Prescrizioni del Garante n. 381 del 20/06/2024

Ammonimento a Sereni Hair s.r.l. per raccolta indebita di dati connessa alla lotteria degli scontrini

Il Garante per la protezione dei dati personali ha esaminato il reclamo di una cliente di Sereni Hair s.r.l. relativo alla raccolta di dati personali effettuata in occasione di un acquisto presso il salone. La società avrebbe richiesto la creazione di una "scheda cliente" come condizione per consentire la partecipazione alla c.d. lotteria degli scontrini, trattando nome, cognome, indirizzo, numero di telefono e indirizzo e-mail della reclamante.

Avvio del procedimento e istruttoria

A seguito del reclamo presentato il 24 aprile 2021, l’Ufficio ha chiesto informazioni alla società ai sensi dell’art. 157 del Codice privacy per verificare i presupposti di liceità del trattamento e le modalità di resa dell’informativa. Con l’atto di avvio del procedimento del 7 dicembre 2021 sono state contestate le possibili violazioni degli artt. 5, par. 1, lett. a) e c), 6 e 13 GDPR.

La società ha replicato sostenendo che:

• i dati erano stati raccolti esclusivamente per consentire la partecipazione alla lotteria degli scontrini;
• il personale aveva informato l’interessata della necessità di creare la scheda cliente e aveva richiamato l’informativa esposta accanto al registratore di cassa;
• dopo il reclamo erano state adottate misure correttive, tra cui l’utilizzo di un solo registratore di cassa direttamente collegato al sistema dell’Agenzia delle Entrate.

Valutazioni del Garante sulla disciplina della lotteria degli scontrini

Il Garante ha richiamato la disciplina della lotteria degli scontrini prevista dalla legge 11 dicembre 2016, n. 232, secondo cui il contribuente comunica all’esercente esclusivamente il proprio codice lotteria, per consentire l’abbinamento allo scontrino elettronico. In tale contesto, non è prevista l’identificazione dell’interessato da parte dell’esercente in alcuna fase del programma.

Alla luce di ciò, la raccolta dei dati per la creazione della scheda cliente è stata ritenuta del tutto estranea alla finalità della lotteria e riconducibile a finalità ulteriori. Il Garante ha quindi affermato la violazione del principio di minimizzazione dei dati, poiché i dati personali trattati devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità perseguite.

Mancanza di una base giuridica e di un’informativa idonea

L’Autorità ha accertato che il trattamento è avvenuto in assenza di uno dei presupposti di liceità di cui all’art. 6, par. 1, GDPR. Non è stata inoltre dimostrata la predisposizione di un’informativa conforme all’art. 13 GDPR, idonea a rappresentare agli interessati in modo trasparente le finalità e le modalità del trattamento connesso alla scheda cliente e la necessità del conferimento dei dati.

Il Garante ha osservato che la mera comunicazione della possibilità di partecipare alla lotteria degli scontrini non è sufficiente a integrare un’informativa privacy valida, perché non soddisfa i requisiti di contenuto e trasparenza imposti dall’art. 13 GDPR.

Insussistenza di un consenso liberamente prestato

La società aveva sostenuto che il trattamento fosse fondato sul consenso dell’interessata. Il Garante ha però richiamato l’art. 6, par. 1, lett. a), e i considerando 42 e 43 GDPR, secondo cui il consenso non può considerarsi liberamente prestato quando l’interessato non è in grado di compiere una scelta autenticamente libera o non può rifiutare o revocare il consenso senza subire pregiudizio.

Nel caso concreto, la creazione della scheda cliente era richiesta come condizione per partecipare alla lotteria degli scontrini: per questo il consenso non è stato ritenuto libero. Inoltre, la società non ha comprovato adeguatamente di aver effettivamente acquisito un consenso valido, come richiesto dal considerando 42.

Esito del procedimento: violazione minore e ammonimento

Il Garante ha concluso che il trattamento effettuato da Sereni Hair s.r.l. era illecito per violazione degli artt. 5, par. 1, lett. a) e c), 6 e 13 GDPR. Tuttavia, ha ritenuto il caso una "violazione minore" ai sensi dell’art. 83, par. 2, GDPR e del considerando 148, valorizzando:

• il numero molto limitato di interessati coinvolti;
• l’assenza di precedenti violazioni pertinenti;
• la condotta complessiva della società, che aveva introdotto correzioni organizzative documentate.

Ritenendo sufficiente una misura meno afflittiva della sanzione pecuniaria, l’Autorità ha applicato l’art. 58, par. 2, lett. b), GDPR e ha ammonito Sereni Hair s.r.l. quale titolare del trattamento.

Disposizioni finali

Il provvedimento dispone l’annotazione nel registro interno dell’Autorità delle violazioni e delle misure adottate ai sensi dell’art. 58, par. 2, GDPR, in conformità all’art. 17 del regolamento del Garante n. 1/2019. È inoltre indicata la possibilità di proporre opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. n. 150/2011.