Garante per la protezione
    dei dati personali

Prescrizioni e divieto del Garante [art. 154, 1 c) e d) del Codice]

Provvedimento del 19maggio 2008

IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI

In data odierna, in presenza del prof.Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vicepresidente, del dott. Giuseppe Fortunato e del dott. Mauro Paissan, componenti,e del dott. Giovanni Buttarelli, segretario generale;

Visto il Codice in materia di protezionedei dati personali (d.lg. 30 giugno 2003, n. 196);

Vista la documentazione in atti;

Viste le osservazioni formulate dalsegretario generale ai sensi dell'art. 15 del regolamento del Garante n.1/2000;

Relatore il dott. Giuseppe Fortunato;

PREMESSO

1.1. Trattamento di dati della clientelada parte di Mondial Casa S.p.A..
In data 28 giugno 2006 l'Autoritą haeffettuato accertamenti ai sensi dell'art. 157 del Codice presso la sede legaledi Mondial Casa S.p.A. al fine di verificare l'osservanza della disciplina diprotezione dei dati rispetto alla fornitura di beni e servizi attraversovendite a distanza previste dalla legge, nonché ad eventuali operazioni ditrattamento volte a verificare l'affidabilitą e solvibilitą economica dellaclientela.

Dagli elementi acquisiti risulta che lasocietą commercializza oggetti per la casa ("principalmente batterie dipentole alle quali vengono associate di volta in volta, a seconda delle offerteperiodicamente effettuate, anche altri beni per la casa": cfr. verbale operazioni compiute, pag. 2, inatti), venduti alla clientela in occasione di visite dimostrative effettuate dapropri incaricati.

Tali visite sono effettuate a richiestadella clientela (inoltrata via Internet o per telefono): quando l'interessatocontatta telefonicamente la societą un software, registrato il numero chiamante, attiva una chiamataal potenziale cliente e lo assegna a un operatore. Questi, forniti ichiarimenti eventualmente chiesti, concorda un appuntamento dimostrativofinalizzato alla vendita e registra dati anagrafici e recapiti del cliente,informandolo "che i dati raccolti verranno utilizzati per [fissare] unappuntamento con il nostro incaricato nell'arco dei prossimi [...] giorni" (secondo la procedura denominata "script-telefonata diconferma dati": all. 2 alverbale di accertamento, in atti). La possibilitą di fissare un appuntamentocon gli incaricati alle vendite della societą (raccogliendo le medesimeinformazioni personali) Ź offerta anche mediante il sito www.mondialcasa.it.

In occasione dell'incontro dimostrativo,svolto generalmente presso il domicilio dell'interessato, l'incaricato di zonadella societą fornisce l'informativa prevista dall'art. 13 del Codice (conformeal modello di cui all'allegato n. 4 al verbale, in atti) e acquisisce ilconsenso al trattamento dei dati personali per le diverse finalitą perseguitedalla societą stessa (in merito alle quali v. par. 2).

1.2. Tempi di conservazione dei datiraccolti.
Dagli elementi in atti emerge che "i dati relativi aiclienti [che hanno effettuato unacquisto] vengono conservati dall'azienda a tempo indeterminato, atteso chegli stessi hanno diritto, secondo le condizioni contrattuali, a una garanzia avita con riferimento alle pentole vendute dalla societą". Tali informazioni sono trattate, perė, ancheper effettuare attivitą di telemarketing.

La societą, inoltre, "non hastabilito un tempo di conservazione"anche per i dati di chi, pur avendo concordato un incontro con i responsabilidi zona, non abbia proceduto ad alcun acquisto. Tali informazioni sonoutilizzate dalla societą (nel cui data base risultano circa 400.000anagrafiche) per contattare questa parte della clientela al fine di comprendere"se il mancato acquisto sia dipeso dal prodotto o dall'atteggiamentodel venditore"(cfr. p. 4 delverbale, in atti).

1.3. Alla luce della documentazioneacquisita, e tenuto conto delle osservazioni formulate dalla societą, questaAutoritą ravvisa, nei termini di seguito illustrati, taluni profili diviolazione della disciplina vigente in relazione al trattamento dei datipersonali; con il presente provvedimento, pertanto, ai sensi dell'art. 154,comma 1, lett. c) e d), del Codice, prescrive l'adozione delle misurenecessarie per rendere i trattamenti sopra indicati conformi alle disposizionicontenute nel medesimo Codice e vieta di effettuare ulteriori trattamenti inviolazione di legge.

Non formano invece oggetto del presenteprovvedimento i profili relativi al distinto ed autonomo procedimentosanzionatorio attivato e concluso a seguito della contestazione dellaviolazione amministrativa ai sensi dell'art. 161 del Codice.

2. Informativa
2.1. Le diversemodalitą di raccolta delle informazioni personali della clientela (in occasionedel contatto telefonico oppure mediante la compilazione di modelli residisponibili online, del successivo incontro dimostrativo e dell'eventuale stipuladel contratto) implicano che, indipendentemente dal mezzo di volta in voltautilizzato, debbano essere rese all'interessato le informazioni contenutenell'art. 13 del Codice; non risulta peraltro necessario fornirgli elementi chegli siano gią noti (art. 13, comma 2 del Codice; v. pure, con specificoriferimento all'informativa resa da servizi di informazione e assistenza alpubblico, Provv. 15 novembre 2007).

