Facebook: no alla pubblicità personalizzata indiscriminata

Non è di certo la prima volta che Meta Platforms Ireland (forse meglio conosciuta con la precedente denominazione “Facebook”) varca le aule giudiziarie della Corte di Giustizia dell’Unione europea. E, ancora una volta, la controversia vede Meta contrapposta a M. S., l’ormai noto avvocato e attivista austriaco salito agli onori delle cronache per le continue campagne contro Meta, sin dal 2011 quando per la prima volta presentò una serie di reclami al Garante privacy irlandese denunciando le violazioni di dati personali commesse dall’allora Facebook.

Questa volta S., nell’ambito della causa C-446/21, sostiene che Meta tratti illecitamente dati personali, anche appartenenti a categorie particolari, al fine di indirizzare pubblicità personalizzata agli utenti del social network Facebook.

Come illustra nelle condizioni di utilizzo del social network, che gli utenti devono necessariamente accettare per iscriversi alla piattaforma, Meta raccoglie i dati personali relativi alle attività degli utenti all’interno e all’esterno (c.d. “dati off Facebook”) della piattaforma al fine di creare dei profili dettagliati e consentire la pubblicità mirata sulla base degli interessi inferiti dal loro comportamento on line. In altre parole, Meta non solo monitora gli utenti nell’ambito del proprio social network, ma analizza anche la loro navigazione su pagine internet e applicazioni di terzi, nonché l’utilizzo di altri servizi on line appartenenti al gruppo Meta, tra cui in particolare Instagram e WhatsApp.

Tale attività è resa possibile dall’impiego di strumenti quali cookie, social plugin e pixel. In particolare, i social plugin (a titolo esemplificativo, il pulsante “mi piace” di Facebook) sono inseriti dai gestori di siti Internet terzi nelle loro pagine e permettono a Meta, da un lato, di raccogliere l’URL della pagina visitata e altri dati, quali ad esempio l’indirizzo IP e l’ora, e dall’altro lato di mostrare agli utenti annunci pertinenti. Analogamente i pixel, anch’essi integrabili nelle pagine dei siti Internet, consentono di misurare e ottimizzare la pubblicità. Ad esempio, integrando un pixel Facebook nelle proprie pagine Internet, i gestori di queste ultime possono ottenere da Meta comunicazioni sul numero di persone che hanno visto la loro pubblicità su Facebook e che si sono poi collegate alla pagina Internet al fine di consultarla o effettuare un acquisto.

Dal momento che tali strumenti possono essere integrati in qualsiasi pagina web, è evidente che i dati che possono essere inferiti potrebbero riguardare anche aree connesse alla sfera intima dell’utente navigatore, come è accaduto nel caso del Sig. S. Quest’ultimo infatti, dopo aver consultato dating app e il sito Internet di un partito politico, aveva cominciato a ricevere pubblicità riguardante un politico austriaco nonché pubblicità relative ad un pubblico omosessuale e inviti a eventi corrispondenti. Eppure, secondo quanto sostiene, S. non aveva mai condiviso tali interessi e preferenze sul social network.

Dunque, secondo l’attivista austriaco, Meta avrebbe trattato illecitamente i dati personali, da un lato, violando il principio di minimizzazione (raccogliendo dati eccedenti e in modo indiscriminato rispetto alla finalità di pubblicità mirata) e, dall’altro lato, in assenza di una idonea base giuridica, dal momento che l’esecuzione del contratto concluso tra gli utenti e il social network non può considerarsi adeguata né sufficiente ai fini del trattamento di categorie particolari di dati (il cui trattamento – ricordiamo – è legittimo solo in presenza di una delle condizioni elencate all’art. 9, 2° comma del GDPR).

Avverso tali contestazioni, Meta sostiene che il trattamento dei dati personali degli utenti della piattaforma on line, ivi compresa la pubblicità personalizzata, sia effettuato conformemente alle condizioni di utilizzo del social network e sarebbe stato, dunque, parte integrante del contratto concluso tra le parti. 

