Diritti interna

Doveri interna

ricerca avanzata

Richiesta di esonero dal rendere l’informativa individuale agli interessati partecipanti a programmi di fidelizzazione per catene di negozi - 11 giugno 2015 [4169456]

[doc. web n. 4169456]

Richiesta di esonero dal rendere l´informativa individuale agli interessati partecipanti a programmi di fidelizzazione per catene di negozi - 11 giugno 2015

Registro dei provvedimenti
n. 347 dell´11 giugno 2015

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Giovanni Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196), con particolare riferimento agli artt. 2, comma 2, 11, comma 1, lett. a), 13, comma 5, lett. c) e 154;

VISTO il provvedimento generale del Garante del 26 novembre 1998 in materia di esonero dall´obbligo di rendere l´informativa agli interessati (doc. web n. 39624);

VISTA l´istanza, formulata congiuntamente da Gruppo Coin S.p.A. e OVS S.p.A., con la quale, stante l´avvenuto trasferimento di un ramo di azienda dalla prima in favore della seconda, le due citate società hanno chiesto al Garante per la protezione dei dati personali di essere esonerate dall´obbligo di rendere individualmente l´informativa agli interessati, con contestuale indicazione, da parte dell´Autorità, di eventuali misure appropriate ai sensi dell´art. 13, comma 5, lett. c), del Codice;

VISTA la documentazione in atti, con particolare riferimento al contratto di cessione;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Antonello Soro;

Premesso

1. L´istanza delle società.

1.1. E´ pervenuta a questa Autorità in data 1° agosto 2014 l´istanza −successivamente integrata dalle note del 25 novembre 2014 e 12 febbraio 2015, recanti elementi ulteriori e nuova documentazione− formulata congiuntamente da Gruppo Coin S.p.A. e OVS S.p.A., con la quale è stato chiesto, in relazione all´avvenuto conferimento −ai fini della connessa gestione− del ramo di azienda relativo alle attività poste in essere presso i punti vendita ad insegna "OVS", "OVS Kids", "UPIM" e "BLUKids", l´esonero dall´obbligo di rendere individualmente l´informativa agli interessati e la contestuale indicazione di eventuali misure appropriate ai sensi dell´art. 13, comma 5, lett. c), del Codice.

La richiesta è stata formulata dalle menzionate società a seguito di una ampia operazione di riorganizzazione societaria a fronte della quale, con decorrenza 31 luglio 2014, ha avuto luogo la cessione da parte di Gruppo Coin S.p.A. a favore di OVS S.p.A. –società interamente controllata da Gruppo Coin S.p.A., costituitasi in forma di società a responsabilità limitata in data 14 maggio 2014 e trasformatasi in società per azioni in occasione del conferimento in esame– del ramo di azienda identificato sostanzialmente con l´attività di commercio al dettaglio e all´ingrosso di beni e prodotti per la persona, la casa, il lavoro e il tempo libero.

La procedura di vendita e cessione del predetto ramo di azienda si è conclusa, come risulta dalla comunicazione pervenuta al Garante in data 25 novembre 2014, con la stipula dell´atto notarile avvenuta il 23 luglio 2014.

Sulla base di quanto stabilito nell´atto di conferimento, il trasferimento ha ad oggetto il ramo di azienda di proprietà di Gruppo Coin S.p.A. che ricomprende il complesso dei beni e dei rapporti contrattuali organizzati funzionalmente per lo svolgimento in via autonoma dell´attività sopra indicata destinata alla gestione di negozi sotto le insegne OVS e UPIM, come risultante, nel dettaglio, dalla relazione all´uopo predisposta e allegata all´atto di conferimento.

1.2. La suddetta cessione, così come rappresentata, comporta effetti non solo sulla titolarità di beni e rapporti giuridici ma anche sulla titolarità del trattamento dei dati personali oggetto di cessione, risultando, infatti, dalle dichiarazioni fornite dalle società istanti, che OVS S.p.A. dal 31 luglio 2014 –a seguito del conferimento del ramo di azienda di proprietà del socio Gruppo Coin S.p.A.- ha acquisito rispetto ai dati identificativi e personali dei dipendenti, dei fornitori, dei clienti e degli utenti iscritti ai siti web oggetto di conferimento, la qualifica di titolare del trattamento (come confermato dalle stesse società istanti con nota del 12 febbraio 2015, punto a), p. 3).

Tuttavia, bisogna sottolineare che il trattamento dei dati personali coincidente con le attività della cessionaria interessato dal perimetro del ramo di azienda oggetto di trasferimento per il quale si chiede l´esonero dall´obbligo di rendere l´informativa, si riferisce, nello specifico, a quello connesso al database denominato "Banca dati fidelity" contenente i nominativi (e gli ulteriori dati personali) dei clienti aderenti ai programmi di fidelizzazione "OVS Card" e "OVS Student Card" (per i negozi ad insegna "OVS"), "Upim Card" (per i negozi ad insegna "UPIM"), "Blukids Card" (per i negozi ad insegna "BLUKIDS") posti in essere da Gruppo Coin S.p.A.

Al riguardo, le società hanno, tra l´altro, puntualizzato che l´istanza del 1° agosto 2014 "è formulata con riferimento alla categoria di interessati costituita dai clienti dei negozi (persone fisiche) registrati nella Banda dati fidelity non contattabili via e mail (qualora in sede di adesione al programma di fidelizzazione, gli interessati non abbiano fornito il proprio indirizzo di posta elettronica)" (cfr. nota del 12 febbraio 2015, punto b), p. 3). E´ stato altresì precisato che le informazioni contenute nel data base "Banca dati fidelity", di pertinenza del ramo di azienda ceduto, non consistono in dati sensibili, giudiziari o biometrici (cfr. istanza presentata il 1° agosto 2014, punto g), p. 2) e che in ordine alla raccolta di tali dati già realizzata da Gruppo Coin S.p.A. e volta specificamente al perseguimento di attività di profilazione e marketing, la società ha provveduto, ai sensi degli artt. 23 e 130 del Codice, ad ottenere distinti ed espressi consensi da parte degli interessati aderenti ai programmi di fidelizzazione citati (cfr. istanza presentata il 1° agosto 2014, punto e), p. 2), così come indicato nei relativi moduli di adesione documentati in atti (cfr. nota del 12 febbraio 2015, punto c), p. 4 e relativi allegati).

Per quanto concerne le ulteriori categorie di soggetti i cui dati personali sono stati oggetto del conferimento del ramo di azienda (in particolare quelle relative ai fornitori e ai dipendenti), essi, invece, in base a quanto asserito dalle società, possono essere destinatari  di idonea informativa individuale, considerato che tali interessati, a giudizio delle società istanti, sono agevolmente individuabili tramite contatto diretto o comunque via e mail; trattasi, peraltro, di un´informativa che, come asserito da OVS S.p.A. nella comunicazione successivamente inoltrata al Garante il 12 febbraio 2015, la medesima ha già provveduto a rendere ai soggetti in questione ai sensi dell´art. 13, comma 1 del Codice (cfr. punto a), p. 3).

Occorre sottolineare che, nel complesso, l´operazione di cessione, secondo le stime effettuate dalle società istanti, riguarderebbero un numero elevatissimo di soggetti (essendo già circa 1.800.000 quelli partecipanti ai programmi di fidelizzazione citati di cui, tra l´altro, solo 600.000 contattabili tramite e mail).

In relazione alla suddetta operazione, OVS S.p.A. ha, infine, dichiarato di voler effettuare il trattamento dei dati riferito alle menzionate tipologie di interessati, in termini sostanzialmente invariati per quanto concerne le finalità e le modalità seguite, e quindi in modo compatibile con gli scopi per i quali le stesse sono state in precedenza raccolte e trattate (cfr. istanza presentata il 1° agosto 2014, p. 4).

