g-docweb-display Portlet

Richiesta di esonero dall'obligo di rendere l’informativa individuale agli interessati partecipanti ad un programma di fidelizzazione - 9 novembre 2017 [7489156]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 7489156]

Richiesta di esonero dall´obligo di rendere l´informativa individuale agli interessati partecipanti ad un programma di fidelizzazione - 9 novembre 2017

Registro dei provvedimenti
n. 460 del 9 novembre 2017

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanni Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196 - di seguito Codice), con particolare riferimento agli artt. 2, comma 2, 11, comma 1, lett. a), 13, comma 5, lett. c) e 154;

VISTO il provvedimento generale del Garante del 26 novembre 1998 in materia di esonero dall´obbligo di rendere l´informativa agli interessati (in www.gpdp.it, doc. web n. 39624);

VISTA l´istanza, formulata congiuntamente da Gruppo Coin S.p.A. e Coin S.r.l., con la quale, stante il trasferimento di un ramo di azienda dalla prima in favore della seconda, le due citate società hanno chiesto al Garante per la protezione dei dati personali di essere esonerate dall´obbligo di rendere individualmente l´informativa agli interessati, con contestuale indicazione, da parte dell´Autorità, di eventuali misure appropriate ai sensi dell´art. 13, comma 5, lett. c), del Codice;

VISTA la documentazione in atti, con particolare riferimento al contratto di cessione;

VISTE le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

RELATORE la dott.ssa Augusta Iannini;

Premesso

1. L´istanza delle società.

1.1. E´ pervenuta a questa Autorità in data 22 dicembre 2016 l´istanza −successivamente integrata dalle note del 10 aprile 2017 e del 4 ottobre 2017, recanti elementi ulteriori e nuova documentazione− formulata congiuntamente da Gruppo Coin S.p.A. e Coin S.r.l., con la quale è stato chiesto, in relazione al conferimento −ai fini della connessa gestione− del ramo di azienda relativo alle attività poste in essere "sotto le insegne ed alle divisioni Coin, Coin Excelsior e Coin Casa" l´esonero dall´obbligo di rendere individualmente l´informativa agli interessati e la contestuale indicazione di eventuali misure appropriate ai sensi dell´art. 13, comma 5, lett. c), del Codice.

La richiesta è stata formulata dalle menzionate società a seguito di una ampia operazione di riorganizzazione societaria a fronte della quale, con decorrenza 1° gennaio 2017, ha avuto luogo la cessione da parte di Gruppo Coin S.p.A. a favore di Coin S.r.l. –società interamente controllata da Gruppo Coin S.p.A., costituitasi in forma di società a responsabilità limitata in data 4 novembre 2016– del ramo di azienda identificato sostanzialmente con l´attività di commercio al dettaglio e all´ingrosso di beni e prodotti per la persona, la casa, il lavoro e il tempo libero.

La procedura di vendita e cessione del predetto ramo di azienda si è conclusa, come risulta dalla comunicazione pervenuta al Garante in data 11 aprile 2017, con la stipula dell´atto notarile avvenuta il 21 dicembre 2016.

Sulla base di quanto stabilito nell´atto di conferimento, il trasferimento ha ad oggetto il ramo di azienda di proprietà di Gruppo Coin S.p.A. che ricomprende il complesso dei beni e dei rapporti contrattuali organizzati funzionalmente per lo svolgimento in via autonoma dell´attività sopra indicata destinata alla gestione di negozi sotto le insegne "Coin", "Coin Excelsior" e "Coin Casa", come risultante, nel dettaglio, dalla relazione all´uopo predisposta e allegata all´atto di conferimento (Allegato B, v. in particolare punto 2.2.1).

