g-docweb-display Portlet

Fidelity card: prescrizioni su trattamento eccedente di dati personali e informativa al cliente - 28 maggio 2009 [1625257]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 1625257]
[vedi Newsletter]

Fidelity card: prescrizioni su trattamento eccedente di dati personali e informativa al cliente - 28 maggio 2009

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

IN DATA ODIERNA, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Filippo Patroni Griffi, segretario generale;

VISTE le segnalazioni di Paro Fabio Trecarichi e di Filippo Becchina in ordine al trattamento di dati personali effettuato da Unitessile s.p.a., società produttrice di capi d´abbigliamento a marchio IANA;

VISTI gli elementi acquisiti a seguito degli accertamenti effettuati;

VISTE le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Mauro Paissan;

PREMESSO

1.1. Con distinte segnalazioni del 2 e 28 ottobre 2008 (dal contenuto analogo) Paro Fabio Trecarichi e Filippo Becchina hanno rappresentato che Unitessile s.p.a. (di seguito, la società) avrebbe trattato dati personali riferiti ai medesimi mediante il sistema informatico installato presso i punti vendita di rispettiva titolarità. Mediante tale sistema (consistente di personal computer, modem, software opportunamente configurato per "colloquiare" con la società e cassa informatica), a detta dei segnalanti obbligatoriamente installato presso i rispettivi esercizi commerciali, sarebbero stati trattati dati riferiti alla commercializzazione dei prodotti a marchio IANA (prezzo, articolo, quantità di capi venduti), dovendo tali informazioni formare oggetto di comunicazione giornaliera tra l´esercizio commerciale e la società medesima.

Uno dei segnalanti ha lamentato la presenza nella cassa informatica in dotazione di "files protetti da password sconosciuta al negoziante" asserendo che, nonostante l´attività del punto vendita sia cessata, dati che lo riguardano formerebbero ancora oggetto di trasmissione (v. nota del 2 ottobre 2008).

1.2. Oltre a tale profilo, i segnalanti hanno rappresentato che sarebbero state trattate in violazione della disciplina di protezione dei dati personali le informazioni riferite ai clienti titolari della "fidelity card", rilasciata dai negozi che commercializzano prodotti a marchio IANA, comunicate alla società mediante il descritto sistema (in particolare, dati anagrafici, recapiti telefonici, indirizzi, anche e-mail e dati anagrafici dei componenti il nucleo familiare).

1.3. Infine, le segnalazioni si soffermano su aspetti – non rientranti tra le competenze rimesse al Garante – relativi alla natura ingannevole del messaggio pubblicitario diffuso dalla società attraverso il proprio sito Internet per promuovere l´apertura di punti vendita di abbigliamento a marchio IANA (già oggetto di una decisione dell´Autorità garante per la concorrenza ed il mercato) oltre che su profili – suscettibili di valutazione da parte dell´autorità giudiziaria ordinaria – connessi alla qualificazione e all´esecuzione del contratto intercorso con la società.

2.1. Con nota in atti del 23 dicembre 2008, la società, allegando la pertinente documentazione, ha dichiarato che:

  • l´installazione del sistema informatico sopra descritto (peraltro non utilizzato in tutti i punti vendita) non sarebbe obbligatoria; lo stesso è, infatti, in uso "nei contratti dove Unitessile rimane proprietaria dei prodotti, ossia nei contratti denominati "contratto di gestione punto vendita e di commissione" e "commissionario"; "al di fuori di tali tipologie contrattuali può essere proposto ai nuovi clienti ed installato solo previo consenso da parte di questi ultimi; ovvero può essere installato nei punti vendita che lo richiedono espressamente" (p. 2);
  • tale sistema "consente di avere un facile monitoraggio della merce venduta e a magazzino, con ogni conseguenza contabile" ed offre vantaggi anche ai punti vendita in quanto "permette loro di verificare con facilità quali articoli è necessario riassortire, nonché di inoltrare l´ordine on-line, con evidente risparmio di costi e tempo" (p. 2);
  • l´impiego delle "fidelity card" sarebbe rimessa alla "scelta dei singoli negozianti a fronte di una proposta di Unitessile. Non è infatti presente in tutti i punti vendita" (p. 3);

