Diritti interna

Doveri interna

ricerca avanzata

Verifica preliminare. Estensione dei tempi di conservazione di dati personali riguardanti la clientela per attività di profilazione e di marketing - 22 maggio 2018 [9020258]

SCHEDA
Garante per la protezione dei dati personali
Doc-Web:
9020258
Data:
22/05/18
Argomenti:
Marketing , Conservazione di dati , Profilazione
Tipologia:
Verifica preliminare

[doc. web n. 9020258]

Verifica preliminare. Estensione dei tempi di conservazione di dati personali riguardanti la clientela per attività di profilazione e di marketing - 22 maggio 2018

Registro dei provvedimenti
n. 326 del 22 maggio 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196, di seguito “Codice”);

VISTO il provvedimento generale adottato in data 24 febbraio 2005 “Fidelity card e garanzie per i consumatori. Le regole del Garante per i programmi di fidelizzazione” (in www.garanteprivacy.it, doc. web n. 1103045);

ESAMINATA la richiesta di verifica preliminare ai sensi dell’art. 17 del Codice pervenuta da Jaked S.r.l. (di seguito anche “Società”) concernente l’estensione dei tempi di conservazione dei dati personali della clientela per finalità di profilazione e di marketing rispetto ai termini indicati nel menzionato provvedimento generale;

VISTO il Regolamento (UE) n. 679/2016 sulla protezione dei dati personali  del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito “Regolamento”);

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000;

Relatore la prof.ssa Licia Califano;

PREMESSO

Jaked S.r.l. ha presentato, sulla base di quanto stabilito dal Garante nel menzionato provvedimento generale del 24 febbraio 2005, un’istanza di verifica preliminare ai sensi dell’art. 17 del Codice, con lo scopo di trattare i dati personali riferiti alla propria clientela e raccolti, per finalità di profilazione e di marketing diretto, per un periodo superiore, rispettivamente, a quello di 12 e 24 mesi previsti nel ridetto provvedimento.

Secondo quanto rappresentato dalla Società, che opera nel campo della moda  vendendo prodotti di “fascia medio-alta” (presenti sia nei negozi che nei siti e-commerce), i dati della clientela per le suddette finalità, organizzati all’interno di un sistema di customer relationship management (“CRM”), dovrebbero essere conservati per un periodo pari a 7 anni, in ragione della frequenza media di acquisto dei propri prodotti, definiti di “fascia medio-alta”,  che non appare significativa nell’arco temporale di un solo anno, posto che un cliente “effettua mediamente un solo acquisto durante un anno solare o due acquisti in corrispondenza dei periodi primavera-estate e autunno-inverno”.

Pertanto, sulla base di tale prospettazione, il rispetto dei tempi di conservazione di 12 e 24 mesi per le predette finalità limiterebbe, ovvero renderebbe di fatto impossibile o comunque priva di effettivo valore una qualsiasi profilazione  della clientela  rispetto agli acquisti effettuati.

A tal fine la Società ha anche richiamato i provvedimenti emanati dall’Autorità, a fronte di analoghe istanze di prior checking, nei confronti di altri titolari operanti nel medesimo settore merceologico, che hanno previsto un’estensione dei tempi di conservazione in termini simili a quelli indicati nell’odierna istanza di verifica preliminare.

La Società ha altresì evidenziato alcuni ulteriori aspetti del trattamento dei dati personali della propria clientela che però non verranno presi in considerazione nel presente provvedimento, non costituendo lo specifico oggetto della richiesta.

Su tali aspetti si ritiene tuttavia opportuno ricordare che, alla luce della nuova disciplina dettata dal richiamato Regolamento, il quale sarà pienamente efficace a far data dal prossimo 25 maggio 2018, la Società sarà tenuta ad effettuare ogni più opportuna valutazione, tenendo conto delle norme in esso contenute, nel rispetto dei richiamati principi e condizioni di liceità (cfr. artt. 5 e 6 Reg.). 

Nel nuovo quadro normativo spetterà al titolare del trattamento, in virtù del principio di responsabilizzazione (art. 5, par. 2), anche adottare adeguate misure tecnico-organizzative al fine di garantire la conformità del trattamento al  Regolamento (cfr. artt. 24 e 25 Reg.)

Inoltre, laddove il trattamento possa presentare un rischio elevato per i diritti e le libertà delle persone fisiche, sarà necessario effettuare una preliminare valutazione d’impatto sulla protezione dei dati personali. Tale valutazione sarà peraltro necessariamente richiesta nel caso di una “valutazione sistematica e globale di aspetti personali relativi a persone fisiche, basata su un trattamento automatizzato compresa la profilazione  e sulla quale si fondano decisioni che hanno effetti giuridici o incidono in modo analogo significativamente su dette persone fisiche” (cfr. art. 35 Reg.).

Tutto ciò premesso, con riguardo all’oggetto specifico della presente verifica preliminare,  devono, tuttavia,  svolgersi alcune considerazioni.

In particolare, dalle verifiche effettuate, è emerso che i prodotti contrassegnati dal marchio Jaked, attraverso i quali la Società opera nel campo della moda, non appartengono, per tipologia e caratteristiche, ad una fascia di consumo alta o medio-alta, tale da dar luogo ad una frequenza di spesa diluita nel tempo ed in particolare ad un acquisto per singolo prodotto nell’arco di una o due volte l’anno, così come rappresentato dalla stessa.

In tal senso, non può pertanto rinvenirsi la rappresentata necessità per la Società  istante, rispetto alle attività di profilazione e di marketing che intenderebbe svolgere, di conservare i dati della propria clientela per periodi più lunghi (7 anni) rispetto a quelli indicati nel provvedimento generale del  24 febbraio 2005. 

Tale richiesta non trova, infatti,  conforto nelle prospettate difficoltà di svolgere le predette attività in maniera utile ed efficace.

Pertanto, la presente istanza di verifica preliminare non può essere accolta, non ravvisandosi, allo stato, i presupposti per riconoscere alla Società un’estensione dei tempi di conservazione dei dati della propria clientela, pari ai sette anni richiesti.

I dati acquisiti e registrati nei sistemi aziendali dovranno quindi essere conservati nel rispetto dei previsti termini di 12 e 24 mesi, rispettivamente per finalità di profilazione e di marketing diretto, come indicato nel provvedimento generale del 24 febbraio 2005 ed essere cancellati, ovvero trasformati in forma anonima in modo permanente e non reversibile alla relativa scadenza. 

Cionondimeno, si ricorda che, proprio nell’ambito della menzionata valutazione di impatto che la Società sarà tenuta ad eseguire, ove ricorrano le condizioni sopra richiamate, alla luce del nuovo assetto regolamentare, la stessa potrà, anche eventualmente, effettuare valutazioni più puntuali, rispetto alla previsione di termini di conservazione conformi ad effettive esigenze aziendali.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 17 del Codice:

a) rigetta, per le suesposte motivazioni,  la richiesta di verifica preliminare presentata da Jaked S.r.l. con sede in Gallarate (VA), via Carlo Noè, 22 relativamente all’estensione dei tempi di conservazione dei dati personali riguardanti la propria clientela, per attività di profilazione e di marketing;

b) prescrive che i dati, conservati nel rispetto dei periodi indicati nel menzionato provvedimento generale del 24 febbraio 2005, vengano, alla relativa scadenza,  automaticamente cancellati, ovvero trasformati in forma anonima in modo permanente e non reversibile.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 22 maggio 2018

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia