| Garante per la protezione dei dati personali NELLA riunione odierna, inpresenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini,vice presidente, della dott.ssa Giovanni Bianchi Clerici e della prof.ssa LiciaCalifano, componenti, e del dott. Giuseppe Busia, segretario generale; VISTO il Codice in materiadi protezione dei dati personali (d.lg. 30 giugno 2003, n. 196), conparticolare riferimento agli artt. 2, comma 2, 11, comma 1, lett. a), 13, comma5, lett. c) e 154; VISTE le rispettive istanzeformulate in data 5 giugno e 13 agosto 2013, con le quali Alitalia-CompagniaAerea Italiana S.p.A. e Alitalia Loyalty S.r.l., stante l'avvenutotrasferimento di un ramo d'azienda dalla prima in favore della seconda, hannochiesto al Garante per la protezione dei dati personali di essere esoneratedall'obbligo di rendere l'informativa ai propri clienti in forma individuale,con la contestuale indicazione, da parte dell'Autorità, di eventuali misureappropriate ai sensi dell'art. 13, comma 5, lett. c) del d.lg. 30 giugno 2003,n. 196 (Codice); VISTA la documentazione inatti, con particolare riferimento al contratto di cessione intercorso tra lepredette società; VISTE le osservazionidell'Ufficio formulate dal segretario generale ai sensi dell'art. 15 delregolamento del Garante n. 1/2000; RELATORE la prof.ssa LiciaCalifano; 1. Le richieste di esonero. Con atto pubblico del 22gennaio 2013, Alitalia Compagnia Aerea S.p.A., nel dare attuazione ad unprogetto aziendale volto a sviluppare le potenzialità e l'efficacia delProgramma di fidelizzazione denominato "Mille Miglia", da leioriginariamente promosso e gestito, decideva di costituire unilateralmenteAlitalia Loyalty S.r.l., cui venivano trasferite le attività di loyalty. Per dotare la nuova società-interamente partecipata e controllata da Alitalia-Compagnia Aerea ItalianaS.p.A- dell'indispensabile capitale iniziale, si riteneva di procedere alconferimento del ramo d'azienda denominato "Mille Miglia", conconseguente cessione, in favore della predetta, di infrastrutture, di parte delpersonale, nonché di obbligazioni contrattuali, crediti e debiti; inoltre,veniva estesa anche ad Alitalia Loyalty S.r.l. la titolarità del Programma"Mille Miglia", con conseguente assunzione, da parte della stessa,della qualità di contitolare del trattamento dei dati personali delle seguenticategorie di interessati: a) i clienti (aziende partner, titolari di contratticommerciali connessi al Programma "Mille Miglia"; i soggetti –anchediversi da persone fisiche– partecipanti al Programma di fidelizzazione); b) i fornitori di beni e servizi necessariall'esercizio dell'attività d'impresa; c) i dipendenti ceduti (33 risorse). L'estensione ad AlitaliaLoyalty S.r.l. (dal 29 luglio 2013 trasformatasi in Alitalia Loyalty S.p.A.)della qualità di contitolare del trattamento dei dati personali ha comportatoanche la necessità che di tale circostanza siano resi edotti tutti gliinteressati (art. 13 del Codice). A tal fine, con note del 5giugno e del 9 luglio 2013, Alitalia-Compagnia Aerea Italiana S.p.A. e AlitaliaLoyalty S.p.A. hanno manifestato a questa Autorità l'intenzione di inviareall'indirizzo e-mail fornito dai clienti soci del Programma "MilleMiglia" una "completa e capillare informativa" al riguardo; però,facendosi carico dell'eventualità che non tutti i clienti possano essereconcretamente raggiunti mediante le predette e-mail, entrambe le società hannochiesto al Garante di poter essere autorizzate a fornire l'informativa ex art.13 del Codice attraverso modalità diverse dalla comunicazione in formaindividuale, anche per ovviare alla notevole sproporzione dei mezzi all'uoponecessari rispetto ai diritti degli interessati (stimati in oltre quattro milionidi clienti "Mille Miglia", oltre ai dipendenti e ai fornitori)-,prospettando la possibilità di effettuare comunicazioni e/o pubblicazioni suirispettivi siti web o, ancora, di utilizzare call center appositamentededicati. Pertanto, entrambe le societàhanno chiesto di essere esonerate dall'obbligo di rendere l'informativa agliinteressati in forma individuale, con contestuale indicazione, da partedell'Autorità, di eventuali misure appropriate ai sensi dell'art. 13, comma 5,lett. c) del Codice. 2. L'informativa agliinteressati. Preliminarmente si osservache la cessione del ramo d'azienda effettuata da Alitalia-Compagnia Aereaitaliana S.p.A. in occasione della costituzione di Alitalia Loyalty S.p.A. nonha esaurito i suoi effetti soltanto sul piano civilistico, ma ha investitoanche l'aspetto relativo alla protezione dei dati personali di soggetti che,prima di allora, avevano contatti con la sola società cedente (all'epoca unicotitolare del trattamento). Al riguardo si rileva cheentrambe le società, assumendo ogni responsabilità ai sensi dell'art. 168 delCodice, hanno dichiarato che, anche a seguito della cessione del ramod'azienda, il trattamento dei dati personali degli interessati proseguirà intermini sostanzialmente invariati rispetto a prima, nel rispetto delle finalitàche ne avevano determinato