Targeting

Gli utenti dei social media possono essere presi di mira sulla base dei dati forniti, osservati o dedotti, nonché di una combinazione di questi:

1. targeting delle persone sulla base dei dati forniti – “Dati forniti” si riferisce alle informazioni fornite attivamente dall’interessato al fornitore di social media e/o al beneficiario (Ad esempio, il targeting  “a lista” si verifica quando il targeter carica elenchi preesistenti di dati personali, come indirizzi e-mail o numeri di telefono, affinché il fornitore di social media li confronti con le informazioni presenti sulla piattaforma. In questo caso, il social media provider confronta i dati caricati dal targeter con i dati degli utenti che già possiede, e gli utenti che corrispondono vengono aggiunti o esclusi dal target, cioè dal “cluster” di persone a cui l’annuncio verrà mostrato sulla piattaforma dei social media);
2.  targeting sulla base dei dati osservati – dati osservati sono dati forniti dall’interessato in virtù del suo utilizzo di un servizio o di un dispositivo (esempio GPS);
3. targeting sulla base di dati desunti – I “dati desunti” o “dati derivati” vengono creati dal titolare del trattamento sulla base dei dati forniti dall’interessato o osservati dal controller. Ad esempio, un fornitore di social media o un targeter potrebbe dedurre che un individuo è probabile che sia interessato a una certa attività o prodotto sulla base della sua navigazione in rete, o comportamento e/o connessioni di rete.

In qualità di corresponsabili del trattamento, entrambe le parti (il fornitore di social media e il targeter) devono essere in grado di dimostrare l’esistenza di una base giuridica (articolo 6 GDPR) che giustifichi il trattamento dei dati personali di cui ciascuno dei corresponsabili del trattamento è responsabile. In generale, vi sono due basi giuridiche che potrebbero teoricamente giustificare il trattamento che supporta il targeting degli utenti dei social media: il consenso della persona interessata (articolo 6, paragrafo 1, lettera a), GDPR) o gli interessi legittimi (articolo 6, paragrafo 1, lettera f), GDPR). La seconda parte del balancing test, comporta che i controllori congiunti dovranno stabilire che il trattamento è necessario per il conseguimento di tali legittimi interessi. Il terzo passo per valutare se il targeter e il fornitore di social media possono fare affidamento sull’articolo 6(1)(f) GDPR, come base giuridica per il trattamento dei dati personali, è l’esercizio di bilanciamento necessario per determinare se l’interesse legittimo in gioco è prevalso sugli interessi dell’interessato oppure sui diritti e libertà fondamentali.

Per essere valido, il consenso raccolto per il trattamento deve soddisfare le condizioni previste dagli articoli 4(11) e 7  del GDPR. In generale, il consenso può essere una base giuridica appropriata solo se all’interessato viene offerto un controllo e una scelta effettiva. Se il consenso è raggruppato come parte non negoziabile dei termini e delle condizioni, si presume che non sia stato dato liberamente. Il consenso deve inoltre essere specifico, informato e non ambiguo e la persona interessata deve poter rifiutare o ritirare il consenso senza pregiudizio.

Esempio per caso a) è il seguente: La signora Jones contatta la Banca X per fissare un appuntamento in merito a un’eventuale ipoteca perché vorrebbe comprare una casa. Contatta la banca via e-mail per fissare l’appuntamento. In seguito, la signora Jones decide di non diventare cliente della banca. La banca ha tuttavia aggiunto l’indirizzo e-mail della signora Jones al suo database di posta elettronica dei clienti. Poi, la banca consente l’utilizzo del suo database al fornitore di social media per “abbinare” l’elenco di indirizzi e-mail in suo possesso con quelli detenuti dalla piattaforma di social media, al fine di rivolgersi agli individui interessati sulla piattaforma dei social media con l’intera gamma di servizi finanziari. La banca agisce come controllore e la piattaforma social anche e cioè vige un controllo congiunto delle due parti, ma la responsabilità della banca finisce qui, in quanto il lavoro di targeting, vero e proprio, è operato dalla piattaforma mentre la banca si è limitata a “matchare” il suo database con le informazioni del provider. Nell’esempio sopra riportato, l’articolo 6, paragrafo 1, lettera f), del GDPR non fornisce una base giuridica adeguata per giustificare il trattamento, tenendo conto del contesto in cui i dati personali sono stati forniti. Infatti, la sig.ra Jones ha contattato la banca al solo scopo di fissare un appuntamento, in seguito al quale lei ha comunicato la sua intenzione di non avvalersi dei servizi offerti dalla banca. Quindi, si può ritenere che non vi sia alcuna ragionevole aspettativa da parte della sig.ra Jones che i suoi dati personali vengano utilizzati per scopi di targeting (“re-targeting“). Inoltre, un test di compatibilità, ai sensi dell’articolo 6, paragrafo 4, del GDPR porterà a dedurre che tale trattamento non è compatibile con le finalità per le quali i dati personali sono stati inizialmente raccolti.

Esempio per caso b) è invece il seguente: il signor Schmidt sta navigando online per acquistare uno zaino. Visita il sito web “BestBags.com”, visualizza una serie di articoli, ma decide di non fare un acquisto. Il gestore di “BestBags.com” desidera rivolgersi agli utenti dei social media che hanno visitato il sito web senza fare un acquisto. A tal fine integra un cosiddetto “tracking pixel” (i pixel di tracciamento sono costituiti da piccoli frammenti di codice integrati nel sito web del destinatario, utile a monitorare la sessione dell’utente) sul suo sito web, che viene messo a disposizione dai social media. Dopo aver lasciato il sito web di BestBags.com e aver effettuato l’accesso al suo account sui social media, il signor Schmidt inizia a vedere la pubblicità per gli zaini che stava considerando durante la pregressa navigazione. Qui targeter e provider social media, entrambi partecipano alla determinazione degli scopi e le modalità del trattamento dei dati personali.

Esempio caso c): la signora Delucca è un’appassionata, cui “piacciono” le foto pubblicate dalla pagina social della Galleria d’Arte “Beautifulart” del pittore impressionista Pataolito. Il Museo Z cerca di attirare persone interessate a dipinti impressionisti alla luce della sua prossima mostra. Il Museo Z utilizza i seguenti criteri offerti dal fornitore di social media: “interessato all’impressionismo”, sesso, età e luogo di residenza. La signora Delucca riceve successivamente un’inserzione mirata da parte del Museo Z, relativa a prossima mostra del Museo Z sulla sua pagina dei social media. Qui, secondo l’EDPB, esiste un controllo congiunto tra il Museo Z e il fornitore social media, per quanto riguarda il trattamento dei dati personali ai fini della pubblicità mirata, tenendo conto della raccolta di questi dati attraverso la funzionalità “mi piace” sulla piattaforma dei social media e l'”analisi” intrapresa dal fornitore di social media per offrire il criterio di targeting (“interessato a impressionismo”). La profilazione può essere legale in riferimento a uno qualsiasi dei motivi giuridici di cui all’articolo 6, paragrafo 1, del GDPR, fatta salva la validità di questa base giuridica.

Trasparenza e diritto di accesso

L’articolo 5, paragrafo 1, lettera a), del GDPR stabilisce che i dati personali devono essere trattati in modo lecito, equo e trasparente. L’articolo 5, paragrafo 1, lettera b), GDPR stabilisce inoltre che i dati personali devono essere raccolti per scopi specifici, espliciti e legittimi. L’EDPB ricorda che il solo uso della parola “pubblicità”, “advertising” non è  sufficiente ad informare gli utenti che la loro attività viene monitorata ai fini di una pubblicità mirata. Dovrebbe essere reso trasparente ai singoli individui quali tipi di attività di trattamento vengono svolte e cosa ciò significa nella pratica per l’interessato. Gli interessati dovrebbero essere informati in un linguaggio facilmente comprensibile e dovrebbero ricevere le informazioni pertinenti direttamente sullo schermo, in modo interattivo e, ove opportuno o necessario, attraverso avvisi a più livelli. Ex art. 15 GDPR, inoltre, il diritto di accesso è opportuno per poter consentire agli utenti, in ogni momento, di sapere quali dati sono trattati e per quale scopo, verificando direttamente i loro profili e i criteri di targeting adottati.

In linea di principio, prima di avviare le operazioni di targeting, entrambi i controllori congiunti dovrebbero verificare l’elenco delle operazioni di trattamento “che possono comportare un rischio elevato” adottato a livello nazionale ai sensi dell’articolo 35(4) e considerando (71), (75) e (91) GDPR, per determinare se l’obiettivo designato corrisponde a uno qualsiasi dei tipi di operazioni di trattamento soggette all’obbligo di una DPIA (Data Protection Impact Assestment).

Seguirà la III parte su categorie particolari di dati

Riproduzione Riservata

Avv. Raffaella Aghemo