I tempi di conservazione dei dati raccolti per attività di profilazione e promozionali devono essere proporzionati rispetto alle finalità perseguite e presuppongono, in ogni caso, un’informativa analitica e dettagliata agli interessati.
Con il provvedimento n. 227 dell’11 maggio 2017, il Garante per la protezione dei dati personali ha dato riscontro all’istanza di verifica preliminare con cui una nota azienda dell’alta moda italiana esponeva di essere intenzionata a trattare i dati personali della propria clientela, raccolti su scala globale, “per finalità di profilazione e promozionali” attraverso un sistema di customer relationship management (Crm) per un periodo di tempo superiore a quelli previsti dal Provvedimento generale già adottato dal Garante in data 24 febbraio 2005.

I dati acquisiti dal Crm riguarderebbero dati anagrafici (nome, cognome, data di nascita) e di contatto (indirizzo, numero di telefono, email) e dati relativi all’ammontare complessivo degli acquisti individuali e dati di dettaglio degli stessi (stagione, modello, categoria merceologica, tipologia materiale, ecc.).

Le finalità perseguite sarebbero il marketing e le ricerche di mercato nonché la personalizzazione dei servizi  (consentendo, per esempio, al personale delle boutique del gruppo di verificare gli acquisti già effettuati in precedenza da quel cliente).

Al sistema avrebbero accesso anche società del gruppo e partner commerciali, tutti in qualità di responsabili del trattamento.

In base al provvedimento generale del 2005, i tempi di conservazione per finalità di marketing e di profilazione sono, rispettivamente, di dodici e ventiquattro mesi dalla registrazione. Nel caso di specie, viceversa, la casa di moda chiedeva di poter conservare  i dati fino a dieci anni in considerazione del fatto che i beni offerti sono di lusso e che la frequenza media di acquisto da parte dei clienti è estremamente bassa nel breve periodo: secondo la società, tempi di conservazione troppo limitati ridurrebbero o vanificherebbero i vantaggi della profilazione  in quanto sarebbe limitata ad un numero di acquisti poco significativo.

Il Garante, analogamente a quanto già disposto in fattispecie similari (cfr. Provvedimento  n.501/2016),  ha concluso che un periodo di conservazione di sette anni possa ritenersi rispettoso del principio di pertinenza e non eccedenza e, al contempo, proporzionato alle finalità dell’istante.
Il  Garante ha comunque ricordato che l’informativa prevista dall’art. 13 del Codice Privacy dovrà contenere, in maniera analitica e dettagliata, “anche attraverso una veste grafica che opportunamente ne dia evidenza”, l’indicazione completa della tipologia dei dati da trattare e del periodo massimo di conservazione degli stessi, con l’indicazione che -alla scadenza del periodo massimo di conservazione- i dati personali saranno cancellati automaticamente o resi anonimi in modo permanente e non reversibile.