Raccolta punti e consensi validi secondo un recente provvedimento del Garante privacy

Provvedimento del 12 giugno 2019 [9120218]

Il Garante si è recentemente pronunciato sulla liceità del metodo di raccolta dei consensi di una nota marca di pannolini al momento della registrazione per la raccolta punti, caso molto usato e Comune tra le aziende.
Ecco il caso.

Sul sito Internet viene posizionato un form di “raccolta punti” in cui venivano richiesti due consensi:

• il primo consenso richiesto per finalità promozionali, di invio di newsletter, analisi statistiche, sondaggi d’opinione, con riguardo al marchio
• il secondo consenso per le medesime finalità di cui al punto precedente, ma con riguardo ai diversi altri marchi collegati a quello del sito che doveva essere selezionato obbligatoriamente per poter procedere con la registrazione al sito web e partecipare alla raccolta punti.

Dagli accertamenti svolti dal Garante in collaborazione con il Nucleo speciale privacy della guardia di finanza, a seguito di una segnalazione, è emerso che solo nei primi due mesi del 2018 la società ha inviato newsletter promozionali a circa un milione di indirizzi e-mail raccolti e utilizzati senza un valido consenso.

L’elemento criticato e sanzionato riguarda il fatto che i i clienti interessati alla raccolta punti non veniva data la possibilità, come richiesto dalla normativa, di esprimere un consenso libero e specifico per le singole finalità di trattamento che la società intendeva svolgere, tra le quali vi era appunto l'attività promozionale.

Per poter completare la registrazione e aderire al programma di fidelizzazione i clienti erano invece obbligati a rilasciare due consensi generici, uno per la società e uno per i marchi collegati.

Quindi:

• troppe finalità insieme nel primo consenso in contrasto con il principio di autodeterminazione degli interessati (e quindi la libertà del consenso che questi sono chiamati a manifestare),
• la libertà del consenso viene inoltre meno per il fatto che il consenso era obbligato per procedere alla raccolta punti.

I dati personali raccolti sono, pertanto, privi di un consenso libero e specifico, oltre che informato e documentato, degli interessati non possono essere trattati.

Oltre a disporre il divieto, il Garante ha ingiunto alla società, qualora intenda svolgere attività promozionali, di modificare il form di raccolta dati presente sul sito, affinché gli utenti possano esprimere un consenso libero e informato per tale finalità. Per i trattamenti illeciti è stata applicata una sanzione amministrativa che la società ha già pagato.