1.3. In ragione dell´assunzione da parte della società OVS della qualità di titolare del trattamento dei dati personali relativi agli interessati (limitatamente all´ambito di competenza relativo al ramo di azienda acquistato), la stessa si è posta il problema delle modalità con le quali gli interessati debbano essere informati riguardo a tali circostanze (art. 13 del Codice).

A detta di OVS S.p.A., cui a seguito della successione nel ramo di azienda spetterà porre in atto le misure prescritte ai sensi del presente provvedimento, sussisterebbero notevoli difficoltà nell´informare in modo adeguato un numero così elevato di clienti aderenti ai programmi di fidelizzazione coinvolti nella operazione di cessione che non risultano contattabili in ragione del fatto che al momento dell´adesione al programma prescelto non hanno fornito l´indirizzo e mail; ciò comporterebbe, infatti, l´impiego di mezzi manifestamente sproporzionati rispetto ai diritti degli interessati.

Alla luce di tali considerazioni, OVS S.p.A. chiede di poter fornire l´informativa non mediante comunicazioni individuali ma attraverso modalità alternative, ad esempio, mediante la diffusione di uno specifico avviso sui siti web di riferimento e, ancora, rendendo l´informativa, mediante affissione della stessa presso i locali dei relativi punti vendita o indicazione negli scontrini resi a seguito degli acquisiti effettuati dalla clientela, presso i negozi ad insegna "OVS", "OVS Kids", "UPIM" e "BLUKids".

A tal fine la società chiede al Garante di voler fornire l´indicazione di eventuali misure appropriate, ai sensi dell´art. 13, comma 5, lett. c), del Codice in materia di protezione dei dati personali.

2. L´informativa agli interessati e le ulteriori condizioni di liceità del trattamento.

2.1 Preliminarmente si rileva (come peraltro riconosciuto dagli istanti) che la cessione del ramo di azienda effettuata da Gruppo Coin S.p.A. a seguito della costituzione di OVS S.p.A. e in favore di quest´ultima non ha esaurito i suoi effetti solo sul piano civilistico, ma ha investito anche l´aspetto relativo alla protezione dei dati personali di soggetti che, prima di allora, avevano contatti con la sola società cedente (all´epoca titolare del trattamento).

Al riguardo si ribadisce che entrambe le società, assumendo ogni responsabilità ai sensi dell´art. 168 del Codice, hanno dichiarato che, anche a seguito della cessione del ramo d´azienda, il trattamento dei dati personali degli interessati proseguirà in termini sostanzialmente invariati rispetto a prima, nel rispetto delle finalità che ne avevano determinato la raccolta e con l´osservanza delle modalità sino ad allora seguite, ciò anche sotto il profilo della sicurezza dei dati (cfr. l´istanza presentata il 1° agosto 2014, punto m), p. 4).

2.2 Riguardo al profilo relativo alla comunicazione dei dati personali degli interessati da Gruppo Coin S.p.A. a OVS S.p.A., si rileva che nel caso in questione, essendosi verificata una cessione di ramo di azienda, trovano applicazione gli artt. 2558 (successione nei contratti), 2559 (crediti relativi all´azienda ceduta), 2560 (debiti relativi all´azienda ceduta) e 2112 (mantenimento dei diritti dei lavoratori in caso di trasferimento d´azienda) del codice civile. In ragione di tale peculiare disciplina, sul piano sostanziale si determina una successione legale del nuovo imprenditore in tutti i rapporti giuridici e in tutte le posizioni attive e passive facenti capo al cedente (salvo, riguardo ai contratti, i rapporti aventi carattere personale), sicché, subentrando l´acquirente -per legge- nella stessa posizione dell´alienante, il trattamento dei dati personali di dipendenti, fornitori e clienti (con riguardo a quest´ultima categoria, si fa riferimento al complesso dei trattamenti indicati al punto 1.2) connessi alla gestione del ramo di azienda ceduto, non necessita di alcun consenso, trovando applicazione il presupposto equipollente di cui all´art. 24, comma 1, lett. b) del Codice, che consente di prescindere da esso nel caso in cui il trattamento sia necessario per eseguire obblighi derivanti da un contratto di cui sia parte lo stesso interessato.

Inoltre, tenuto conto dell´art. 26, comma 4, lett. d) del Codice, non necessita di consenso il trattamento dei dati anche sensibili dei dipendenti, risultando al riguardo sufficiente il rispetto delle sole prescrizioni contenute nell´autorizzazione generale n. 1/2014 del Garante al momento vigente.

2.3 Ciò premesso, resta comunque doveroso il rispetto dell´obbligo posto dall´art. 13 del Codice che, nell´ipotesi in cui –come quella in questione- i dati personali non siano raccolti direttamente presso l´interessato, impone al titolare del trattamento di rendere l´informativa al predetto "all´atto della registrazione dei dati o, quando è prevista la loro comunicazione, non oltre la prima comunicazione" (art. 13, comma 4 del Codice).

Nel caso in oggetto, stante l´elevata mole dei rapporti in cui OVS S.p.A. è subentrata "ex lege" (in proposito, basti pensare agli oltre 1.200.000 nominativi dei soggetti aderenti  al programma di fidelizzazione non contattabili tramite lo strumento della posta elettronica) si deve effettivamente ritenere che non sia possibile rendere l´informativa a tutti gli interessati in forma individuale e che, comunque, anche qualora ciò fosse astrattamente realizzabile, ne discenderebbe un impiego di mezzi manifestamente sproporzionato –anche per costi ed oneri- rispetto al diritto tutelato.

Pertanto, si ritiene che la richiesta di esonero possa essere accolta e per l´effetto, ai sensi dell´art. 13, comma 5, lett. c) del Codice, si prescrive, quale misura appropriata, che l´informativa agli interessati venga resa da parte di OVS S.p.A. secondo modalità alternative e semplificate.

A tal fine, si ricordi che la disciplina di protezione dei dati personali prevede che i dati personali debbano essere trattati "secondo correttezza" (art. 11, comma 1, lett. a), del Codice), assicurando un livello elevato di tutela dei diritti e delle libertà fondamentali "nel rispetto dei princìpi di semplificazione, armonizzazione ed efficacia" (art. 2, comma 2, del Codice); tali garanzie possono essere assicurate nel caso in esame mediante la pubblicazione dell´informativa contenente gli elementi previsti dall´art. 13, commi 1 e 2, del Codice sui siti web di Gruppo Coin S.p.A. e OVS S.p.A., nonché mediante affissione della medesima presso i locali dei negozi sotto le insegne indicate in premessa, avendo cura, inoltre, di fornire direttamente ai soggetti ceduti gli elementi contenuti nell´art. 13, commi 1 e 2, del Codice, alla prima occasione utile.

TUTTO CIÒ PREMESSO, IL GARANTE:

accoglie la richiesta di esonero e, per l´effetto, ai sensi dell´art. 13, comma 5, lett. c) del Codice, dispone che OVS S.p.A., possa prescindere, per le ragioni di cui in motivazione, dal rendere l´informativa individuale agli interessati partecipanti ai programmi di fidelizzazione "OVS Card" e "OVS Student Card" (per i negozi ad insegna "OVS"), "Upim Card" (per i negozi ad insegna "UPIM"), "Blukids Card" (per i negozi ad insegna "BLUKIDS") che non hanno fornito l´indirizzo di posta elettronica in occasione dell´adesione al relativo programma, sempre che la stessa, tuttavia, fornisca agli interessati la prevista informativa:

1. mediante la pubblicazione di un annuncio recante i contenuti dell´informativa sui siti web di entrambe le società;

2. mediante affissione della stessa presso i locali dei negozi di cui alle insegne "OVS", "OVS Kids", "UPIM" e "BLUKids";

3. mediante la comunicazione della stessa agli interessati in occasione della prima circostanza utile di contatto.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 11 giugno 2015

IL PRESIDENTE
Soro

IL RELATORE
Soro

IL SEGRETARIO GENERALE
Busia