[doc. web n. 4715839]

Provvedimento del 17 dicembre 2015

Registro dei provvedimenti
n. 664 del 17 dicembre 2015

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro Presidente, della dott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196), con particolare riferimento agli artt. 2, comma 2, 11, comma 1, lett. a), 13, comma 1 e 2 e comma 5, lett. c) e 154;

VISTO il provvedimento generale del Garante del 26 novembre 1998 in materia di esonero dall´obbligo di rendere l´informativa agli interessati (doc. web n. 39624);
VISTA l´istanza, formulata congiuntamente da Olimpias Group S.r.l. e IDEA s.r.l., con la quale, stante l´avvenuto trasferimento di un ramo di azienda dalla prima in favore della seconda, è stato chiesto al Garante per la protezione dei dati personali l´esonero dall´obbligo di rendere individualmente l´informativa agli interessati, con contestuale indicazione, da parte dell´Autorità, di eventuali misure appropriate ai sensi dell´art. 13, comma 5, lett. c), del Codice;

VISTA la documentazione in atti, con particolare riferimento al contratto di cessione;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Augusta Iannini;

Premesso

1. L´istanza delle società.

1.1. E´ pervenuta a questa Autorità in data 25 maggio 2015 l´istanza −successivamente integrata dalle note del 30 settembre 2015, del 25 novembre 2015 e del 26 novembre 2015, recanti elementi ulteriori e nuova documentazione− formulata congiuntamente da Olimpias Group S.r.l. e IDEA s.r.l., con la quale è stato chiesto, in relazione all´avvenuto conferimento −ai fini della connessa gestione− del ramo di azienda avente ad oggetto la commercializzazione al pubblico di articoli di vestiario, prodotti tessili ed accessori, l´esonero dall´obbligo di rendere individualmente l´informativa agli interessati e la contestuale indicazione di eventuali misure appropriate ai sensi dell´art. 13, comma 5, lett. c), del Codice.

La procedura di vendita e cessione del predetto ramo di azienda si è conclusa, come risulta dalla comunicazione pervenuta al Garante in data 30 settembre 2015, con la stipula dell´atto notarile avvenuta in data 25 maggio 2015.

Sulla base di quanto stabilito nell´atto di conferimento, il trasferimento ha ad oggetto il ramo di azienda di proprietà di Olimpias Group S.r.l. che comprende il complesso dei beni e dei rapporti contrattuali organizzati funzionalmente per lo svolgimento in via autonoma dell´attività sopra indicata, complesso nel quale rientrano, tra l´altro, anche "i punti vendita gestiti da Olimpias sulla base di contratti estimatori in essere con soggetti terzi [c.d. rivenditori]" (cfr. l´istanza presentata il 25 maggio 2015, p. 3, lett. d) e l´allegato 3.1. (i) all´atto di conferimento contenente l´elenco di tali rivenditori), come risultante, nel dettaglio, nell´art. 3.1. dell´atto di conferimento.

1.2. Suddetta cessione, così come rappresentata, comporta effetti non solo sulla titolarità di beni e rapporti giuridici ma anche sulla titolarità del trattamento dei dati personali oggetto di cessione, risultando, infatti, dalle dichiarazioni fornite dalle società istanti, che IDEA s.r.l. dal 25 maggio 2015 –a seguito del conferimento del ramo di azienda di proprietà di Olimpias Group s.r.l.– ha acquisito rispetto ai dati identificativi e personali dei dipendenti, dei fornitori, dei rivenditori e dei clienti, oggetto di conferimento, la qualifica di titolare del trattamento (come confermato da IDEA s.r.l. con nota del 30 settembre 2015).

