L’importanza di essere GDPR compliant: il caso Douglas

di Avv. Giuseppe Croari – Dott.ssa Rebecca Princi

L’importanza di una gestione a norma di legge degli strumenti di e-commerce e di marketing online dovrebbe ormai essere chiara ad ogni operatore del settore.

Noi, di certo, ne abbiamo parlato in più occasioni: qui puoi trovare una panoramica del regime delle pubblicità sui siti web, qui gli ultimi aggiornamenti riguardanti la sorte dei flussi di dati tra Unione Europea e Stati Uniti.

Per chi avesse ancora dubbi circa l’assoluta centralità della tematica, parleremo oggi di un recente caso che ha coinvolto un importante attore del settore beauty: il Gruppo Douglas.

Il caso

Nel novembre 2020, una Cliente delle profumerie Douglas ha presentato un reclamo al Garante per la protezione dei dati personali, con il quale lamentava il mancato riscontro della Società a un proprio atto di esercizio dei diritti garantiti dal GDPR – Regolamento Europeo per la Protezione dei dati personali.

Infatti, la normativa europea in materia riconosce ai soggetti interessati dal trattamento la facoltà di esercitare alcuni diritti (es. di accesso ai dati, cancellazione, opposizione al trattamento), ai quali il titolare del trattamento ha, in linea di massima, il dovere di dare seguito entro 30 giorni.

Alla luce del mancato adempimento di Douglas, dunque, la Signora ha deciso di rivolgersi al Garante: partendo da questo reclamo, l’Autorità ha avviato un esame estremamente approfondito delle modalità di gestione dei dati della Società che ha condotto anche alla rilevazione di numerose criticità.

Le problematiche nell’impostazione della app

L’applicazione, secondo il Garante, non consentiva all’utente di esprimere un consenso realmente libero e informato al trattamento dei dati, in quanto:

• da un lato, i testi “legal” (privacy policy, cookie policy, condizioni generale di vendita, impostazioni cookie) erano contenuti tutti in un’unica pagina web, non soddisfacendo, di conseguenza, un adeguato standard di accessibilità e trasparenza;
• dall’altro, l’app non risultava conforme alla normativa vigente neppure dal punto di vista della gestione dei cookies.

Questa la conclusione del Garante:

Anche il contenuto dell’informativa è stato oggetto di una censura che dovrebbe fungere da monito per tutti coloro che operano nel web: oltre all’accessibilità e alla chiarezza della Privacy policy, è fondamentale anche la sua effettiva corrispondenza alle pratiche aziendali. Eventuali discrasie fra la prassi e le informazioni contenute nell’informativa espongono al rischio di sanzioni, tanto quanto un’eventuale assenza della stessa.

I tempi di conservazione dei dati

Un ulteriore elemento di particolare interesse è quello dei tempi di conservazione dei dati raccolti. Il Garante ha rilevato una violazione della normativa vigente nelle modalità di conservazione, da parte di Douglas, di dati di clienti che non avevano provveduto al rinnovo della Fidelity card:

Conclusioni

In questo caso, pur avendo ritenuto opportuna la comminazione delle sanzioni previste dal GDPR, il Garante ha tenuto conto dei numerosi comportamenti propositivi della Società, che hanno concorso ad attenuare la valutazione di gravità delle condotte sanzionate: ad esempio,

• la sporadicità di alcune violazioni;
• le misure prospettate per la soluzione dei problemi;
• la costante e trasparente collaborazione;
• la situazione di emergenza pandemica in cui si è collocato l’accertamento dell’Autorità.

Perciò, la sanzione comminata è stata pari allo 0,4% del fatturato mondiale totale annuo della società, per un ammontare di 1.400.000,00 €. Ricordiamo che, altrimenti, le sanzioni potrebbero arrivare fino a 20 milioni di euro o, se superiore, fino al 4% del fatturato.