Ordinanza ingiunzione o revoca n. 253 del 08/06/2023

La Rinascente S.p.A.: conservazione dei dati, profilazione e data breach nei trattamenti di marketing

Il provvedimento riguarda La Rinascente S.p.A. e origina da una segnalazione di un’interessata, oltre che da un accertamento ispettivo svolto dal Nucleo Speciale Privacy. L’istruttoria ha interessato la gestione delle fidelity card, i trattamenti per marketing e profilazione, le campagne pubblicitarie tramite Facebook-Meta e due episodi riconducibili a violazioni di dati personali.

Origine del procedimento e fatti esaminati

La segnalazione del 28 luglio 2021 lamentava che, dopo un alterco in uno store, la cliente avesse ricevuto una e-mail di attivazione di una nuova fidelity card mai richiesta, con generalità alterate e offensive. La società ha spiegato di avere poi ripristinato la situazione e di avere sanzionato disciplinarmente la dipendente coinvolta.

Parallelamente, l’ispezione del 30 novembre-2 dicembre 2021 ha evidenziato criticità nelle informative relative alla fidelity card e alle campagne di marketing, nella gestione dei consensi, nel ruolo di Meta, nella conservazione dei dati e nella mancata definizione, all’epoca, di una valutazione d’impatto per l’attività di profilazione.

Data breach e misure di sicurezza

Il Garante ha esaminato due episodi di possibile data breach.

• Primo episodio: modifica non autorizzata dei dati della segnalante mediante accesso al sistema interno. Questo episodio è stato ritenuto archiviabile, in quanto riconducibile a un comportamento individuale difforme dalle istruzioni ricevute, con successivo ripristino integrale dei dati.
• Secondo episodio: invio erroneo di e-mail contenenti ordini a destinatari non corretti, per 5 clienti e-commerce e 70 ordini. Su questo punto è stata confermata la violazione dell’art. 5, par. 1, lett. f), e dell’art. 32, par. 1, lett. b) e d), GDPR, per inadeguatezza originaria delle misure tecniche e organizzative a tutela della riservatezza.

Informativa e consenso per fidelity card

In relazione all’informativa resa alla segnalante al momento dell’attivazione della card e alla struttura dei moduli di adesione, il Garante ha ritenuto soddisfacenti i chiarimenti forniti dalla società. È stata quindi archiviata la contestazione relativa all’art. 13 GDPR.

Analogamente, è stata archiviata la censura sulla richiesta di un’unica manifestazione di volontà per contratto e presa visione dell’informativa, poiché non è emersa un’effettiva commistione tra accettazione contrattuale e consenso ai trattamenti ulteriori; inoltre, i consensi per marketing e profilazione risultavano comunque distinti.

Campagne promozionali con Facebook-Meta e ruoli privacy

L’istruttoria ha riguardato campagne di tipo:

• Custom Audience CRM: basate su indirizzi e-mail dei clienti, caricati in forma hash e utilizzati per individuare il pubblico da raggiungere;
• Standard: articolate in campagne di prospecting e retargeting.

A seguito dei chiarimenti della società, il Garante ha ritenuto archiviabili le contestazioni riguardanti gli obblighi informativi e di consenso, nonché la nomina del responsabile del trattamento, ritenendo chiarito il ruolo di Meta e della società nelle diverse fattispecie e prendendo atto dell’aggiornamento delle informative.

Conservazione dei dati: violazione dei principi di limitazione e trasparenza

Il profilo centrale del provvedimento è la conservazione dei dati per finalità di marketing e profilazione per un termine massimo indistinto di 7 anni. Il Garante ha ritenuto che tale durata fosse eccessiva e non adeguatamente differenziata rispetto a:

• tipologia di prodotto;
• finalità di marketing o di profilazione;
• quantità e qualità dei dati trattati;
• aspettative degli interessati.

Secondo l’Autorità, l’indicazione contenuta nelle informative, formulata in modo generico come richiamo al “periodo massimo consentito per legge e previsto dai provvedimenti del Garante”, non consentiva agli interessati una comprensione chiara e immediata dei tempi applicati. È stata dunque confermata la violazione degli artt. 5, par. 1, lett. a), b), c) ed e), e 12, par. 1, GDPR.

Mancata valutazione d’impatto

Il Garante ha confermato anche la violazione dell’art. 35, par. 1, GDPR. Ha ritenuto che l’attività svolta integrasse profilazione ai sensi dell’art. 4 GDPR, poiché diretta a valutare preferenze, interessi e abitudini di consumo, e che essa avesse natura su larga scala, considerato l’elevato numero di clienti coinvolti.

In applicazione delle linee guida WP 248 rev. 01, l’Autorità ha rilevato la presenza di almeno due criteri di rischio elevato, tali da rendere necessaria una DPIA preventiva.

Valutazioni finali, prescrizioni e sanzione

All’esito del procedimento, il Garante ha:

• dichiarato illecito il trattamento nei limiti indicati in motivazione;
• ingiunto alla società di stabilire e applicare tempi differenziati di conservazione per fasce di prodotti, distinguendo tra marketing e profilazione;
• ordinato la cancellazione o anonimizzazione dei dati conservati oltre i termini stabiliti;
• imposto di comunicare entro 30 giorni le iniziative adottate per dare esecuzione alle misure.

Per le violazioni confermate è stata applicata una sanzione amministrativa pecuniaria di 300.000 euro. Nella quantificazione sono stati considerati, tra gli altri, l’elevato numero degli interessati, la durata delle violazioni, l’ampiezza territoriale dei trattamenti, la capacità economica della società, l’assenza di precedenti, la collaborazione e l’adozione di misure correttive.

È stata inoltre disposta la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno dell’Autorità.