1.2. La suddetta cessione, così come rappresentata, comporta effetti non solo sulla titolarità di beni e rapporti giuridici ma anche sulla titolarità del trattamento dei dati personali oggetto di cessione, risultando, infatti, dalle dichiarazioni fornite dalle società istanti, che Coin S.r.l. dal 1° gennaio 2017 –a seguito del conferimento del ramo di azienda di proprietà del Gruppo Coin S.p.A.– ha acquisito rispetto ai dati identificativi e personali dei dipendenti, dei fornitori, dei clienti e degli utenti iscritti ai siti web oggetto di conferimento, la qualifica di titolare del trattamento (come confermato dalle stesse società istanti con nota datata 14 dicembre 2016, punto k), p. 3).

Tuttavia, bisogna sottolineare che il trattamento dei dati personali coincidente con le attività della cessionaria interessato dal perimetro del ramo di azienda oggetto di trasferimento per il quale si chiede l´esonero dall´obbligo di rendere l´informativa, si riferisce, nello specifico, a quello connesso al database denominato "Banca dati fidelity" contenente i nominativi (e gli ulteriori dati personali) dei clienti aderenti al programma di fidelizzazione "Coincard" posto in essere da Gruppo Coin S.p.A. presso i negozi ad insegna "Coin", "Coin Excelsior" e "Coin Casa" e mediante la sottoscrizione del modulo "Coincard".

Al riguardo, le società hanno, tra l´altro, puntualizzato che l´istanza è formulata con riferimento alla categoria di interessati registrati nella "Banca dati fidelity" e non contattabili via e mail considerato che gli stessi in sede di adesione al programma di fidelizzazione non hanno fornito il proprio indirizzo di posta elettronica (cfr. nota del 14 dicembre 2016, punti 1), 2) e 3), p. 6). E´ stato altresì precisato che le informazioni contenute nel data base "Banca dati fidelity", di pertinenza del ramo di azienda ceduto, non consistono in dati sensibili, giudiziari o biometrici (cfr. istanza citata, punto g), p. 2) e che in ordine alla raccolta di tali dati già realizzata da Gruppo Coin S.p.A. e volta specificamente al perseguimento di attività di profilazione e marketing, la società ha provveduto, ai sensi degli artt. 23 e 130 del Codice, ad ottenere distinti ed espressi consensi da parte degli interessati aderenti ai programmi di fidelizzazione citati, così come indicato nei relativi moduli di adesione documentati in atti (cfr. "Modulo Coincard").

Per quanto concerne le ulteriori categorie di soggetti i cui dati personali sono stati oggetto del conferimento del ramo di azienda (in particolare quelle relative ai fornitori e ai dipendenti), essi, invece, in base a quanto asserito dalle società, possono essere destinatari  di idonea informativa individuale, considerato che tali interessati sono agevolmente individuabili tramite contatto diretto o comunque via e mail; trattasi, peraltro, di un´informativa che, come asserito nella comunicazione successivamente inoltrata al Garante il 4 ottobre 2017, Coin S.r.l. ha già provveduto a rendere ai soggetti in questione ai sensi dell´art. 13, commi 1 e 2 del Codice.

Occorre sottolineare che, nel complesso, l´operazione di cessione, secondo le stime effettuate dalle società istanti, riguarderebbero un numero elevatissimo di soggetti (essendo circa 2.215.000 quelli partecipanti al programma di fidelizzazione citato di cui, tra l´altro, solo 396.994 contattabili tramite e mail così come attestato dalle società istanti nella nota del 14 dicembre 2016, punto f), p. 2).

In relazione alla suddetta operazione, Coin S.r.l. ha, infine, dichiarato di voler effettuare il trattamento dei dati riferito alle menzionate tipologie di interessati, in termini sostanzialmente invariati per quanto concerne le finalità e le modalità seguite, e quindi in modo compatibile con gli scopi per i quali le stesse sono state in precedenza raccolte e trattate.

1.3. In ragione dell´assunzione da parte della società Coin S.r.l. della qualità di titolare del trattamento dei dati personali relativi agli interessati (limitatamente all´ambito di competenza relativo al ramo di azienda acquistato), la stessa si è posta il problema delle modalità con le quali gli interessati debbano essere informati riguardo a tali circostanze (art. 13 del Codice).

