanto riguarda la compravendita di immobili, e da una a quattro volte, per quanto riguarda la locazione. Pertanto un tempo di conservazione dei dati inferiore a quello indicato inciderebbe significativamente sull´utilità della profilazione della clientela.

2.9. Tecnocasa ha dichiarato che il server che ospiterà il database che contiene il Crm sarà localizzato negli Stati Uniti, presso Salesforce.com Inc., società alla quale ne è rimessa la gestione tenuto conto delle competenze possedute. Una replica del database sarà collocato anche in Italia presso Infracom Italia s.p.a.

2.10. Considerato l´elevato numero di "affiliati", Tecnocasa richiede di essere autorizzata ad effettuare un´unica notificazione per i trattamenti sopra indicati, esonerando ciascun "affiliato" da tale obbligo.

2.11. Tecnocasa ha allegato all´istanza più modelli di informativa, distinguendoli a seconda che debba essere resa al cliente che:

- intende acquistare/affittare un immobile (attraverso i siti Internet ovvero recandosi presso un "affiliato");

- si avvale di portali di terzi per richieste immobiliari (fornita da Tecnocasa via email al momento della registrazione);

- intende valutare o vendere/locare un immobile (fornita dagli "affiliati").

I dati, raccolti attraverso i siti Internet ovvero mediante la scheda cartacea di fornita dagli "affiliati", confluiranno nel Crm e saranno visibili e trattati in base alle menzionate regole di "condivisione" da Tecnocasa e da ciascun "affiliato" per finalità contrattuali e, previo consenso dell´interessato, anche per il perseguimento delle ulteriori finalità di profilazione e marketing. In presenza di ulteriore autonomo consenso i ati potranno essere comunicati a terzi (Kiron Partner s.p.a. e La Ducale s.p.a.) per finalità di profilazione e marketing.

All´interno dei modelli così predisposti sono elencati i diritti attribuiti all´interessato dall´art. 7 del Codice, indicando un indirizzo di posta elettronica (tecnocasa@tecnocasa.com) per facilitarne l´esercizio.

2.12. Infine, Tecnocasa ha dichiarato di voler designare le società che si occupano della gestione e manutenzione tecnica del sistema Crm, quali responsabili esterni.

Tecnocasa ha dichiarato di aver designato quale responsabile esterno Web Consult s.r.l., società appartenente al Gruppo Tecnocasa che si occupa della gestione e manutenzione del sito web, e che provvederà a designare quali responsabili del trattamento anche le società che offrono servizi di postalizzazione delle comunicazioni promozionali, della newsletter e di servizi informatici e/o di sviluppo e manutenzione software.

2.13. Tecnocasa ha dichiarato che, per la gestione del Crm, verranno adottate le misure di sicurezza, anche minime, previste agli artt. 31-36 e dal Disciplinare tecnico di cui all´allegato B) del Codice; verranno istituite procedure di backup dei dati e di disaster recovery; verranno altresì memorizzati i «log degli accessi e dei tentativi falliti di accesso» relativi agli ultimi sei mesi.

3.1. Tanto premesso, conviene in anteparte puntualizzare che oggetto del presente provvedimento sono i soli aspetti connessi al trattamento dei dati che, raccolti nel Crm, sono trattati per finalità di profilazione e marketing da Tecnocasa e dagli "affiliati" (in qualità di titolari) i quali, nella forma della reciproca comunicazione, li  "condividono".

3.2. Rilevato che Tecnocasa nel presentare l´istanza ha ampiamente tenuto conto delle prescrizioni in passato impartite dal Garante in relazione a trattamenti che presentano analogie rispetto a quello qui considerato (cfr. i provvedimenti richiamati al punto successivo), considerate le misure che la società dichiara di voler porre in essere, si procederà di seguito ad identificare i tempi massimi di conservazione dei dati, mettendo a fuoco i soli aspetti non espressamente considerati nella richiesta, con l´individuazione delle conseguenti prescrizioni.

4.1. Con riguardo all´oggetto specifico della presente verifica preliminare, consistente nell´individuazione dei tempi massimi di conservazione dei dati riferiti alla clientela, considerato che i dati personali concernenti operazioni  di acquisto/vendita o affitto/locazione hanno una frequenza mediamente bassa (cfr. punto 2.8), deve ritenersi che i tempi massimi di conservazione dei dati individuati nel menzionato provvedimento del 24 febbraio 2005 possano significativamente ridurre l´utilità dell´attività di profilazione.

Pertanto, considerato che in casi analoghi è stato ritenuto proporzionato per le ricordate finalità un più ampio intervallo di conservazione dei dati (cfr., nel settore dei beni di lusso, i provv.ti 24 aprile 2013, n. 219, doc. web n. 2499354; 30 maggio 2013, n. 263, doc. web n. 2547834; 7 novembre 2013, n. 500, doc. web n. 2920245; 2 dicembre 2015, n. 632, doc. web n. 4642844) anche per la fattispecie in esame i dati (come sopra individuati al punto 2.1, nel rispetto del principio di pertinenza e non eccedenza) potranno essere conservati per un periodo massimo pari a 15 anni, decorrente dalla registrazione degli stessi. Ciò in quanto tale arco temporale appare congruo e proporzionato alle finalità che si intendono realizzare, considerata la tipologia di dati personali oggetto di trattamento e le finalità dello stesso.

