Ordinanza ingiunzione o revoca n. 130 del 22/02/2024

Coop Italia: trattamento illecito di dati per marketing, esercizio dei diritti e conservazione dati social

Il Garante ha esaminato la posizione di Coop Italia Società Cooperativa a seguito di una segnalazione di un interessato e di successive verifiche ispettive svolte nell’ambito di un controllo più ampio su attività di marketing e profilazione. Il provvedimento riguarda, in particolare, la gestione delle richieste di accesso e opposizione, la formulazione del consenso per finalità promozionali, la conservazione di dati raccolti in occasione di eventi e fiere e la conservazione dei dati acquisiti tramite piattaforme social.

Origine del procedimento e attività istruttoria

La vicenda prende avvio da una segnalazione del 27 gennaio 2022, con cui l’interessato lamentava che la Società:

• non avesse dato pieno riscontro alle richieste di accesso e cancellazione dei dati;
• avesse continuato a inviare sms promozionali nonostante l’opposizione;
• si fosse limitata a registrare il diniego alle comunicazioni promozionali.

Il Garante ha avviato un’istruttoria preliminare il 15 aprile 2022, ricevendo riscontro tardivo dalla Società il 27 dicembre 2022, che ha ammesso un disguido interno e l’invio di ulteriori sms promozionali. Successivamente, nell’ambito di verifiche ispettive svolte il 4-6 aprile 2023 presso la Società, sono emerse ulteriori criticità e sono state contestate, con atto del 1° dicembre 2023, violazioni relative a:

• servizio CoopVoce/e-sim;
• raccolta di immagini e altri dati personali in occasione di eventi e fiere;
• raccolta di dati tramite piattaforme social.

Esercizio dei diritti dell’interessato

Il Garante ha confermato la violazione, nei limiti del caso concreto, del diritto di accesso e del diritto di opposizione dell’interessato. La Società aveva riscontrato solo parzialmente e in ritardo le richieste, mentre l’invio di ulteriori messaggi promozionali evidenziava il mancato recepimento dell’opposizione.

Sono stati richiamati i seguenti riferimenti:

• art. 12, par. 3 GDPR, che impone il riscontro entro 30 giorni;
• art. 15 GDPR;
• art. 21, par. 2 GDPR;
• art. 6 GDPR;
• art. 130 Codice privacy.

Pur sottolineando che si è trattato, per quanto emerso, di un caso isolato e non sistematico, l’Autorità ha ritenuto la violazione comunque rilevante per la centralità del diritto di opposizione al marketing. Non ha però disposto misure correttive specifiche sul punto, prendendo atto della revisione delle procedure interne dichiarata dalla Società.

Trattamento dei dati relativi alle e-sim e al servizio CoopVoce

Nella contestazione era stato rilevato che l’informativa consentiva il trattamento, previo consenso, di una vasta gamma di dati, inclusi:

• dati di traffico telefonico e/o telematico;
• dati di navigazione internet;
• dati di posizione e/o geolocalizzazione.

Tali dati erano associati a finalità di marketing, marketing di terzi e profilazione. Il Garante, però, ha accolto la difesa della Società nella parte in cui questa ha chiarito che tali dati sono raccolti e utilizzati soprattutto per l’esecuzione del contratto di telefonia e comunicazioni dati, mentre per il marketing diretto utilizza solo dati anagrafici e di contatto.

Di conseguenza:

• è stata archiviata la contestazione relativa all’art. 6, par. 1, lett. a) GDPR in questo specifico profilo;
• non è stata ingiunta alcuna misura correttiva sul punto.

Resta invece fermo il rilievo critico del Garante sulla richiesta di consenso unica e non sufficientemente specifica per un insieme eterogeneo di finalità, tra cui anche le attività statistiche ed economiche collegate alla profilazione.

Consenso non specifico per marketing e attività statistiche/economiche

Il cuore del provvedimento riguarda la formulazione del consenso richiesto per il marketing. Il Garante ha ritenuto che la formula adottata da Coop Italia non fosse adeguata perché accorpava in un unico consenso finalità distinte, tra cui:

• ricerche di mercato;
• analisi economiche e statistiche;
• vendita diretta;
• commercializzazione;
• invio di materiale promozionale;
• aggiornamenti su iniziative e offerte;
• comunicazione a terzi per finalità promozionali e di profilazione.

L’Autorità ha precisato che:

• il concetto di marketing non può essere esteso fino a ricomprendere automaticamente le attività statistiche ed economiche;
• un consenso non specifico non è libero, perché comprime l’autodeterminazione dell’interessato;
• per finalità diverse da quelle contrattuali, è necessario un consenso libero, specifico, informato e distinto.

Il Garante ha quindi confermato la violazione dell’art. 6, par. 1, lett. a) GDPR e ha ingiunto di modificare la formula di acquisizione del consenso per il marketing, eliminando il riferimento alle "attività statistiche ed economiche".

Conservazione dei dati raccolti in occasione di eventi e fiere

Per gli eventi e le fiere, la Società trattava fotografie, immagini, video e registrazioni audio anche per la pubblicizzazione delle manifestazioni su siti web, social network e altri materiali promozionali, con un periodo di conservazione massimo di 5 anni.

Nel corso dell’istruttoria, Coop Italia ha sostenuto che la conservazione rispondeva a esigenze pluriennali, di rendicontazione celebrativa e a liberatorie sottoscritte dagli interessati, comprensive di profili civilistici sul diritto d’immagine.

Il Garante ha ritenuto di poter tenere conto di tale impostazione e ha archiviato la contestazione relativa all’art. 5, par. 1, lett. e) GDPR sul punto, affermando in generale che l’autonomia contrattuale privata può incidere sulla tempistica di conservazione, purché restino fermi informativa adeguata e diritti degli interessati ai sensi degli artt. 15-22 GDPR.

Conservazione dei dati raccolti tramite social network

Per le piattaforme social, l’informativa della Società prevedeva la raccolta di dati identificativi, di contatto, immagini, audio-video, dati desumibili dai post e dati statistici, con finalità di brand awareness, engagement, lead generation e social caring. I dati e le immagini sarebbero stati conservati per un massimo di 5 anni.

Il Garante ha distinto tra:

• richieste di assistenza o reclami dei clienti, per le quali la conservazione quinquennale può essere giustificata;
• dati di meri utenti, per i quali non sussiste la base contrattuale e non è ravvisabile una necessità analoga.

Ne è derivata la conferma, nei limiti indicati, della violazione dell’art. 5, par. 1, lett. e) GDPR. Tuttavia, poiché la Società ha poi ridotto il tempo di conservazione a 6 mesi, non è stata ingiunta una misura correttiva ulteriore.

Valutazione finale sulle violazioni accertate

Il Garante ha quindi ritenuto accertate, nei limiti specificati in motivazione, le seguenti violazioni:

• art. 5, par. 1, lett. e) GDPR;
• art. 12, par. 3 GDPR;
• art. 15 GDPR;
• art. 21, par. 2 GDPR;
• art. 130 Codice privacy.

Sono state invece archiviate, o non hanno dato luogo a misure correttive, le contestazioni relative:

• al trattamento dei dati di traffico/e-sim, nei limiti chiariti dalla Società;
• alla conservazione dei dati per eventi e fiere.

Sanzione amministrativa pecuniaria

Per le violazioni confermate, il Garante ha applicato l’art. 83, par. 5 GDPR e ha determinato la sanzione tenendo conto del fatturato 2022 della Società, pari a euro 707.800.006, da cui è derivato un massimo edittale di euro 28.312.000,00.

Nella quantificazione sono stati considerati:

• come aggravante: l’elevato numero di interessati coinvolti;
• come attenuanti:
  • il carattere colposo delle violazioni;
  • la tempestiva adozione di misure correttive per i diritti degli interessati e per i tempi di conservazione sui social;
  • l’assenza di precedenti;
  • la collaborazione con l’Autorità;
  • le perdite economiche e il trend negativo della Società dal 2021.

La sanzione è stata fissata in euro 90.000,00.

Dispositivo e adempimenti

Il Garante ha:

• dichiarato illecito il trattamento effettuato da Coop Italia nei termini indicati;
• ingiunto la modifica del consenso marketing con eliminazione del riferimento alle attività statistiche ed economiche;
• ingiunto, ai sensi dell’art. 157 del Codice, di comunicare entro 30 giorni dalla notifica le iniziative adottate per dare esecuzione alle misure;
• ordinato il pagamento della sanzione di euro 90.000,00;
• previsto la possibilità di definizione agevolata mediante pagamento entro 30 giorni di un importo pari alla metà della sanzione;
• disposto la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno dell’Autorità.

Tutela giurisdizionale

Avverso il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 Codice privacy e dell’art. 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.