La carte di "fedeltà" e i diritti degli interesssati

Da tempo si registra un utilizzo sempre più diffuso delle carte di "fedeltà" o tessere di "fidelizzazione" della clientela, le quali, spesso rilasciate gratuitamente presso punti vendita, centri o esercizi commerciali, consentono ai consumatori che vi aderiscono di usufruire di sconti o premi.

Le società che offrono tali carte o tessere anche elettroniche (catene di distribuzione, compagnie aeree, librerie, ecc.) raccolgono numerosi dati personali della clientela mediante, ad esempio, la distribuzione di moduli di adesione presso i diversi punti vendita in cui si effettuano gli acquisti. Ulteriori dati (relativi ai volumi di spesa, alla tipologia, alla quantità e al prezzo dei prodotti acquistati, agli sconti o buoni utilizzati, ai premi corrisposti ed ai punti accumulati, ecc.) sono non di rado acquisiti –da parte delle stesse società o tramite terzi- in relazione ai singoli acquisti effettuati.

In varie occasioni, attraverso lo studio analitico delle abitudini e delle scelte di consumo degli interessati, ed eventualmente dei loro gruppi familiari, vengono anche predefinite –a fini di profilazione- determinate categorie o gruppi di consumatori, abituali o meno, per orientare meglio scelte commerciali e di distribuzione dei prodotti, nonché per procedere ad un successivo invio di pubblicità "personalizzata".

Simili iniziative, fondate su cospicui trattamenti di informazioni di carattere personale devono avvenire nel pieno rispetto del Codice in materia di protezione dei dati personali (d.lg. n. 196/2003). In particolare, gli interessati devono essere pienamente ed agevolmente consapevoli del concreto uso dei dati che li riguardano, e degli strumenti posti a difesa dei loro diritti.

Il Codice è già applicabile alle carte di "fedeltà", ma le caratteristiche proprie del settore in esame pongono il problema dell´individuazione di specifiche modalità applicative.

Ciò premesso, il Garante invita i soggetti interessati a far pervenire le proprie osservazioni ed indicazioni, in particolare in merito ai seguenti punti:

• esperienze, che meritano di essere segnalate, in merito alla prassi volta a rilasciare carte al cliente e a rendere possibile la fruizione dei relativi vantaggi (premi, sconti o buoni, speditezza nei pagamenti, ecc.) a seguito dell´accettazione da parte dello stesso dei diversi trattamenti dei dati personali che lo riguardano;
• tipologie di dati personali richiesti al cliente ai fini del rilascio della carta "fedeltà";
• attività di fidelizzazione della clientela realizzate mediante programmi e tecniche di profilazione e classificazione; modalità di acquisizione del consenso e possibilità che i profili relativi ai clienti, così elaborati, siano comunicati a terzi;
• modalità di adempimento dell´obbligo dell´informativa agli interessati (anche con invio della modulistica eventualmente predisposta);
• individuazione delle misure più idonee a soddisfare l´esigenza di ridurre al minimo l´utilizzo dei dati identificativi dei clienti, nonché dei casi in cui non è necessario il loro trattamento (ad es., qualora i dati siano trattati per effettuare studi ed indagini statistiche sui consumi, per i quali non sia necessario il riferimento all´identità degli interessati);
• logica e metodologia di organizzazione, elaborazione e classificazione dei dati della clientela e di quelli relativi alla loro famiglia; aggregazione ai dati nominativi di informazioni di dettaglio sui consumi, oppure solo di dati aggregati;
• tempi di conservazione dei dati personali dei clienti relativi alla gestione delle carte, programmi volti alla corresponsione degli sconti o dei premi, nonché alle altre finalità connesse alla profilazione della clientela;
• parametri per differenziare i predetti tempi di conservazione (ad esempio, per tipologia di dati raccolti, in base alle esigenze tecniche concernenti le modalità di gestione degli stessi, nonché in relazione alle scelte effettuate dall´interessato, come ad esempio nel caso di mancato utilizzo della carta);
• misure per agevolare l´esercizio dei diritti degli interessati di accesso, rettifica e aggiornamento di dati ai sensi degli artt. 7 ss. del Codice in materia di protezione dei dati personali, nonché per garantire un tempestivo ed adeguato riscontro alle relative richieste, con particolare riferimento al diritto di ottenere la conoscenza dei dati riguardanti anche l´eventuale profilo del consumatore, di opporsi all´utilizzo dei dati per scopi di profilazione o di invio di materiale pubblicitario e diritto di far cancellare i dati a seguito della revoca dell´adesione all´iniziativa.

Televisione satellitare, interattiva e altre nuove forme di televisione

Le tecnologie digitali comportano di giorno in giorno l´offerta di prodotti innovativi nell´ambito del settore televisivo.

