Garante per la protezione
    dei dati personali


vedi anche
: [provv. correzione]

Programmi di fidelizzazione: trattamento di dati personali riferiti al dipendente e loro utilizzo a fini disciplinari

PROVVEDIMENTO DEL 6 NOVEMBRE 2008

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

In data odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Giovanni Buttarelli, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lg. n. 196/2003);

VISTA la segnalazione del 13 febbraio 2008 proposta da XY contro Mizar s.r.l. e Cannillo s.r.l., concernente il trattamento di dati personali dell'interessato relativi alla carta di fidelizzazione "Dimeglio";

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

RELATORE i dott. Mauro Paissan;

PREMESSO

1. Trattamento di dati personali relativi a un programma di fidelizzazione e loro utilizzo in contesto diverso
XY, dipendente di Mizar s.r.l. (di seguito Mizar) societł che gestisce un supermercato di proprietł di Cannillo s.r.l. (operante nel settore della distribuzione all'ingrosso e al dettaglio di beni di largo consumo), ha lamentato l'illiceitł di talune operazioni di trattamento di dati personali a sÄ riferiti. In particolare, viene contestata la circostanza che i dati personali raccolti per effetto della partecipazione del segnalante al programma di fidelizzazione connesso all'utilizzo della Carta "Dimeglio" siano stati trattati dal datore di lavoro (Mizar) per finalitł diverse e ulteriori rispetto a quelle che ne avrebbero giustificato l'acquisizione. A detta del segnalante, infatti, tali dati sarebbero stati utilizzati al fine di promuovere un procedimento disciplinare nei suoi confronti, culminato nel licenziamento.

L'interessato, al riguardo, espone che:

      ha lavorato ininterrottamente e continuativamente, fino alla data del 28 dicembre 2007, quale dipendente di Mizar (cfr. segnalazione del 13 febbraio 2008, in atti, p. 1);

      si Ć visto comunicare, in data 11 dicembre 2007, una contestazione disciplinare che sarebbe stata assunta "sulla base della verifica", effettuata dal datore di lavoro, "della [╔] carta di fedeltł" in uso al segnalante (cfr. segnalazione del 13 febbraio 2008, cit., p. 2);

      la societł avrebbe quindi monitorato gli acquisti effettuati dal dipendente, tenendo "una condotta vessatoria e sproporzionata", considerato che la medesima "societł non puś usare per fini diversi il contenuto ed i dati che si possono rilevare dalla scheda" (cfr. segnalazione del 13 febbraio 2008, cit., p. 2);

      tale impiego "distorto" dei dati raccolti a seguito dell'uso della carta di fidelizzazione sarebbe ancor piŁ evidente in considerazione del fatto che la stessa carta sarebbe utilizzabile nei soli punti vendita con insegna "Dimeglio" diretti da Cannillo s.r.l. (cfr. segnalazione del 13 febbraio 2008, cit., p. 2) e non gił presso quelli gestiti dalla stessa Mizar;

      conseguentemente, Mizar non avrebbe avuto titolo a utilizzare i dati cosô acquisiti per irrogare la sanzione disciplinare nei confronti del segnalante;

      cosô facendo, tale comportamento avrebbe concretizzato una lesione della disciplina di protezione dei dati personali, oltre che una violazione dell'art. 4 della legge 20 maggio 1970, n. 300.

Alla luce delle menzionate circostanze, il segnalante ha chiesto l'intervento dell'Autoritł al fine di verificare la correttezza del trattamento dei dati personali posto in essere da Mizar e Cannillo s.r.l., con specifico riferimento ai profili relativi all'utilizzo delle informazioni ricavate dalla carta di fidelizzazione per promuovere un procedimento disciplinare.

2. La difesa delle due societł
Mizar e Cannillo s.r.l. hanno fatto pervenire le proprie osservazioni con due distinte note, entrambe datate 28 maggio 2008 (in atti), dalle quali emerge che:

      nell'ambito delle iniziative volte alla fidelizzazione della clientela, Cannillo s.r.l., in qualitł di titolare del trattamento, ha trasmesso i dati acquisiti mediante utilizzo della carta "Dimeglio" a Mizar (nella veste di "responsabile delle banche dati Loyalty card e scontrini elettronici"), al fine di gestire anche le attivitł connesse alla medesima fidelizzazione, alla profilazione della clientela e al marketing diretto (cfr. all. n. 1 ad entrambe le note);

      nell'ambito delle predette iniziative, Cannillo s.r.l. ha comunicato a Mizar "i clienti appartenenti al primo decile in base al volume di spesa globale realizzato (c.d. clienti "gold")" (cfr. nota della Cannillo s.r.l., cit., p. 1);

      nel citato elenco figurava anche il nominativo del segnalante;

      la presenza del segnalante "tra i migliori clienti del supermercato suscitava la perplessitł della Mizar, dati i suoi acquisti solo sporadici presso il punto vendita" gestito dalla societł (cfr. nota della Cannillo s.r.l., cit., p. 1);

      "l'analisi piŁ puntuale della posizione dello XY (verifica delle date e degli importi delle singole transazioni) evidenziava non poche anomalie e portava la Mizar al licenziamento disciplinare dello [stesso] XY e della cassiera con la quale aveva architettato un raggiro per l'accumulo dei punti" (cfr. nota della Mizar, cit., p. 1);

      in tale contesto, Mizar ha legittimamente "analizzato il contenuto della carta di fedeltł dello XY, quale cliente del punto vendita e nell'ambito di un trattamento di dati al quale il medesimo sig. XY aveva prestato valido consenso mediante sottoscrizione di apposito modulo all'inizio del rapporto" (cfr. nota della Mizar, cit., p. 2);

      tale analisi sarebbe stata giustificata dalla finalitł "di rilevare dati e informazioni che [╔] avrebbero costituito oggetto di indagine in qualunque altro caso in cui l'azienda avesse avuto motivo di sospettare utilizzi indebiti o irregolari della carta stessa in danno del titolare" (cfr. nota della Mizar, cit., p. 2);

      "altrettanto legittimamente, poi, l'azienda ha utilizzato le informazioni cosô ricavate per muovere al proprio dipendente sig. XY un addebito disciplinare", al fine di consentire la tutela di un proprio diritto (cfr. nota della Mizar, cit., p. 2).

Con successive note del 3 luglio 2008, le due societł hanno fatto pervenire copia della documentazione relativa a:

      il facsimile dell'informativa fornita a suo tempo al segnalante in ordine al programma di fidelizzazione relativo all'utilizzo della carta "Dimeglio", unitamente al consenso al trattamento dei dati propri personali;

      l'estratto del regolamento inerente al suddetto programma di fidelizzazione;

      l'informativa fornita attualmente alla clientela.

3. Illiceitł del trattamento dei dati riferiti al segnalante in qualitł di cliente nel rapporto di lavoro

3.1. Il presente provvedimento riguarda i soli profili di competenza dell'Autoritł in relazione al trattamento dei dati personali, con esclusione di ogni altro aspetto inerente, in particolare, alla legittimitł del licenziamento.

Ciś premesso, deve preliminarmente rilevarsi che titolare del trattamento in esame, dal complesso degli elementi in atti, risulta essere Cannillo s.r.l., come si evince sia dall'informativa fornita alla clientela in sede di adesione al programma di fidelizzazione (cfr., in particolare, all. n. 1 alla nota di Mizar del 3 luglio 2008), sia dalle stesse dichiarazioni rese dalle societł in sede istruttoria (cfr. note del 28 maggio 2008, cit., p. 1); per contro, Mizar, nell'ambito dello stesso programma di fidelizzazione, opera in qualitł di responsabile del trattamento, come risulta dalla sopra menzionata informativa e dall'atto di designazione della societł quale "responsabile delle banche dati Loyalty card e scontrini elettronici" (cfr. all. n. 1 alle note del 28 maggio 2008, cit.).

In tale contesto, Ć stata fornita al segnalante un'apposita informativa in ordine al trattamento dei dati personali al medesimo riferiti nell'ambito del programma di fidelizzazione connesso all'utilizzo della carta "Dimeglio" (cfr. facsimile allegato alla citata nota della Cannillo S.r.l. del 3 luglio 2008), informativa alla quale ha fatto seguito la manifestazione del consenso da parte dell'interessato (cfr. all. 2 alla citata nota della Cannillo S.r.l. del 3 luglio 2008).

L'informativa resa al segnalante contempla quali finalitł del trattamento solo le "finalitł statistiche e commerciali oltre che per l'invio di materiale pubblicitario e promozionale" (cfr. all. n. 1 alla citata nota della Cannillo s.r.l. del 3 luglio 2008). Nel testo dell'informativa non Ć dato rinvenire riferimenti ulteriori a finalitł diverse e in particolare, all'utilizzo dei dati personali nell'ambito del rapporto di lavoro.

3.2. Al riguardo, deve sottolinearsi che, per perseguire una pur legittima finalitł (accertare un comportamento ritenuto illegittimo di un lavoratore relativo all'uso indebito di una carta), Mizar ha effettuato un trattamento di dati personali senza rispettare la disciplina in materia di protezione dei dati nella parte in cui prevede una preventiva informativa agli interessati sulle concrete modalitł di utilizzazione dei dati che li riguardano.

Infatti, l'informativa fornita all'interessato in sede di adesione al programma, non fa alcun riferimento all'utilizzo di dati personali del segnalante per finalitł di controllo dell'esecuzione della prestazione lavorativa e dell'osservanza dell'obbligo di fedeltł. NÄ, risulta allo stato comprovato che le suddette finalitł di controllo siano state rese note dalla societł all'interessato in altra sede (ad esempio, nell'informativa resa al dipendente all'atto della stipula del contratto di lavoro, peraltro richiesta da questa Autoritł e non allegata dalla societł: cfr. nota del 13 giugno 2008, rif. DREP/VP/57107-2/13876).

Lo stesso consenso manifestato dal segnalante risulta, inoltre, prestato "per i fini indicati nell'informativa", senza ulteriori specificazioni di sorta.

Alla luce degli elementi in atti, risulta dunque che le finalitł del trattamento dei dati personali legittimamente perseguibili in relazione al segnalante sono solo quelle contenute nel facsimile di informativa fornita a suo tempo al medesimo per l'utilizzo della carta "Dimeglio" (finalitł di marketing, fidelizzazione e analisi statistica).

Tali dati, anzichÄ essere trattati nel solo ambito del programma di fidelizzazione, sono stati utilizzati anche per assumere, in un diverso contesto non oggetto di preventiva informativa, decisioni relative alla gestione del rapporto di lavoro (culminato nel licenziamento).

Questo ulteriore scopo non risulta essere stato dichiarato preventivamente al segnalante e riguarda profili del tutto diversi rispetto a quelli posti originariamente alla base della raccolta (artt. 13 e 11, comma 2, del Codice).

3.3. Per tali ragioni il trattamento non risulta, altresô, essersi svolto nel rispetto del principio di finalitł, il quale esige che il trattamento sia effettuato per scopi determinati ed espliciti e non incompatibili con quelli che hanno determinato la raccolta dei dati (art. 11, comma 1, lett. a) e b) del Codice; Provv. 2 aprile 2008; Provv. 28 giugno 2006; punto 2 Provv. 23 novembre 2006 recante "Linee guida in materia di trattamento di dati personali di lavoratori per finalitł di gestione del rapporto di lavoro alle dipendenze di datori di lavoro"; v. pure Provv. 24 febbraio 2005 in materia di carte di fidelizzazione).

La segnalazione risulta pertanto fondata e va di conseguenza vietato a Mizar di trattare ulteriormente nel contesto del rapporto di lavoro i dati personali dell'interessato relativi all'utilizzo della carta di fidelizzazione in violazione dei medesimi princôpi di liceitł e finalitł, fermo restando che i dati personali del segnalante trattati in violazione di legge sono inutilizzabili (art. 11, comma 2, del Codice).

TUTTO CI˝ PREMESSO, IL GARANTE

dichiara fondata la segnalazione e, ferma restando l'inutilizzabilitł dei dati personali trattati in violazione di legge, vieta a Cannillo s.r.l., ai sensi degli artt. 144, 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, di effettuare, nel contesto del rapporto di lavoro, ulteriori operazioni di trattamento di dati personali relativi a XY connessi all'utilizzo della carta di fidelizzazione in violazione dei princôpi di liceitł e finalitł (punto 2).

Roma, 6 novembre 2008

Il presidente
Pizzetti

Il relatore
Paissan

Il segretario generale
Buttarelli