Diritti interna

Doveri interna

ricerca avanzata

Verifica preliminare. Prolungamento dei tempi di conservazione dei dati personali dei clienti per un utilizzo a fini di profilazione e di promozione commerciale profilata - 12 ottobre 2017 [7297879]

[doc. web n. 7297879]

Verifica preliminare. Prolungamento dei tempi di conservazione dei dati personali dei clienti per un utilizzo a fini di profilazione e di promozione commerciale profilata - 12 ottobre 2017

Registro dei provvedimenti
n. 410 del 12 ottobre 2017

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

Visto il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito "Codice");

Visto il provvedimento generale del Garante del 24 febbraio 2005 relativo a "Fidelity card e garanzie per i consumatori. Le regole del Garante per i programmi di fidelizzazione" (in www.garanteprivacy.it, doc. web n. 1103045);

Esaminata la richiesta di verifica preliminare presentata da Bennet S.p.A., ai sensi dell´art. 17 del Codice, concernente il trattamento dei dati personali della propria clientela per finalità di profilazione;

Visti gli atti d´ufficio;

Esaminata la documentazione acquisita agli atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore la prof.ssa Licia Califano;

PREMESSO

1. La richiesta della società

1.1. Con istanza di verifica preliminare presentata ai sensi dell´art. 17 del Codice, Bennet S.p.a. (di seguito "la società"), rappresentata dall´avv. Raffaele Zallone presso il cui studio ha eletto domicilio, sulla base di quanto stabilito nel provvedimento generale adottato dal Garante il 24 febbraio 2005 relativo alle carte di fidelizzazione, ha chiesto all´Autorità il rilascio dell´autorizzazione in merito al prolungamento dei tempi di conservazione dei dati personali dei clienti per un loro utilizzo a fini di profilazione e di promozione commerciale profilata.

La società ha in particolare rappresentato che, operando la stessa nel settore della grande distribuzione con circa 62 ipermercati, nell´ambito di un´operazione di revisione ed aggiornamento dei propri programmi di marketing, intenderebbe rinnovare la propria carta fedeltà (denominata "Carta Bennet Club") prevedendo che i dati dei clienti che aderiscono al programma siano conservati e trattati per finalità di profilazione per un periodo di 24 mesi (anziché 12 mesi, come attualmente previsto in conformità al provvedimento dell´Autorità sopra citato).

Secondo quanto illustrato dalla società, infatti, la conservazione dei dati riferiti ai consumi dei clienti per un lasso temporale di 24 mesi consentirebbe un´analisi più approfondita delle dinamiche della domanda da cui deriverebbero, da un lato, la possibilità di predisporre un piano di offerte promozionali mirate  e, dall´altro, un´attenta gestione degli approvvigionamenti.

In particolare, la società ha rappresentato come in una congiuntura economica quale quella attuale, caratterizzata da una significativa contrazione dei consumi e dalla forte competitività tra gli operatori che operano nel settore della grande distribuzione, si pone l´esigenza di "cogliere i trend di mercato all´istante, proponendo offerte mirate e che allo stesso tempo incontrino la domanda secondo una tempistica precisa". Poiché infatti alcune tipologie di acquisti, che si caratterizzano per la loro stagionalità (articoli per festività natalizie e pasquali, per il mare, per il giardinaggio o per la scuola) tendono ad essere effettuati solo in prossimità dell´evento, la limitazione temporale di 12 mesi stabilita nel provvedimento dell´Autorità determina un vuoto informativo proprio nel momento in cui i dati dovrebbero essere analizzati (ovvero il momento della ricorrenza annuale di un certo tipo di acquisti).

La maggiore disponibilità temporale delle informazioni quale richiesta dalla società consentirebbe, pertanto, alla stessa di organizzare in modo più mirato le politiche di vendita nonché, al contempo, di gestire in modo più efficiente gli inventari e gli approvvigionamenti con conseguenti effetti favorevoli sia per la società, in termini di contrazione dei costi e di aumento del fatturato, sia per la clientela che si avvantaggerebbe dei prodotti in offerta.

1.2    A seguito di alcune richieste di chiarimenti formulate dall´Autorità, la società ha fornito delucidazioni e integrazioni in ordine ad alcuni profili attinenti il trattamento in questione, con particolare riferimento alla tipologia di dati conservati, ai tempi e alle modalità di conservazione.

