|
Garante per la protezione dei dati personali vedi anche [Adempimenti semplificati per il Customer care: garanzie per il trattamento dei dati personali degli utenti e dei lavoratori di call center PROVVEDIMENTO DEL 9 FEBBRAIO 2011 Registro
dei provvedimenti
n. 058 del 9 febbraio 2011 IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI NELLA riunione odierna,
in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe
Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe
Fortunato, componenti, e del dott. Daniele De Paoli, segretario generale; VISTO il d.lg. 30 giugno
2003, n. 196 (Codice in materia di protezione dei dati personali); VISTO il provvedimento del 15 novembre 2007,
recante "Adempimenti semplificati per il customer care (inbound)"; VISTA la comunicazione
del 26 aprile 2010 con cui il sindacato S.L.C.-C.G.I.L. ha chiesto un
intervento di questa Autorità in relazione al sistema di registrazione delle
telefonate "in entrata" presso i call center che Vodafone Omnitel
N.V. ha in corso di implementazione; VISTE le note inviate da
Vodafone Omnitel N.V. in data 23 giugno e 22 ottobre 2010; VISTE le indicazioni
emerse nel corso di alcuni incontri informali con le parti tenutisi presso
l'Autorità; ESAMINATA la
documentazione in atti; VISTE le osservazioni
formulate dal segretario generale ai sensi dell'art. 15 del regolamento del
Garante n. 1/2000; RELATORE il dott. Mauro
Paissan; PREMESSO 1. La nota del sindacato.
Con nota del 26 aprile
2010 il sindacato S.L.C.-C.G.I.L. ha prospettato possibili profili di
violazione della disciplina in materia di protezione dei dati personali da
parte di Vodafone Omnitel N.V. relativamente ad un sistema di registrazione
delle telefonate in modalità inbound che la società vorrebbe utilizzare per "compiere
indagini di mercato e/o analizzare il gradimento di specifiche offerte
commerciali". Secondo l'organizzazione
sindacale, l'impiego di tale sistema, oltre a comportare possibili violazioni
della pertinente disciplina di settore in tema di controllo a distanza
dell'attività dei lavoratori (art. 4, l. n. 300/1970), darebbe luogo a un
trattamento di dati personali riferiti tanto all'utenza che agli operatori di call
center che, per le modalità con cui verrebbe attuato, non sarebbe conforme
alla disciplina di protezione dei dati personali. Più in dettaglio,
l'organizzazione sindacale rileva, in particolare, che: a) l'informativa da
rendere agli utenti in sede di contatto telefonico dovrebbe richiamare anche
"le finalità e modalità del trattamento, nonché la logica applicata in
caso di trattamento effettuato con l'ausilio di strumenti elettronici"; b) l'informativa da
rendere ai lavoratori dovrebbe concernere i "dati registrati, il loro
utilizzo, la loro conservazione, le misure a tutela della sicurezza dei sistemi
dove tali dati sono conservati e le caratteristiche dei soggetti autorizzati ad
accedervi"; c) dovrebbero
essere previste modalità di acquisizione del consenso da parte degli utenti,
anche tramite meccanismi quali "continuazione della
telefonata/assenso"; d) dovrebbero essere
adottati accorgimenti atti a prevenire l'acquisizione di dati personali
riferiti tanto agli operatori di call center che agli utenti medesimi. Su tali profili,
l'organizzazione sindacale ha chiesto un intervento dell'Autorità,
sottolineando peraltro la dichiarata intenzione della società di effettuare le
predette registrazioni con riferimento "a tutte le telefonate gestite
sia dai propri operatori che dagli operatori dei call center in
outsourcing". 2. I riscontri della società.