la raccolta e con l'osservanza delle modalità sinoad allora seguite (cfr. le istanze presentate il 5 giugno ed il 13 agosto 2013,pp. 1 e 2). Riguardo, invece, alprofilo relativo alla comunicazione dei dati personali degli interessati daAlitalia-Compagnia Aerea Italiana S.p.A. ad Alitalia Loyalty S.p.A., si rilevache nel caso in questione, essendosi verificata una cessione di ramo diazienda, trovano applicazione gli artt. 2558 (successione nei contratti), 2559(crediti relativi all'azienda ceduta), 2560 (debiti relativi all'aziendaceduta) e 2112 (mantenimento dei diritti dei lavoratori in caso ditrasferimento d'azienda) del codice civile. In ragione di tale peculiaredisciplina, sul piano sostanziale si determina una successione legale del nuovoimprenditore in tutti i rapporti giuridici e in tutte le posizioni attive e passive facenti capo al cedente (salvo, riguardo ai contratti, i rapportiaventi carattere personale), sicché, subentrando l'acquirente -per legge- nellastessa posizione dell'alienante, il trattamento dei dati personali comuni deifornitori, dei debitori, dei creditori e dei dipendenti non necessita dialcun consenso, trovando applicazione il presupposto equipollente di cuiall'art. 24, comma 1, lett. b) del Codice, che consente di prescindere da essonel caso in cui il trattamento sia necessario per eseguire obblighi derivantida un contratto di cui sia parte lo stesso interessato. Sempre in ragione dellasuddetta specifica disciplina, ai sensi dell'art. 24, comma 1, lett. g) delCodice, si ritiene che il trattamento dei dati personali della clienteladiversi da quelli sensibili non necessiti di alcun consenso, dovendosicontemperare, nel caso di specie, la tutela dei diritti e delle libertàfondamentali degli interessati con l'interesse della società acquirente allaprosecuzione dell'attività economica. Inoltre, ai sensi dell'art.26, comma 4, lett. d) del Codice, non necessita di consenso anche l'eventualetrattamento dei dati sensibili dei dipendenti, risultando al riguardosufficiente il rispetto delle sole prescrizioni contenute nell'autorizzazionegenerale n. 1/2013 del Garante. Ciò premesso, restacomunque doveroso il rispetto dell'obbligo posto dall'art. 13 del Codice che,nell'ipotesi in cui –come quella in questione- i dati personali non sianoraccolti direttamente presso l'interessato, impone al titolare del trattamentodi rendere l'informativa al predetto "all'atto della registrazione deidati o, quando è prevista la loro comunicazione, non oltre la primacomunicazione" (art. 13, comma 4 del Codice). Nel caso in oggetto, stantel'elevata mole dei rapporti in cui Alitalia Loyalty S.p.A. è subentrata"ex lege" (in proposito, basti pensare agli oltre quattro milioni di clienticoinvolti nel Programma "Mille Miglia"), si deve effettivamenteritenere che non sia possibile rendere l'informativa a tutti gli interessati informa individuale e che, comunque, anche qualora ciò fosse astrattamenterealizzabile, ne discenderebbe un impiego di mezzi manifestamentesproporzionato –anche per costi ed oneri- rispetto al diritto tutelato. Pertanto, si ritiene che larichiesta di esonero possa essere accolta; per l'effetto, ai sensi dell'art.13, comma 5, lett. c) del Codice, si prescrive, quale misura appropriata, chel'informativa agli interessati venga resa da parte di Alitalia-Compagnia Aereaitaliana S.p.A. e di Alitalia Loyalty S.r.l. secondo le seguenti modalità: a. mediante la pubblicazione del testodell'informativa sui siti web di entrambe le società; b. rendendo i singoli interessati edotti dellecaratteristiche del trattamento dei loro dati personali in occasione dellaprima circostanza utile di contatto, anche attraverso call center all'uopodedicati. TUTTOCIO' PREMESSO, IL GARANTE: accoglie la richiesta di esonero e, per l'effetto, aisensi dell'art. 13, comma 5 del Codice, prescrive ad Alitalia-Compagnia Aereaitaliana S.p.A. e ad Alitalia Loyalty S.p.A. di rendere agli interessatil'informativa concernente il trattamento dei loro dati personali nellosvolgimento delle attività di loyalty secondo le seguenti modalità: a. mediante la pubblicazione del testodell'informativa sui siti web di entrambe le società; b. rendendo i singoli interessati edotti dellecaratteristiche del trattamento dei loro dati personali in occasione dellaprima circostanza utile di contatto, anche attraverso call center all'uopodedicati. Ai sensi dell'art. 24, comma 1, lett. g) del Codice,dispone che, per effetto del presente provvedimento, i trattamenti dei datipersonali della clientela diversi da quelli sensibili possano essere effettuatianche in assenza del consenso degli interessati, nei limiti delle finalitàoriginarie della raccolta. Non necessita di consenso il trattamento dei datipersonali comuni dei fornitori, dei debitori, dei creditori e dei dipendenti,nonché il trattamento dei dati personali sensibili dei dipendenti, trovandoapplicazione, rispettivamente, i presupposti equipollenti di cui all'art. 24,comma 1, lett. b) e 26 comma 4, lett. d) del Codice. Roma, 23 gennaio 2013
|