Garante per la protezione
    dei dati personali


Trattamento di dati personali nei servizi di assistenza telefonica

PROVVEDIMENTO DEL 4 MARZO 2010

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

In data odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Daniele De Paoli, segretario generale reggente;

VISTO il d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali);

ESAMINATA la documentazione in atti;

VISTA la segnalazione del 10 marzo 2009 formulata ai sensi dell'art. 144 del Codice da XY nei confronti di Samsung Electronics Italia S.p.A.;

VISTE le osservazioni formulate dal segretario generale reggente ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Mauro Paissan;

PREMESSO

1. Trattamento di dati personali per finalitł di erogazione del servizio di assistenza telefonica.
XY, a seguito di un malfunzionamento della propria stampante, effettuava una ricerca sul sito web di Samsung Electronics Italia S.p.A. (azienda produttrice della predetta stampante) al fine di reperire informazioni circa i centri di assistenza autorizzati alla riparazione. All'esito della ricerca, risultata infruttuosa in ragione di un messaggio presente sul sito, che invitava l'utenza a contattare il "Servizio Clienti gratuito al numero: [╔] 800-7267864", il segnalante provvedeva a chiamare detto numero, ricevendo, in luogo dell'informazione desiderata, un'"informativa ai sensi dell'art. 13 del codice, che subordina[va] la fornitura di ogni informazione alla previa comunicazione, da parte del chiamante [╔], dei propri dati personali e del relativo consenso al trattamento di tali dati". Detta informativa, secondo quanto riferito, individuava quale titolare del trattamento una societł terza (presuntivamente "autonoma e indipendente" da Samsung Electronics Italia S.p.A.), con ciś determinando una "evidente esautorazione della [stessa] Samsung dalla responsabilitł inerente la gestione e il trattamento dei dati" in tal modo acquisiti.

Rilevando un trattamento di dati personali non necessario ai fini del conseguimento dell'informazione richiesta (evidenziandone i relativi profili di inconciliabilitł con l'art. 3 del Codice), il segnalante ha dunque richiesto l'intervento di questa Autoritł al fine di "far cessare tale raccolta indebita di dati personali e [di] ottenere la cancellazione del database cosô ottenuto dei propri clienti da parte della Samsung Italia e delle societł terze coinvolte nella condotta illecita".

2. Le osservazioni della societł.
2.1. Con nota del 2 dicembre 2009, la societł ha fatto pervenire le proprie osservazioni, evidenziando preliminarmente che il numero gratuito messo a disposizione degli utenti Ć funzionale all'acquisizione non solo di "informazioni a carattere assolutamente generale sui prodotti a marchio Samsung", ma anche alla soddisfazione di richieste di "specifica assistenza sia per prodotti in garanzia che per prodotti fuori garanzia". Componendo l'apposito "numero verde", gli utenti, "prima di ricevere assistenza, hanno la possibilitł" (digitando un apposito tasto) "di ascoltare un'informativa che riguarda il trattamento cui saranno soggetti i dati personali che eventualmente rilasceranno nel corso della telefonata"; ciś, perchÄ in ragione "della richiesta del cliente (generiche informazioni o servizio di assistenza tecnica), saranno diversi i dati raccolti e trattati". Ad ogni buon conto, l'informativa che viene rilasciata premendo il suddetto tasto indica espressamente, quale titolare del trattamento effettuato per finalitł di assistenza all'utenza, Samsung Electronics Italia S.p.A. (cfr. all. 1 alla nota di risposta).
Digitato il numero verde e ascoltata l'informativa sul trattamento dei dati personali, l'utente viene quindi indirizzato verso l'operatore di competenza, il quale provvede, in caso di richieste "generiche", a fornire i ragguagli necessari, senza acquisire a tal fine alcun dato personale.
Nondimeno, ove la richiesta comporti (anche) un eventuale intervento di assistenza, l'operatore Ć tenuto, sulla base di istruzioni in precedenza impartite, a "non fornire immediatamente indicazioni circa l'ubicazione o i recapiti telefonici dei centri di assistenza senza [╔] aver[e] [previamente] tentato di fornire indicazioni al cliente per la soluzione del problema riscontrato. Una soluzione del problema tramite contact center", secondo quanto riferito dalla societł, "Ć infatti preferibile sia per il cliente che per Samsung stessa".

2.2. L'avvio della procedura di assistenza tecnica, secondo le dichiarazioni rese dalla societł, comporta la richiesta, da parte dell'operatore, di informazioni relative al codice e al numero seriale del prodotto, oltre ai seguenti dati personali riferiti al chiamante: nome e cognome; indirizzo; recapito telefonico; indirizzo di posta elettronica (ove disponibile). Tali dati "vengono registrati [╔] in un modulo specifico del software applicativo [in uso presso] Samsung Electronics S.p.A.".
Il cliente, forniti i dati richiesti, espone quindi il problema tecnico riscontrato sul prodotto malfunzionante e l'operatore, ove in grado di fornire indicazioni per la relativa soluzione, provvede a comunicarle all'interessato. Nel caso in cui l'intervento di assistenza richieda analisi piŁ approfondite, la chiamata viene indirizzata ad altro operatore qualificato (definito di "secondo livello"), onde tentare di addivenire comunque ad una soluzione del problema "via telefono". Qualora anche l'intervento di tale operatore risulti inidoneo, il cliente viene informato delle possibili soluzioni alternative offerte dalla societł (riparazione a domicilio da parte di tecnici specializzati; ritiro del prodotto tramite corriere; intervento presso centri di assistenza autorizzati, previo rilascio dei relativi recapiti; ecc.). Di qui, la necessitł di acquisire i predetti dati da parte della societł.

2.3. A giudizio di quest'ultima, infatti, tali dati sarebbero necessari "per fornire il servizio di assistenza" offerto all'utenza, risultando pertinenti e non eccedenti rispetto alla finalitł perseguita. Gli stessi (segnatamente, nome, cognome e indirizzo di colui che richiede l'intervento tecnico) sarebbero "necessari per poter ritirare il prodotto non funzionante e per riconsegnarlo una volta riparato ovvero per effettuare l'intervento a domicilio, mentre il numero di telefono consent[irebbe] di coordinare la consegna ed il ritiro del prodotto o organizzare l'intervento a domicilio a seconda delle esigenze nonchÄ impegni del cliente". Peraltro, qualora "anche solo un dato, tra quelli richiesti, non [dovesse essere] fornito dal cliente", il servizio di assistenza potrebbe risultare "precluso ovvero non potrebbe essere completamente e compiutamente erogato".

2.4. Il trattamento dei dati sopra richiamati, alla luce della documentazione prodotta in atti, risulta in concreto effettuato da Stream Italy s.r.l. (societł addetta alla gestione, per conto e nell'interesse di Samsung Electronics Italia S.p.A., del servizio di contact center per l'erogazione di interventi anche di assistenza tecnica telefonica). Detta societł, limitatamente ai trattamenti di dati personali connessi ai menzionati servizi di contact center, risulta essere stata ritualmente designata quale responsabile del trattamento ai sensi dell'art. 29 del Codice.

Sotto altro profilo, Stream Italy s.r.l., alla luce delle dichiarazioni rese da Samsung Electronics Italia S.p.A., risulterebbe invece autonomo titolare del distinto trattamento effettuato mediante registrazione casuale e automatica (per il tramite di uno specifico software denominato "Optimise") "di un limitato numero delle chiamate" ricevute. La memorizzazione delle chiamate sarebbe funzionale allo "svolgimento di attivitł di addestramento del personale e [di] miglioramento del servizio di contact center" espletato dai dipendenti della societł; solo il personale addetto alla formazione potrebbe avere accesso alle registrazioni (onde valutare le "performance" dei singoli operatori telefonici), per un periodo di tempo comunque limitato a dieci giorni, decorsi i quali le registrazioni verrebbero automaticamente cancellate.

In ordine a tale trattamento, Samsung Electronics Italia S.p.A. ha precisato di non aver alcun potere decisionale quanto alle relative finalitł e modalitł. Le stesse registrazioni, peraltro, non sarebbero "in alcun modo collegate alle informazioni e ai dati personali che gli operatori raccolgono e registrano per conto di Samsung Electronics S.p.A."

3. Profili di illiceitł del trattamento.
3.1. La segnalazione ha per oggetto il trattamento di dati personali riferiti all'utenza effettuato da Samsung Electronics Italia S.p.A. (per il tramite di Stream Italy s.r.l., in qualitł di gestore dei servizi di contact center) per finalitł di erogazione di servizi di comunicazione (ed eventuale assistenza tecnica) agli interessati.
Merita preliminarmente rilevare che esula dall'oggetto del presente provvedimento la valutazione delle richieste avanzate dal segnalante in ordine all'istanza di "cancellazione" dei dati personali comunicati dall'utenza agli operatori in sede di contatto telefonico. Tale profilo, infatti, attiene all'esercizio dei diritti riconosciuti dall'art. 7 del Codice agli interessati –intendendosi per tali le persone fisiche cui si riferiscono i dati personali: art. 4, comma 1, lett. i), dello stesso Codice–, diritti che costoro possono eventualmente far valere innanzi a questa Autoritł con il diverso strumento del ricorso, disciplinato dagli artt. 145 e ss. del Codice.