Quanto al trattamento di dati appartenenti a categorie particolari, quali l’orientamento sessuale del Sig. S., Meta avrebbe legittimamente trattato questi dati poiché il Sig. S. avrebbe diffuso personalmente e pubblicamente tali informazioni nell’ambito di una tavola rotonda alla quale ha partecipato a Vienna il 12 febbraio 2019, su invito della rappresentanza della Commissione europea in Austria.

Con il rinvio pregiudiziale operato dalla Corte suprema austriaca, i giudici europei sono stati investiti di due quesiti in particolare:

1) se sia conforme al principio di minimizzazione dei dati il fatto che tutti i dati personali di cui dispone una piattaforma (raccolti, in particolare, tramite gli interessati o terzi sulla piattaforma o al di fuori di essa) possono essere aggregati, analizzati e trattati senza limiti di tempo oppure di tipologia di dati ai fini di pubblicità mirate;

2) se una dichiarazione pubblica circa il proprio orientamento sessuale permetta il trattamento di altri dati relativi all’orientamento sessuale ai fini della loro aggregazione e analisi finalizzate alla pubblicità personalizzata.

Sulla prima questione, la Corte lussemburghese ha preliminarmente affermato che “una conservazione, per un periodo illimitato, dei dati personali degli utenti di una piattaforma di social network a fini di pubblicità mirata deve essere considerata un’ingerenza sproporzionata nei diritti garantiti a tali utenti dal GDPR”. Inoltre, “per quanto riguarda la circostanza che i dati personali (…) sarebbero raccolti, aggregati, analizzati e trattati a fini di pubblicità mirata, senza distinzione basata sulla natura di tali dati, occorre ricordare che la Corte ha già dichiarato che, alla luce del principio di minimizzazione dei dati, il titolare del trattamento non può procedere, in modo generalizzato e indifferenziato, alla raccolta di dati personali e non deve raccogliere dati che non siano strettamente necessari rispetto alle finalità del trattamento”.

La Corte ha dunque ritenuto che il trattamento di dati, possibile anche per mezzo dell’utilizzo di strumenti come pixel e social plugin, “è particolarmente esteso, giacché verte su dati potenzialmente illimitati e ha un notevole impatto sull’utente, di cui la Meta Platforms Ireland controlla gran parte, se non la quasi totalità, delle attività on line, il che può suscitare in quest’ultimo la sensazione di una continua sorveglianza della sua vita privata. In tali circostanze, il trattamento di dati è caratterizzato da una grave ingerenza nei diritti fondamentali degli interessati (…) che (…) non sembra ragionevolmente giustificata alla luce dell’obiettivo consistente nel consentire la diffusione di pubblicità mirate”. In ogni caso, “l’utilizzo indifferenziato di tutti i dati personali detenuti da una piattaforma di social network a fini pubblicitari, indipendentemente dal grado di sensibilità di tali dati, non risulta essere un’ingerenza proporzionata nei diritti garantiti agli utenti di tale piattaforma dal GDPR”.

Sulla seconda questione, i giudici europei riconoscono che effettivamente la dichiarazione pubblica del Sig. S. “pur iscrivendosi in un discorso più ampio e effettuato al solo scopo di criticare il trattamento di dati personali effettuato da Facebook, costituisca un atto con il quale l’interessato, con piena cognizione di causa, ha reso manifestamente pubblico il proprio orientamento sessuale”. Ciò, tuttavia – prosegue la Corte – “non autorizza, di per sé, il trattamento di altri dati personali relativi all’orientamento sessuale di quella persona, (…) ottenuti, eventualmente, al di fuori di tale piattaforma a partire da applicazioni e siti Internet di partners terzi, al fine dell’aggregazione e dell’analisi di detti dati, per proporre a tale persona della pubblicità personalizzata”.

______

*A cura dell’Avv. Laura Greco, DigitalMediaLaws

Se questo articolo è stato di tuo interesse ma non sei ancora abbonato a NT+ Diritto approfittane subito,prova 1 mese da € 4,90!Scopri di più