In particolare la stessa ha precisato che:

a) i trattamenti effettuati per finalità di profilazione comportano la "raccolta, registrazione ed elaborazione dei dati di acquisto, inclusi quelli relativi al dettaglio della frequenza, della quantità e della tipologia degli acquisti al fine dell´analisi della propensione all´acquisto ed in generale della profilazione dell´utente per predisporre e proporre promozioni e offerte personalizzate" (come descritto al punto 2 dell´informativa contenuta nel modulo di raccolta dei dati ai fini del rilascio della "Carta Bennet Club", allegato all´istanza) e gli stessi sono oggetto di uno specifico consenso da parte dei clienti sottoscrittori la fidelity card distinto rispetto a quello richiesto per i trattamenti per finalità di marketing;

b) nello specifico, i dati raccolti per finalità di profilazione sono, oltre ai dati anagrafici e a quelli relativi agli specifici acquisti effettuati (che includono data e luogo di acquisto, in quanto fiscalmente obbligatori), i dati relativi alle abitudini comportamentali di acquisto: ripetitività e tipologie degli acquisti ai fini delle successive elaborazioni e per la predisposizione di proposte personalizzate, più vantaggiose e/o interessanti per i clienti;

c) già da lungo tempo, la società ha implementato un sistema di Customer Relationship Management ("CRM") nell´ambito del quale i dati raccolti vengono elaborati per l´inserimento della clientela in vari "cluster", ovvero insiemi di tipologie di clienti che possono avere interessi comuni e ai quali vengono inviate proposte mirate; i dati inseriti nel CRM, allo scadere del periodo di conservazione (attualmente previsto in 12 mesi e di cui si chiede il prolungamento fino a 24 mesi) "divengono anonimi e vengono conservati solo laddove sussistano altre finalità richieste dalla legge e/o dal contratto (invio dell´estratto punti, di premi, comunicazioni istituzionali, conservazione di scritture contabili a fini fiscali, ecc.)"

d) oltre alla predisposizione di adeguate misure di sicurezza (che prevedono, tra l´altro, l´accesso riservato ai data center al solo personale appositamente autorizzato sulla base di apposite credenziali), la società ha dichiarato di avere provveduto alla nomina dei soggetti che effettuano le attività di analisi ed elaborazione dei dati per finalità di profilazione (dipendenti addetti al marketing o società esterne) quali "responsabili" o "incaricati" del trattamento ai sensi degli articoli 29 e 30 del Codice.

2. Le valutazioni dell´Autorità

2.1 Alla luce delle argomentazioni fornite dalla società a sostegno della richiesta oggetto della presente verifica preliminare, l´Autorità ritiene che sia ragionevole individuare in 24 mesi il termine massimo di conservazione dei dati personali in questione; ciò in quanto tale arco temporale appare proporzionato rispetto alle finalità che la società intende perseguire e non risulta eccessivo in relazione ai possibili rischi per gli interessati dei cui dati si tratta.

Alla scadenza del suddetto periodo i dati personali oggetto dell´attività di profilazione dovranno essere cancellati automaticamente ovvero anonimizzati in modo permanente ed irreversibile.

2.2 Resta fermo che la società è tenuta al rispetto di tutte le prescrizioni stabilite nel provvedimento dell´Autorità del 25 febbraio 2005, con particolare riferimento al divieto di utilizzare, a fine di profilazione, dati idonei a rivelare la stato di salute e la vita sessuale degli interessati (v. par. 4 del citato provvedimento).

In particolare, alla luce della documentazione acquisita agli atti, si segnala che:

a) i trattamenti per finalità di profilazione sono tuttora soggetti all´obbligo  di notificazione di cui agli artt. 37 e ss. del Codice;

b)  l´informativa, che deve risultare completa di tutti gli elementi previsti dall´art. 13 del Codice, deve contenere - oltre all´indicazione esaustiva della tipologia di dati che la società intende trattare per finalità di profilazione - la descrizione delle caratteristiche di funzionamento del CRM in cui i dati raccolti sono inseriti sulla base di uno specifico - e comunque facoltativo - consenso degli interessati; si segnala infatti che nel modulo di raccolta dei dati allegato all´istanza in esame, i punti 2) e 3) dell´informativa, riferiti rispettivamente alle attività di profilazione e di marketing, devono essere riformulati in modo da distinguere con maggiore chiarezza le due tipologie di trattamenti; si rileva inoltre che relativamente ai diritti che gli interessati possono esercitare ai sensi dell´art. 7 del Codice, occorre specificare che gli stessi, tra cui il diritto di opposizione, riguardano anche l´attività di profilazione svolta dalla società nel rispetto delle garanzie e delle misure necessarie prescritte dal Garante, tra cui, occorre sottolineare, l´indicazione di eventuali soggetti terzi cui i dati possano essere ceduti per finalità che devono essere puntualmente individuate;

c) la designazione quali "responsabili" del trattamento ai sensi dell´art. 29 del Codice deve riguardare, finché il servizio viene affidato a soggetti esterni alla compagine societaria, anche coloro i quali si occupano della gestione e manutenzione tecnica del CRM, mentre tutti coloro che accedono al sistema medesimo devono essere designati quali "incaricati" del trattamento ai sensi dell´art. 30 del Codice, ciascuno per lo specifico settore di competenza;

d) devono essere adottate le misure di sicurezza previste dagli artt. 31 e ss. del Codice al fine di preservare l´integrità dei dati trattati e prevenire l´accesso agli stessi da parte di soggetti non autorizzati.

2.3. Le peculiari esigenze rappresentate dalla società istante ai fini dell´allungamento dei tempi di conservazione e profilazione dei dati personali riguardanti la propria clientela, oltre a trovare idoneo fondamento nei richiamati principi del Codice, possono essere condivise anche da altri titolari del trattamento operanti nel settore della grande distribuzione organizzata.

Pertanto, l´Autorità delibera che i predetti titolari del trattamento siano esonerati dall´obbligo di presentare la verifica preliminare ai fini dell´allungamento dei tempi di conservazione e profilazione dei dati personali riguardanti i propri clienti per un periodo di 24 mesi, a condizione che le modalità del trattamento medesimo siano analoghe a quelle individuate nel presente provvedimento e che gli stessi adottino tutte le misure e gli accorgimenti prescritti nel provvedimento generale del 24 febbraio 2005.

TUTTO CIO´ PREMESSO IL GARANTE

a) alla luce di quanto dichiarato dalla società e considerati gli elementi dalla stessa forniti, accoglie la richiesta di verifica preliminare presentata ai sensi dell´art. 17 del Codice relativa al prolungamento del termine di conservazione dei dati personali della clientela per il loro utilizzo a fini di profilazione fino a 24 mesi, fermo restando che la società dovrà, quali misure necessarie:

1) conservare i dati utilizzati per finalità di profilazione per il periodo massimo di 24 mesi, provvedendo, alla scadenza di detto periodo, alla cancellazione automatica di tali dati ovvero alla trasformazione degli stessi in forma anonima in modo permanente e non reversibile;

2) predisporre una adeguata modulistica per la raccolta del consenso al trattamento dei dati personali per attività di profilazione, fornendo agli interessati una specifica e articolata informativa che, unitamente agli elementi previsti dall´art. 13 del Codice, espliciti le finalità del trattamento di profilazione e fornisca agli stessi una descrizione sufficientemente chiara delle caratteristiche di funzionamento del sistema CRM in cui i dati raccolti vengono inseriti sulla base di uno specifico - e comunque facoltativo - consenso degli interessati;

3) designare quali "responsabili" del trattamento ai sensi dell´art. 29 del Codice, finché il servizio viene affidato a soggetti esterni alla compagine societaria, anche coloro i quali si occupano della gestione e manutenzione tecnica del CRM, mentre tutti coloro che accedono al sistema medesimo devono essere designati quali "incaricati" del trattamento ai sensi dell´art. 30 del Codice, ciascuno per lo specifico settore di competenza;.

b) delibera che i titolari del trattamento operanti nel settore della grande distribuzione organizzata siano esonerati dall´obbligo di presentare la verifica preliminare ai fini dell´allungamento dei tempi di conservazione e profilazione dei dati personali riguardanti i propri clienti per un periodo di 24 mesi, a condizione che le modalità del trattamento medesimo siano analoghe a quelle individuate nel presente provvedimento e che gli stessi adottino tutte le misure e gli accorgimenti prescritti nel provvedimento generale del 24 febbraio 2005.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 12 ottobre 2017

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia