I locali che somministrano cibi e bevande (ristoranti, bar, pub) sono luoghi aperti al pubblico ma anche, in certi casi, fornitori dei loro prodotti a domicilio. I dati personali trattati sembrerebbero pochi e semplici, in realtà non sempre è così.

I trattamenti base

Come tutte le realtà commerciali, esistono una serie di trattamenti base: dati dei lavoratori (che nel caso dei dipendenti comprendono anche dati sensibili), dati dei fornitori, dati dei clienti. In questo caso, i dati della clientela potrebbero essere sottovalutati se si pensa solo al caso dei clienti che entrano nel locale e consumano in modo sostanzialmente anonimo; nel seguito tratteremo proprio i casi in cui l’anonimato si perde. Da non dimenticare comunque i casi in cui il “cliente” è in realtà un’azienda o un ente giuridico, per cui comunque si trattano i dati delle persone di riferimento per i contatti commerciali; o se è un professionista, è necessario raccogliere i dati per la fatturazione.

Gli adempimenti per questo tipo di trattamento sono i consueti. Dal punto di vista documentale, il Registro delle Attività di Trattamento risulta obbligatorio solo nel caso delle categorie particolari di dati, ma basta quindi anche un solo dipendente per far scattare l’obbligo, e di conseguenza il consiglio è di farlo comunque, e completo. Le nomine (sia addetti che Responsabili del Trattamento) sono ovviamente sempre obbligatorie; per quanto riguarda gli addetti, è possibile che in questi ambiti alcuni lavori non comportino effettivo trattamento di dati personali, per cui la nomina (e di conseguenza la formazione) non è necessaria, mentre invece lo è sicuramente per chi si occupa di questioni amministrative; da valutare caso per caso per chi sta a contatto con la clientela (camerieri, addetti al banco, etc). Obbligatorie anche le informative e la loro messa a disposizione più opportuna, secondo i metodi consueti (affissione, pubblicazione su sito internet, vie email per quelle più di tipo commerciale). In linea di massima tali trattamenti non richiedono Valutazioni di Impatto (DPIA), che invece potrebbero in certi casi essere necessarie per i trattamenti sotto descritti; però rimangono necessarie le analisi dei rischi (almeno basilari) ed il rispetto dei principi di privacy by design e by default.

Prenotazioni e intolleranze alimentari

Come detto, in generale la clientela degli esercizi commerciali legati alla ristorazione rimane sostanzialmente anonima; non è più così qualora si utilizzino preonotazioni o si conservino informazioni riguardo alle intolleranze alimentari della clientela abituale.

Le prenotazioni “semplici” (nome e data/orario) non comportano criticità a meno del limite di conservazione, che potrebbe essere limitato a pochissimi giorni (ciò comporta che i fogli siano distrutti; o se registrati digitalmente, cancellati, meglio se automaticamente). Nel caso di utilizzo di servizi online esterni, essi hanno una propria privacy policy, che và valutata preventivamente alla scelta (piattaforme troppo invasive possono creare un inutile danno di immagine; inoltre c’è il problema dell’eventuale trasferimento dei dati extra UE che deve essere regolato correttamente).

La conservazione delle informazioni relative alle intolleranze alimentari rappresenta un trattamento di dati “sensibili”, e di conseguenza va valutato bene e soprattutto ben protetto: ossia solo le persone strettamente necessarie dovrebbero averne accesso, e vista la particolare pericolosità dell’informazione, sono assolutamente da evitare errori. Il consiglio è di evitare tale conservazione, raccomandando in tutti i modi possibile ai clienti di comunicare le intolleranze ogni volta che entrano nel locale.

Consegne a domicilio

Per la consegna a domicilio valgono più o meno le stesse considerazioni fatte per la prenotazione; ovviamente i dati sono maggiori (si aggiunge quanto meno un indirizzo e l’ordinazione). Anche in questo caso, le ordinazioni fatte in modo tradizionale comportano il solo problema della conservazione (limitata al massimo, a meno di altre giustificabili necessità) dei dati, ed una formazione almeno basilare degli addetti alla consegna; l’utilizzo, ormai diffusissimo, di piattaforme online comporta almeno la necessità di una scelta oculata sia riguardo agli ulteriori utilizzi dei dati personali da parte della piattaforma, che dell’affidabilità e correttezza generale. Anche un eventuale sito di e-commerce deve essere ben pensato, valutando gli utilizzi ulteriori dei dati raccolti per le ordinazioni (soggetti sempre a consenso), sia interni che da parte del fornitore della piattaforma.