Tenuto conto degli elementi in atti, lemodalitą utilizzate dalla societą per adempiere a tale obbligo non risultanopienamente conformi alla disciplina di protezione dei dati personali.

2.2. Con riguardo all'informativa resa online –che presenta talune inesattezze quali il richiamo alla disciplinaprevigente (l. n. 675/1996) anziché al Codice–, si rilevano alcunecarenze che la rendono inidonea a rappresentare, in modo agevole e trasparente,le varie fasi del trattamento posto in essere dalla societą.

Sul relativo sito web figurano duemodelli di informativa. Nel primo, cui Ź possibile accedere dalla schermatadedicata all'inserimento dei dati necessari a fissare l'incontro dimostrativo,non sono indicati alcuni elementi caratterizzanti del trattamento effettuato,vale a dire le finalitą del trattamento e le informazioni indicate ai punti b),c), d) dell'art. 13 ("la natura obbligatoria o facoltativa delconferimento dei dati", "leconseguenze di un eventuale rifiuto di rispondere", "i soggetti o le categorie disoggetti ai quali i dati possono essere comunicati o che possono venirne aconoscenza in qualitą di responsabili o incaricati e l'ambito di diffusione deimedesimi"). Anche un secondomodello (non preordinato espressamente ad acquisire le informazioni personaliper la visita a domicilio), che Ź rinvenibile in una diversa sezione del sito eche presenta le carenze appena evidenziate (ad eccezione dell'identificazionedelle finalitą del trattamento e dell'identificazione nelle societą finanziariedelle categorie di soggetti destinatari dei dati), fornisce l'informativarispetto al complessivo trattamento effettuato dalla societą.

A tale riguardo l'Autoritą ha messo inluce gią in passato l'esigenza che, al fine di rendere in modo chiaro e trasparentel'informativa agli interessati, gli elementi individuati all'art. 13 del Codicefigurino in un unico contesto (Provv. 13 gennaio 2000); tale principioŹ stato ribadito prescrivendo che "l'informativa inserita all'internodi moduli deve essere adeguatamente evidenziata e collocata in modo autonomo eunitario in un apposito riquadro, ed essere cosď agevolmente individuabilerispetto ad altre clausole del regolamento di servizio eventualmente riportatoin calce o a margine" (Provv. 24febbraio 2005, cit.).

Risulta quindi necessario che, formulandosenza ritardo le due informative in univoco contesto, la nuova informativa siaresa non carente delle predette notizie, chiara e di agevole comprensione pergli interessati.

2.3. Anche l'informativa resa inoccasione del contatto telefonico mediante call center, contenente l'indicazione di una sola delle finalitądel trattamento, risulta carente in ordine alla menzione, anche in formasintetica, dei diritti dell'interessato. La societą, tenendo conto dei princďpirichiamati nel menzionato provvedimento del 15 novembre 2007, dovrą integraresenza ritardo l'informativa resa inserendo, anche secondo uno stilecolloquiale, gli elementi che non siano gią noti all'interlocutore.

2.4. La societą dovrą fornire adeguatoriscontro a questa Autoritą dell'attuazione delle prescrizioni di cui alpresente punto 2 entro e non oltre il termine del 27 giugno 2008, che si stimacongruo per consentire la riformulazione dell'informativa e la predisposizionedella modulistica, allegando la pertinente documentazione.

3. Consenso al trattamento
Comeevidenziato, i dati personali trattati dalla societą sono richiesti nella faseprecontrattuale, oltre che per dare esecuzione all'eventuale rapportonegoziale, anche per la distinta finalitą di marketing (in particolare, ditelemarketing) per la quale Ź necessario il consenso specificodell'interessato, che non risulta essere acquisito dalla societą rispettando ladisciplina in materia di protezione dei dati (art. 23 del Codice; Provv. 24 febbraio 2005).

La formulazione presente nellamodellistica a tal fine utilizzata dalla societą non Ź quindi idonea asoddisfare i requisiti richiesti atteso che il consenso informato deve esseremanifestato "specificamente in riferimento ad un trattamentochiaramente individuato" (art.23, comma 1, del Codice).

n calce alla modulistica impiegata dallasocietą, che in un'unica sede fa riferimento anche all'accettazione dellecondizioni generali di contratto, l'interessato "autorizza", infatti, il trattamento dei dati personali"per i fini sopra indicati",tra i quali figura anche l'invio di "informazioni promozionali ecommerciali". Il consenso cosďraccolto mira, quindi, ad autorizzare con unica formulazione una pluralitą ditrattamenti invero ben distinti. Da un lato, si colloca infatti lo svolgimentodi attivitą di marketing; dall'altro, l'attivitą di gestione del rapportoprecontrattuale ed, eventualmente, contrattuale (per la quale, peraltro, aisensi dell'art. 24, comma 1, lett. b), del Codice non Ź richiesto il consensodell'interessato).