Alla scadenza del suddetto periodo di conservazione, i dati personali  dovranno essere automaticamente cancellati, ovvero resi anonimi in modo permanente e non reversibile.

4.2. Considerato che il conferimento dei dati da parte della clientela in vista del loro inserimento nel Crm per finalità di profilazione e marketing è ulteriore (ed eventuale) rispetto alla finalità di intermediazione primariamente perseguita da Tecnocasa (e dagli "affiliati"), esso è subordinato a un consenso libero e specifico dell´interessato.

Per quanto attiene all´acquisizione dei dati non necessari per le finalità contrattuali, ma pertinenti e non eccedenti rispetto all´attività di profilazione e marketing (tra questi, ad esempio, i dati sopra indicati al punto 2.1, lett. b) ed e), sarà obbligo della società distinguerli chiaramente dagli altri in sede di raccolta. In questo modo l´interessato potrà essere agevolmente reso edotto che il trattamento di tali informazioni è facoltativo e decidere così liberamente se fornire o meno il proprio consenso al loro utilizzo per le finalità di marketing e profilazione.

Allo stato, in base alla modulistica predisposta per acquisire i dati e le manifestazioni di consenso da parte degli interessati (cfr. i modelli uniti all´istanza pervenuta il 30 settembre 2015, all.ti 4 e 8) tali informazioni (e segnatamente quelle indicate al punto 2.1, lett. b) ed e) non sono punto presenti, né risulta predisposta sezione apposita destinata ad accoglierle.

4.3. Con riguardo all´informativa prevista dall´art. 13 del Codice, dalla stessa dovrà comunque potersi evincere chiaramente il ruolo di titolare del trattamento rivestito dalla società istante come pure da parte di ciascun "affiliato" in relazione alle operazioni effettuate per finalità di profilazione e marketing. Essa dovrà distintamente individuare le diverse finalità perseguite in modo tale che l´interessato possa scegliere consapevolmente se rilasciare o meno il proprio consenso per ciascuna di esse. Pertanto, l´attuale modello dovrà essere integrato, specificando in maniera analitica e dettagliata (e non solamente esemplificativa):

a. la tipologia dei dati che la società intende trattare per la menzionata finalità di profilazione e marketing "mirato";

b. il periodo massimo di conservazione dei dati, pari a 15 anni, così come previsto dal presente provvedimento, con l´indicazione che, alla relativa scadenza, tali dati saranno cancellati automaticamente ovvero resi anonimi in modo permanente e non reversibile.

L´interessato dovrà in ogni caso essere chiaramente informato che il trattamento di tali informazioni è facoltativo, e potrà decidere liberamente se fornire o meno il proprio consenso all´utilizzo dei dati a sé riferiti per queste ulteriori finalità, considerato anche che larga parte degli stessi (cfr. punto 2.5.3) sarà "condivisa" da una pluralità di altri soggetti (gli "affiliati" e la stessa Tecnocasa) a cui l´interessato non si è direttamente rivolto.

Tali indicazioni dovranno avere una autonoma visibilità nel corpo del testo dell´informativa e dovranno essere separate da tutte le altre, ad esempio, inserite in un apposito paragrafo.

5. La richiesta di Tecnocasa di procedere a un´unica notificazione per sé e per gli "affiliati" non può essere accolta. Il Garante ritiene, infatti, che, tenuto conto dell´elevato numero di titolari del trattamento coinvolti, l´obbligo di notifica previsto dall´art. 37, comma 1, lett. d), del Codice deve essere assolto indistintamente da ogni soggetto identificato con il ruolo di titolare del trattamento ai sensi degli artt. 4, comma 1, lett. f) e 28 del Codice. Infatti, mentre la disciplina vigente consente al Garante di escludere talune tipologie di trattamento dall´obbligo di notificazione (cfr. art. 37, comma 2, del Codice), la stessa non permette invece di esonerare taluni titolari del trattamento da tale adempimento, in ragione, come nel caso di specie, della peculiare forma contrattuale tra loro intercorrente.

TUTTO CIÒ PREMESSO IL GARANTE:

ai sensi dell´art. 17 del Codice, accoglie la richiesta di verifica preliminare presentata da Tecnocasa Franchising s.p.a., con sede in Rozzano, Via Monte Bianco 60/A, relativa alla conservazione dei dati personali riguardanti la propria clientela, per attività di profilazione e di marketing, prescrivendo che siano adottate, a garanzia degli interessati in conformità alle disposizioni in materia di protezione dei dati personali, le misure e gli accorgimenti necessari nei termini di cui in motivazione.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 30 giugno 2016

IL PRESIDENTE
SORO   

IL RELATORE
IANNINI

IL SEGRETARIO GENERALE
BUSIA

Scheda

Doc-Web
5411203
Data
30/06/16

Argomenti


Tipologie

Verifica preliminare


Vedi anche (10)