Videosorveglianza

L’installazione di video camere di sicurezza comporta la possibilità di ulteriori adempimenti: certamente sono necessari i cartelli informativi (“informativa breve”) e l’informativa completa (esposta o pubblicata su un sito internet), la citazione nel Registro dei Trattamenti, la designazione (quindi la nomina e la formazione/istruzione) degli addetti, la nomina a Responsabile del Trattamento del manutentore che abbia la possibilità di accesso al sistema (fosse anche presso il locale e sotto il controllo del titolare).

Fondamentale ricordare che se la copertura delle videocamere comporta il controllo dei lavoratori, è necessaria l’autorizzazione amministrativa da parte dell’Ispettorato del Lavoro competente (dando per scontata l’assenza delle rappresentanze sindacali); inoltre, la copertura esterna deve fare in modo di non riprendere aree non appartenenti al locale. La questione della copertura và valutata in funzione dello scopo della sorveglianza tramite videocamere: contro atti esterni (furti, vandalismo) è bene evitare riprese interne al locale; contro eventi che possono avvenire all’interno, ovviamente le camere interne sono necessarie, ma devono garantire il minimo dell’invasività sia per la clientela che per il personale.

Infine, nel caso di visione in diretta delle immagini, si ricorda che la visione deve essere riservata agli addetti del locale (e solo a quelli autorizzati), per cui il monitor deve essere posto in una postazione non visibile a tutti i non autorizzati.

Sito internet

Il sito internet comporta come minimo i trattamenti relativi ai log di navigazione degli utenti e dei cookies, per i quali gli adempimenti necessari non presentano particolarità. Attenzione ovviamente va posta per il banner dei cookies e per l’informativa, che dovrebbe essere accessibile da ogni pagina.

Però è facile che ci siano form per la prenotazione (inteso che non faccia uso di piattaforme esterne) e/o per la richiesta di informazioni: è bene ricordare che è sempre necessario un accesso rapido alla relativa informativa (sia essa in comune coi cookie o meno) e che non è necessario richiedere un consenso/accettazione, al massimo una checkbox per la presa visione. I dati raccolti dai form devono essere conservati per un tempo massimo da stabilire (presumibilmente breve) e poi cancellati, meglio se automaticamente.

Marketing

Tutte le attività di marketing, promozionali, o di fidelizzazione sono soggette al consenso degli interessati, e quindi la prima cosa da considerare è la necessità di gestire un registro di questi consensi e la cancellazione da esso in caso di revoca. Se ciò avviene all’interno del sito internet, è facile che sia tutto gestito dal modulo che si occupa di ciò; nel caso avvenga “manualmente”, ciò comporta la necessità di procedure interne chiare che evitino al massimo gli errori (che potenzialmente possono causare segnalazioni all’Autorità Garante).

Si ricorda che la promozione non indirizzata nominalmente (avvisi sul sito, post sui social, affissione di cartelli) non è considerata attività di marketing ai fini della normativa sui dati personali, e quindi è sempre permessa senza ulteriori adempimenti (se non quelli previsti da altre normative).

Accesso WiFi

L’accesso gratuito ad internet tramite connessione WiFi è un servizio sempre gradito (nonostante i rischi oer la sicurezza). Due sono le possibili implicazioni riguardanti i dati personali: una registrazione per accedere al servizio e il registro degli accessi. Pur non essendo dati formalmente appartenenti alle categorie particolari, vanno considerati piuttosto sensibili e quindi la loro protezione, soprattutto da accessi non desiderati, è fondamentale. Anche in questo caso si pone quindi il problema della scelta del fornitore del servizio, sia esso un internet provider o un intermediario: occorre valutare attentamente i termini del servizio, in particolare relativamente ai riutilizzi dei dati (tipicamente per finalità di marketing) che devono essere sempre soggetti a consenso, e per i quali valgono le stesse considerazioni fatte per il marketing.

LabPrivacy RIPRODUZIONE RISERVATA. Ne è consentito un uso parziale, previa citazione della fonte.