2.1. Successivamente agli
incontri tenutisi presso l'Autorità, Vodafone Omnitel N.V., modificando la
posizione originariamente assunta (secondo cui l'impiego del sistema oggetto di
contestazione non avrebbe comportato l'effettuazione di trattamenti di dati
personali), ha fatto pervenire le proprie osservazioni sulla vicenda,
evidenziando preliminarmente la necessità di garantire un'elevata competitività
della società in un mercato ritenuto particolarmente complesso e in continua
evoluzione (cfr. comunicazione del 23 giugno 2010). A fronte di una
clientela sempre più esigente, infatti, la qualità del servizio reso e la
capacità di differenziarsi in un mercato "saturo" e altamente
"competitivo" costituirebbero, secondo la società, un fattore di
potenziale successo; tale obiettivo non sarebbe tuttavia perseguibile,
nell'ottica societaria, senza un'efficace analisi dei processi aziendali che
coinvolgono in maniera significativa anche le attività di "gestione"
del cliente effettuate presso i call center. Onde garantire un
costante miglioramento del servizio erogato all'utenza, sarebbe quindi
necessario dotarsi di strumenti in grado di monitorare i processi aziendali di
gestione dei customer care per consentirne una valutazione in termini
soprattutto qualitativi: la società ha ritenuto di poter individuare tale
strumento nel sistema denominato "Quality Recording System". 2.2. Il sistema, secondo
le dichiarazioni rese, risulta idoneo alla registrazione anche delle chiamate
in modalità inbound, e verrebbe "utilizzato [Š] al fine di analizzare
la qualità e l'efficacia dei processi, prodotti e servizi, nel momento di
erogazione del servizio di assistenza clienti, attraverso il contatto
telefonico". Lo stesso sistema verrebbe inoltre impiegato per "capire
nel dettaglio le cause generanti picchi di chiamate e la verifica
dell'efficacia degli script di gestione delle chiamate forniti agli
operatori", oltre che per l'eventuale "identificazione di gap
formativi dei Customer Care"; ciò, anche al fine di erogare "una
formazione più mirata alle esigenze dei vari team" –cellula "primaria"
del call center, composta di norma da circa "15-20 persone"–
"la cui specializzazione è sempre più fondamentale in un mercato in cui
le tecnologie evolvono con estrema rapidità". Secondo quanto riferito,
"le chiamate, una volta registrate, ve[rrebber]o archiviate in un
apposito Data Base"; le informazioni ivi contenute consentirebbero poi
"tramite opportune chiavi di ricerca, di facilitare le analisi
individuando, in particolare, specifiche aree di osservazione riguardo ai
prodotti, servizi o processi oggetto di rilevazione"; ciò, muovendo dal
presupposto che "l'evoluzione dell'organizzazione del Servizio Clienti [Š]
richiede[rebbe] sempre più la focalizzazione su specifiche aree tematiche (ad
esempio, il servizio dati, la configurazione di palmari e smartphone ecc.) e
sull'efficacia dei relativi processi di gestione da parte delle diverse aree di
specializzazione". Al fine di rendere l'utilizzo
dello strumento conforme alla disciplina di protezione dei dati, la società
intende adottare alcuni accorgimenti tecnici e procedurali volti, in
particolare, a: a) campionare le
telefonate registrate, pari a circa "il 25-30%, secondo [Š] criteri[Š]
di archiviazione del tutto casual[i]"; b) delimitare
l'ascolto a circa "il 6-8% del totale delle chiamate"
registrate; c) "circoscrivere"
i tempi di conservazione dei dati a 90 giorni (durata che, secondo quanto
dichiarato dai rappresentanti di Vodafone Omnitel N.V. nel corso degli incontri
tenutisi presso l'Autorità, coinciderebbe con quella delle singole campagne
pubblicitarie/promozionali), decorsi i quali "le registrazioni saranno
automaticamente cancellate dal sistema"; d) predisporre un
database "separato rispetto agli altri sistemi aziendali"; e) tracciare le
operazioni effettuate attraverso un sistema di logging; f) consentire
l'accesso ai dati ai soli operatori autorizzati (ivi compresi i team leader,
limitatamente alle "squadre" diverse da quelle concretamente
gestite), ritualmente designati quali incaricati del trattamento; g) alterare la voce
degli interlocutori (c.d. morphing), con possibile neutralizzazione del
timbro vocale; h) criptare i file
contenenti le registrazioni, con relativa impossibilità di ascolto su sistemi
diversi da quelli appositamente preposti; i) "eliminare"
gli orari di registrazione e i primi secondi di conversazione, nei quali
sovente avviene "la presentazione dell'operatore e del cliente". L'impiego del sistema
verrebbe preceduto dal rilascio di un'apposita informativa ai lavoratori
interessati, mentre alla clientela la stessa sarebbe fornita, in forma
semplificata, "in fase di collegamento con l'operatore",
rimandando ad un'informativa di carattere più "generale" disponibile
sul sito della società per una più compiuta "panoramica" sulle
caratteristiche del trattamento svolto. Le registrazioni
acquisite, a detta della società, non verrebbero in alcun modo utilizzate
"per finalità diverse da quelle rappresentate, per cui ogni dato, ogni
registrazione, ogni ascolto (anche parziale) [Š] non potrà essere usato
dall'azienda per qualsivoglia fine disciplinare". La società si è comunque
manifestata disponibile a un confronto con le organizzazioni sindacali sulla
possibilità di adottare "modalità procedurali" atte a
garantire l'eventuale cancellazione dei files contenenti elementi
identificativi dell'operatore da parte degli "incaricati addetti alle
registrazioni" (tale disponibilità si è peraltro concretizzata
nell'accordo sindacale di cui appresso). 2.3. Con successiva nota
del 22 ottobre 2010, la società ha dichiarato di aver medio tempore
sottoscritto uno specifico accordo sindacale volto a disciplinare l'utilizzo
del sistema in esame. Tale accordo risulta sottoscritto "a livello
nazionale, con due delle tre sigle sindacali rappresentative dei lavoratori di
Vodafone (FISTEL CISL-UILCOM UIL), mentre con le organizzazioni sindacali
facenti capo alla SLC-CGIL sono intervenuti o stanno per essere raggiunti
accordi, del medesimo tenore, a livello territoriale". Tali accordi
costituirebbero già di per sé, in "un'ottica di bilanciamento degli
interessi in campo (le finalità di miglioramento dei processi di CRM
[customer relationship management] e della qualità del servizio, da un lato, e
i casi –[invero] rari– di trattamento dei dati dei lavoratori,
dall'altro) [Š] una modalità consensuale, tra Azienda e lavoratori, per
l'utilizzo del Sistema", tale quindi da giustificare la possibile
riconducibilità della fattispecie, tra l'altro, nell'alveo dell'art. 24, comma
1, lett. g), del Codice. La società ha inoltre
prodotto copia del testo recante l'informativa che verrebbe resa agli
interessati (siano essi clienti –nella forma semplificata e, tramite
collegamento al sito web della società, nella forma più
"esaustiva"– o dipendenti), come pure la documentazione
relativa alla designazione di società esterne operanti in regime di outsourcing
quali responsabili del trattamento ai sensi dell'art. 29 del Codice; queste
ultime, peraltro, secondo le dichiarazioni rese, avrebbero già sottoscritto
specifici accordi con le organizzazioni sindacali per la gestione delle
attività commissionate da Vodafone, la quale si è inoltre impegnata, per quanto
di sua competenza, ad attuare "i medesimi standard di tutela
indifferentemente per la registrazione e l'ascolto di chiamate dirette alle
proprie strutture interne o a quelle di terze parti)". Quanto
all'individuazione dei soggetti autorizzati all'ascolto delle registrazioni
(profilo oggetto anche dei predetti accordi sindacali), la società "si
atterrà a criteri di stretta limitazione in termini di numero di persone, di
controllo delle modalità di ascolto, ed in ogni caso escludendo la possibilità
di ascolto da parte del c.d. Team Leader delle chiamate registrate sul proprio
team". 3. Il trattamento effettuato a mezzo del sistema denominato "Quality
Recording System".
