Introduzione

In un’epoca sempre più connessa, dove “conta” più il mostrare dell’essere, e in cui il ruolo dei social media diventa nevralgico sia per la sfera personale che professionale, non potevano mancare le Guidelines 8/2020 dell’EDPB, pubblicate il 2 settembre scorso, relative alla “targettizzazione” degli utenti social.

Nell’Introduzione si dà una panoramica della situazione attuale della rete, nella quale «i social media includono la possibilità per gli individui di registrarsi per creare “conti” o “profili” per se stessi, per interagire tra loro condividendo contenuti generati dall’utente o altri contenuti e per sviluppare connessioni e reti con altri utenti».

Il “targeting” è quel servizio che consente «alle persone fisiche o giuridiche (“targeters”) di comunicare messaggi specifici agli utenti dei social media per promuovere interessi commerciali, politici o di altro tipo». Presupposto di fondo è che, migliore è l’adattamento, più alto è il tasso di ricezione (conversione), quindi più efficace è la campagna di targeting (ritorno sugli investimenti).

I dati personali o sono condivisi dagli utenti stessi o sono “dedotti” dal fornitore social o da terzi ed aggregati.

La combinazione e l’analisi di dati provenienti da fonti diverse, insieme alla potenziale natura sensibile dei dati personali trattati nell’ambito dei social media, crea rischi per i diritti e libertà fondamentali degli individui. Dal punto di vista della protezione dei dati, molti rischi riguardano la possibile mancanza di trasparenza e di controllo da parte degli utenti. Il trattamento dei dati personali che porta alla consegna di un messaggio mirato è spesso opaco.

Il targeting degli utenti dei social media può coinvolgere una varietà di attori diversi che, ai fini di queste linee guida, sono suddivisi in quattro gruppi:

• fornitori di social media,
• loro utenti,
• beneficiari (targeters) e
• altri attori che possono essere coinvolti nel processo di targeting.

Laddove esista una responsabilità congiunta, le linee guida cercheranno di chiarire come potrebbe essere la distribuzione delle responsabilità tra i beneficiari e i fornitori di social media sulla base di esempi pratici. L’obiettivo principale di queste linee guida è quindi quello di chiarire i ruoli e le responsabilità, individuando anche i potenziali rischi per i diritti e le libertà degli individui (sezione 3), i principali attori e i loro ruoli (sezione 4), e affrontando l’applicazione dei principali requisiti di protezione dei dati (come la legalità e la trasparenza, DPIA, ecc.) nonché gli elementi chiave degli accordi tra i fornitori di social media e i beneficiari.

La sezione 3 che elenca possibili rischi per le libertà e i diritti fondamentali degli utenti, non vuole darne un elenco esaustivo ma indica pericolose, per esempio, le attività di profilazione, connesse al targeting, perché potrebbero comportare un’inferenza di interessi o altre caratteristiche, che l’individuo non aveva rivelato attivamente, minando così la sua capacità di esercitare il controllo sui suoi dati personali. Altri rischi sono connessi a possibili discriminazioni legate a origine razziale o etnica, lo stato di salute o l’orientamento sessuale dell’individuo, in relazione per esempio a ricerche di lavoro, o ancora approcci mirati che possono arrivare a minare autonomia e libertà dell’individuo, ad es. attraverso la consegna di messaggi personalizzati, progettati per sfruttare o addirittura accentuare alcune vulnerabilità, valori personali o preoccupazioni, influenzando di nascosto il suo processo di pensiero, le sue emozioni e il suo comportamento.

Nei sistemi elettorali il rischio si accentua in quanto si mina una valida democrazia e pluralismo, creando nell’informazione trasmessa al singolo, meccanismi come le cosiddette “filter bubbles” con conseguente aumento della polarizzazione politica e ideologica, o, per converso, “information overload”, ossia sovraccarico di informazioni”, per cui le persone non possono prendere una decisione informata perché hanno troppe informazioni e non sono in grado di dire se sono affidabili.

Il targeting può influenzare la formazione della personalità dei bambini, le loro preferenze e i loro interessi, incidendo in ultima analisi sulla loro autonomia e sul loro diritto allo sviluppo. Il Considerando 38 del GDPR indica che una protezione specifica dovrebbe applicarsi all’uso dei dati personali dei bambini a fini di marketing o per la creazione di profili rivolti ai più piccoli.

Utenti e Social Media providers

Sia gli utenti che le persone non registrate possono essere considerate “persone interessate” ai sensi dell’articolo 4, paragrafo 1, del GDPR nella misura in cui la persona fisica è direttamente o indirettamente identificata o identificabile.

I fornitori di social media raccolgono sempre più spesso dati, non solo dalle attività sulla piattaforma stessa, ma anche da attività intraprese ‘off-platform‘, combinando dati provenienti da più fonti, online e offline, per generare ulteriori approfondimenti. I dati possono essere combinati con dati personali che gli individui comunicano attivamente al fornitore di social media (ad es. un nome utente, un indirizzo e-mail, la posizione e il numero di telefono), accanto ai dati che vengono “assegnati” dalla piattaforma (come gli identificatori univoci).

Interessante è la sezione 4.3 che fornisce la definizione di “targeters”: le persone fisiche o giuridiche che utilizzano i servizi di social media, al fine di indirizzare messaggi specifici ad un insieme di utenti, sulla base di specifici parametri o criteri. Ciò che distingue i targeters, o beneficiari, dagli altri utenti dei social media è che essi selezionano i loro messaggi, in base alle caratteristiche, agli interessi percepiti o preferenze, una pratica che a volte viene anche definita “micro-targeting“.

Nella sezione 4.4 si citano “altri attori”, che sarebbero coloro che sono parte del complesso ed evolutivo ecosistema della pubblicità online (a volte noto come “adtech“) che raccoglie ed elabora i dati relativi agli individui (compresi gli utenti dei social media) dal monitoraggio, per esempio, delle loro attività, attraverso siti web e applicazioni. In altre parole, i data brokers e i Data Management Providers aggregano i dati raccolti da un’ampia varietà di fonti, per poi rivenderli ad altri stakeholder, coinvolti nel processo di targeting.

Le attuali linee guida si concentrano sulla distribuzione dei ruoli e sugli obblighi di protezione dei dati. Occorre definire come punto di partenza il “controller”. Secondo l’articolo 4, paragrafo 7, del GDPR, “‘controllore” significa “la persona fisica o giuridica che, da sola o congiuntamente ad altri, determina le finalità e modalità del trattamento dei dati personali“.

Nella causa C-210/16, la CGUE ha deciso che l’amministratore di una cosiddetta “fan page” su Facebook doveva essere considerato come partecipe alla determinazione delle finalità e dei mezzi del trattamento dei dati personali. Poiché la definizione dei parametri dipende, tra l’altro, dal target di riferimento dell’amministratore “e dagli obiettivi di gestione e promozione delle proprie attività”, l’amministratore partecipa anche alla determinazione delle finalità del trattamento dei dati personali. L’amministratore è stato, quindi, classificato come responsabile del trattamento dei dati personali dei visitatori della sua ‘pagina’, congiuntamente con il provider di social media.

Nella causa Fashion ID, C-40/17, la CGUE ha deciso che un operatore di un sito web può essere considerato un controllore, quando inserisce nel proprio sito web un social plugin di Facebook che fa sì che il browser di un visitatore trasmetta i dati personali del visitatore a Facebook.

Il documento è piuttosto lungo e corposo, pertanto ho preferito dividerlo in tre editoriali.

Seguirà la II parte

Riproduzione Riservata

Avv. Raffaella Aghemo