Ordinanza ingiunzione o revoca n. 188 del 27/04/2023

Benetton Group s.r.l. - conservazione dei dati, sicurezza e marketing nei programmi loyalty

Il provvedimento riguarda Benetton Group s.r.l. ed è stato adottato all’esito di un’istruttoria avviata a seguito di accertamenti ispettivi su trattamenti di dati personali connessi a finalità di marketing, profilazione, programmi fidelity/loyalty, newsletter e gestione cookie. Il Garante ha esaminato sia una prima contestazione del 2021, poi in gran parte superata dalle misure correttive adottate, sia una seconda contestazione, culminata nell’ordine di adeguamento e in una sanzione pecuniaria.

Origine del procedimento e attività ispettive

L’attività trae origine dai controlli programmati dal Garante e dagli accertamenti svolti dal Nucleo Speciale Privacy della Guardia di Finanza presso la società fra il 5 e il 7 novembre 2019. Gli approfondimenti hanno riguardato i trattamenti per finalità di marketing e profilazione, con particolare attenzione alla gestione dei cookie sui siti aziendali, ai database relativi ai clienti loyalty e all’invio di comunicazioni promozionali.

Successivamente, l’Ufficio ha acquisito riscontri cartolari e, ritenendo necessario un ulteriore esame tecnico e in loco, ha disposto una nuova ispezione fra l’8 e il 10 novembre 2021. Tale verifica è stata condotta per accertare l’effettiva implementazione delle misure dichiarate dalla società e per chiarire l’assetto dei sistemi e dei database utilizzati per i trattamenti contestati.

Prima contestazione del 29 settembre 2021

Nella prima contestazione il Garante aveva evidenziato criticità relative a:

• banner cookie e informative estese di alcuni siti, con gestione non conforme delle scelte dell’utente e incoerenze tra banner e informativa;
• conservazione dei dati dei clienti loyalty oltre quanto indicato nelle informative e nel registro dei trattamenti;
• invio di e-mail promozionali a soggetti che avevano già revocato il consenso o si erano disiscritti.

Le norme richiamate erano l’art. 13 GDPR, l’art. 6 GDPR e l’art. 122 del Codice privacy in materia di cookie, gli artt. 5, par. 1, lett. c) ed e), GDPR sulla minimizzazione e limitazione della conservazione, e l’art. 130 del Codice privacy per le comunicazioni promozionali.

La società ha eccepito, tra l’altro, la tardività della contestazione e ha rappresentato di aver già avviato o completato una nuova gestione cookie e un processo di razionalizzazione dei database.

Esiti della memoria difensiva e dell’ispezione del novembre 2021

L’Autorità ha ritenuto non fondata l’eccezione di tardività, richiamando la complessità dell’istruttoria e il contesto pandemico, che aveva inciso sui tempi degli accertamenti. Nel corso della nuova ispezione è stato verificato che diverse criticità iniziali risultavano effettivamente superate, in particolare per quanto riguarda la gestione dei cookie e l’unificazione del database clienti, che consentiva di associare a ciascun interessato un unico record con una sola opzione di consenso o diniego per i trattamenti promozionali.

Per tali ragioni, la prima contestazione è stata archiviata.

Seconda contestazione dell’11 marzo 2022: conservazione, sicurezza e accountability

Dalla seconda fase istruttoria sono emersi tre principali gruppi di criticità.

Conservazione dei dati e principi di minimizzazione

Il Garante ha rilevato che alcuni dati di ex clienti e iscritti alla newsletter risultavano conservati in modo potenzialmente indeterminato o comunque per periodi non coerenti con i principi di limitazione della conservazione. In particolare, risultavano ancora presenti nei sistemi i dati di numerosi soggetti che avevano disattivato la newsletter o non avevano chiesto la cancellazione dell’account, con conservazione che poteva protrarsi oltre 10 anni.

L’Autorità ha richiamato gli artt. 5, par. 1, lett. c) ed e), GDPR e ha valorizzato anche il principio di finalità di cui all’art. 5, par. 1, lett. b). Ha inoltre osservato che la durata decennale appariva eccessiva rispetto alle indicazioni contenute nel provvedimento generale del 24 febbraio 2005 sui programmi di fidelizzazione, che indicava tempi più contenuti per i dati utilizzati a fini promozionali e di profilazione.

Sicurezza dei sistemi e degli accessi

Con riguardo alla piattaforma Dynamics e alla gestione delle fidelity card, l’ispezione ha mostrato diverse debolezze:

• password non obbligatoriamente modificata al primo accesso;
• password unica per tutti i dipendenti dello stesso store;
• accesso alla piattaforma da dispositivi diversi e senza stringenti limitazioni tecniche;
• possibilità per gli addetti di visualizzare dati di clienti di più Paesi;
• assenza di una procedura adeguata di test, verifica e valutazione periodica dell’efficacia delle misure di sicurezza.

Il Garante ha ritenuto integrata la violazione dell’art. 32, par. 1, lett. b) e d), e par. 2, GDPR, evidenziando che si tratta di un illecito di pericolo, non essendo necessario che si sia già verificato un data breach.

Accountability e rapporti con terzi

L’Autorità aveva inizialmente contestato anche profili di accountability in relazione ai rapporti con Facebook e TikTok, ma ha poi ritenuto non ravvisabile la violazione, sulla base dei chiarimenti forniti dalla società circa la natura dei rapporti contrattuali e l’assenza di comunicazione di dati personali in nome o per conto di Benetton.

Valutazioni finali del Garante

L’Autorità ha ritenuto archiviabili:

• la prima contestazione, in quanto le criticità sui cookie e sulla struttura dei database erano state superate;
• la contestazione riferita alla singola interessata titolare della fidelity card, poiché i dati erano ancora trattati per il rapporto loyalty in essere;
• la contestazione sull’accountability rispetto a Facebook e TikTok.

Sono state invece confermate:

• la violazione dei principi di minimizzazione e limitazione della conservazione per i dati degli ex clienti e degli iscritti alla newsletter disattivati;
• la violazione dell’art. 32 GDPR in materia di sicurezza dei trattamenti.

Il Garante ha osservato che il numero dei soggetti coinvolti nella sola newsletter disattivata era molto elevato e che la persistenza della criticità richiedeva un intervento correttivo formale.

Misure correttive imposte

Il provvedimento ordina a Benetton Group s.r.l. di:

• cancellare o anonimizzare i dati personali degli ex clienti risalenti a più di 10 anni, salvo controversie giudiziarie o extra-giudiziarie in corso, entro 10 giorni;
• adottare soluzioni organizzative e tecniche per assicurare che la conservazione dei dati di clienti ed ex clienti avvenga nel rispetto dei principi di finalità, minimizzazione e limitazione della conservazione, entro 30 giorni;
• adottare soluzioni organizzative e tecniche per garantire una gestione dei dati personali dei clienti da parte del personale degli store conforme all’art. 32, par. 1, lett. b) e d), e par. 2, GDPR, entro 30 giorni;
• fornire riscontro documentato entro 40 giorni.

Sanzione amministrativa e criteri di quantificazione

Per le violazioni confermate il Garante ha applicato l’art. 83 GDPR, richiamando il cumulo giuridico di cui al par. 3, poiché le violazioni riguardavano trattamenti collegati e si è ritenuto applicabile il trattamento sanzionatorio più grave.

Nel determinare l’importo, l’Autorità ha considerato come aggravanti:

• l’elevato numero degli interessati e la durata delle violazioni;
• la gravità della colpa, anche in ragione della precedente attività provvedimentale dell’Autorità;
• la rilevanza economica della società.

Come attenuanti ha valutato:

• le misure già prospettate o avviate per migliorare la conformità;
• l’assenza di precedenti procedimenti;
• la collaborazione fornita;
• l’assenza di reclami o segnalazioni;
• il contesto emergenziale e le difficoltà economiche rappresentate dalla società.

All’esito è stata irrogata la sanzione amministrativa pecuniaria di euro 240.000.

Ulteriori conseguenze

Il Garante ha disposto anche:

• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni nel registro interno previsto dall’art. 57, par. 1, lett. u), GDPR.

È infine richiamata la possibilità di opposizione davanti all’autorità giudiziaria ordinaria nei termini di legge.