A detta delle società istanti, cui a seguito della successione nel ramo di azienda spetterà porre in atto le misure prescritte ai sensi del presente provvedimento, sussisterebbero notevoli difficoltà nell´informare in modo adeguato un numero così elevato di clienti aderenti al programma di fidelizzazione coinvolti nella operazione di cessione che non risultano contattabili in ragione del fatto che al momento dell´adesione al programma prescelto non hanno fornito l´indirizzo e mail; ciò comporterebbe, infatti, l´impiego di mezzi manifestamente sproporzionati rispetto ai diritti degli interessati.

Alla luce di tali considerazioni, Coin S.r.l. chiede di poter fornire l´informativa non mediante comunicazioni individuali ma attraverso modalità alternative, ad esempio, mediante la diffusione di uno specifico avviso sui siti web di riferimento e, ancora, rendendo l´informativa, mediante affissione della stessa presso i locali dei negozi ad insegna "Coin", "Coin Excelsior" e "Coin Casa" o indicazione negli scontrini resi a seguito degli acquisiti effettuati dalla clientela presso i suddetti punti vendita o comunque in occasione della prima circostanza utile di contatto con gli interessati.

A tal fine la società chiede al Garante di voler fornire l´indicazione di eventuali misure appropriate, ai sensi dell´art. 13, comma 5, lett. c), del Codice in materia di protezione dei dati personali.

2. L´informativa agli interessati e le ulteriori condizioni di liceità del trattamento

2.1 Preliminarmente si rileva (come peraltro riconosciuto dagli istanti) che la cessione del ramo di azienda effettuata da Gruppo Coin S.p.A. a seguito della costituzione di Coin S.r.l. e in favore di quest´ultima non ha esaurito i suoi effetti solo sul piano civilistico, ma ha investito anche l´aspetto relativo alla protezione dei dati personali di soggetti che, prima di allora, avevano contatti con la sola società cedente (all´epoca titolare del trattamento).

Al riguardo si ribadisce che entrambe le società, assumendo ogni responsabilità ai sensi dell´art. 168 del Codice, hanno dichiarato che, anche a seguito della cessione del ramo d´azienda, il trattamento dei dati personali degli interessati proseguirà in termini sostanzialmente invariati rispetto a prima, nel rispetto delle finalità che ne avevano determinato la raccolta e con l´osservanza delle modalità sino ad allora seguite, ciò anche sotto il profilo della sicurezza dei dati (cfr. istanza del 14 dicembre 2016, punto m), p. 3).

2.2 Riguardo al profilo relativo alla comunicazione dei dati personali degli interessati da Gruppo Coin S.p.A. a Coin S.r.l., si rileva che nel caso in questione, essendosi verificata una cessione di ramo di azienda, trovano applicazione gli artt. 2558 (successione nei contratti), 2559 (crediti relativi all´azienda ceduta), 2560 (debiti relativi all´azienda ceduta) e 2112 (mantenimento dei diritti dei lavoratori in caso di trasferimento d´azienda) del codice civile. In ragione di tale peculiare disciplina, sul piano sostanziale si determina una successione legale del nuovo imprenditore in tutti i rapporti giuridici e in tutte le posizioni attive e passive facenti capo al cedente (salvo, riguardo ai contratti, i rapporti aventi carattere personale), sicché, subentrando l´acquirente −per legge− nella stessa posizione dell´alienante, il trattamento dei dati personali di dipendenti, fornitori e clienti (con riguardo a quest´ultima categoria, si fa riferimento al complesso dei trattamenti indicati al punto 1.2) connessi alla gestione del ramo di azienda ceduto, non necessita di alcun consenso, trovando applicazione il presupposto equipollente di cui all´art. 24, comma 1, lett. b) del Codice, che consente di prescindere da esso nel caso in cui il trattamento sia necessario per eseguire obblighi derivanti da un contratto di cui sia parte lo stesso interessato.

