Il Garante Privacy, con provvedimento n. 130 del 22 febbraio 2024 si è pronunciato sulle attività di marketing e di profilazione, nonché su come l’autonomia contrattuale possa incidere sulla tempistica di conservazione dei dati degli interessati.
Il Garante ha precisato che il concetto di marketing non può essere ampliato tanto da ricomprendervi anche le peculiari attività statistiche e di analisi economica, strutturalmente diverse da quelle promozionali, ed a tal fine ha richiamato le proprie Linee Guida in materia del 2013.
Un consenso non specifico non è libero in quanto determina una coazione della volontà dell’interessato, con conseguente violazione, dei principi di correttezza del trattamento, e della libertà di manifestazione del consenso: ogni finalità di trattamento, diversa da quella contrattuale, amministrativa e contabile (es. profilazione, marketing, etc.) necessita, invece, del consenso libero, specifico, informato e distinto per ciascuna di esse (art. 6, par. 1, lett. a, del GDPR), e tale capacità di autodeterminazione non è assicurata quando si raccoglie il consenso in modo indifferenziato per perseguire distinte finalità, ben potendo essere ciascuna di esse perseguita singolarmente in presenza di un’autonoma valutazione e determinazione dell’interessato.
Il GDPR ha infatti rafforzato ulteriormente il principio del consenso, unitamente ai suoi requisiti di libertà, specificità e, in aggiunta, di inequivocabilità (v. artt. 5, par. 1, lett. a, e 7, par. 4; ed in particolare il considerando 32, ma anche i considerando 39, 40, 42 e 43).
In riferimento al caso di specie, per il Garante le attività statistiche ed economiche, in particolare, andavano inserite fra le attività di profilazione, in quanto necessarie e propedeutiche ad effettuare la stessa: l’inserimento delle stesse nella richiesta di consenso per finalità di marketing e non di profilazione, devia quindi tale manifestazione di volontà dall’effettiva finalità del trattamento.
Per tale ragione, l’Autorità ha altresì contestato la violazione dell’art. 6, par.1, lett. a), del GDPR, ingiungendo la modifica della formula di acquisizione del consenso per le attività di marketing, espungendo il riferimento alle “attività statistiche ed economiche”.
L’Autorità, inoltre, ha riconosciuto che l’autonomia contrattuale dei privati, ai sensi dell’art. 1321 c.c., possa incidere legittimamente sulla tempistica di conservazione dei dati, ma non potrà in ogni caso derogare ai fondamentali diritti degli interessati di cui agli art. 15-22 del Regolamento.
Inoltre, ha affermato che quando vengono definiti i tempi di conservazione, è opportuno distinguere tra clienti, per cui è giustificabile un tempo di conservazione più lungo e meri utenti, per i quali possono essere ridotti: con riferimento al caso di specie, infatti, se si può ammettere la conservazione quinquennale dei dati relativi a richieste di informazioni ed assistenza, con particolare riferimento a quelle presentate dai clienti, altrettanto non può dirsi per i dati relativi a meri utenti, per i quali non sussiste la base giuridica del contratto e non risulta ravvisabile alcuna ragione di necessità.
Non avendo la società proceduto con tale differenziazione, le è stata contestata altresì la violazione dell’art. art. 5, par.1, lett. e) del GDPR.
