g-docweb-display Portlet

Trattamento di dati personali nei servizi di assistenza telefonica - 4 marzo 2010 [1721214]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 1721214]

Trattamento di dati personali nei servizi di assistenza telefonica - 4 marzo 2010

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

In data odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Daniele De Paoli, segretario generale reggente;

VISTO il d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali);

ESAMINATA la documentazione in atti;

VISTA la segnalazione del 10 marzo 2009 formulata ai sensi dell´art. 144 del Codice da XY nei confronti di Samsung Electronics Italia S.p.A.;

VISTE le osservazioni formulate dal segretario generale reggente ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Mauro Paissan;

PREMESSO

1. Trattamento di dati personali per finalità di erogazione del servizio di assistenza telefonica.
XY, a seguito di un malfunzionamento della propria stampante, effettuava una ricerca sul sito web di Samsung Electronics Italia S.p.A. (azienda produttrice della predetta stampante) al fine di reperire informazioni circa i centri di assistenza autorizzati alla riparazione. All´esito della ricerca, risultata infruttuosa in ragione di un messaggio presente sul sito, che invitava l´utenza a contattare il "Servizio Clienti gratuito al numero: […] 800-7267864", il segnalante provvedeva a chiamare detto numero, ricevendo, in luogo dell´informazione desiderata, un´"informativa ai sensi dell´art. 13 del codice, che subordina[va] la fornitura di ogni informazione alla previa comunicazione, da parte del chiamante […], dei propri dati personali e del relativo consenso al trattamento di tali dati". Detta informativa, secondo quanto riferito, individuava quale titolare del trattamento una società terza (presuntivamente "autonoma e indipendente" da Samsung Electronics Italia S.p.A.), con ciò determinando una "evidente esautorazione della [stessa] Samsung dalla responsabilità inerente la gestione e il trattamento dei dati" in tal modo acquisiti.

Rilevando un trattamento di dati personali non necessario ai fini del conseguimento dell´informazione richiesta (evidenziandone i relativi profili di inconciliabilità con l´art. 3 del Codice), il segnalante ha dunque richiesto l´intervento di questa Autorità al fine di "far cessare tale raccolta indebita di dati personali e [di] ottenere la cancellazione del database così ottenuto dei propri clienti da parte della Samsung Italia e delle società terze coinvolte nella condotta illecita".

2. Le osservazioni della società.
2.1. Con nota del 2 dicembre 2009, la società ha fatto pervenire le proprie osservazioni, evidenziando preliminarmente che il numero gratuito messo a disposizione degli utenti è funzionale all´acquisizione non solo di "informazioni a carattere assolutamente generale sui prodotti a marchio Samsung", ma anche alla soddisfazione di richieste di "specifica assistenza sia per prodotti in garanzia che per prodotti fuori garanzia". Componendo l´apposito "numero verde", gli utenti, "prima di ricevere assistenza, hanno la possibilità" (digitando un apposito tasto) "di ascoltare un´informativa che riguarda il trattamento cui saranno soggetti i dati personali che eventualmente rilasceranno nel corso della telefonata"; ciò, perché in ragione "della richiesta del cliente (generiche informazioni o servizio di assistenza tecnica), saranno diversi i dati raccolti e trattati". Ad ogni buon conto, l´informativa che viene rilasciata premendo il suddetto tasto indica espressamente, quale titolare del trattamento effettuato per finalità di assistenza all´utenza, Samsung Electronics Italia S.p.A. (cfr. all. 1 alla nota di risposta).
Digitato il numero verde e ascoltata l´informativa sul trattamento dei dati personali, l´utente viene quindi indirizzato verso l´operatore di competenza, il quale provvede, in caso di richieste "generiche", a fornire i ragguagli necessari, senza acquisire a tal fine alcun dato personale.
Nondimeno, ove la richiesta comporti (anche) un eventuale intervento di assistenza, l´operatore è tenuto, sulla base di istruzioni in precedenza impartite, a "non fornire immediatamente indicazioni circa l´ubicazione o i recapiti telefonici dei centri di assistenza senza […] aver[e] [previamente] tentato di fornire indicazioni al cliente per la soluzione del problema riscontrato. Una soluzione del problema tramite contact center", secondo quanto riferito dalla società, "è infatti preferibile sia per il cliente che per Samsung stessa".