3.1. Il sistema che Vodafone
Omnitel N.V. intende utilizzare è funzionalmente preordinato a registrare le
conversazioni intercorrenti tra l'utenza e gli addetti che lavorano nei call
center. Benché la società abbia
previsto e adottato numerosi accorgimenti tecnici atti a prevenire
l'acquisizione di informazioni riconducibili ad interessati identificabili
(cfr. punto 2.2), non può tuttavia escludersi che l'impiego di detto sistema
possa comunque comportare, sia pure in termini remoti e "residuali",
un trattamento di dati personali riferiti sia agli utenti che agli operatori
dei call center (si pensi, a titolo esemplificativo, alle registrazioni
di conversazioni che, a dispetto dell'esclusione dei primi secondi di
conversazione, riportino successivamente i dati identificativi di uno degli
interlocutori). A tali eventuali
trattamenti devono dunque trovare applicazione le disposizioni del Codice, con
particolare riferimento, tenuto anche conto dei profili evidenziati nella
comunicazione sindacale del 26 aprile 2010, agli adempimenti che gravano in
capo al titolare relativamente all'informativa da rendere agli interessati e
all'acquisizione del loro consenso. 3.2. Con specifico
riferimento al primo aspetto, le risultanze istruttorie hanno evidenziato che
Vodafone Omnitel N.V. ha predisposto un'informativa specifica da rendere agli
utenti –in forma sia semplificata (in accordo con le modalità previste
nel provvedimento generale del 15 novembre 2007), che dettagliata (tramite il
sito web della società)–, attraverso cui questi ultimi vengono
resi edotti delle caratteristiche del trattamento eventualmente svolto. La
società ha inoltre prodotto il testo dell'informativa, puntuale e dettagliata,
che è stata predisposta in favore dei dipendenti. Mentre il contenuto di
quest'ultima appare conforme alle previsioni di cui all'art. 13 del Codice, il
testo predisposto dalla società a vantaggio degli utenti –nella sua forma
sintetica– non risulta invece chiara (limitandosi ad affermare che "la
chiamata potrebbe essere registrata per fini di controllo qualità"),
né contiene alcun richiamo alle modalità per il cui tramite è possibile
acquisire un'informativa più dettagliata da parte degli interessati. Pertanto,
anche alla luce di quanto previsto dal menzionato provvedimento generale (che
ha autorizzato "coloro che prestano i servizi in esame a indicare la
modalità attraverso la quale l'interessato potrà consultare o ascoltare a
richiesta un'informativa più specifica ad esempio mediante un sito web"),
si ritiene di dover prescrivere a Vodafone Omnitel N.V., ai sensi dell'art.
154, comma 1, lett. c) del Codice, di precisare e integrare l'informativa
sintetica da rendere all'utenza nell'ambito del contatto telefonico,
specificando: - che il trattamento
sarà effettuato per finalità di verifica della qualità del servizio reso
all'utenza; - le modalità con cui
accedere all'informativa più dettagliata relativa al trattamento in esame. 3.3. Per quanto riguarda
il secondo aspetto, occorre ricordare che il trattamento di dati personali (nel
caso di specie, attraverso l'utilizzo di strumenti elettronici che rendono
astrattamente possibile anche un controllo a distanza dell'attività dei
lavoratori) è consentito ai soggetti privati, limitatamente ai dati non
sensibili, solo se fondato su uno dei presupposti di liceità previsti dagli
artt. 23 e 24 del Codice (consenso libero ed espresso; adempimento ad un
obbligo di legge; esecuzione di un obbligo contrattuale; ecc.). Nella fattispecie in
esame, peraltro, non pare possibile fare affidamento sul consenso espresso
degli interessati quale presupposto di liceità del trattamento, atteso che un
eventuale diniego da parte di questi ultimi (siano essi utenti o lavoratori del
call center) potrebbe in concreto vanificare le finalità perseguite dalla
società (volte, come detto a migliorare la qualità dei servizi erogati e a
garantire una formazione più mirata del personale), peraltro nell'interesse
