Diritti interna

Doveri interna

ricerca avanzata

Verifica preliminare. Trattamento di dati personali riferiti alla clientela per finalità di profilazione e promozionale - 5 luglio 2017 [6844421]

SCHEDA
Garante per la protezione dei dati personali
Doc-Web:
6844421
Data:
05/07/17
Argomenti:
Profilazione
Tipologia:
Verifica preliminare

[doc. web n. 6844421]

Verifica preliminare. Trattamento di dati personali riferiti alla clientela per finalità di profilazione e  promozionale - 5 luglio 2017

Registro dei provvedimenti
n. 304 del 5 luglio 2017

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti e del dott. Giuseppe Busia, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196, di seguito "Codice");

VISTO il provvedimento generale adottato in data 24 febbraio 2005 (in www.garanteprivacy.it, doc. web n. 1103045);

ESAMINATA la richiesta di verifica preliminare ai sensi dell´art. 17 del Codice pervenuta da Brunello Cucinelli s.p.a. (di seguito "Brunello Cucinelli") concernente il trattamento dei dati personali della clientela per finalità di profilazione e marketing;

VISTE le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del Regolamento del Garante n. 1/2000;

Relatore la dott.ssa Augusta Iannini;

PREMESSO

1.1. Brunello Cucinelli ha presentato, sulla base di quanto stabilito dal Garante nel provvedimento generale del 24 febbraio 2005, un´istanza di verifica preliminare ai sensi dell´art. 17 del Codice, con lo scopo di trattare i dati personali riferiti alla propria clientela e raccolti, attraverso tutte le società del gruppo, su scala globale, per finalità di profilazione e  promozionale per un periodo superiore, rispettivamente, a quello di dodici e ventiquattro mesi previsti nel menzionato provvedimento. In particolare per le suddette finalità i dati della clientela verrebbero organizzati all´interno di un sistema di customer relationship management (di seguito "Crm").

1.2. Secondo la prospettazione offerta da Brunello Cucinelli i prodotti di lusso recanti l´omonimo marchio sono distribuiti e commercializzati non solo attraverso una rete di agenti, negozi multimarca e monomarca gestiti da terzi, ma anche attraverso una rete di negozi monomarca "diretti" (cd. DOS, directly operated stores), gestiti dalla Società e da società controllate appartenenti al Gruppo Cucinelli. La Società ha altresì rappresentato di effettuare direttamente l´attività di vendita on line attraverso l´omonimo sito web.

1.3. Il sistema Crm verrà gestito sotto il profilo tecnico mediante una infrastruttura di erogazione in cloud i cui server, contenenti l´intero database dei clienti, risiederanno in Paesi dell´Unione europea. Le funzionalità di invio di comunicazioni digitali di marketing personalizzato verranno erogate da server situati negli USA nel rispetto, in base a quanto dichiarato, delle clausole standard approvate dalla Commissione europea il 5 febbraio 2010 (cfr. istanza p. 4).

1.4. Secondo quanto precisato (cfr. nota 10 febbraio 2017), unico titolare del trattamento (anche rispetto ai dati acquisiti mediante lo store on line) è Brunello Cucinelli, mentre le società controllate che svolgono attività di gestione delle boutiques monomarca dirette (DOS), situate sia in ambito europeo che extra europeo, agiranno come responsabili del trattamento e in tale veste si occuperanno della raccolta dei dati e del relativo inserimento in via telematica nel sistema Crm. Le suddette società potranno inoltre effettuare, per conto di Brunello Cucinelli e sulla base delle istruzioni impartite, attività di invio di materiale promozionale (cataloghi, promozioni, eventi) destinati esclusivamente alla clientela locale. Il trattamento descritto nell´istanza non riguarda dati raccolti da soggetti terzi (franchisee, o partner commerciali).

I dati non costituiranno oggetto di diffusione e potranno essere trasferiti all´estero in conformità e nei limiti di cui agli articoli 43 e 44 del Codice (cfr. nota del 10 febbraio 2017, p. 2 e All. A all´istanza).

1.5. In base a quanto dichiarato i dati oggetto del trattamento nell´ambito del Crm consistono in: dati anagrafici (nome, cognome, sesso, data di nascita o, in alternativa, fascia di età) e di contatto (indirizzo postale, numero di telefono fisso e mobile, email), dettaglio degli acquisti (tipologia di prodotto, data dell´acquisto, importo speso), nonché l´attività svolta dai clienti on line all´interno dei siti web della società, ovvero a seguito della campagne di direct marketing di cui sono destinatari (cfr. istanza p. 2).

1.6. Attraverso il trattamento dei dati che confluiscono nel Crm verranno perseguite diverse finalità tra cui: l´offerta di servizi avanzati di customer care, di assistenza post vendita e di cura del cliente su richiesta esplicita dello stesso; analisi del comportamento di acquisto dei clienti e del comportamento di navigazione degli utenti, anche previo incrocio, nell´ambito del Crm, dei dati del medesimo soggetto generati sia off line che on line, mediante attività di profilazione anche personalizzata; attività promozionali e di marketing, incluse ricerche di mercato personalizzate; invio di comunicazioni promozionali via e-mail o per posta cartacea relativamente a prodotti e servizi analoghi a quelli già acquistati dal cliente; analisi generali (big data analysis) su dati relativi ai dettagli degli acquisti e alle anagrafiche dei clienti in forma aggregata e pseudonimizzata (cfr. istanza p. 4 s.).

Con riguardo a tale ultima attività la Società ha richiesto inoltre l´esonero dall´acquisizione del consenso degli interessati invocando il proprio legittimo interesse (ex art. 24, comma 1, lett. g), del Codice), consistente in ragioni di orientamento strategico e di "intelligence commerciale", e ha ribadito (cfr. nota 9.5.2017) che la big data analysis non comporterebbe alcuna «ricaduta personalizzata sugli interessati a cui i dati in origine si riferiscono, né la volontà di ritornare al singling out dei suddetti interessati»; tale attività consentirebbe di misurare i risultati di attività specifiche, di individuare aree di opportunità o debolezza ed intraprendere azioni correttive volte a migliorare i risultati aziendali, così come a migliorare l´efficacia dei processi commerciali ed operativi (cfr. nota 8 maggio 2017, punto V).

1.7. La raccolta dei dati destinati al Crm verrà effettuata in occasione dell´acquisto presso i negozi monomarca diretti, come pure on line: nel primo caso mediante compilazione di apposite schede cliente (nelle quali sarà previsto anche il rilascio dei diversi consensi per le attività che la Società intende svolgere); nel secondo caso mediante la compilazione di appositi form on line, nei quali verrà fornita l´informativa prevista dall´art. 13 del Codice e acquisito il  consenso espresso alla profilazione on line, nel rispetto delle modalità indicate nei provvedimenti generali del Garante in materia di cookie e profilazione on line (rispettivamente provv. 8 maggio 2014, n. 229, doc. web n. 3118884 e 19 marzo 2015, n. 161, doc. web n. 3881513).

Un consenso specifico sarà previsto anche con riguardo alla comunicazione infragruppo dei dati forniti dal cliente per le suddette finalità (cfr. nota 9.5.2017, p. 3).

1.8. Sulla base di quanto rappresentato dalla Società, il tempo di conservazione dei dati presenti nel Crm dovrebbe essere pari a 7 anni in quanto i relativi prodotti rappresentano beni di lusso o comunque beni di cd. fascia alta la cui frequenza media di acquisto da parte del cliente è di due volte l´anno; pertanto, operazioni di trattamento dei dati per finalità di profilazione della clientela per archi temporali inferiori al suddetto periodo non consentirebbero una «valorizzazione di medio termine della propria base clienti». Alla scadenza del termine di conservazione i dati sarebbero cancellati o anonimizzati in modo irreversibile come risulta anche dal testo dell´informativa allegato all´istanza.

1.9. La Società ha unito all´istanza sia la modulistica relativa all´acquisizione dei diversi consensi, sia un modello di informativa da cui emergono elementi che corrispondono a quelli previsti nell´art. 13 del Codice, in particolare con riguardo alla chiara indicazione che il conferimento dei dati per le distinte finalità promozionali e di profilazione anche on line è facoltativo e avverrà solamente previo espresso consenso dell´interessato; all´ambito di circolazione delle informazioni personali trattate, nonché ai diritti che l´interessato può esercitare in base all´art. 7 del Codice (cfr. All. A all´istanza).

1.10. L´istanza contiene altresì l´indicazione delle misure di sicurezza poste a presidio dei dati trattati attraverso il sistema Crm (cfr. istanza p. 7) e, con riferimento all´attività di profilazione, la dichiarazione che la Società provvederà alla notificazione prevista dagli artt. 37 e ss. del Codice.

2.1. Tanto premesso, rilevato che Brunello Cucinelli nel presentare la propria istanza ha tenuto conto delle prescrizioni in passato impartite dal Garante in relazione a trattamenti che presentano numerose analogie rispetto a quello qui considerato (cfr. i provvedimenti richiamati al punto successivo), tenendo conto delle misure che la Società ha dichiarato di voler porre in essere, si procederà di seguito ad identificare i tempi massimi di conservazione dei dati, mettendo a fuoco i soli aspetti non espressamente considerati nella richiesta, con l´individuazione delle conseguenti prescrizioni.

2.2. Con riguardo all´oggetto specifico della presente verifica preliminare, consistente nell´individuazione dei tempi massimi di conservazione dei dati riferiti alla clientela per il perseguimento delle finalità di profilazione e promozionali mediante il descritto Crm alimentato in base alle modalità sopra descritte, deve in primo luogo ritenersi che la Brunello Cucinelli operi in qualità di titolare del trattamento.

Considerato che i dati personali concernenti gli acquisti effettuati dalla clientela hanno una frequenza media di acquisto bassa (cfr. istanza, p. 8), deve ritenersi che i ricordati tempi massimi di conservazione dei dati individuati nel menzionato provvedimento del 24 febbraio 2005 possano significativamente ridurre l´utilità dell´attività di profilazione e della successiva attività promozionale.

Pertanto, considerato che in casi analoghi è stato ritenuto proporzionato per le ricordate finalità un più ampio intervallo di conservazione dei dati nel settore dei beni di lusso (cfr. provv.ti 24 aprile 2013, n. 219, doc. web n. 2499354; 30 maggio 2013, n. 263, doc. web n. 2547834; 7 novembre 2013, n. 500, doc. web n. 2920245; 2 dicembre 2015, n. 632, doc. web n. 4642844; 18 maggio 2016, n. 227, doc. web n. 5260385; 9 marzo 2017, n. 128), anche per la fattispecie in esame i dati (come sopra individuati al punto 1.5) nel rispetto del principio di pertinenza e non eccedenza, potranno essere conservati per un periodo massimo pari a sette anni decorrente dalla loro registrazione. Ciò in quanto tale arco temporale appare congruo e proporzionato alle finalità che si intendono realizzare, considerata la tipologia di dati personali oggetto di trattamento e le finalità dello stesso.

Alla scadenza del suddetto periodo di conservazione, i dati personali oggetto delle attività di profilazione e promozionali svolte da Brunello Cucinelli dovranno, come peraltro già prospettato dalla Società, essere cancellati automaticamente, ovvero resi anonimi in modo permanente e non reversibile.

2.3. Con riguardo all´informativa prevista dall´art. 13 del Codice, che la Società intende rendere alla clientela, si ricorda che essa dovrà inoltre precisare l´indicazione del periodo massimo di conservazione dei dati così come indicato dal presente provvedimento.

2.4. Quanto alla richiesta di effettuare il trattamento dei dati per finalità di analisi generale su dati aggregati e pseudonimizzati previo esonero dall´acquisizione del consenso degli interessati sulla base dell´art. 24, comma 1, lett. g), del Codice, in considerazione della ritenuta prevalenza del legittimo interesse del titolare del trattamento, tale richiesta non può, allo stato, essere accolta.

Al riguardo, in base agli essenziali elementi forniti (nell´istanza originaria e ribaditi nella successiva nota dell´8 maggio 2017, dai quali emerge la volontà della Società di non risalire comunque, a seguito di tali operazioni di trattamento, ai singoli interessati e che espressamente esclude ricadute individualizzate sugli stessi), ben potrebbero le legittime finalità individuate in termini generali dalla Società (cfr. punto 1.6) essere conseguite, nel rispetto del principio di minimizzazione dei dati (artt. 3 e 11, comma 1, lett. d), del Codice), senza trattare dati personali della clientela (tali essendo quelli pseudonimizzati), ma solo ricorrendo a dati anonimizzati e/o consensati. L´impiego di dati semplicemente pseudonimizzati ‒  considerato che la società non ha addotto elementi sufficienti per consentire una attenta ponderazione degli interessi coinvolti (cfr. istanza p. 5 e nota dell´8 maggio 2017), come peraltro previsto dal par. 29 del Regolamento (UE)  2016/679, richiamato dalla Società e che troverà applicazione a partire dal maggio 2018 ‒ risulta quindi, in base alle finalità indicate, eccedente.

Peraltro anche sotto diverso profilo la disciplina di protezione dei dati richiede che, affinché ricorra la fattispecie di cui all´art. 24, comma 1, lett. g) del Codice, il trattamento debba essere "necessario", circostanza che per le ragioni esposte non si ritiene sussistente nel caso di specie, ben potendo, come detto, essere utilizzati per il perseguimento delle finalità descritte dati anonimizzati. Nella medesima prospettiva, peraltro, si è pronunciato il Gruppo art. 29 (cfr. WP 217, Parere 6/2014 sul concetto di interesse legittimo del responsabile del trattamento ai sensi dell´articolo 7 della direttiva 95/46/CE, adottato il 9 aprile 2014, p. 34) secondo il quale il «requisito della "necessità" si applica in tutte le situazioni indicate all´articolo 7, lettere da b) a f) [della direttiva 95/46/CE], ma è particolarmente pertinente nel caso della lettera f) per garantire che il trattamento dei dati basato sull´interesse legittimo non porti a un´interpretazione indebitamente ampia della necessità di trattare i dati. Come negli altri casi, questo significa che occorre valutare se esistono altri mezzi meno invasivi per conseguire lo stesso obiettivo».

TUTTO CIÒ PREMESSO IL GARANTE

A.  visto l´art. 17 del Codice, accoglie la richiesta di verifica preliminare presentata da Brunello Cucinelli s.p.a., prescrivendo che siano adottate, a garanzia degli interessati, le misure e gli accorgimenti necessari nei termini di cui in motivazione (punti 2.2 e 2.3);

B. rigetta la richiesta di effettuare attività di analisi generale dei dati riferiti alla clientela ai sensi dell´art. 24, comma 1, lett. g), del Codice (punto 2.4).

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 5 luglio 2017

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia