g-docweb-display Portlet

Verifica preliminare. Estensione dei tempi di conservazione di dati personali riguardanti la clientela per attività di profilazione e di marketing - 22 maggio 2018 [9020250]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9020250]

Verifica preliminare. Estensione dei tempi di conservazione di dati personali riguardanti la clientela per attività di profilazione e di marketing - 22 maggio 2018

Registro dei provvedimenti
n. 325 del 22 maggio 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196, di seguito “Codice”);

VISTO il provvedimento generale adottato in data 24 febbraio 2005 “Fidelity card e garanzie per i consumatori. Le regole del Garante per i programmi di fidelizzazione” (in www.garanteprivacy.it, doc. web n. 1103045);

ESAMINATA la richiesta di verifica preliminare ai sensi dell’art. 17 del Codice pervenuta da PC S.r.l. (di seguito anche “Società”) concernente l’estensione dei tempi di conservazione dei dati personali della clientela per finalità di profilazione e di marketing rispetto ai termini indicati nel menzionato provvedimento generale ; 

VISTO il Regolamento (UE) n. 679/2016 sulla protezione dei dati personali  del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito “Regolamento”);

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000;

Relatore la dott.ssa Augusta Iannini;

PREMESSO 

PC S.r.l. ha presentato, sulla base di quanto stabilito dal Garante nel menzionato provvedimento generale del 24 febbraio 2005, un’istanza di verifica preliminare ai sensi dell’art. 17 del Codice, con lo scopo di trattare i dati personali riferiti alla propria clientela e raccolti, per finalità di profilazione e di marketing diretto, per un periodo superiore, rispettivamente, a quello di 12 e 24 mesi previsti nel ridetto provvedimento.

Secondo quanto rappresentato dalla Società, che opera nel campo della moda offrendo prodotti di fascia medio-alta (sia nei negozi che attraverso l’e-commerce), i dati della clientela per le suddette finalità, organizzati all’interno di un sistema di customer relationship management (“CRM”), dovrebbero essere conservati per un periodo pari a 7 anni, in ragione della frequenza media di acquisto dei propri prodotti che non appare significativa nell’arco temporale di un solo anno, posto che un cliente “effettua mediamente un solo acquisto durante un anno solare o due acquisti in corrispondenza dei periodi primavera-estate e autunno-inverno”. 

Pertanto, sulla base di tali considerazioni, il rispetto dei tempi di conservazione di 12 e 24 mesi per le predette finalità limiterebbe, ovvero renderebbe di fatto impossibile o comunque priva di effettivo valore una qualsiasi profilazione  della clientela  rispetto agli acquisti effettuati.

A tal fine la Società ha anche richiamato i provvedimenti emanati dall’Autorità, a fronte di analoghe istanze di prior checking, nei confronti di altri titolari operanti nel medesimo settore merceologico, che hanno previsto un’estensione dei tempi di conservazione in termini simili a quelli indicati nell’odierna istanza di verifica preliminare.

La Società ha altresì evidenziato alcuni ulteriori aspetti del trattamento dei dati personali della propria clientela che però non verranno presi in considerazione nel presente provvedimento, non costituendo lo specifico oggetto della richiesta.

Su tali aspetti si ritiene tuttavia opportuno ricordare che, alla luce della nuova disciplina dettata dal richiamato Regolamento, il quale sarà pienamente efficace a far data dal prossimo 25 maggio 2018, la Società sarà tenuta ad effettuare ogni più opportuna valutazione, tenendo conto delle norme in esso contenute, nel rispetto dei richiamati principi e condizioni di liceità (cfr. artt. 5 e 6 Reg.). 

Nel nuovo quadro normativo spetterà al titolare del trattamento, in virtù del principio di responsabilizzazione (art. 5, par. 2), anche adottare adeguate misure tecnico-organizzative al fine di garantire la conformità del trattamento al  Regolamento stesso (cfr. artt. 24 e 25 Reg.)

Inoltre, laddove il trattamento possa presentare un rischio elevato per i diritti e le libertà delle persone fisiche, sarà necessario effettuare una preliminare valutazione d’impatto sulla protezione dei dati personali. Tale valutazione sarà peraltro necessariamente richiesta nel caso di una “valutazione sistematica e globale di aspetti personali relativi a persone fisiche, basata su un trattamento automatizzato compresa la profilazione  e sulla quale si fondano decisioni che hanno effetti giuridici o incidono in modo analogo significativamente su dette persone fisiche” (cfr. art. 35 Reg.). 

Tanto premesso, con riguardo all’oggetto specifico della presente verifica preliminare, sulla base di quanto dichiarato dall’istante, deve ritenersi che i tempi di conservazione individuati nel menzionato provvedimento del 24 febbraio 2005, siano effettivamente tali da ridurre “significativamente” l’utilità dell’attività di profilazione e della successiva attività di marketing, poiché i dati personali concernenti gli acquisti effettuati dalla clientela di PC S.r.l. presentano una frequenza media di acquisto alquanto bassa, rispetto alla quale le operazioni di trattamento per le richiamate finalità, se svolte per archi temporali inferiori a quelli richiesti, ne vanificherebbero utilità ed effetti.

Pertanto, considerato che in casi analoghi è stato ritenuto proporzionato per le menzionate finalità un più ampio intervallo di conservazione dei dati  nel settore della moda (cfr., da ultimi, provv.ti  2 dicembre 2015, n. 632, doc. web n. 4642844; 18 maggio 2016, n. 227, doc. web n. 5260385; 9 marzo 2017, n. 128; 5 luglio 2017, n. 304, doc. web n. 6844421), anche per la fattispecie in esame, nel rispetto dei principi di pertinenza e non eccedenza, il tempo di conservazione dei dati si ritiene possa essere esteso, come richiesto, per un periodo massimo di sette anni, decorrente dalla loro registrazione, potendo ritenersi tale arco temporale congruo e proporzionato alle finalità che la società intende perseguire.

Alla scadenza del suddetto periodo di conservazione, i dati personali oggetto delle attività di profilazione e marketing svolte da PC S.r.l. dovranno essere cancellati automaticamente, ovvero resi anonimi in modo permanente e non reversibile.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 17 del Codice:

a) sulla base delle informazioni rese dall’istante, accoglie la richiesta di verifica preliminare presentata da PC s.r.l. con sede in Milano, via Borgogna, 3 con riguardo all’estensione dei tempi di conservazione dei dati personali  riguardanti la propria clientela, per attività di profilazione e di marketing, per un periodo massimo di 7 anni a decorrere dalla relativa registrazione;

b)  prescrive che alla scadenza del suddetto periodo i dati vengano  automaticamente cancellati, ovvero trasformati in forma anonima in modo permanente e non reversibile. 

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 22 maggio 2018

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia



Vedi anche (9)