Programmi di fidelizzazione: trattamento di dati personali riferiti al dipendente e loro utilizzo a fini disciplinari

PROVVEDIMENTO DEL 6 NOVEMBRE 2008

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

In data odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Giovanni Buttarelli, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lg. n. 196/2003);

VISTA la segnalazione del 13 febbraio 2008 proposta da XY contro Mizar s.r.l. e Cannillo s.r.l., concernente il trattamento di dati personali dell'interessato relativi alla carta di fidelizzazione "Dimeglio";

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;

RELATORE i dott. Mauro Paissan;

PREMESSO

1. Trattamento di dati personali relativi a un programma di fidelizzazione e loro utilizzo in contesto diverso XY, dipendente di Mizar s.r.l. (di seguito Mizar) società che gestisce un supermercato di proprietà di Cannillo s.r.l. (operante nel settore della distribuzione all'ingrosso e al dettaglio di beni di largo consumo), ha lamentato l'illiceità di talune operazioni di trattamento di dati personali a sé riferiti. In particolare, viene contestata la circostanza che i dati personali raccolti per effetto della partecipazione del segnalante al programma di fidelizzazione connesso all'utilizzo della Carta "Dimeglio" siano stati trattati dal datore di lavoro (Mizar) per finalità diverse e ulteriori rispetto a quelle che ne avrebbero giustificato l'acquisizione. A detta del segnalante, infatti, tali dati sarebbero stati utilizzati al fine di promuovere un procedimento disciplinare nei suoi confronti, culminato nel licenziamento.

L'interessato, al riguardo, espone che:

ha lavorato ininterrottamente e continuativamente, fino alla data del 28 dicembre 2007, quale dipendente di Mizar (cfr. segnalazione del 13 febbraio 2008, in atti, p. 1);

si è visto comunicare, in data 11 dicembre 2007, una contestazione disciplinare che sarebbe stata assunta "sulla base della verifica", effettuata dal datore di lavoro, "della […] carta di fedeltà" in uso al segnalante (cfr. segnalazione del 13 febbraio 2008, cit., p. 2);

la società avrebbe quindi monitorato gli acquisti effettuati dal dipendente, tenendo "una condotta vessatoria e sproporzionata", considerato che la medesima "società non può usare per fini diversi il contenuto ed i dati che si possono rilevare dalla scheda" (cfr. segnalazione del 13 febbraio 2008, cit., p. 2);

tale impiego "distorto" dei dati raccolti a seguito dell'uso della carta di fidelizzazione sarebbe ancor più evidente in considerazione del fatto che la stessa carta sarebbe utilizzabile nei soli punti vendita con insegna "Dimeglio" diretti da Cannillo s.r.l. (cfr. segnalazione del 13 febbraio 2008, cit., p. 2) e non già presso quelli gestiti dalla stessa Mizar;

conseguentemente, Mizar non avrebbe avuto titolo a utilizzare i dati così acquisiti per irrogare la sanzione disciplinare nei confronti del segnalante;

così facendo, tale comportamento avrebbe concretizzato una lesione della disciplina di protezione dei dati personali, oltre che una violazione dell'art. 4 della legge 20 maggio 1970, n. 300.

Alla luce delle menzionate circostanze, il segnalante ha chiesto l'intervento dell'Autorità al fine di verificare la correttezza del trattamento dei dati personali posto in essere da Mizar e Cannillo s.r.l., con specifico riferimento ai profili relativi all'utilizzo delle informazioni ricavate dalla carta di fidelizzazione per promuovere un procedimento disciplinare.

2. La difesa delle due società Mizar e Cannillo s.r.l. hanno fatto pervenire le proprie osservazioni con due distinte note, entrambe datate 28 maggio 2008 (in atti), dalle quali emerge che:

nell'ambito delle iniziative volte alla fidelizzazione della clientela, Cannillo s.r.l., in qualità di titolare del trattamento, ha trasmesso i dati acquisiti mediante utilizzo della carta "Dimeglio" a Mizar (nella veste di "responsabile delle banche dati Loyalty card e scontrini elettronici"), al fine di gestire anche le attività connesse alla medesima fidelizzazione, alla profilazione della clientela e al marketing diretto (cfr. all. n. 1 ad entrambe le note);

nell'ambito delle predette iniziative, Cannillo s.r.l. ha comunicato a Mizar "i clienti appartenenti al primo decile in base al volume di spesa globale realizzato (c.d. clienti "gold")" (cfr. nota della Cannillo s.r.l., cit., p. 1);

nel citato elenco figurava anche il nominativo del segnalante;

la presenza del segnalante "tra i migliori clienti del supermercato suscitava la perplessità della Mizar, dati i suoi acquisti solo sporadici presso il punto vendita" gestito dalla società (cfr. nota della Cannillo s.r.l., cit., p. 1);

"l'analisi più puntuale della posizione dello XY (verifica delle date e degli importi delle singole transazioni) evidenziava non poche anomalie e portava la Mizar al licenziamento disciplinare dello [stesso] XY e della cassiera con la quale aveva architettato un raggiro per l'accumulo dei punti" (cfr. nota della Mizar, cit., p. 1);

in tale contesto, Mizar ha legittimamente "analizzato il contenuto della carta di fedeltà dello XY, quale cliente del punto vendita e nell'ambito di un trattamento di dati al quale il medesimo sig. XY aveva prestato valido consenso mediante sottoscrizione di apposito modulo all'inizio del rapporto" (cfr. nota della Mizar, cit., p. 2);

tale analisi sarebbe stata giustificata dalla finalità "di rilevare dati e informazioni che […] avrebbero costituito oggetto di indagine in qualunque altro caso in cui l'azienda avesse avuto motivo di sospettare utilizzi indebiti o irregolari della carta stessa in danno del titolare" (cfr. nota della Mizar, cit., p. 2);

"altrettanto legittimamente, poi, l'azienda ha utilizzato le informazioni così ricavate per muovere al proprio dipendente sig. XY un addebito disciplinare", al fine di consentire la tutela di un proprio diritto (cfr. nota della Mizar, cit., p. 2).

Con successive note del 3 luglio 2008, le due società hanno fatto pervenire copia della documentazione relativa a:

il facsimile dell'informativa fornita a suo tempo al segnalante in ordine al programma di fidelizzazione relativo all'utilizzo della carta "Dimeglio", unitamente al consenso al trattamento dei dati propri personali;

l'estratto del regolamento inerente al suddetto programma di fidelizzazione;

l'informativa fornita attualmente alla clientela.

3. Illiceità del trattamento dei dati riferiti al segnalante in qualità di cliente nel rapporto di lavoro

3.1. Il presente provvedimento riguarda i soli profili di competenza dell'Autorità in relazione al trattamento dei dati personali, con esclusione di ogni altro aspetto inerente, in particolare, alla legittimità del licenziamento.

Ciò premesso, deve preliminarmente rilevarsi che titolare del trattamento in esame, dal complesso degli elementi in atti, risulta essere Cannillo s.r.l., come si evince sia dall'informativa fornita alla clientela in sede di adesione al programma di fidelizzazione (cfr., in particolare, all. n. 1 alla nota di Mizar del 3 luglio 2008), sia dalle stesse dichiarazioni rese dalle società in sede istruttoria (cfr. note del 28 maggio 2008, cit., p. 1); per contro, Mizar, nell'ambito dello stesso programma di fidelizzazione, opera in qualità di responsabile del trattamento, come risulta dalla sopra menzionata informativa e dall'atto di designazione della società quale "responsabile delle banche dati Loyalty card e scontrini elettronici" (cfr. all. n. 1 alle note del 28 maggio 2008, cit.).

In tale contesto, è stata fornita al segnalante un'apposita informativa in ordine al trattamento dei dati personali al medesimo riferiti nell'ambito del programma di fidelizzazione connesso all'utilizzo della carta "Dimeglio" (cfr. facsimile allegato alla citata nota della Cannillo S.r.l. del 3 luglio 2008), informativa alla quale ha fatto seguito la manifestazione del consenso da parte dell'interessato (cfr. all. 2 alla citata nota della Cannillo S.r.l. del 3 luglio 2008).