22. L´avvio della procedura di assistenza tecnica, secondo le dichiarazioni rese dalla società, comporta la richiesta, da parte dell´operatore, di informazioni relative al codice e al numero seriale del prodotto, oltre ai seguenti dati personali riferiti al chiamante: nome e cognome; indirizzo; recapito telefonico; indirizzo di posta elettronica (ove disponibile). Tali dati "vengono registrati […] in un modulo specifico del software applicativo [in uso presso] Samsung Electronics S.p.A.".
Il cliente, forniti i dati richiesti, espone quindi il problema tecnico riscontrato sul prodotto malfunzionante e l´operatore, ove in grado di fornire indicazioni per la relativa soluzione, provvede a comunicarle all´interessato. Nel caso in cui l´intervento di assistenza richieda analisi più approfondite, la chiamata viene indirizzata ad altro operatore qualificato (definito di "secondo livello"), onde tentare di addivenire comunque ad una soluzione del problema "via telefono". Qualora anche l´intervento di tale operatore risulti inidoneo, il cliente viene informato delle possibili soluzioni alternative offerte dalla società (riparazione a domicilio da parte di tecnici specializzati; ritiro del prodotto tramite corriere; intervento presso centri di assistenza autorizzati, previo rilascio dei relativi recapiti; ecc.). Di qui, la necessità di acquisire i predetti dati da parte della società.

2.3. A giudizio di quest´ultima, infatti, tali dati sarebbero necessari "per fornire il servizio di assistenza" offerto all´utenza, risultando pertinenti e non eccedenti rispetto alla finalità perseguita. Gli stessi (segnatamente, nome, cognome e indirizzo di colui che richiede l´intervento tecnico) sarebbero "necessari per poter ritirare il prodotto non funzionante e per riconsegnarlo una volta riparato ovvero per effettuare l´intervento a domicilio, mentre il numero di telefono consent[irebbe] di coordinare la consegna ed il ritiro del prodotto o organizzare l´intervento a domicilio a seconda delle esigenze nonché impegni del cliente". Peraltro, qualora "anche solo un dato, tra quelli richiesti, non [dovesse essere] fornito dal cliente", il servizio di assistenza potrebbe risultare "precluso ovvero non potrebbe essere completamente e compiutamente erogato".

2.4. Il trattamento dei dati sopra richiamati, alla luce della documentazione prodotta in atti, risulta in concreto effettuato da Stream Italy s.r.l. (società addetta alla gestione, per conto e nell´interesse di Samsung Electronics Italia S.p.A., del servizio di contact center per l´erogazione di interventi anche di assistenza tecnica telefonica). Detta società, limitatamente ai trattamenti di dati personali connessi ai menzionati servizi di contact center, risulta essere stata ritualmente designata quale responsabile del trattamento ai sensi dell´art. 29 del Codice.

Sotto altro profilo, Stream Italy s.r.l., alla luce delle dichiarazioni rese da Samsung Electronics Italia S.p.A., risulterebbe invece autonomo titolare del distinto trattamento effettuato mediante registrazione casuale e automatica (per il tramite di uno specifico software denominato "Optimise") "di un limitato numero delle chiamate" ricevute. La memorizzazione delle chiamate sarebbe funzionale allo "svolgimento di attività di addestramento del personale e [di] miglioramento del servizio di contact center" espletato dai dipendenti della società; solo il personale addetto alla formazione potrebbe avere accesso alle registrazioni (onde valutare le "performance" dei singoli operatori telefonici), per un periodo di tempo comunque limitato a dieci giorni, decorsi i quali le registrazioni verrebbero automaticamente cancellate.

In ordine a tale trattamento, Samsung Electronics Italia S.p.A. ha precisato di non aver alcun potere decisionale quanto alle relative finalità e modalità. Le stesse registrazioni, peraltro, non sarebbero "in alcun modo collegate alle informazioni e ai dati personali che gli operatori raccolgono e registrano per conto di Samsung Electronics S.p.A."

3. Profili di illiceità del trattamento.
3.1. La segnalazione ha per oggetto il trattamento di dati personali riferiti all´utenza effettuato da Samsung Electronics Italia S.p.A. (per il tramite di Stream Italy s.r.l., in qualità di gestore dei servizi di contact center) per finalità di erogazione di servizi di comunicazione (ed eventuale assistenza tecnica) agli interessati.
Merita preliminarmente rilevare che esula dall´oggetto del presente provvedimento la valutazione delle richieste avanzate dal segnalante in ordine all´istanza di "cancellazione" dei dati personali comunicati dall´utenza agli operatori in sede di contatto telefonico. Tale profilo, infatti, attiene all´esercizio dei diritti riconosciuti dall´art. 7 del Codice agli interessati –intendendosi per tali le persone fisiche cui si riferiscono i dati personali: art. 4, comma 1, lett. i), dello stesso Codice–, diritti che costoro possono eventualmente far valere innanzi a questa Autorità con il diverso strumento del ricorso, disciplinato dagli artt. 145 e ss. del Codice.

