Quando si parla di privacy nei ristoranti a Napoli la prima reazione è quasi sempre la stessa: noi serviamo da mangiare, che dati trattiamo. In una serata un locale raccoglie nomi e numeri di telefono dalle prenotazioni, indirizzi email dalle iscrizioni alla newsletter, preferenze e intolleranze annotate nel gestionale, immagini dalle telecamere in sala e sull’ingresso, dati dei dipendenti e dei collaboratori stagionali, e le informazioni che transitano dalle piattaforme di prenotazione e consegna. È un trattamento tutt’altro che marginale, e il settore è tra quelli in cui i reclami arrivano più facilmente, perché il cliente scontento ha il telefono in mano.
La prenotazione non è solo un tavolo
Il nome e il numero di telefono raccolti per tenere un tavolo servono a eseguire quel servizio. Usarli per mandare la promozione del venerdì, l’auguri di compleanno o l’invito all’inaugurazione del nuovo locale è un’altra cosa: è marketing, e ha bisogno di una base giuridica propria. È il punto su cui nascono più contestazioni in assoluto, e che abbiamo trattato nell’articolo su email marketing, consenso e soft spam.
A questo si aggiunge il tema delle intolleranze e delle allergie. L’annotazione che un cliente non può mangiare un certo alimento, se collegata a una condizione di salute, entra nella categoria dei dati che il Regolamento protegge in modo rafforzato. Annotarla nel gestionale e conservarla per anni, insieme alla cronologia delle prenotazioni, non è un dettaglio organizzativo.
Privacy nei ristoranti a Napoli: le telecamere
Le telecamere in sala e sulla cassa sono ormai la regola, e sono anche la fonte più ricorrente di problemi, per due ragioni. La prima riguarda i clienti: l’informativa deve essere visibile prima di entrare nel raggio di ripresa, e l’impianto deve riprendere ciò che serve e non l’intero locale a scopo generale. La seconda riguarda il personale: la videosorveglianza da cui derivi anche solo potenzialmente un controllo a distanza dell’attività dei lavoratori incontra i limiti posti dalla disciplina giuslavoristica, e senza accordo sindacale o autorizzazione dell’ispettorato manca la base giuridica. Il quadro è quello descritto nell’articolo sulla videosorveglianza sul luogo di lavoro.
Nelle contestazioni il passaggio più delicato è quasi sempre quello successivo: chi può rivedere le registrazioni, da dove, e per quanto tempo restano. Un sistema accessibile dall’applicazione sul telefono del titolare, senza alcuna tracciabilità, è esattamente ciò che in verifica non regge.
Il personale, e il fornitore che nessuno ha nominato
Un locale lavora con figure che cambiano spesso: stagionali, collaboratori, studenti. Ogni persona che accede al gestionale delle prenotazioni o al sistema di cassa tratta dati personali, e dovrebbe farlo sulla base di istruzioni documentate. Nella pratica le credenziali sono spesso condivise, e quando serve ricostruire chi ha esportato l’elenco clienti non lo si può fare.
C’è poi la catena dei fornitori: il software gestionale, la piattaforma di prenotazione online, il servizio di consegna, il consulente del lavoro, la società che gestisce il sito e la newsletter. Sono responsabili del trattamento, e il rapporto va regolato di conseguenza; in assenza, il titolare risponde di una filiera che non ha mai governato. Ne abbiamo scritto parlando della nomina del responsabile del trattamento, e la questione si complica quando le piattaforme hanno server fuori dall’Unione europea: si veda l’articolo sul trasferimento dei dati extra UE.
Quanto può costare
Le violazioni relative ai principi, alle basi giuridiche e ai diritti degli interessati rientrano nella fascia più alta prevista dall’articolo 83 del GDPR; quelle su sicurezza e rapporti con i responsabili nella fascia inferiore, che resta comunque significativa per una piccola impresa. Al di là dell’importo, il Garante può ordinare la cancellazione dei dati trattati illecitamente e vietare il trattamento: per un locale significa perdere la base clienti costruita in anni.
Vale infine ricordare che molte strutture ricettive e di ristorazione gestiscono anche documenti di identità: il punto è stato affrontato nell’articolo sulle copie dei documenti degli ospiti.
Una verifica prima del reclamo
Lo studio assiste imprese della ristorazione e dell’ospitalità in tutta Italia e ha sede a Napoli; sul sito trova la pagina di servizio sulla consulenza e compliance privacy e quella sull’analisi di conformità del sito web, che per un locale con prenotazioni online è il primo punto esposto. I profili amministrativi e contenziosi collegati all’attività d’impresa sono trattati su avvocatoelioerrichiello.it.
Se gestisce un ristorante e non ha mai verificato questi aspetti, ci scriva dalla pagina contatti indicando quali strumenti utilizza per prenotazioni, marketing e videosorveglianza: ne ricaveremo un esame preliminare e l’indicazione di ciò che, in caso di reclamo, verrebbe chiesto per primo.
Avv. Elio Errichiello