Le nuove opportunità in crescente sviluppo (Pay per view, pay tv, video on demand, ecc.) comportano, anche su canali satellitari, la diffusa disponibilità di servizi a crescente carattere interattivo, offerti attraverso dispositivi di vario tipo connessi ad apparecchiature televisive.

In particolare, il combinato uso di decoder e di servizi telefonici rende più agevole la partecipazione degli utenti a rilevazioni, sondaggi, giochi e test, o l´accesso a servizi di telebanking o di telemedicina o di pubblico interesse che alcune amministrazioni pubbliche si accingono ad erogare (c.d. "T-government"), o ancora, l´acquisto di film o eventi sportivi che possono presupporre l´identificazione e l´autorizzazione dell´utente sulla base di particolari "carte identificative" (c.d. "smart card").

Il Codice in materia di protezione dei dati personali è applicabile a questi trattamenti, ma la novità del fenomeno e l´uso non corretto dei dati personali che potrebbe derivarne espone utenti e consumatori in conseguenza della raccolta sproporzionata e non garantita di opinioni, orientamenti, gusti, abitudini e, più generale, del loro profilo o della loro personalità.

Si rende necessario chiarire con quali specifiche modalità i dati personali debbano essere utilizzati in concreto per non violare la sfera privata e gli altri diritti e libertà fondamentali degli interessati.

La consultazione pubblica è riferita ai soli profili riguardanti il trattamento dei dati personali nell´ambito dei nuovi servizi della televisione digitale, tenendo presente che i dati personali non sono solo quelli anagrafici, e riguardano qualunque altra informazione fornita anche da, o tramite, dispositivi elettronici e che fornisca, comunque, un contributo conoscitivo relativo ai soggetti interessati.

Assume un particolare interesse la specificazione delle modalità e delle condizioni in base alle quali gli utenti e i consumatori possono essere adeguatamente informati sull´uso dei dati che li riguardano e sui conseguenti rischi, come pure l´individuazione dei tipi di dati che possono essere lecitamente trattati, dei tempi della loro eventuale conservazione e delle modalità per esprimere e revocare liberamente il consenso necessario o per esercitare i diritti previsti dall´art. 7 del Codice. Di particolare interesse anche l´analisi di soluzioni operative, come le carte prepagate, che possono contribuire a contenere i rischi connessi al trattamento dei dati personali.

Il trattamento di dati personali nell´ambito della Radio Frequency Identification (RFID)

Di recente si è assistito ad una crescente diffusione delle tecniche di RFID (Radio Frequency Identification), basate sull´utilizzo di etichette intelligenti di riconoscimento (cd RFID tags) in grado di trasmettere e ricevere, con appositi lettori, segnali attraverso onde radio.

Tali tecniche possono rappresentare uno strumento utile per diverse finalità. La RFID può essere ad esempio impiegata per "tracciare" singole unità di prodotto nella catena di distribuzione dell´industria, per garantire una maggiore rapidità nelle operazioni commerciali, per prevenire furti e contraffazioni dei prodotti, per controllare accessi ad aree riservate, ecc.

Occorre tenere presenti le ripercussioni che l´utilizzo di tali tecniche può avere sui diritti delle persone e in special modo sulla protezione dei dati personali. Le cd. etichette "intelligenti" potrebbero esse stesse contenere dati personali, o rendere comunque identificabili gli interessati attraverso l´aggregazione con altre informazioni di carattere personale (si pensi, ad esempio, al loro impiego in esercizi commerciali ove sia possibile procedere all´incrocio dei dati relativi ai pagamenti effettuati dal cliente). Esse possono inoltre comportare la localizzazione dell´individuo che detiene l´oggetto su cui sono apposte, con notevoli conseguenze anche sulla libertà di circolazione delle persone. Ciò, tenendo conto anche del fatto che, in prospettiva, lo sviluppo tecnologico potrebbe incrementare la potenza dei sistemi di RFID rendendo possibile una "lettura" delle etichette anche a notevoli distanze.

I rischi per la vita privata dei cittadini possono accrescersi nel caso di una integrazione della stessa RFID con altre infrastrutture di rete (telefonia, Internet, ecc.).

Ulteriori pericoli per gli interessati possono derivare -specie, in prospettiva, con l´adozione di standard comuni- dalla possibilità che terzi non autorizzati "leggano" i contenuti delle etichette o intervengano sugli stessi (mediante, ad esempio, "riscrittura").

Ad oggi, si ha notizia, inoltre, dell´avvio di alcune tecniche di impianto di microchip RFID nel corpo umano e ciò per diverse finalità (allo scopo, ad esempio, di conservare e rendere all´occorrenza disponibili informazioni sullo stato di salute del paziente; al fine di verificare l´accesso a determinati luoghi riservati; oppure di garantire pagamenti rapidi in transazioni commerciali di vario tipo). Tale pratica impone una riflessione approfondita.

L´impiego della RFID, ove configuri un trattamento necessario di dati personali, deve avvenire nel rispetto del Codice in materia di trattamento dei dati personali (d.lg. n. 196/2003). Le caratteristiche proprie del settore in esame pongono il problema dell´individuazione di specifiche modalità applicative.

Può risultare quindi utile la raccolta di elementi di valutazione, in particolare sui seguenti profili:

• Per quali scopi risulta effettivamente necessario impiegare di dati personali attraverso tecniche fondate sulla RFID?
• Vi sono specifiche esperienze, che meritano di essere segnalate, in merito all´utilizzo di tecniche RFID che comportino un trattamento di dati personali?
• Ove l´impiego di RFID comporti un trattamento di dati personali, come possono essere adeguatamente informati gli interessati?
• Qualora, ai sensi della normativa sulla protezione dei dati personali, sia necessario che l´interessato presti il proprio il consenso al trattamento, con quali concrete modalità può essere raccolto tale consenso?
• Con quali modalità l´interessato è in grado di revocare il consenso precedentemente dato?
• Per quali finalità è giustificato utilizzare etichette RFID che siano attive anche al di fuori di esercizi commerciali (si pensi ad es. al caso di etichette -apposte su prodotti in vendita- in grado di rimanere attive anche oltre alla barriera-cassa)?
• La possibilità di asportare l´etichetta costituisce uno strumento valido per la salvaguardia dei diritti delle persone? Quali vantaggi e svantaggi possono derivare dall´asportazione dell´etichetta?
• La disattivazione dell´etichetta costituisce uno strumento valido per la salvaguardia dei diritti delle persone? Quali vantaggi e svantaggi possono derivare dall´asportazione dell´etichetta?
• Quali garanzie possono essere adottate per assicurare che dopo la sua disattivazione l´etichetta non sia riattivata dal titolare del trattamento o da soggetti terzi?
• Quali altre modalità tecniche, diverse dalla disattivazione e dall´asportazione dell´etichetta, possono essere adoperate per garantire i diritti degli interessati?
• Quali sono i soggetti che devono incaricarsi di effettuare la disattivazione o l´asportazione dell´etichetta?
• Fermo restando l´obbligo di approntare le misure di sicurezza dettate dal Codice in materia di protezione dei dati personali, quali altre misure possono essere applicate in adempimento agli obblighi di legge?
• Con quali modalità si può evitare che terzi -soprattutto nell´utilizzo di standard operativi comuni- leggano i contenuti delle etichette o possano intervenire sugli stessi?
• Quali altre modalità è opportuno implementare al fine di garantire che l´impiego della RFID non comporti pericoli per la protezione dei dati relativi alle persone?

Videochiamate e diritti delle persone interessate

Il Garante ha già fornito in passato alcuni chiarimenti in ordine al corretto utilizzo di Mms e Sms anche in riferimento all´uso di apparecchiature telefoniche a fini esclusivamente personali.

È stato ora chiesto all´Autorità di fornire ulteriori delucidazioni in merito ad analoghe tematiche poste dall´utilizzo dei c.d. videotelefonini.

Come già ricordato dal Garante nel provvedimento del 12 marzo 2003, la disciplina sulla protezione di dati personali può risultare in larga parte inapplicabile ai casi in cui singole persone fisiche trattino i dati, con determinate modalità, per "fini esclusivamente personali". L´ordinamento, specie nell´ambito dei codici civile e penale o della legge sul diritto d´autore, prevede peraltro altre importanti garanzie.

Il Codice è invece applicabile quando le immagini sono destinate ad una comunicazione sistematica o alla diffusione (si pensi alla loro immissione in Internet anche a titolo personale e, a maggior ragione, per scopi informativi).

Chi utilizza i videotelefonini, anche per fini esclusivamente personali, deve rispettare comunque altri obblighi previsti dai codici civile e penale, in particolare dall´art. 10 del codice civile ("Abuso dell´immagine altrui") e dagli artt. 96 e 97 della legge 22 aprile 1941, n. 633 sul diritto d´autore.

Altri divieti sanzionati penalmente riguardano alcuni aspetti del fenomeno quali l´indebita raccolta, la rivelazione e la diffusione di immagini attinenti alla vita privata che si svolgono in abitazioni altrui o in altri luoghi di privata dimora (art. 615-bis del codice penale); il possibile reato di ingiurie, in caso di particolari messaggi inviati suscettibili di offendere il destinatario (art. 594 del codice penale); le pubblicazioni oscene (art. 528 del codice penale); la tutela dei minori riguardo al materiale pornografico (art. 600-ter del codice penale; legge 3 agosto 1998, n. 269).

Prima di pronunciarsi sul trattamento dei dati personali effettuato in occasione delle c.d. "videochiamate", attualmente realizzate attraverso la rete Umts (Universal Mobile Telecommunication System), risulteranno utili eventuali altri elementi di riflessione sulle modalità di concreta tutela dei soggetti interessati connaturate a queste nuove forme di comunicazione.