3.2. Nel merito della vicenda, occorre rilevare che la società, alla luce delle dichiarazioni rese in sede istruttoria ai sensi e per gli effetti di cui all´art. 168 del Codice, risulta aver adottato una procedura per la gestione dei contatti telefonici diversamente articolata in funzione delle richieste formulate dall´utenza. Qualora le istanze pervenute siano di carattere "generico" (ad esempio, richieste di informazioni relative ai prodotti a marchio Samsung), l´operatore provvede a fornire le indicazioni richieste, senza alcuna acquisizione di dati personali riferiti al richiedente; ove, invece, l´intervento richieda anche un´attività di assistenza tecnica, lo stesso operatore provvede ad acquisire i dati personali dell´utente al fine di permettere l´erogazione del servizio (e, in particolare, l´eventuale ritiro e riconsegna del prodotto malfunzionante, ovvero l´organizzazione degli interventi a domicilio).
Tale trattamento, limitatamente alle chiamate aventi ad oggetto interventi di assistenza tecnica e in considerazione delle finalità dichiarate dalla società, non risulta allo stato lecito limitatamente al profilo di seguito indicato.

3.3. Alla luce della documentazione acquisita, deve rilevarsi che, diversamente dal nome e cognome del chiamante (utili ai fini dell´identificazione dell´interlocutore telefonico) e dalle informazioni riferite al prodotto (codice e numero seriale), l´acquisizione dei dati relativi all´indirizzo, al recapito telefonico e all´eventuale indirizzo di posta elettronica degli utenti, in quanto effettuata in un momento antecedente l´intervento di assistenza tecnica vero e proprio (talora, in astratto, potenzialmente risolutivo del problema), non è conforme al principio di pertinenza e non eccedenza di cui all´art. 11, comma 1, lett. d) del Codice.

Non risulta infatti giustificata, anche alla luce delle finalità dichiarate dalla società (in particolare: ritiro e riconsegna del prodotto; organizzazione degli interventi a domicilio), la raccolta dei predetti dati in una fase in cui, attraverso la mera raccolta di informazioni relative soprattutto al prodotto medesimo (e previa acquisizione presso l´utenza di ulteriori informazioni inerenti al malfunzionamento dello stesso) è in astratto possibile addivenire ad una soluzione che ne consenta il ripristino delle relative funzionalità (soluzione, peraltro, privilegiata dalla stessa società), senza che a tal fine sia necessario il preventivo rilascio dei dati personali sopra richiamati agli operatori telefonici da parte degli interessati. Dati che, al contrario, risultano invece proporzionati nella successiva (ed eventuale) fase in cui si renda necessaria, data anche la natura del problema tecnico riscontrato, la ricerca di una soluzione alternativa all´assistenza telefonica (cfr. punto 22).

Limitatamente a tale profilo, dunque, ai sensi degli artt. 143, comma 1, lett. c), 144, e 154, comma 1, lett. d) del Codice, nei confronti di Samsung Electronics Italia S.p.A va disposto il divieto di trattare ulteriormente i dati personali relativi all´indirizzo, al recapito telefonico e all´eventuale indirizzo di posta elettronica degli utenti nella fase antecedente l´intervento di assistenza tecnica effettuato per il tramite di canali telefonici appositamente dedicati, in quanto sproporzionato rispetto alla finalità perseguita.

L´Autorità si riserva di valutare, con autonomo procedimento, la liceità del trattamento di dati personali effettuato da Stream Italy s.r.l. (nella veste di autonomo titolare del trattamento medesimo), per finalità di addestramento e miglioramento delle attività espletate dal proprio personale in sede di erogazione dei servizi telefonici resi nell´interesse di Samsung Electronics Italia S.p.A.

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 143, comma 1, lett. c), 144 e 154, comma 1, lett. d) del Codice, vieta a Samsung Electronics Italia S.p.A. di trattare ulteriormente i dati personali relativi all´indirizzo, al recapito telefonico e all´eventuale indirizzo di posta elettronica degli utenti nell´ambito della fase antecedente l´intervento di assistenza tecnica effettuato per il tramite di canali telefonici appositamente dedicati, perché in violazione dell´art. 11, comma 1, lett. d) del Codice.

Roma, 4 marzo 2010

IL PRESIDENTE
Pizzetti

IL RELATORE
Paissan

IL SEGRETARIO GENERALE REGGENTE
De Paoli