Con un Provvedimento del 24 febbraio 2005, l'Autorità garante della Privacy ha deciso di fissare le linee guida per un corretto uso dei dati personali dei clienti da parte delle società che rilasciano le cosiddette 'carte di fidelizzazione'. L'utilizzo delle 'carte di fedeltà' sempre più diffuso, esse vengono rilasciate spesso gratuitamente presso punti vendita ed esercizi commerciali e consentono ai consumatori che vi aderiscono di usufruire di sconti o premi. Le società che offrono tali carte o tessere anche elettroniche raccolgono numerosi dati personali della clientela mediante, ad esempio, la distribuzione di moduli di adesione presso i diversi punti vendita in cui si effettuano gli acquisti ed è pertanto necessario che trattamenti così cospicui di dati personali avvengano nel pieno rispetto del Codice della Privacy (d.lgs. n. 196/2003). Il primo obbligo per chi rilascia carte di fedeltà è quello di informare in maniera chiara e completa i clienti sull'uso che verrà fatto dei dati che li riguardano, tenendo conto delle diverse finalità perseguite. L'informativa al cliente deve essere bene evidenziata all'interno dei moduli di sottoscrizione ed essere agevolmente individuabile. Nel rispetto del principio di correttezza, inoltre, ex art. 11 del Codice, non sono consentiti comportamenti che possano incidere sulle scelte libere e consapevoli del cliente nell'adesione ai programmi di "fidelizzazione". Le principali finalità, che rendono necessario modificare le modalità di trattamento sono: la fidelizzazione, realizzata attribuendo determinati vantaggi al cliente; la profilazione, attuata mediante analisi di abitudini e scelte di consumo; il marketing diretto. I trattamenti devono altresì rispettare i principi di necessità, liceità, correttezza, qualità dei dati e proporzionalità (artt. 3 e 11 del Codice della Privacy). In particolare, in applicazione del principio di necessità, i sistemi informativi ed i programmi informatici devono essere configurati in modo da limitare al minimo indispensabile l'utilizzo di informazioni relative a clienti identificabili. Nel rispetto invece del principio di proporzionalità, tutti i dati personali e le varie modalità del loro trattamento devono essere pertinenti e non eccedenti rispetto alle finalità perseguite. L'utilizzazione di dati sensibili non è ammessa per alcuna di queste finalità, ex art. 4, comma1, lett. b, del Codice, salvo l'ipotesi eccezionale in cui il trattamento dei dati sia indispensabile in rapporto allo specifico bene o servizio richiesto e sia stato autorizzato dal Garante, oltre che acconsentito per iscritto dall'interessato. Per la finalità di "fidelizzazione" in senso stretto e quindi per attribuire i vantaggi connessi all'uso della carta, possono essere trattati i dati anagrafici dell'interessato ed eventualmente quelli relativi al volume di spesa realizzato. Per la finalità di "profilazione" della clientela può essere sufficiente disporre solo di dati anonimi o non identificativi, altrimenti in tutti gli altri casi il trattamento dei dati deve rispettare i principi di necessità e di proporzionalità di cui sopra. Per la finalità di marketing diretto possono essere raccolti ed utilizzati i dati pertinenti e non eccedenti per l'invio di materiale pubblicitario, o di comunicazioni commerciali, o per la vendita diretta. L'eventuale uso di dati personali derivanti dalla profilazione deve essere oggetto di un consenso differenziato degli interessati. Per quanto riguarda il tempo di conservazione dei dati personali dei clienti, relativi al dettaglio degli acquisti, l'Autorità ha stabilito che per quelli raccolti per fini di profilazione non può superare un anno, mentre per quelli raccolti per fini di marketing non può superare i due anni. E' obbligatorio, infine, adottare le necessarie misure di sicurezza per evitare rischi di manomissione, furto o perdita dei dati.