Garante per la protezione
    dei dati personali

Prescrizioni e divieto del Garante [art. 154, 1 c) e d) del Codice]

[v. Newsletter - cfr. Provv. 9 marzo 2006]

Privacy inalbergo: vietato "spiare" i gusti dei clienti

 

IL GARANTE PERLA PROTEZIONE DEI DATI PERSONALI

In data odierna, in presenzadel prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti,vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato,componenti, e del dott. Giovanni Buttarelli, segretario generale;

Visto il Codice in materia diprotezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

Vista la documentazione inatti;

Viste le osservazioniformulate dal segretario generale ai sensi dell'art. 15 del regolamento delGarante n. 1/2000;

Relatore il dott. GiuseppeFortunato;

PREMESSO

1. Trattamento di datipersonali della clientela da parte di Baglioni hotels S.p.A.
1.1. A seguito di accertamenti svolti indata 7 dicembre 2005 presso la sede del Regina Hotel Baglioni, appartenentealla catena di alberghi riconducibile a "Baglioni hotels S.p.A." (di seguito, la societą), l'Autoritą haeffettuato in data 23 marzo 2006 e, successivamente, il 21 novembre 2007 alcunicontrolli per verificare la conformitą alla disciplina in materia di protezionedei dati personali dei trattamenti di dati raccolti (anche mediante postaelettronica) con le schede di rilevazione delle preferenze dei clienti confinalitą di profilazione e analisi delle abitudini e scelte di consumo; hannoaltresď formato oggetto di verifica i trattamenti effettuati in occasione dellaprenotazione del servizio alberghiero.

1.2. Dagli accertamentieffettuati Ź emerso che Baglioni hotels S.p.A., titolare dei predettitrattamenti (cfr. verbale 7 dicembre 2005, p. 2), raccoglie i dati personaliche la clientela fornisce in occasione della compilazione (anche on line sul sito web www.baglionihotels.com) della c.d. scheda di notificazione (cfr. all. 2 al verbale cit.) e della schedadi rilevazione delle preferenze (cfr. all. 3 al verbale cit.).

I dati personali contenutinella c.d. scheda di notificazione, richiesti al cliente al momento dellaprenotazione, consistono, in particolare, in:

0.     dati anagrafici:nome, cognome, data e luogo di nascita e cittadinanza;

0.     residenza e recapiti,tra i quali indirizzo, e-mail e numero del telefono;

0.     dati relativi adaltri componenti del nucleo familiare in caso di soggiorno dei medesimi (conl'indicazione del nominativo e della data e del luogo di nascita).

ť altresď emerso che nellamedesima circostanza (ossia al momento della prenotazione) la societą forniscealla clientela l'informativa di cui al modello in atti (all. 1 al verbale cit.).Al riguardo la societą ha precisato che si tratta di "un unico modellodi informativa al quale dovrebbero attenersi tutte le unitą locali dellasocietą, ovvero tutti i singoli alberghi dislocati sul territorionazionale" (cfr. verbale cit. p. 2).

Per la prenotazioneeffettuata on line l'informativa Ź resa tramite un apposito link alla"Privacy Policy" presente sul sito web della societą (cfr. all. 5 al verbalecit.).

1.3. Ulteriori dati personalivengono raccolti nell'ambito del programma "Elite Service", finalizzato a personalizzare i serviziche la societą intende rendere a una specifica categoria di clienti, ossia aquelli che "prenotano una particolare tipologia di camera (Suite,Junior Suite) o che appartengono ad una delle seguenti categorie: persone cheprenotano attraverso l'Agenzia americana "Virtuoso", AmericanExpress, membri della Leading, giornalisti" (cfr. verbale cit. p. 2).

Le informazioni richiestenell'ambito di tale programma consistono nell'indicazione da parte dell'ospitedelle proprie preferenze in ordine a:

0.     il tipo di stanza ela sua ubicazione;

0.     il giornalequotidiano che desidera ricevere;

0.     i pasti,l'illuminazione della stanza, i servizi a pagamento di cui il cliente desiderafruire (servizio di baby sitter, servizio di limousine, ecc.).

Tali informazioni sonoraccolte mediante l'utilizzo di un modulo cartaceo, reso disponibile presso la reception, come pure tramite l'invio al cliente,che ha effettuato la prenotazione sul sito web o telefonicamente, di una apposita e-mail. In entrambi i moduli (cartaceo eon-line) Ź inclusa l'informativa relativa al particolare trattamento di daticontenuti nella c.d. scheda di rilevazione preferenze. I dati cosď raccoltivengono registrati in un'apposita banca dati e sono accessibili tramite un sistemadenominato "Opera Hotel Edition".

1.4. Dalle dichiarazioni reseper conto della societą e in particolare dall'informativa, Ź emerso che i datipersonali della clientela di cui al punto 1.2. del presente provvedimento sonoraccolti per "le seguenti finalitą: 1°: adempimenti di Legge qualicomunicazioni agli Enti di Pubblica Sicurezza ed altri organi di vigilanza,Pubbliche amministrazioni, per lo svolgimento delle funzioni istituzionali, neilimiti stabiliti dalla Legge e dai regolamenti, alle societą esterne designate"responsabili" del trattamento; 1b: ai fini di invio di materialepubblicitario o di vendita diretta o per il compimento di ricerche di mercato odi comunicazione commerciale solo ed esclusivamente da Baglioni Hotels e sueassociate" (cfr. all. 1 al verbale cit.).

Con riferimento agli altridati raccolti dalla societą (cfr. punto 1.3.), nell'informativa contenuta nella scheda cartacea dirilevazione delle preferenze Ź fatto presente che i medesimi sono trattati "peruna profilazione dei clienti ai fini di una maggior personalizzazione delservizio" (cfr. all. 3 al verbale cit.). Al riguardo lasocietą ha precisato che il sistema "Opera Hotel Edition", sopra menzionato, "non consentedi effettuare alcuna elaborazione sui singoli clienti" avendo "la sola utilitą dievidenziare le preferenze dei clienti, cosď come riportato sulle prefate schededi rilevazione" (cfr. verbale cit., p. 2).

2. Liceitą deltrattamento: consenso

2.1. Nell'ambito dellosvolgimento dell'attivitą alberghiera la societą tratta i dati personali deiclienti per assolvere ad alcuni obblighi (quelli derivanti dalla legge onecessari per dare esecuzione al contratto), consentendo agli ospiti lafruizione del servizio secondo le modalitą previste dall'adesione al programma "EliteService". Ciė conlo scopo di personalizzare e migliorare il servizio, senza dar vita aun'attivitą di profilazione in senso stretto (cfr. Provv. 9 marzo 2006 e Provv. 24 febbraio 2005, punti 1e 4,  ). Inoltre, i dati possono esseretrattati per il compimento di attivitą di marketing.

In ordine alle finalitąappena descritte deve rilevarsi che la societą, in ragione delle modalitąprescelte per acquisire il consenso, non risulta aver sempre rispettato ladisciplina in materia di protezione dei dati personali nella parte in cui essaprevede che, per il trattamento dei dati della clientela per la finalitą di marketing, deve essere acquisito un consensolibero, specifico e distinto (art. 23 e 24 del Codice; v. pure, fra glialtri, Provv. 24 febbraio 2005, cit., punto 7).

Diversamente da quanto accadein relazione al modello di acquisizione del consenso contenuto nella c.d.scheda di notificazione, che lascia correttamente libero l'interessato diprestare o meno il proprio consenso per lo svolgimento della finalitą di marketing (e che Ź quindi conforme alla disciplinavigente), nel modello di prenotazione da effettuarsi on-line (all. 5 al verbale cit.) −nonostantequanto previsto nella relativa informativa− non risulta, dagliaccertamenti effettuati, che la societą abbia effettivamente adottato nellaprocedura di prenotazione le misure idonee a consentire agli interessati dimanifestare un consenso libero e specifico al trattamento dei dati per finalitądi marketing (cfr. Provv. 24 febbraio 2005, cit., punto 6).

La societą risulta avertrattato illecitamente i dati degli interessati raccolti on-line con riferimento alla finalitą di marketing; limitatamente a tale finalitą vadisposto il divieto di cui in dispositivo e la societą non potrą altresďulteriormente trattare i dati gią raccolti in violazione di legge (artt. 11,commi 1, lett. a) e 2; 23, comma 3).

Fermo restando che per quantoriguarda il trattamento dei dati preordinato all'esecuzione del contratto eall'assolvimento di  obblighi legali non Ź necessario il consenso altrattamento dei dati (e che lo stesso non dovrebbe essere quindi, percorrettezza, acquisito: art. 24, comma 1, lettere a) e b), del Codice), lasocietą deve pertanto individuare specifiche modalitą che consentano ai clientidi esprimere liberamente e specificamente, anche nel modello on−line, leproprie scelte in ordine allo svolgimento da parte della stessa di attivitą di marketing, trattandosi di una finalitą differenteda quella concernente la prestazione alberghiera.

Qualora la societą intendaporre in essere ulteriori attivitą di marketing con i dati raccolti in occasione dellaprenotazione del servizio alberghiero, dovrą servirsi di una modulistica dalcontenuto diverso rispetto a quella attualmente in uso sul sito web menzionato, in modo da consentire allaclientela di autodeterminarsi in ordine al trattamento dei dati per dettafinalitą, rendendo possibile l'acquisizione di un consenso specifico per il suoperseguimento (ad esempio, predisponendo un distinto check box per chi, oltre a richiedere il servizio,intenda autorizzare il titolare del trattamento allo svolgimento di taleattivitą).

Valutati gli adempimenti dasvolgere e tenuto conto dei diritti delle persone interessate Ź necessario chela societą ottemperi senza ritardo alle prescrizioni sopra indicate fornendo aquesta Autoritą (entro e non oltre il 15 marzo 2008, intervallo di tempo daritenersi congruo in relazione alle attivitą da porre in essere) un dettagliatoe documentato riscontro.

TUTTO CIŮPREMESSO IL GARANTE

1) ai sensi dell'art.154, comma 1, lett. c), del Codice, prescrive a "Baglioni hotelsS.p.A.", qualora intenda porre in essere ulteriori attivitą i marketing con i dati raccolti in occasione dellaprenotazione del servizio alberghiero, di individuare modalitą che assicurinoin sede di prenotazione on-line del servizio una libera e specificamanifestazione del consenso degli interessati con riferimento a detta finalitą(punto 2.1.);

2) ai sensi dell'art.154, comma 1, lett. d), del Codice, ferma restando l'inutilizzabilitą dei datigią trattati in modo illecito e non corretto (art. 11, comma 2), vieta a"Baglioni hotels S.p.A.", limitatamente all'utilizzo dei datiraccolti on-line per finalitą di marketing, ulteriori trattamenti in violazione della disciplina diprotezione dei dati personali (punto 2.1.);

3) ai sensi dell'art.157 del Codice prescrive a "Baglioni hotels S.p.A." di dare confermaa questa Autoritą, entro e non oltre il 15 marzo 2008, dell'attuazione delleprescrizioni di cui al presente dispositivo allegando adeguata documentazione.

Roma, 31 gennaio 2008

IL PRESIDENTE
Pizzetti

IL RELATORE
Fortunato

IL SEGRETARIO GENERALE
Buttarelli