Fidelity card, il Garante privacy sanziona azienda tessile italiana

Il Garante privacy ha sanzionato per 240mila euro un noto gruppo italiano operante in ambito tessile «per aver trattato illecitamente i dati personali di un numero rilevante di clienti ed ex clienti». Ciò dopo aver riscontrato «assenza di adeguate misure di sicurezza e conservazione senza limiti temporali di dati personali ai fini di marketing e di profilazione». I dati dei clienti, secondo quanto riferito dall’Autorità, «venivano raccolti attraverso l’iscrizione al servizio e-commerce, al programma fedeltà e alla newsletter promozionale». A seguito dell’attività ispettiva dell’Autorità, svolta in collaborazione con il Nucleo speciale privacy della Guardia di Finanza, l’Autorità «ha rilevato che la società conservava i dati raccolti tramite le fidelity card – inclusi i prodotti acquistati dal 2015, i dettagli degli scontrini e i punti accumulati – anche degli ex clienti».

Attività di data enrichment e profilazione

Per il Garante si è trattato di «una mole di informazioni di grande utilità e “appetibilità” per le attività di data enrichment e di profilazione, sempre più diffuse». Dunque, «dalle verifiche effettuate è emerso, inoltre, che il database gestionale era accessibile da tutti gli addetti dei negozi del Gruppo, presenti in sette paesi europei da qualunque dispositivo connesso alla rete Internet (pc, smartphone, tablet), tramite un’unica password e un unico account». Alla luce dell’elevato numero evidenziato dei soggetti interessati alle dinamiche e vista la durata delle violazioni, il Garante ha multato il Gruppo e ha ingiunto alla società di adottare tutte le misure necessarie per conformarsi alla normativa privacy. Secondo quanto riferito, il Gruppo «dovrà cancellare o anonimizzare i dati degli ex clienti risalenti a più di dieci anni (fatti salvi i contenziosi in atto) e predisporre adeguate soluzioni organizzative e misure di sicurezza volte ad assicurare la corretta conservazione dei dati dei clienti e degli ex clienti nel rispetto dei principi di finalità e minimizzazione del Regolamento europeo (Gdpr)». Si rimanda al sito del Garante per ulteriori dettagli sul provvedimento.