A causa della crescente digitalizzazione del settore della moda, la tutela dei dati personali e la loro gestione in conformità con la normativa applicabile in materia rivestono un ruolo cruciale. Infatti, le attività di digital marketing comportano degli importanti risvolti da un punto di vista privacy e richiedono delle riflessioni per quanto concerne, in particolare, l’individuazione dei termini di conservazione dei dati personali della clientela utilizzati per finalità di marketing e profilazione, specie per gli operatori specializzati nella vendita di prodotti di alta moda.
Passando in rassegna alcuni provvedimenti dell’Autorità Garante per la protezione dei dati personali (“Garante”), questo articolo intende approfondire l’impatto che la normativa applicabile al trattamento dei dati personali può avere sulle attività di marketing realizzate nell’industria della moda, considerando l’esponenziale digitalizzazione che ha permeato questo importante settore produttivo, che si è concretizzata – in particolar modo – attraverso il potenziamento degli e-commerce, dei canali di comunicazione online e mediante l’organizzazione di eventi digitali come la Digital Fashion week.
Innanzitutto, occorre premettere che, a prescindere dal settore economico di appartenenza, ciascun titolare del trattamento può trattare dati personali per una vasta gamma di finalità purché in linea con i principi ed entro i limiti stabiliti dal Regolamento 679/2016 (“GDPR”). In particolare, seguendo il principio di accountability, ogni titolare è tenuto ad applicare (e a dimostrare di aver correttamente applicato) i principi del trattamento contenuti nel GDPR quali, in particolare, il principio di liceità, limitazione della conservazione e minimizzazione dei dati.
Pertanto, le aziende che operano nel campo della moda potranno utilizzare i dati personali dei propri dipendenti o dei propri clienti, e potenziali tali, per diverse finalità di trattamento che possono spaziare dalla supervisione delle risorse di produzione sino alla realizzazione di campagne di marketing diretto tramite e-mail o altri mezzi di comunicazione, purché sia individuata un’adeguata base giuridica ai sensi dell’articolo 6 del GDPR e nel rispetto degli altri principi di cui all’articolo 5.
Per quanto concerne, in particolare, il trattamento dei dati personali per finalità di marketing e profilazione dei clienti, che possono essere basati sul consenso dell’interessato ai sensi dell’articolo 6(1)(a) del GDPR, ci si domanda (i) per quanto tempo possano essere conservati tali dati a partire dalla raccolta del consenso e (ii) come l’introduzione del GDPR abbia impattato i termini “standard” di retention che erano applicabili ai sensi della normativa previgente.
Infatti, prima dell’entrata in vigore del GDPR, il provvedimento del Garante per la protezione dei dati personali del 24 febbraio 2005 riguardante le Fidelity Card costituiva il punto di riferimento per l’individuazione dei termini di conservazione dei dati personali per finalità promozionali. In particolare, tale provvedimento stabiliva che i dati trattati per finalità di profilazione e marketing potessero essere utilizzati per rispettivamente 12 e 24 mesi a partire dal momento della raccolta del consenso dell’interessato (decorsi i quali dovevano essere cancellati). Tuttavia, il Garante lasciava ai titolari del trattamento la possibilità di sottoporre all’Autorità una richiesta di parere preliminare qualora intendessero superare tali limiti di conservazione sulla base di concrete esigenze.
Pertanto, alcune aziende – in particolare quelle operanti nel settore del lusso e dell’alta moda – avevano sottoposto un’istanza al Garante per poter estendere i suddetti termini di conservazione alla luce della tipologia (nonché del costo elevato) dei prodotti venduti che impattava la frequenza di acquisto e giustificava quindi la necessità di conservare i dati per un periodo superiore a un anno. L’Autorità, nell’esaminare i casi sottoposti alla sua attenzione, aveva concluso che i dati personali trattati riguardavano l’acquisto di beni di lusso e che, in quanto “beni particolari”, ciò giustificasse la conservazione dei dati per un periodo superiore ai 12 mesi, tenendo conto della frequenza media annuale di acquisto dei clienti.
In un caso, ad esempio, una nota casa di alta moda chiedeva di poter conservare i dati fino a dieci anni in considerazione del fatto che i beni offerti fossero “di lusso” e che, di conseguenza, la frequenza media di acquisto da parte dei clienti fosse estremamente bassa nel breve periodo: secondo il titolare, infatti, i tempi di conservazione di cui al provvedimento del 2005 avrebbero ridotto o persino vanificato le attività di trattamento svolte per finalità promozionali in quanto sarebbero rimaste circoscritte ad un numero di acquisti poco significativo. In altre parole, la prospettiva del titolare era quella di fidelizzare nel lungo periodo i clienti già acquisiti attraverso azioni promozionali che permettano di aumentare importo e frequenza degli acquisti. Alla luce delle argomentazioni avanzate dal titolare, il Garante aveva parzialmente accolto la richiesta della società ritenendo che un periodo di conservazione di sette anni (anziché dieci) potesse ritenersi rispettoso del principio di pertinenza e non eccedenza e, al contempo, proporzionato alle finalità dell’istante.
In un’altra occasione invece, il Garante aveva rigettato in toto la richiesta di estensione dei tempi di conservazione a sette anni dei dati personali riguardanti la propria clientela, per attività di profilazione e di marketing, prescrivendo che i dati, conservati nel rispetto dei periodi indicati nel provvedimento generale del 24 febbraio 2005, venissero, alla relativa scadenza, automaticamente cancellati, ovvero trasformati in forma anonima in modo permanente e non reversibile. Il Garante non aveva ritenuto di poter accogliere le istanze della società in quanto, dalle verifiche effettuate, era emerso che i prodotti contrassegnati dal marchio attraverso il quale la società opera nel campo della moda, non appartenessero, per tipologia e caratteristiche, ad una fascia di consumo alta o medio-alta, tale da dar luogo ad una frequenza di spesa diluita nel tempo ed in particolare ad un acquisto per singolo prodotto nell’arco di una o due volte l’anno, così come rappresentato dalla stessa. Quindi una conservazione dei dati personali per il periodo richiesto di sette anni non poteva ritenersi giustificata.
In altre parole, alla luce della tipologia di prodotti e delle specifiche circostanze del trattamento, il Garante lasciava un margine di manovra più ampio in capo ai titolari del trattamento che intendevano pubblicizzare i propri prodotti di lusso e alta moda, consentendo loro la conservazione dei dati personali per un periodo più lungo di quello “standard” di cui al provvedimento del 24 febbraio 2005.
Tuttavia, dieci anni più tardi, il suddetto approccio “standard” ha dovuto fare i conti con l’entrata in vigore del GDPR e, in particolare, il principio di accountability, secondo cui è il titolare del trattamento a scegliere e valutare un tempo di conservazione che sia proporzionale ed idoneo alle proprie finalità, da dichiarare nell’informativa privacy, sulla base delle specifiche circostanze del trattamento di volta in volta effettuato.
Pertanto, con il provvedimento del 15 ottobre 2020, l’Autorità pare aver superato l’approccio standardizzato di cui al provvedimento del 24 febbraio 2005 e, quindi i termini base di 12 e 24 mesi per la conservazione dei dati per finalità di profilazione e marketing. Infatti, secondo il Garante, il consenso al trattamento dei dati personali per finalità promozionali, in quanto massima espressione dell’autodeterminazione dell’individuo, deve ritenersi valido, indipendentemente dal tempo trascorso, finché non venga revocato dall’interessato, a condizione che sia stato correttamente acquisito in origine e che sia ancora valido alla luce delle norme applicabili al momento del trattamento nonché dei tempi di conservazione stabiliti dal titolare, e indicati nell’informativa, nel rispetto dell’articolo 5(1)(e) del GDPR.
Di conseguenza, secondo il Garante, il titolare non può né prevedere un termine indefinito per la conservazione dei dati né deve attenersi pedissequamente ai termini di 12 e 24 mesi: infatti, in virtù del principio di accountability, è rimessa al titolare del trattamento la responsabilità di determinare, caso per caso, una durata del trattamento dei dati personali per fini di marketing o profilazione che sia in linea con i principi di proporzionalità, necessità e minimizzazione.
Quindi, qual è la lezione che si devono portare a casa le organizzazioni a cui si applica il GDPR? In buona sostanza, il provvedimento del 15 ottobre 2020 è particolarmente importante per le aziende della moda (come per ogni altro titolare del trattamento) perché sottolinea la necessaria applicazione del principio di accountability per l’identificazione del termine di conservazione dei dati personali.
Quindi, tenendo in considerazione la tipologia di prodotti venduti e la frequenza di acquisto che ne consegue (specie per le aziende di lusso o comunque di fascia medio-alta), le case di moda dovranno svolgere delle valutazioni in merito alle circostanze concrete del caso per individuare un termine opportuno per la conservazione dei dati personali trattati per finalità di marketing e profilazione. Tuttavia, nulla impedisce di far tesoro delle importanti direttive emanate dal Garante prima dell’entrata in vigore del GDPR, per orientare le proprie scelte in materia di data retention.
Su un simile argomento potrebbe interessarvi l’articolo: “Moda che ama la musica: il product placement dei brand nei video musicali”
Autore: Giorgia Carneri