La società, inoltre, confermando quanto dichiarato dai segnalanti in merito alla tipologia di dati personali riferite alla clientela oggetto di raccolta e trattamento, ha altresì precisato che:

  • i dati riferiti agli esercizi commerciali oggetto delle segnalazioni attengono ai movimenti di magazzino e alle vendite;
  • il trattamento è finalizzato all´applicazione di "una scontistica ai clienti sui prodotti acquistati e [a favorire] iniziative commerciali e promozionali varie", nonché a "valutare l´eventuale corresponsione ai singoli punti vendita di percentuali e/o sconti sule vendite (di regola, per la tipologia contrattuale "contratto di gestione punto vendita e commissione") (nota 23 dicembre 2008 cit., p. 5);
  • solo i dati relativi ai clienti di uno specifico punto vendita, diverso da quelli facenti capo ai segnalanti, "sono stati trasmessi a Consodata s.p.a., per attività di elaborazione e "profilazione" al fine di promuovere una successiva attività di marketing poi non realizzata" (nota 23 dicembre 2008 cit., p. 6).

La società ha inoltre negato l´asserita presenza nelle casse informatiche di "files protetti da password sconosciuta al negoziante". In ordine alla persistente trasmissione dei dati dei segnalanti al server della società, la medesima ha dichiarato che "tale trasmissione si attiva solo attraverso la connessione ad Internet" e dipende dal fatto che l´interessato non ha "provveduto ad effettuare la cancellazione totale dei dati e dei parametri di trasmissione dal personal computer, procedura che è possibile effettuare attraverso formattazione del disco fisso oppure eliminando il programma gestionale di magazzino" (nota 23 dicembre 2008 cit., p. 6).

2.2. Con comunicazioni e ulteriori allegazioni documentali i segnalanti hanno ribadito integralmente le proprie posizioni (cfr. note datate 27 aprile 2009 e 26 aprile 2009 e rispettivi allegati), con specifico riguardo:

  • all´asserita obbligatorietà dell´utilizzo del contestato sistema informatico;
  • all´assenza di consenso al trattamento mediante detto sistema dei dati relativi all´andamento dell´attività commerciale svolta dai rispettivi punti vendita;
  • alla ritenuta profilazione dell´attività commerciale dei punti vendita che sarebbe conseguita al trattamento dei dati svolto (comprovata, a detta degli istanti, dalla notificazione del relativo trattamento effettuata dalla società il 10 ottobre 2008, ovvero in data successiva alla prima delle due segnalazioni);
  • all´inutilizzabilità del sistema informativo per raccogliere ordini on-line fino alla data di cessazione dei rispettivi rapporti di collaborazione commerciale.

2.3. Nell´ambito degli accertamenti effettuati presso la sede della società in data 3 e 4 marzo 2009 quest´ultima, ai sensi e per gli effetti dell´art. 168 del Codice, ha sostanzialmente confermato le dichiarazioni rese in precedenza, precisando che:

  • "presso i punti di vendita di capi con marchio IANA può essere installata, previo accordo delle parti, la cosiddetta cassa informatica. Si tratta di un client che trasmette a Unitessile i dati relativi alle vendite del singolo punto vendita. […] l´installazione di tale cassa viene sempre rimessa alla libertà dell´impresa che gestisce il negozio e non viene, in alcun modo, imposta da Unitessile. Esattamente il contrario accade, invece, per i negozi di cui Unitessile è proprietaria" (verbale operazioni compiute del 3 marzo 2009, p. 2);
  • formano oggetto di comunicazione "i dati relativi alle vendite, comprensivi dei codici degli articoli venduti (codici che consentono di individuare il capo di abbigliamento venduto), la quantità degli articoli venduti e i dati relativi alle fidelity cards rilasciate dal punto vendita" (verbale operazioni compiute del 3 marzo 2009, p. 2);
  • "i dati raccolti attraverso il sistema delle casse informatiche vengono utilizzati per una molteplicità di analisi statistiche: si tratta, per lo più, di statistiche a livello di area (il venduto in una certa area geografica), di articolo (per comprendere come stia procedendo, ad esempio, la vendita di un nuovo capo). Non viene effettuata alcuna profilazione relativa ai punti vendita" (verbale operazioni compiute del 3 marzo 2009, p. 3) e "sono stati originariamente raccolti nella prospettiva di una loro analisi per finalità di programmazione aziendale dei budget, nei fatti mai eseguita con la conseguenza che la società si è limitata a conservarli nei propri archivi. Gli stessi non presentano, allo stato, una utilità specifica per Unitessile. Ciò in quanto i dati rilevanti sono estrapolati dall´andamento dei pagamenti in relazione alla merce di volta in volta somministrata" (verbale operazioni compiute del 4 marzo 2009, p. 2).
  • "i dati relativi al venduto, anche ove non esistessero le casse informatiche, sono comunque conosciuti da Unitessile in base al rapporto che lega la società al proprio cliente, gestore del punto di vendita IANA. Le casse informatiche consentono l´acquisizione di tali dati in tempo pressoché reale e consentono, pertanto, una migliore gestione delle risorse" (verbale operazioni compiute del 3 marzo 2009, p. 3);
  • il trattamento dei dati comunicati mediante il sistema informatico "è sempre stato ritenuto elemento del rapporto contrattuale dal momento in cui i clienti acconsentivano alla installazione della cassa informatica, concordandone verbalmente le modalità di funzionamento e l´eventuale assistenza da remoto in caso di malfunzionamento. Con particolare riferimento al sig. Becchina, come già comunicato e documentato, è stato acquisito il consenso scritto al trattamento dei dati effettuato attraverso le casse informatiche", precisando che in ordine a tale aspetto la comunicazione "era nota" ai contraenti, come risulterebbe dal fatto che "molto spesso i negozi venivano avvisati, per lo più via telefono, di errori nella trasmissione dei dati o di loro mancata trasmissione" e dalla circostanza che poteva essere fornita assistenza da remoto ai medesimi da parte di incaricati della società (verbale operazioni compiute del 3 marzo 2009, p. 4);
  • in relazione, infine, alla possibilità di acquisire conoscenza di files presenti sul client da remoto, la società ha precisato che può essere effettuata "assistenza da remoto nel caso di malfunzionamento del client. In tale caso è necessaria la collaborazione del cliente" (verbale operazioni compiute del 3 marzo 2009, p. 4);
  • in relazione alle carte di fidelizzazione, diffuse a partire dal 2000, le stesse danno diritto a sconti presso i singoli punti vendita (e a carico dei medesimi) e contengono una pluralità di dati personali (tra i quali numero e sesso dei figli e attività svolta). In relazione ad essi, comunque, la società non svolge attività di marketing diretto né ha effettuato attività di profilazione, pur avendo preso contatti al riguardo nel passato con altra società appositamente designata responsabile del trattamento e avendo notificato il trattamento in vista di una possibile realizzazione di tale attività (verbale operazioni compiute del 3 marzo 2009, p. 5; v. anche allegato 1 alla nota del 23 dicembre 2008 cit.).

3.1. Dalle risultanze istruttorie non risulta comprovato, salvo quanto si preciserà in ordine all´informativa resa, che il trattamento dei dati personali effettuato mediante il segnalato sistema informatico si ponga in violazione con i principi di protezione dei dati personali.

In proposito è irrilevante, ai fini del presente provvedimento, la questione relativa alla pretesa "obbligatorietà" dell´adozione di tale sistema, ancorché risulti in atti che l´installazione e l´utilizzo dello stesso abbiano formato oggetto di accordo tra le parti (cfr. art. 5 dell´accordo commerciale "push & pull" sottoscritto dalle parti, contraddistinto quale all. 10 alla nota del 27 aprile 2009 di Trecarichi, e rinvenibile, con riferimento a Becchina, nell´ambito dell´all. 7 b) alla nota Unitessile del 23 dicembre 2008 cit. e dell´all. 3 al verbale di operazioni compiute del 4 marzo 2009; v. anche le proposte di fornitura ed installazione del materiale informatico di cui ai preventivi n. 3063 e 2760, sottoscritte per accettazione alla p. 2, rispettivamente, il 28 giugno 2006 da Trecarichi e il 16 gennaio 2006 da Becchina e trasmesse dalla società, sia nell´ambito degli allegati 7 a) e 7 b) alla nota del 23 dicembre 2008 cit., sia in all. 3 e 4 al verbale di operazioni compiute del 4 marzo 2009; v. poi, il medesimo documento riferito a Trecarichi prodotto, sia pur limitatamente alla p. 1, anche dal segnalante, quale allegato 15 alla nota del 27 aprile 2009; in tal senso anche l´art. 2 del contratto quadro di fornitura merci sottoscritto dai segnalanti e rinvenibile nell´ambito degli allegati 7 a) e 7 b) cit. che dispone che "gli ordini potranno essere inviati, purché per iscritto, con qualsivoglia mezzo"). Infatti, le informazioni oggetto di trattamento mediante il contestato sistema – che in quanto riguardanti movimenti di magazzino e vendite appaiono, in larga misura, contenutisticamente non diverse da quelle già a disposizione della società in quanto desumibili dagli ordinativi della merce da effettuarsi in esecuzione del contratto quadro – devono comunque ritenersi, ai sensi dell´art. 11 del Codice, pertinenti e non eccedenti rispetto alle legittime finalità perseguite dalla società (ad es. per programmare la produzione o rendere più efficiente la distribuzione e l´assortimento dei propri prodotti).

3.2. Né è possibile ritenere che – avendo l´utilizzo di tale sistema formato oggetto di espressa pattuizione tra le parti – rispetto al trattamento delle informazioni personali connesse all´esecuzione dell´accordo "push & pull" la legge richieda il consenso degli interessati, dovendosi piuttosto invocare l´esistenza del presupposto di liceità alternativo al consenso di cui all´art. 24, comma 1, lett. b) del Codice.

Ma, più in generale, il consenso all´utilizzo dello strumento e conseguentemente alla comunicazione delle informazioni (anche al di fuori del più ristretto ambito segnato dall´accordo sopra menzionato) è desumibile dalle numerose comunicazioni elettroniche che i segnalanti hanno scambiato con la società in ordine al regolare funzionamento del sistema medesimo (in copia agli atti: cfr. e-mail allegate alle segnalazioni del 2 e 28 ottobre 2008; v. anche e-mail relative alla trasmissione dei dati da e verso il sistema installato presso i punti vendita di Trecarichi e Becchina in all. 4 alla nota Unitessile del 12 marzo 2009); inoltre, l´invio dei dati non poteva avvenire automaticamente, presupponendo un´autonoma iniziativa dei titolari degli esercizi commerciali che, con cadenza giornaliera, avrebbero dovuto provvedere, attivando un´apposita procedura, a trasmetterli alla società (circostanza, questa, ulteriormente confermata dai reiterati inviti della società rivolti alle controparti contrattuali ad attenersi alla tempistica prevista per l´invio delle comunicazioni in esame).

Non appare quindi verosimile l´assunto fatto proprio dai segnalanti circa l´assenza di consenso nell´effettuazione di tali comunicazioni.