anche degli stessi utenti (cfr. punto 3.4). Occorre pertanto
verificare se, nel caso di specie, il trattamento in esame possa essere
effettuato sulla base di altri presupposti di equipollenza del consenso. 3.4. Un'idonea
alternativa all'esplicito consenso degli interessati va ravvisata nell'istituto
del bilanciamento di interessi, previsto dall'art. 24, comma 1, lett. g), del
Codice. A tale istituto si
ritiene di poter dare attuazione attraverso il presente provvedimento, essendo
ravvisabile nel caso in esame –ove siano stati raggiunti accordi
sindacali con le r.s.a./r.s.u., ovvero, in difetto di questi ultimi, sia stato
acquisito il provvedimento della preposta direzione provinciale del
lavoro–, un'ipotesi in cui il trattamento dei dati non sensibili,
eventualmente rilevati nel corso delle registrazioni delle conversazioni
intercorrenti tra gli utenti e gli addetti ai call center operanti a vantaggio
di Vodafone, può avvenire, nel rispetto delle modalità indicate e degli
accorgimenti già adottati, senza il consenso degli interessati; ciò, al fine di
perseguire un legittimo interesse del titolare del trattamento in riferimento a
proprie esigenze di natura organizzativa e produttiva (analizzare, in un'ottica
di costante miglioramento dei prodotti e servizi resi a vantaggio dell'utenza
–anche attraverso l'individuazione e l'eliminazione di eventuali lacune
formative degli incaricati–, la qualità e l'efficacia dei processi di
customer care, specie in un mercato altamente competitivo e in rapida
evoluzione). Tale bilanciamento tiene
conto, da un lato, delle garanzie che lo Statuto dei lavoratori prevede per il
controllo "indiretto" a distanza dell'attività dei lavoratori,
presupponendo non il consenso di questi ultimi, ma un accordo con le
rappresentanze sindacali (o, in difetto, l'autorizzazione di un organo
periferico dell'amministrazione del lavoro) e, dall'altro, dei numerosi accorgimenti
tecnici già adottati dalla società, tali –per numero e
caratteristiche– da ridurre significativamente i casi di trattamento di
dati personali degli interessati. Al riguardo, occorre inoltre considerare
quanto previsto dal codice civile in tema di organizzazione e direzione del
lavoro da parte dell'imprenditore (artt. 2086, 2094 e 2104 cod. civ.) e del
beneficio, in termini di assistenza più qualificata, che potrebbero trarre gli
stessi utenti dal trattamento in esame. Pertanto, ove risultino
pienamente soddisfatti i requisiti di cui all'art. 4, comma 2, l. n. 300/1970,
il trattamento in esame, nel rispetto delle modalità indicate e degli
accorgimenti adottati, potrà essere lecitamente effettuato dalla società, senza
il consenso degli interessati, per le sole finalità indicate e ad opera dei
soli incaricati del trattamento deputati al miglioramento dei processi di customer
care e alla formazione del personale. TUTTO CIÒ PREMESSO IL GARANTE a) ai sensi
dell'art. 154, comma 1, lett. c) del Codice, prescrive a Vodafone
Omnitel N.V. di precisare e integrare l'informativa sintetica da rendere
all'utenza nell'ambito del contatto telefonico, specificando: - che il trattamento
sarà svolto per finalità di verifica della qualità del servizio reso
all'utenza; - le modalità con cui
accedere all'informativa più dettagliata relativa al trattamento effettuato; b) ai sensi
dell'art. 24, comma 1, lett. g), del Codice, dispone che, per effetto del
presente provvedimento, Vodafone Omnitel N.V. possa trattare, senza il consenso
degli interessati, per le sole finalità di miglioramento dei processi di customer
care e di formazione del personale, i dati non sensibili eventualmente
rilevati nel corso delle registrazioni delle conversazioni intercorrenti tra
gli utenti e gli addetti ai call center operanti a suo vantaggio, a condizione
che ciò avvenga nel rigoroso rispetto della disciplina in tema di controllo a
distanza dell'attività dei lavoratori, delle modalità indicate e degli
accorgimenti adottati dalla società. Roma, 9 febbraio 2011 Il presidente Il relatore Il segretario generale |