Inoltre, tenuto conto dell´art. 26, comma 4, lett. d) del Codice, non necessita di consenso il trattamento dei dati anche sensibili dei dipendenti, risultando al riguardo sufficiente il rispetto delle sole prescrizioni contenute nell´autorizzazione generale n. 1/2016 e 5/2016 del Garante al momento vigente.

2.3 Ciò premesso, resta comunque doveroso il rispetto dell´obbligo posto dall´art. 13 del Codice che, nell´ipotesi in cui –come quella in questione− i dati personali non siano raccolti direttamente presso l´interessato, impone al titolare del trattamento di rendere l´informativa al predetto "all´atto della registrazione dei dati o, quando è prevista la loro comunicazione, non oltre la prima comunicazione" (art. 13, comma 4 del Codice).

Nel caso in oggetto, stante l´elevata mole dei rapporti in cui Coin S.r.l. è subentrata "ex lege" (in proposito, basti pensare agli oltre 1.800.000 nominativi dei soggetti aderenti al programma di fidelizzazione non contattabili tramite lo strumento della posta elettronica) si deve effettivamente ritenere che non sia possibile rendere l´informativa a tutti gli interessati in forma individuale e che, comunque, anche qualora ciò fosse astrattamente realizzabile, ne discenderebbe un impiego di mezzi manifestamente sproporzionato –anche per costi ed oneri− rispetto al diritto tutelato (cfr., in tale senso, anche Provv. 11 giugno 2015, doc. web n. 4169456 e Provv. 17 dicembre 2015, doc. web n. 4715839).

Pertanto, si ritiene che la richiesta di esonero possa essere accolta e per l´effetto, ai sensi dell´art. 13, comma 5, lett. c) del Codice, si prescrive, quale misura necessaria, che l´informativa agli interessati venga resa da parte di Coin S.r.l. secondo modalità alternative e semplificate.

A tal fine, si ricordi che la disciplina di protezione dei dati personali prevede che i dati personali debbano essere trattati "secondo correttezza" (art. 11, comma 1, lett. a), del Codice), assicurando un livello elevato di tutela dei diritti e delle libertà fondamentali "nel rispetto dei princìpi di semplificazione, armonizzazione ed efficacia" (art. 2, comma 2, del Codice); tali garanzie possono essere assicurate nel caso in esame mediante la pubblicazione dell´informativa contenente gli elementi previsti dall´art. 13, commi 1 e 2, del Codice sui siti web di Gruppo Coin S.p.A. e Coin S.r.l., nonché mediante l´affissione della medesima presso i locali dei negozi sotto le insegne indicate in premessa, avendo cura, inoltre, di fornire direttamente ai soggetti ceduti gli elementi contenuti nell´art. 13, commi 1 e 2, del Codice, alla prima occasione utile.

TUTTO CIÒ PREMESSO, IL GARANTE:

accoglie la richiesta di esonero e, per l´effetto, ai sensi dell´art. 13, comma 5, lett. c) del Codice, dispone che Coin S.r.l., possa prescindere, per le ragioni di cui in motivazione, dal rendere l´informativa individuale agli interessati partecipanti al programma di fidelizzazione "Coincard" (per i negozi ad insegna ad insegna "Coin", "Coin Excelsior" e "Coin Casa") che non hanno fornito l´indirizzo di posta elettronica in occasione dell´adesione al relativo programma, sempre che la stessa, tuttavia, fornisca agli interessati la prevista informativa:

1.  mediante la pubblicazione di un annuncio recante i contenuti dell´informativa sui siti web di entrambe le società;

2. mediante l´affissione della stessa presso i locali dei negozi di cui alle insegne ""Coin", "Coin Excelsior" e "Coin Casa";

3. mediante la comunicazione della stessa agli interessati in occasione della prima circostanza utile di contatto.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 9 novembre 2017

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia