Con il termine Data enrichment si intende quel processo che prevede il recupero e l’ottenimento di dati da numerose fonti – in modalità automatizzata e/o sistematica – per essere integrati con dati già disponibili. Le fonti dei dati possono essere database pubblicamente accessibili, liste scaricabili e riutilizzabili previa autorizzazione o dataset prodotti da istituti statistici nazionali o internazionali.
Per le aziende, i vantaggi del Data enrichment includono, a titolo esemplificativo:
- approfondimenti sul comportamento dei clienti;
- migliore targeting della clientela;
- personalizzazione nelle comunicazioni commerciali indirizzate a clienti e prospect;
- individuazione rapida di nuove opportunità o potenziali rischi.
Naturalmente, i processi di Data enrichment comportano un trattamento di dati personali e, per questo motivo, le aziende devono necessariamente rispettare i principi imposti dalla normativa rilevante e le indicazioni delle Autorità Garanti per la protezione dei dati personali.
Indice degli argomenti
Data enrichment: il parere del Garante privacy italiano
Prima dell’entrata in vigore del GDPR, alcune importanti indicazioni in tema di Data enrichment scaturirono dai Provvedimenti del Garante per la protezione dei dati personali relativi all’“Arricchimento dei dati personali della clientela nell’ambito dell’attività di profilazione” (2012) e alla “Verifica preliminare. Trattamenti di dati personali aggregati della clientela nell’ambito di una più complessa ed articolata attività di profilazione” (2015).
In tali provvedimenti, il Garante segnalava che l’attività di Data enrichment, con alcuni parametri (nel caso di specie: geografici, demografici e socioeconomici), comporta l’assegnazione al cliente di nuove informazioni, che ne aumentano potenzialmente il livello di identificabilità e consentono una più mirata comunicazione commerciale.
Il Data enrichment permette potenzialmente di individuare l’interessato “target”, anche senza che questo fornisca dati identificativi o abbia consapevolezza che determinate informazioni saranno a lui associate.
Il processo di arricchimento presenta, pertanto, specifici rischi per i diritti e le libertà fondamentali degli interessati e necessita di una valutazione preventiva. Con l’entrata in vigore del GDPR, le indicazioni fornite dal Garante si possono tradurre nella necessità di condurre una valutazione d’impatto (“DPIA”) e, qualora essa indichi che il trattamento presenta un rischio elevato in assenza di misure adottate dal titolare del trattamento per attenuare il rischio, procedere alla consultazione preventiva del Garante ex. art.36 GDPR.
Le Linee guida WP248 in materia di valutazione d’impatto sulla protezione dei dati e determinazione della possibilità che il trattamento “possa presentare un rischio elevato” ai fini del regolamento (UE) 2016/679” del WP29 individuano nella creazione di correlazioni o combinazioni di determinati set di dati, uno tra i 9 macro-criteri che, una volta soddisfatti, rendono più probabile che il trattamento presenti un “rischio elevato” per i diritti e le libertà degli interessati e richieda conseguentemente una DPIA.
Nell’ambito del processo di arricchimento dei dati, che si inserisce nel contesto dell’attività di profilazione svolta dalle aziende, devono essere rispettate alcune misure ed in particolare quelle che ineriscono a:
- la tipologia ed al livello di aggregazione dei dati utilizzati per la profilazione;
- la separazione fisica e logica dei sistemi dedicati alla profilazione rispetto agli altri sistemi aziendali;
- il mascheramento dei dati personali aggregati, utilizzati per l’attività di profilazione;
- le misure di autenticazione e autorizzazione del personale addetto all’attività di profilazione; nonché
- il periodo di conservazione dei dati.
Infatti, tenuto conto della correlazione tra arricchimento e profilazione, viene indicato quale massimo tempo di conservazione “ideale” per i dati “arricchiti” 12 mesi.
Le indicazioni fornite dall’ICO
L’International Commissioner Office (“ICO”), nella propria indagine sulla conformità alla protezione dei dati nel settore dell’intermediazione di dati di marketing diretto, ricomprende le attività di Data enrichment all’interno dei possibili servizi forniti dai data broker per finalità di marketing diretto.
Tali attività comportano un doppio regime di responsabilità: i broker di dati hanno la responsabilità di garantire che il loro trattamento dei dati personali sia conforme alla legge, mentre coloro che sono loro clienti e utilizzano i loro servizi di brokeraggio di dati devono rispettare alcuni principi e dettami per trattare tali dati in compliance alla normativa applicabile in materia di protezione dei dati personali.
A titolo esemplificativo:
- intraprendere un’adeguata attività di due diligence;
- informare gli interessati sull’attività di trattamento; e
- avere una base giuridica valida per il trattamento.
L’attività di due diligence nel Data enrichment
Secondo le indicazioni dell’ICO, prima di avviare un processo di Data enrichment (o utilizzare qualsiasi altro servizio fornito da un data broker), è necessario intraprendere un’adeguata attività di due diligence per accertarsi che i dati personali siano stati raccolti in modo conforme al GDPR.
A titolo esemplificativo e non esaustivo, l’attività di due diligence potrebbe includere la garanzia di avere determinati dettagli quali:
- chi ha raccolto i dati;
- da dove sono stati ottenuti;
- quali informazioni sono state fornite;
- quando sono stati raccolti i dati personali;
- come sono stati raccolti;
- eventuali registrazioni del consenso;
- la prova che i dati sono stati controllati rispetto ad elenchi di opt-out;
- in che modo il fornitore garantisce i diritti degli interessati.
Ottenute tutte le informazioni necessarie, è necessario individuare la base giuridica che rende lecito il trattamento dei dati personali per finalità di Data enrichment.
La base giuridica del Data enrichment
Sicuramente uno dei principali “problemi” del data enrichment è trovare, tra le basi giuridiche indicate dall’art. 6 GPDR, la base giuridica corretta per l’esecuzione di tali elaborazioni di dati personali.
Vedremo di seguito come vi siano stati, nel corso degli anni, diversi orientamenti giurisprudenziali circa la necessità di ottenere o meno uno specifico consenso per tale attività.
In alcuni casi, infatti, le Autorithies competenti hanno riscontrato un legittimo interesse del titolare prevalente rispetto alla compressione delle libertà e diritti degli interessati, aprendo dunque alla possibilità di effettuare tali trattamenti anche senza un esplicito consenso dell’interessato.
Nei provvedimenti sopra citati, il Garante italiano aveva ritenuto di particolare rilievo ed interesse non solo il profilo economico, ma anche quello industriale della Società. Il Data enrichment consentiva, infatti, al Titolare di elaborare nuove strategie di mercato che permettono, in un regime fortemente concorrenziale, di differenziare ed ampliare la propria offerta di prodotti e servizi e di rinforzare la propria posizione competitiva.
Inoltre, indirizzando la propria offerta verso target sempre più mirati di clientela la società è in grado di soddisfare le diverse esigenze, gusti e preferenze del consumatore.
Al contrario del Garante, nell’opinione dell’ICO è molto difficile fare affidamento sul legittimo interesse per il trattamento dei dati personali, qualora all’attività di Data enrichment consegua la profilazione (in quanto considerata intrusiva) per scopi di marketing diretto, ad esempio raccogliendo e combinando grandi quantità di dati personali da varie fonti diverse per creare profili per scopi di marketing diretto.
Questo tipo di profilazione generalmente non rientra nelle ragionevoli aspettative di un individuo e raramente sono fornite informazioni sufficientemente trasparenti.
L’Autorità Garante tedesca (in particolare quella del Bunder del Lower Saxony) nel sanzionare una banca per la creazione di profili cliente, arricchiti con dati di terze parti, per scopi pubblicitari, ha stabilito che i titolari del trattamento devono tener conto, tra le altre cose, delle ragionevoli aspettative dei clienti.
Gli interessati, in generale, non si aspettano che i titolari utilizzino banche dati su larga scala per identificare la loro inclinazione verso determinate categorie di prodotti o canali di comunicazione. In questi casi, non è quindi possibile affermare che vi sia un corretto bilanciamento di interessi con le ragionevoli aspettative dell’interessato ed è pertanto necessario ottenere il consenso per tale finalità di arricchimento.
D’altronde il Working Party 29 stesso (associazione dei Garanti Europei, ora sostituito dall’EDPB) in diverse Opinion[1] aveva espresso l’idea che il consenso dell’interessato fosse necessario per condurre attività di Data enrichment o, in generale, di data broking.
Difatti, i titolari del trattamento non potrebbero fare affidamento sul legittimo intesse per combinare grandi quantità di dati sui clienti, provenienti da diverse fonti, che sono stati inizialmente raccolti in altri contesti e per scopi diversi, allo scopo di creare profili dei clienti e delle loro preferenze in assenza di un consenso informato.
Tale attività di profilazione comporta una significativa intrusione nella privacy del cliente, e in tal caso, l’interesse del titolare del trattamento sarebbe superato dagli interessi e diritti dell’interessato.
Il rispetto del principio di trasparenza
Nel rispetto del principio di trasparenza, è necessario fornire agli interessati tutte le informazioni con riguardo al trattamento dei loro dati e alla finalità per le quali essi saranno utilizzati.
Ad esempio, se si utilizzano i servizi di data broking per ottenere dati aggiuntivi sui clienti o per profilarli, è improbabile che i clienti si aspettino che una società possa raccogliere informazioni su di loro da altre organizzazioni.
Quando si arricchisce un database di dati personali con informazioni provenienti da una terza parte, sia il Titolare del trattamento che la terza parte devono avere informato gli interessati. Se si ottengono dati personali da una terza parte (ad esempio un intermediario di dati o una fonte disponibile pubblicamente), è necessario fornire un’informativa sulla privacy che includa il nome della fonte o della fonte pubblicamente disponibile e le categorie di dati personali (tranne in casi molto limitati circostanze) ed è inoltre necessario assicurarsi che l’ottenimento dei dati personali ed eventuali utilizzi sia lecito.
Conclusioni
In linea teorica, il trattamento di dati personali per finalità di Data enrichment del proprio database clienti non costituisce di per sé una condotta illecita e non viola, di per sé, le disposizioni in materia di protezione dei dati personali.
Tuttavia, occorre chiarire che è necessario che detto trattamento avvenga nel rispetto della normativa vigente: questo si traduce nell’obbligo di prestare idonea informativa su finalità e modalità del trattamento nei confronti degli interessati, nella quale dovrà essere indicata, tra le altre cose, la base giuridica del trattamento.
In linea generale, le diverse Autorità Garanti sembrano ritenere che il consenso sia la base giuridica preferibile per tale finalità, in particolare quando all’arricchimento dei dati personali dei clienti del proprio database segue una più mirata attività di profilazione.
Non si può, tuttavia, escludere che, a determinate condizioni, anche il legittimo interesse del titolare del trattamento possa essere invocato per tale finalità. In tal caso, è necessario, preliminarmente all’inizio delle attività di trattamento, eseguire un test di bilanciamento di interessi (c.d. “LIA”), tra la ragionevole aspettativa degli interessati sui trattamenti che possono essere realizzati dal Titolare e gli interessi a sostegno del legittimo interesse del Titolare quale base giuridica che rende lecito il trattamento.
Infine, risulta essere di fondamentale importanza intraprendere un’attività di due diligence del “fornitore di dati”, per valutare che, fin dal principio, i dati siano stati raccolti in modo lecito, corretto e aggiornato, al fine non solo di risultare conforme alla normativa vigente, ma anche di ottenere risultati più performanti per il proprio business.
NOTE
In particolare, “Opinion 03/2013 on purpose limitation”; “Opinion 06/2014 on the notion of legitimate interests of the data controller under Article 7 of Directive 95/46/EC”; “Opinion on data protection issues related to search engines”. ↑