Pertanto, la societą risulta avertrattato in violazione di legge i dati degli interessati per finalitą di marketing (artt. 11 e 23 e art. 11, comma 2 del Codice); vaquindi disposto in proposito il divieto dell'ulteriore trattamento dei datiraccolti. L'inosservanza di tale divieto Ź sanzionata penalmente (art. 170 delCodice).

4. Tempi di conservazione deidati
In termini generali, con particolare riferimento ai tempi diconservazione e in applicazione dei princďpi di pertinenza e non eccedenza(artt. 3 e 11, comma 1, lett. d), del Codice), va prescritta l'identificazionedei tempi massimi di conservazione dei dati trattati alla luce delle finalitąin concreto perseguite dalla societą (prenotazione dell'incontro dimostrativo,conclusione del contratto di vendita, gestione dell'eventuale sostituzione deiprodotti in garanzia), fatta salva la sussistenza di obblighi di legge (adesempio, in relazione alla tenuta di scritture contabili: art. 2220 cod.civ.).

Tale principio deve trovare applicazionecon riguardo sia alle anagrafiche della clientela che non effettua alcunacquisto, e rispetto ai quali "la societą non ha stabilito un tempo diconservazione", sia ai datirelativi agli acquirenti.

In relazione ai dati personali riferitiai soggetti che si siano resi acquirenti, potranno essere in particolareconservati a tempo indeterminato i dati relativi alla clientela a vantaggiodella quale la societą accordi una garanzia con durata illimitata; diversamente,i dati dovranno essere cancellati (o trattati in forma anonima) ove la loroconservazione non risulti altrimenti giustificata (art. 11, comma 1, lett. e),del Codice).

In relazione ai dati personali riferiti asoggetti che non si siano resi acquirenti, poi, non risulta dagli attigiustificata la conservazione di dati personali per un tempo ulteriore rispettoa quello necessario alla prenotazione ed effettuazione dell'incontrodimostrativo; ciė, salvo che sia acquisito validamente il consenso informatodegli interessati per una successiva attivitą di promozione commerciale oricerca di mercato.

Valutati gli adempimenti da svolgere pereffettuare detta ricognizione e adottare le necessarie misure tecniche e tenutoconto dei diritti degli interessati, la societą dovrą dare attuazione senzaritardo anche a tali prescrizioni provvedendo alla cancellazione o allaanonimizzazione dei dati la cui conservazione non risulti ulteriormentegiustificata, fornendo altresď adeguato riscontro a questa Autoritą entro e nonoltre il congruo termine del 15 luglio 2008, allegando la pertinentedocumentazione.

TUTTO CIŮ PREMESSO, ILGARANTE

1) in relazione ai dati personaliche la societą risulta aver trattato per finalitą di marketing in violazione dilegge (artt. 11 e 23 e art. 11, comma 2 del Codice), ai sensi dell'art. 154,comma 1, lett. d), del Codice vieta con effetto immediato a Mondial CasaS.p.A., anche agli effetti del reato di cui all'art. 170 del Codice, disvolgere, per quanto riguarda l'utilizzo dei dati raccolti per finalitą di marketing, ulteriori trattamenti in violazione delladisciplina di protezione dei dati personali (punto 3);

2) ai sensi dell'art. 154, comma 1,lett. c), del Codice prescrive a Mondial Casa S.p.A. di riformulare senzaritardo, dandone riscontro a questa Autoritą entro e non oltre il congruotermine del 27 giugno 2008, l'informativa resa alla clientela in conformitąalle indicazioni fornite nel presente provvedimento, in particolare:

a. indicando nell'informativa resaattraverso il sito web dellasocietą le informazioni indicate ai punti b), c), d) dell'art. 13 del Codice ecollocando in un unico contesto tutti i suoi elementi costitutivi (punto 2.2.);

b. integrando l'informativatelefonica in relazione ai diritti dell'interessato (punto 2.3.);

3) ai sensi dell'art. 154, comma 1,lett. c), del Codice prescrive a Mondial Casa S.p.A. di adottare senza ritardo,dandone riscontro a questa Autoritą entro e non oltre il congruo termine del 15luglio 2008, le misure necessarie a prevenire la conservazione per tempiindefiniti dei dati personali della clientela –eccetto che per gliacquirenti che godono di una garanzia a durata illimitata– individuandotempi massimi di conservazione dei dati personali, salva l'osservanza diespresse disposizioni normative (punto 4);

4) ai sensi dell'art. 154, comma 1,lett. c), del Codice prescrive a Mondial Casa S.p.A. di provvedere senzaritardo, dandone riscontro a questa Autoritą entro e non oltre il congruotermine del 15 luglio 2008, alla cancellazione o anonimizzazione dei dati lacui conservazione non risulti ulteriormente giustificata (punto 4).

Roma, 19 maggio 2008

IL PRESIDENTE
Pizzetti

IL RELATORE
Fortunato

IL SEGRETARIO GENERALE
Buttarelli