Peraltro, la documentazione contrattuale sottoscritta dai segnalanti (più precisamente, da Trecarichi in data 8 luglio 2006 e da Becchina il 14 luglio 2006) contiene una ampia formula di manifestazione del consenso al trattamento dei propri dati personali da parte di Unitessile.

3.3. Tanto premesso, deve però rilevarsi che l´informativa resa a Trecarichi (diversamente da quella fornita da Becchina) appare inidonea a soddisfare i requisiti previsti all´art. 13 del Codice limitandosi la stessa a riferire che, "con la firma apposta in calce" alla pagina che la reca, l´interessato "è stato compiutamente informato" (peraltro ai sensi della legge n. 675/1996, già abrogata e sostituita dal Codice alla data dell´8 luglio 2006) circa "le finalità e modalità del trattamento dei dati; la natura obbligatoria o meno del conferimento dei dati; le conseguenze di eventuale rifiuto a rispondere; ambito di diffusione dei dati e soggetti ai quali potranno essere comunicati", elementi prescritti dall´art. 13, in ordine ai quali, tuttavia, al di là della mera elencazione, non contiene alcuna indicazione specifica.

Per tale profilo il Garante si riserva, con autonomo procedimento, la verifica dei presupposti per la contestazione della violazione amministrativa concernente l´inidoneità dell´informativa fornita a Trecarichi (artt. 13 e 161 del Codice).

Preso atto, peraltro, che il nuovo modello di informativa predisposto dalla società a vantaggio delle proprie controparti contrattuali (redatta successivamente all´apertura dell´istruttoria da parte di questa Autorità e in uso dal novembre 2008) risulta conforme al Codice (v. allegato 8 alla nota 23 dicembre 2008 cit.), non è necessario impartire ulteriori prescrizioni al riguardo.

3.4. In relazione, infine, al trattamento di dati personali riferiti alla clientela mediante carte di fidelizzazione, deve rilevarsi che il modello di raccolta dati originariamente utilizzato dalla società (v. all. 4 alla nota del 28 dicembre 2008 cit.) contiene informazioni eccedenti rispetto alla finalità in concreto perseguita (peraltro non utilizzati dalla società), atteso che non è emerso che la società abbia effettuato attività di profilazione della clientela: in particolare la professione del soggetto richiedente la carta oltre che i dati riferiti ai figli del richiedente non costituiscono informazioni pertinenti rispetto all´unica finalità perseguita consistente nell´attribuire vantaggi (sotto forma di sconti) derivanti dal suo utilizzo (cfr. anche Provv. 24 febbraio 2005, doc. web n. 1103045, punto 3).

Per tale ragione, la società dovrà cancellare tali dati non pertinenti ed eccedenti entro e non oltre il 20 luglio 2009 provvedendo a darne riscontro, entro lo stesso termine, a questa Autorità.

Considerato, inoltre, che, successivamente all´apertura dell´istruttoria da parte di questa Autorità, la società ha provveduto a riformulare il modello destinato alla raccolta delle informazioni conformandosi alle prescrizioni già impartite dal Garante nel menzionato provvedimento del 23 dicembre 2008, non si rendono necessarie ulteriori prescrizioni al riguardo, salvo precisare per quali dati il conferimento sia obbligatorio.

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c), del Codice, prescrive a Unitessile S.p.A., quale misura necessaria, di:

1. cancellare i dati personali riferiti ai clienti titolari di carte di fidelizzazione non pertinenti ed eccedenti, consistenti nella professione del soggetto richiedente la carta oltre che i dati riferiti ai figli del richiedente, entro e non oltre il 20 luglio 2009 provvedendo a darne riscontro, entro lo stesso termine, a questa Autorità (punto 3.4.);

2. specificare nell´informativa fornita in occasione del rilascio delle carte di fidelizzazione per quali dati personali il conferimento sia obbligatorio (punto 3.4.).

Roma, 28 maggio 2009

IL PRESIDENTE
Pizzetti

IL RELATORE
Paissan

IL SEGRETARIO GENERALE
Patroni Griffi