Quali sono i termini di conservazione dei dati per finalità di marketing diretto?

Quando il trattamento di dati personali per finalità di marketing diretto – consistente negli invii di materiale pubblicitario o di vendita diretta o nel compimento di ricerche di mercato o di comunicazione commerciale, con strumenti automatizzati o non automatizzati, non sollecitati dai destinatari – è operato sulla base del consenso dell'interessato (o utente o contraente), ai sensi e per gli effetti dell'art. 6 par. 1 lett. a) Regolamento UE 2016/679 e dell'art. 13 d.lgs. 30 giugno 2003, n. 196, il criterio di conservazione dei dati identificativi e di contatto può corrispondere al tempo di validità del consenso stesso. Ciò sta a significare che si potranno conservare tali dati personali fino a revoca del consenso ex art. 7 Regolamento UE 2016/679 ovvero fino all'opposizione formulata dall'interessato ai sensi dell'art. 21 par. 2 Regolamento UE 2016/679. Tale criterio, oltre a evincersi pacificamente dalla lettera normativa, è stato ribadito dal Garante per la protezione dei dati personali in un recente Provvedimento (Provvedimento 15 ottobre 2020 - Registro dei provvedimenti n. 181 del 15 ottobre 2020 - doc. web n. 9486485, caso Carrefour), nel quale l'Autorità precisa: “Si deve invece osservare che, contrariamente a quanto sostenuto e richiesto dal reclamante, il solo decorso del tempo non è un parametro sufficiente, di per sé, per valutare l'idoneità della base giuridica. Il consenso al trattamento dei dati personali per finalità promozionali, in quanto massima espressione dell'autodeterminazione dell'individuo, deve innanzitutto considerarsi scisso e non condizionato dall'esistenza o meno di un rapporto contrattuale e deve ritenersi valido, indipendentemente dal tempo trascorso, finché non venga revocato dall'interessato, a condizione che sia stato correttamente acquisito in origine e che sia ancora valido alla luce delle norme applicabili al momento del trattamento nonché dei tempi di conservazione stabiliti dal titolare, e indicati nell'informativa, nel rispetto dell'art. 5, par. 1, lett. e) del Regolamento”. Resta ferma, in ogni caso, la facoltà del titolare del trattamento di stabilire diversi e più limitati termini di conservazione dei dati per finalità di marketing diretto, in ottica di responsabilizzazione.

Diverso l'approccio nel caso dei dettagli degli acquisti dei clienti (cioè di dati ulteriori rispetto ai meri identificativi e recapiti): il trattamento, inclusa la conservazione, di tali dati, ove non specificamente oggetto di separato consenso dell'interessato, dovrebbe considerarsi ancillare – in armonia con quanto espresso al Considerando 47 Regolamento UE 2016/679 – rispetto alla finalità di marketing diretto e porsi come necessario al perseguimento del legittimo interesse del titolare (a valle di un test di bilanciamento, cd. LIA - legitimate interest assessment) o al rispetto delle condizioni stabilite dall'art. 130 comma 4 d.lgs. 30 giugno 2003, n. 196 per l'esecuzione del cd. “soft spam”. In quest'ottica, il tempo di conservazione dei dettagli degli acquisti non potrà essere legato alla perdurante validità del consenso al marketing diretto, mentre dovrà essere stabilito dal titolare in un termine certo (data o periodo di tempo), in ossequio ai principi di limitazione della conservazione, di minimizzazione e di responsabilizzazione di cui all'art. 5 Regolamento UE 2016/679. Utile riferimento, per l'identificazione dei parametri temporali di conservazione dei dettagli degli acquisti, il Provvedimento del Garante 24 febbraio 2005 sulle “fidelity card” (doc. web n. 1109624, oggi da intendersi alla stregua di una linea guida ex art. 154-bis comma 1 lett. a) d.lgs. 30 giugno 2003, n. 196, giusto il disposto dell'art. 22 comma 4 d.lgs. 10 agosto 2018, n. 101), in cui si prescrissero i termini di conservazione dei dettagli degli acquisti di clienti individuabili, per finalità di profilazione o di marketing diretto, per un periodo non superiore, rispettivamente, a dodici e a ventiquattro mesi dalla loro registrazione, salva la reale trasformazione in forma anonima che non permetta, anche indirettamente o collegando altre banche di dati, di identificare gli interessati.