Ordinanza ingiunzione o revoca n. 348 del 20/10/2022

Ordinanza ingiunzione nei confronti di Douglas Italia S.p.A. per trattamenti non conformi in app, CRM, fidelity card e blog

Il provvedimento trae origine da un reclamo relativo al mancato riscontro a un’istanza di esercizio dei diritti e si sviluppa attraverso accertamenti ispettivi svolti presso Douglas Italia S.p.A. tra novembre e dicembre 2021. L’Autorità ha esaminato diversi trattamenti collegati all’attività commerciale e promozionale della Società, ritenendo emerse plurime violazioni del GDPR.

Origine del procedimento e attività istruttoria

La reclamante aveva lamentato di aver presentato una richiesta ai sensi degli artt. 15-22 GDPR senza ricevere risposta. Douglas aveva poi rappresentato di aver gestito la richiesta solo dopo la ricezione del reclamo trasmesso dal Garante e di aver cancellato i dati dell’interessata. Poiché la vicenda non risultava chiarita, l’Autorità ha avviato approfondimenti ispettivi sulla gestione delle istanze degli interessati e sui trattamenti di marketing e profilazione.

Gli accertamenti hanno riguardato, tra l’altro:

• la raccolta dei dati tramite app Douglas;
• i dati dei clienti provenienti dalle società fuse per incorporazione;
• la conservazione dei dati dei clienti che non avevano rinnovato la fidelity card;
• l’informativa resa ai clienti;
• il telemarketing effettuato dagli store;
• i trattamenti connessi al blog aziendale.

Gestione delle istanze degli interessati

Sul punto specifico del reclamo, il Garante ha ritenuto che il mancato riscontro fosse episodico e ha quindi escluso la contestazione dell’art. 12, par. 3, GDPR. La Società aveva infatti dimostrato di trattare di regola le istanze di cancellazione e opposizione in tempi brevi, tramite tre canali di ricezione:

• e-mail;
• servizio clienti;
• store fisici.

L’Autorità ha però poi rilevato una più generale carenza di trasparenza informativa e di coerenza nella gestione dei consensi e dei dati trattati per finalità ulteriori rispetto al rapporto contrattuale.

App Douglas, consenso e trasparenza informativa

Dall’analisi della procedura di registrazione all’app è emerso che l’utente, dopo la visualizzazione di diversi link documentali, veniva invitato ad accettare il tutto con un’unica formula del tipo “ok, ho capito, acconsento”. Nel testo informativo erano richiamate varie finalità, tra cui profilazione, marketing della Società, marketing da parte di partner e società del gruppo, oltre ad altre attività dichiarate in seguito non effettivamente svolte, come geolocalizzazione o marketing di prossimità.

Il Garante ha ritenuto che il consenso così raccolto non fosse libero e specifico e ha quindi confermato la violazione degli artt. 6 e 7 GDPR. In sede di valutazione finale ha inoltre ravvisato la violazione dell’art. 12, par. 1, GDPR, perché le informazioni rese agli utenti non risultavano sufficientemente chiare, accessibili e trasparenti.

È stata quindi ingiunta la modifica dell’impostazione dell’app, con separazione netta tra:

• informativa privacy;
• informativa cookie;
• rispettivi consensi;
• condizioni contrattuali.

Clienti delle società incorporate e principio di accountability

Douglas aveva unificato i database delle società Limoni Spa, La Gardenia Beauty Spa e Profumerie Douglas Spa e non era stata in grado di produrre inizialmente la documentazione originaria relativa a informative e consensi. In memoria ha poi depositato i moduli utilizzati dalle società incorporate, ma il Garante ha comunque esaminato la gestione complessiva dei dati confluiti nel CRM unificato.

È emerso che i dati dei vecchi clienti che non avevano rinnovato la fidelity card venivano mantenuti inattivi nel CRM, anche se non più coinvolti in attività di marketing. Il Garante ha ravvisato la violazione dell’art. 5, par. 2, e dell’art. 24 GDPR, per carenza di dimostrazione e governo complessivo del trattamento, ma ha poi disposto l’archiviazione del profilo relativo alla documentazione originaria, dopo la produzione dei moduli informativi e di consenso delle società incorporate.

Conservazione dei dati e limiti di finalità

La parte più rilevante del provvedimento riguarda la conservazione dei dati dei clienti delle società incorporate che non avevano convertito la vecchia card in card Douglas. L’Autorità ha considerato la conservazione eccessiva sia sul piano qualitativo sia su quello temporale, rilevando che:

• i dati restavano conservati in blocco nel CRM;
• la finalità di eventuale sostituzione della card era solo eventuale;
• i termini di conservazione richiamati dal Garante per i programmi fidelity erano molto più stringenti.

Sono stati così confermati i principi di limitazione della finalità e di conservazione di cui all’art. 5, par. 1, lett. b) ed e), GDPR. Il Garante ha anche ritenuto non adeguata l’informativa, rilevando la violazione dell’art. 13, par. 2, lett. a), e osservando che, secondo un diverso inquadramento, sarebbe stato comunque necessario un adempimento ex art. 14 GDPR.

Telemarketing dagli store e privacy by design

Nel corso dell’istruttoria è emerso che i consensi raccolti per sms e telefonata promozionale non sempre venivano rispettati in modo coerente: alcuni interessati potevano essere contattati con entrambi i canali anche se avevano espresso consenso per uno solo. Douglas aveva inoltre dichiarato di non avere procedure formalizzate e script specifici per il telemarketing degli store.

Il Garante ha quindi confermato la violazione degli artt. 5, par. 2, 24 e 25, par. 1, GDPR. Tuttavia, considerato il carattere residuale dell’attività e le misure correttive già avviate dalla Società, non ha ritenuto necessario impartire prescrizioni ulteriori su questo punto.

Blog aziendale e trattamenti connessi ai commenti degli utenti

Per il blog “Beauty Stories”, l’Autorità ha rilevato la presenza di campi per commento, nome e mail, senza una procedura di conferma dei dati inseriti e senza un’informativa dedicata al blog. Douglas ha dichiarato che la sezione era in dismissione e che i dati non erano stati utilizzati per marketing o profilazione, ma non ha chiarito in modo compiuto finalità e tempi di conservazione dei dati raccolti.

Il Garante ha pertanto confermato la violazione degli artt. 5, par. 2, 24 e 13 GDPR. Anche in questo caso non sono state ritenute necessarie prescrizioni correttive, tenuto conto del carattere sporadico e non più attuale del trattamento.

Violazioni complessivamente accertate

Le violazioni complessivamente confermate sono state le seguenti:

• art. 5, par. 1, lett. b) ed e), e par. 2 GDPR;
• art. 6 GDPR;
• art. 7 GDPR;
• art. 12, par. 1 GDPR;
• art. 13, par. 2, lett. a), GDPR;
• art. 24 GDPR;
• art. 25, par. 1, GDPR.

Il Garante ha ritenuto che le violazioni fossero collegate a trattamenti connessi al marketing e alla gestione dei dati clientelari della Società.

Misure correttive ordinate

Ai sensi dell’art. 58, par. 2, GDPR, sono state disposte le seguenti misure:

• modifica dell’app Douglas con separazione chiara tra informativa privacy, informativa cookie, consensi e condizioni contrattuali;
• cancellazione, entro 15 giorni dalla ricezione del provvedimento, dei dati personali dei clienti delle società incorporate risalenti a più di 10 anni, salvo controversie in corso;
• cancellazione o pseudonimizzazione, entro 30 giorni, dei dati personali dei clienti delle società incorporate risalenti a un periodo massimo di 10 anni;
• in caso di pseudonimizzazione, avviso ai clienti interessati entro 60 giorni mediante pubblicazione sul sito e comunicazione ex art. 130, comma 4, Codice privacy, per consentire il rinnovo della card entro 6 mesi;
• cancellazione, entro 15 giorni dalla scadenza del semestre, dei dati dei clienti che non avranno rinnovato la card;
• adozione di misure organizzative e tecniche per assicurare conservazione conforme ai principi di finalità e minimizzazione entro 30 giorni;
• invio al Garante di riscontro documentato entro 30 giorni.

Sanzione amministrativa e criteri di quantificazione

Per la quantificazione della sanzione il Garante ha applicato l’art. 83, par. 3, GDPR, ritenendo che le violazioni plurime fossero assorbite dalla violazione più grave, ricondotta all’inosservanza dei presupposti di liceità del trattamento di cui all’art. 6 GDPR, con applicazione dell’art. 83, par. 5, lett. a), GDPR.

Nel bilanciamento ex art. 83, par. 2, GDPR sono state considerate come aggravanti:

• la gravità e varietà delle violazioni;
• l’elevato numero degli interessati;
• la durata delle violazioni;
• il fatturato della Società.

Sono state invece valorizzate come attenuanti:

• il carattere sporadico del telemarketing;
• le misure correttive prospettate;
• l’assenza di precedenti procedimenti;
• la collaborazione con l’Autorità;
• il limitato potere decisionale rispetto alla capogruppo;
• il contesto economico e pandemico.

La sanzione è stata determinata in euro 1.400.000,00, pari a circa lo 0,4% del fatturato indicato.

Sanzioni accessorie e rimedi

È stata disposta la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno dell’Autorità. Il provvedimento ricorda infine la possibilità di opposizione davanti all’autorità giudiziaria ordinaria nei termini di legge.