L'informativa resa al segnalante contempla quali finalità del trattamento solo le "finalità statistiche e commerciali oltre che per l'invio di materiale pubblicitario e promozionale" (cfr. all. n. 1 alla citata nota della Cannillo s.r.l. del 3 luglio 2008). Nel testo dell'informativa non è dato rinvenire riferimenti ulteriori a finalità diverse e in particolare, all'utilizzo dei dati personali nell'ambito del rapporto di lavoro.

3.2. Al riguardo, deve sottolinearsi che, per perseguire una pur legittima finalità (accertare un comportamento ritenuto illegittimo di un lavoratore relativo all'uso indebito di una carta), Mizar ha effettuato un trattamento di dati personali senza rispettare la disciplina in materia di protezione dei dati nella parte in cui prevede una preventiva informativa agli interessati sulle concrete modalità di utilizzazione dei dati che li riguardano.

Infatti, l'informativa fornita all'interessato in sede di adesione al programma, non fa alcun riferimento all'utilizzo di dati personali del segnalante per finalità di controllo dell'esecuzione della prestazione lavorativa e dell'osservanza dell'obbligo di fedeltà. Né, risulta allo stato comprovato che le suddette finalità di controllo siano state rese note dalla società all'interessato in altra sede (ad esempio, nell'informativa resa al dipendente all'atto della stipula del contratto di lavoro, peraltro richiesta da questa Autorità e non allegata dalla società: cfr. nota del 13 giugno 2008, rif. DREP/VP/57107-2/13876).

Lo stesso consenso manifestato dal segnalante risulta, inoltre, prestato "per i fini indicati nell'informativa", senza ulteriori specificazioni di sorta.

Alla luce degli elementi in atti, risulta dunque che le finalità del trattamento dei dati personali legittimamente perseguibili in relazione al segnalante sono solo quelle contenute nel facsimile di informativa fornita a suo tempo al medesimo per l'utilizzo della carta "Dimeglio" (finalità di marketing, fidelizzazione e analisi statistica).

Tali dati, anziché essere trattati nel solo ambito del programma di fidelizzazione, sono stati utilizzati anche per assumere, in un diverso contesto non oggetto di preventiva informativa, decisioni relative alla gestione del rapporto di lavoro (culminato nel licenziamento).

Questo ulteriore scopo non risulta essere stato dichiarato preventivamente al segnalante e riguarda profili del tutto diversi rispetto a quelli posti originariamente alla base della raccolta (artt. 13 e 11, comma 2, del Codice).

3.3. Per tali ragioni il trattamento non risulta, altresì, essersi svolto nel rispetto del principio di finalità, il quale esige che il trattamento sia effettuato per scopi determinati ed espliciti e non incompatibili con quelli che hanno determinato la raccolta dei dati (art. 11, comma 1, lett. a) e b) del Codice; Provv. 2 aprile 2008; Provv. 28 giugno 2006; punto 2 Provv. 23 novembre 2006 recante "Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro alle dipendenze di datori di lavoro"; v. pure Provv. 24 febbraio 2005 in materia di carte di fidelizzazione).

La segnalazione risulta pertanto fondata e va di conseguenza vietato a Mizar di trattare ulteriormente nel contesto del rapporto di lavoro i dati personali dell'interessato relativi all'utilizzo della carta di fidelizzazione in violazione dei medesimi princìpi di liceità e finalità, fermo restando che i dati personali del segnalante trattati in violazione di legge sono inutilizzabili (art. 11, comma 2, del Codice).

TUTTO CIÒ PREMESSO, IL GARANTE

dichiara fondata la segnalazione e, ferma restando l'inutilizzabilità dei dati personali trattati in violazione di legge, vieta a Cannillo s.r.l., ai sensi degli artt. 144, 143, comma 1, lett. c) e 154, comma 1, lett. d), del Codice, di effettuare, nel contesto del rapporto di lavoro, ulteriori operazioni di trattamento di dati personali relativi a XY connessi all'utilizzo della carta di fidelizzazione in violazione dei princìpi di liceità e finalità (punto 2).

Roma, 6 novembre 2008

Il presidente
Pizzetti

Il relatore
Paissan

Il segretario generale
Buttarelli