3.2. Nel merito della vicenda, occorre rilevare che la societł, alla luce delle dichiarazioni rese in sede istruttoria ai sensi e per gli effetti di cui all'art. 168 del Codice, risulta aver adottato una procedura per la gestione dei contatti telefonici diversamente articolata in funzione delle richieste formulate dall'utenza. Qualora le istanze pervenute siano di carattere "generico" (ad esempio, richieste di informazioni relative ai prodotti a marchio Samsung), l'operatore provvede a fornire le indicazioni richieste, senza alcuna acquisizione di dati personali riferiti al richiedente; ove, invece, l'intervento richieda anche un'attivitł di assistenza tecnica, lo stesso operatore provvede ad acquisire i dati personali dell'utente al fine di permettere l'erogazione del servizio (e, in particolare, l'eventuale ritiro e riconsegna del prodotto malfunzionante, ovvero l'organizzazione degli interventi a domicilio).
Tale trattamento, limitatamente alle chiamate aventi ad oggetto interventi di assistenza tecnica e in considerazione delle finalitł dichiarate dalla societł, non risulta allo stato lecito limitatamente al profilo di seguito indicato.

3.3. Alla luce della documentazione acquisita, deve rilevarsi che, diversamente dal nome e cognome del chiamante (utili ai fini dell'identificazione dell'interlocutore telefonico) e dalle informazioni riferite al prodotto (codice e numero seriale), l'acquisizione dei dati relativi all'indirizzo, al recapito telefonico e all'eventuale indirizzo di posta elettronica degli utenti, in quanto effettuata in un momento antecedente l'intervento di assistenza tecnica vero e proprio (talora, in astratto, potenzialmente risolutivo del problema), non Ć conforme al principio di pertinenza e non eccedenza di cui all'art. 11, comma 1, lett. d) del Codice.

Non risulta infatti giustificata, anche alla luce delle finalitł dichiarate dalla societł (in particolare: ritiro e riconsegna del prodotto; organizzazione degli interventi a domicilio), la raccolta dei predetti dati in una fase in cui, attraverso la mera raccolta di informazioni relative soprattutto al prodotto medesimo (e previa acquisizione presso l'utenza di ulteriori informazioni inerenti al malfunzionamento dello stesso) Ć in astratto possibile addivenire ad una soluzione che ne consenta il ripristino delle relative funzionalitł (soluzione, peraltro, privilegiata dalla stessa societł), senza che a tal fine sia necessario il preventivo rilascio dei dati personali sopra richiamati agli operatori telefonici da parte degli interessati. Dati che, al contrario, risultano invece proporzionati nella successiva (ed eventuale) fase in cui si renda necessaria, data anche la natura del problema tecnico riscontrato, la ricerca di una soluzione alternativa all'assistenza telefonica (cfr. punto 2.2).

Limitatamente a tale profilo, dunque, ai sensi degli artt. 143, comma 1, lett. c), 144, e 154, comma 1, lett. d) del Codice, nei confronti di Samsung Electronics Italia S.p.A va disposto il divieto di trattare ulteriormente i dati personali relativi all'indirizzo, al recapito telefonico e all'eventuale indirizzo di posta elettronica degli utenti nella fase antecedente l'intervento di assistenza tecnica effettuato per il tramite di canali telefonici appositamente dedicati, in quanto sproporzionato rispetto alla finalitł perseguita.

L'Autoritł si riserva di valutare, con autonomo procedimento, la liceitł del trattamento di dati personali effettuato da Stream Italy s.r.l. (nella veste di autonomo titolare del trattamento medesimo), per finalitł di addestramento e miglioramento delle attivitł espletate dal proprio personale in sede di erogazione dei servizi telefonici resi nell'interesse di Samsung Electronics Italia S.p.A.

TUTTO CI˝ PREMESSO, IL GARANTE

ai sensi degli artt. 143, comma 1, lett. c), 144 e 154, comma 1, lett. d) del Codice, vieta a Samsung Electronics Italia S.p.A. di trattare ulteriormente i dati personali relativi all'indirizzo, al recapito telefonico e all'eventuale indirizzo di posta elettronica degli utenti nell'ambito della fase antecedente l'intervento di assistenza tecnica effettuato per il tramite di canali telefonici appositamente dedicati, perchÄ in violazione dell'art. 11, comma 1, lett. d) del Codice.

Roma, 4 marzo 2010

Il presidente
Pizzetti

Il relatore
Paissan

Il segretario generale
De Paoli