Garante Privacy: vietato conseravare i dati a tempo indefinito

Il Garante per la Protezione dei dati personali, con provvedimento del 19 maggio 2008 , ha sanzionato una società vietando alla stessa di conservare a tempo indeterminato i dati dei propri clienti, anche solo potenziali.

Ancora un'interessante pronuncia del Garante in materia di tempi di conservazione dei dati raccolti da un'azienda nella propria attività commerciale.

L'analisi questa volta si è concentrata su una famosa società che vende prodotti per la casa non direttamente, ma a seguito di una visita dimostrativa, effettuata da propri incaricati, presso l'abitazione del cliente.

La visita può essere fissata dal potenziale cliente con una telefonata, nel corso della quale lo stesso viene avvisato che i suoi dati anagrafici sono stati registrati e che saranno utilizzati per fissare un appuntamento, o con la compilazione di un modulo on line.

Al momento dell'incontro viene inoltre consegnata all'interessato l'informativa privacy ai sensi dell'art. 13 Codice Privacy ed acquisito il suo consenso al trattamento dei dati personali per le finalità collegate alla società stessa.

Quanto infine ai tempi di conservazione dei dati così raccolti, il Garante ha riscontrato come, nel caso specifico, i dati vengano conservati per un tempo indefinito, dal momento che clienti hanno diritto ad una garanzia a vita per i prodotti acquistati.

E' stato tuttavia rilevato come gli stessi dati siano utilizzati dalla società non solo per questioni legate alla garanzia dei prodotti, ma anche per attività di telemarketing.

In modo analogo, anche i dati di chi non ha comprato niente, ma si è limitato ad incontrare un incaricato dell'azienda, sono conservati a tempo indeterminato ed utilizzati per svolgere successive indagini circa i motivi di rifiuto all'acquisto.

Stante tale situazione, il Garante ha rilevato come le modalità del trattamento dei dati compiuto da questa società non sia conforme alla legge.

Quanto infatti all'informativa privacy, i due diversi modelli contenuti sul sito dell'azienda risultano mancanti di alcuni dati previsti dalla legge, e in modo particolare, dei punti b), c) e d) dell'art. 13 Codice Privacy.

In modo analogo, l'informativa resa per telefono risulta carente circa le informazioni fornite sui diritti degli interessati.

L'Autorità ha quindi prescritto alla società di riformulare le proprie informative entro il 27 giugno 2008.

Il Garante ha rilevato un ulteriore profilo di illegittimità nell'uso dei dati raccolti nella fase precedente all'acquisto dei prodotti.

L'azienda infatti raccoglie tali dati anche per finalità di marketing, finalità che tuttavia, per legge, richiede un consenso esplicito e specifico dell'interessato.

Ma nel caso concreto, il consenso non risulta essere correttamente raccolto.

I moduli utilizzati dalla società fanno infatti generico riferimento alla concessione del consenso per i fini indicati nel documento consegnato al potenziale cliente, tra i quali però è possibile ravvisare finalità del tutto diverse tra di loro, quali quelle appunto relative alla fase precedente alla stipulazione del contratto, quelle del contratto (che peraltro non richiede il consenso dell'interessato) e quelle appunto di marketing o telemarketing.

La formulazione dei moduli non permette quindi all'interessato di esprimere specifico e consapevole consenso per l'utilizzo dei propri dati per finalità di marketing.

Il Garante, riconoscendo pertanto tale utilizzo dei dati per finalità di marketing come illegittimo, ha vietato alla società, con effetto immediato, ulteriori trattamenti di tali dati.

Quanto infine ai tempi di conservazione dei dati personali, il Garante per la Privacy ha specificamente indicato come gli stessi non possano essere conservati a tempo indefinito, ma, al contrario, debbano essere fissati dei tempi massimi di conservazione, tenuto conto dell'attività concretamente svolta dalla società.

Quindi, per la clientela che effettua acquisti, sicuramente i dati potranno essere conservati per le attività relative alla prenotazione dell'incontro, conclusione del contratto, gestione dell'eventuale sostituzione dei prodotti in garanzia).

In tutti gli altri casi, i dati dovranno essere cancellati o trattati in forma anonima ove la loro conservazione non risulti giustificata (art. 11, comma 1, lett. e) Codice Privacy).

Al contrario, per coloro che si limitano ad un contatto con l'azienda al fine di fissare un incontro dimostrativo con un incaricato, ma che poi non acquistano niente, i loro dati non potranno essere conservati dopo l'incontro dimostrativo se non con il loro consenso al successivo utilizzo dei loro dati per proposte commerciali o ricerche di mercato.

Il Garante ha quindi concesso termine alla società sino al 15 luglio 2008 per cancellare o rendere anonimi i dati la cui conservazione, alla luce di quanto sopra esposto, non risulta più giustificata.

Viene pertanto affermato il principio in base al quale le aziende non possono conservare i dati relativi ai propri clienti, anche solo potenziali, a tempo indeterminato. Tale conservazione potrà avvenire solo per il tempo strettamente necessario allo svolgimento delle finalità proprie dell'azienda.