Tuttavia, bisogna sottolineare che il trattamento dei dati personali coincidente con le attività della cessionaria interessato dal perimetro del ramo di azienda oggetto di trasferimento per il quale le società istanti ravvisano la necessità di chiedere l´esonero dall´obbligo di rendere l´informativa, si riferisce, in particolare, al trattamento connesso al database relativo ai dati personali dei possessori di carte fedeltà contenente i nominativi (e gli ulteriori dati personali) dei clienti che hanno sottoscritto il c.d. "Modulo di richiesta Fidelity Card" predisposto da Olimpias Group s.r.l. e dalla medesima distribuito presso i propri (ex) rivenditori affiliati (cfr. nota di Olimpias Group s.r.l. del 26 novembre 2015, punto b)). E´ stato inoltre constatato che in ordine alla raccolta di tali dati già realizzata da Olimpias Group S.r.l. e volta specificamente al perseguimento di attività di profilazione e marketing, la società ha provveduto, ai sensi degli artt. 23 e 130 del Codice, ad ottenere distinti ed espressi consensi da parte degli interessati aderenti ai programmi di fidelizzazione citati, così come indicato nel relativo modulo di adesione documentato in atti (cfr. l´allegato n. 1 all´istanza presentata il 25 maggio 2015).

Per quanto concerne, invece, le ulteriori categorie di soggetti i cui dati personali sono stati oggetto del conferimento del ramo di azienda (in particolare quelle relative ai fornitori, ai dipendenti e ai rivenditori), essi, invece, possono essere destinatari di idonea informativa individuale, considerato che tali interessati sono agevolmente raggiungibili; trattasi, peraltro, di un´informativa che, come asserito da IDEA s.r.l. nella comunicazione successivamente inoltrata al Garante il 25 novembre 2015, la medesima ha già provveduto a rendere ai soggetti in questione ai sensi dell´art. 13, comma 1 e 2 del Codice (cfr. comunicazione di IDEA s.r.l. del 25 novembre 2015 e nota di Olimpias Group s.r.l. del 26 novembre 2015, punto a)).

Occorre sottolineare che, nel complesso, l´operazione di cessione, secondo le stime effettuate dalle società istanti, riguarderebbero un numero elevato di soggetti (essendo circa 11.350 quelli partecipanti al programma di fidelizzazione citato di cui, tra l´altro, solo 1.615 contattabili tramite e mail, così come attestato da Olimpias Group s.r.l. nella nota del 30 settembre 2015, p. 2, punto c) e successiva nota del 26 novembre 2015, punto c); nonché confermato da IDEA s.r.l. con nota del 25 novembre 2015).

In relazione alla suddetta operazione, IDEA s.r.l. ha, infine, dichiarato di voler effettuare il trattamento dei dati riferito alla menzionate tipologie di interessati, in termini sostanzialmente invariati per quanto concerne le finalità e le modalità seguite, e quindi in modo compatibile con gli scopi per i quali le stesse sono state in precedenza raccolte e trattate (cfr. l´istanza presentata il 25 maggio 2015, p. 3, lett. g)).

1.3. In ragione dell´assunzione da parte della società IDEA della qualità di titolare del trattamento dei dati personali relativi agli interessati (limitatamente all´ambito di competenza relativo al ramo di azienda acquistato), la stessa si è posta il problema delle modalità con le quali gli interessati debbano essere informati riguardo a tali circostanze (art. 13 del Codice).

A detta di IDEA s.r.l., cui a seguito della successione nel ramo di azienda spetterà in sostanza porre in atto le misure prescritte ai sensi del presente provvedimento, sussisterebbero notevoli difficoltà nell´informare in modo adeguato un numero così elevato di clienti aderenti ai programmi di fidelizzazione coinvolti nella operazione di cessione; ciò comporterebbe l´impiego di mezzi manifestamente sproporzionati rispetto ai diritti degli interessati.

Alla luce di tali considerazioni, IDEA s.r.l. chiede di poter fornire l´informativa non mediante comunicazioni individuali ma attraverso modalità alternative. A tal fine la società chiede al Garante di voler fornire l´indicazione di eventuali misure appropriate, ai sensi dell´art. 13, comma 5, lett. c), del Codice in materia di protezione dei dati personali.

2. L´informativa agli interessati e le ulteriori condizioni di liceità del trattamento.

2.1 Preliminarmente si rileva (come peraltro riconosciuto dagli istanti) che la cessione del ramo di azienda effettuata da Olimpias Group s.r.l. in favore di IDEA s.r.l. non ha esaurito i suoi effetti solo sul piano civilistico, ma ha investito anche l´aspetto relativo alla protezione dei dati personali di soggetti che, prima di allora, avevano contatti con la sola società cedente (all´epoca titolare del trattamento).

Al riguardo si ribadisce che entrambe le società, assumendo ogni responsabilità ai sensi dell´art. 168 del Codice, hanno dichiarato che, anche a seguito della cessione del ramo d´azienda, il trattamento dei dati personali degli interessati proseguirà in termini sostanzialmente invariati rispetto a prima, nel rispetto delle finalità che ne avevano determinato la raccolta e con l´osservanza delle modalità sino ad allora seguite (cfr. l´istanza presentata il 25 maggio 2015, p. 3 lett. g)).

2.2 In merito al profilo relativo alla comunicazione dei dati personali degli interessati da Olimpias Group s.r.l. a IDEA s.r.l., si rileva che nel caso in questione, essendosi verificata una cessione di ramo di azienda, trovano applicazione gli artt. 2558 (successione nei contratti), 2559 (crediti relativi all´azienda ceduta), 2560 (debiti relativi all´azienda ceduta) e 2112 (mantenimento dei diritti dei lavoratori in caso di trasferimento d´azienda) del codice civile. In ragione di tale peculiare disciplina, sul piano sostanziale si determina una successione legale del nuovo imprenditore in tutti i rapporti giuridici e in tutte le posizioni attive e passive facenti capo al cedente (salvo, riguardo ai contratti, i rapporti aventi carattere personale), sicché, subentrando l´acquirente –per legge– nella stessa posizione dell´alienante, il trattamento dei dati personali di dipendenti, fornitori, rivenditori e clienti (con riguardo a quest´ultima categoria, si fa riferimento al complesso dei trattamenti indicati al punto 1.2) connessi alla gestione del ramo di azienda ceduto, non necessita di alcun consenso, trovando applicazione il presupposto equipollente di cui all´art. 24, comma 1, lett. b) del Codice, che consente di prescindere da esso nel caso in cui il trattamento sia necessario per eseguire obblighi derivanti da un contratto di cui sia parte lo stesso interessato.

Inoltre, tenuto conto dell´art. 26, comma 4, lett. d) del Codice, non necessita di consenso il trattamento dei dati anche sensibili dei dipendenti, risultando al riguardo sufficiente il rispetto delle sole prescrizioni contenute nell´autorizzazione generale n. 1/2014 del Garante al momento vigente.

2.3 Ciò premesso, resta comunque doveroso il rispetto dell´obbligo posto dall´art. 13 del Codice che, nell´ipotesi in cui –come quella in questione– i dati personali non siano raccolti direttamente presso l´interessato, impone al titolare del trattamento di rendere l´informativa al predetto "all´atto della registrazione dei dati o, quando è prevista la loro comunicazione, non oltre la prima comunicazione" (art. 13, comma 4 del Codice).

Nel caso in oggetto, stante la cospicua mole dei rapporti in cui IDEA s.r.l. è subentrata "ex lege" –in proposito, basti considerare gli oltre 9.000 nominativi dei soggetti aderenti al programma di fidelizzazione non contattabili tramite lo strumento della posta elettronica– si deve effettivamente ritenere che non sia possibile rendere l´informativa a tutti gli interessati in forma individuale e che, comunque, anche qualora ciò fosse astrattamente realizzabile, ne discenderebbe un impiego di mezzi manifestamente sproporzionato –anche per costi ed oneri– rispetto al diritto tutelato. Resta invece configurabile lo strumento della comunicazione individuale rispetto ai partecipanti al programma di fidelizzazione in esame che, come confermato dalle società interessate, risultano agevolmente contattabili; ciò in ragione del fatto che gli stessi al momento dell´adesione al programma prescelto hanno fornito il proprio indirizzo di posta elettronica e che tale operazione coinvolgerebbe un numero, contenuto, di circa 1.600 clienti (in tal senso cfr. Provv. 11 giugno 2015, doc. web n. 4169456).

Pertanto, si ritiene che, nei termini di cui sopra, la richiesta di esonero possa essere accolta e per l´effetto, ai sensi dell´art. 13, comma 5, lett. c) del Codice, si prescrive, quale misura appropriata, che l´informativa agli interessati venga resa secondo modalità alternative e semplificate.

A tal fine, si ricordi che la disciplina di protezione dei dati personali prevede che i dati personali debbano essere trattati "secondo correttezza" (art. 11, comma 1, lett. a), del Codice), assicurando un livello elevato di tutela dei diritti e delle libertà fondamentali "nel rispetto dei princìpi di semplificazione, armonizzazione ed efficacia" (art. 2, comma 2, del Codice); tali garanzie possono essere assicurate nel caso in esame mediante la pubblicazione dell´informativa contenente gli elementi previsti dall´art. 13, commi 1 e 2 del Codice sui siti web di Olimpias Group s.r.l e IDEA s.r.l., nonché mediante affissione della medesima presso i punti vendita dei rivenditori affiliati oltre che presso l´outlet di proprietà di IDEA s.r.l. ubicato nella sede della stessa società (cfr. nota di IDEA s.r.l. del 25 novembre 2015), avendo cura, comunque, di fornire direttamente ai soggetti ceduti gli elementi contenuti nell´art. 13, commi 1 e 2, del Codice alla prima occasione utile.

TUTTO CIÒ PREMESSO, IL GARANTE:

a) accoglie la richiesta di esonero e, per l´effetto, ai sensi dell´art. 13, comma 5, lett. c) del Codice, dispone che IDEA s.r.l, possa prescindere, per le ragioni di cui in motivazione, dal rendere l´informativa individuale agli interessati partecipanti al programma di fidelizzazione posto in essere da Olimpias Group s.r.l mediante il "Modulo di richiesta tessera Fidelity Card" che non hanno fornito un indirizzo di posta elettronica in occasione dell´adesione al relativo programma;

b) al fine di assicurare agli interessati di cui al punto a) la conoscibilità delle caratteristiche del trattamento dei loro dati personali, dispone ai sensi dell´13, comma 5, lett. c) del Codice, che vengano adottate alcune "misure appropriate" e precisamente che:

1. IDEA s.r.l fornisca gli elementi contenuti nell´art. 13, comma 1 e 2 del Codice in occasione della prima circostanza utile di contatto e comunque mediante affissione del testo recante l´informativa presso i locali dei punti vendita dei rivenditori affiliati e dell´outlet di proprietà della medesima;

2. entrambe le società coinvolte nella cessione pubblichino sui propri siti web un annuncio recante i contenuti dell´informativa;

c) prescrive ad IDEA s.r.l, ai sensi dell´art. 154, comma 1, lett. c) del Codice, di rendere agli interessati contattabili via e mail e partecipanti al suddetto programma di fidelizzazione, entro 60 giorni dalla ricezione del presente provvedimento, un´idonea informativa individuale ai sensi dell´art. 13, comma 1 e 2 del Codice.

Si ricorda che la violazione delle disposizioni riguardanti l´informativa di cui all´art. 13 è punita con la sanzione amministrativa prevista dall´art. 161 del Codice; la mancata osservanza delle prescrizioni impartite ai sensi dell´art. 154, comma 1, lett. c), del Codice è applicata in sede amministrativa la sanzione del pagamento di una somma da trentamila a centottantamila euro.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 17 dicembre 2015

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia