Meta contro privacy e Gdpr: la resa dei conti a gennaio

Il modello pubblicitario di Meta, basato sull'analisi dei comportamenti e la profilazione degli utenti sulle proprie piattaforme Facebook, Instagram e WhatsApp, deve fare i conti con le restrizioni imposte dal regolamento europeo in materia di privacy e protezione dei dati. E stavolta potrebbe pagare un conto salato.

L'Edpb, l'European Data Protection Board, pochi giorni fa ha notificato all'autorità irlandese per la protezione dei dati le proprie decisioni vincolanti per la risoluzione delle controversie relative a Meta Platforms Ireland Limited (la sede europea di Meta). Nulla di particolarmente straordinario, se non fosse per lo scoop del Wall Street Journal che anticipa la decisione dell'Edpb prima che sia effettivamente resa di pubblico dominio, riportando che «le autorità di regolamentazione della privacy dell'Ue affermano che Facebook e Instagram non dovrebbero utilizzare i loro termini di servizio per richiedere agli utenti di accettare annunci in base alla loro attività digitale».

Cioè: la pubblicità personalizzata sulle piattaforme di Meta è illegale perché distribuita sulla base di una profilazione comportamentale non esplicitamente autorizzata dai singoli utenti (e l'accettazione del contratto d'uso delle piattaforme non può bastare come consenso esplicito).

Le origini della vicenda

Ricostruiamo allora i fatti. Nel 2018, come ormai noto, entra in vigore il Gdpr - General Data Protection Regulation, il regolamento generale sulla protezione dei dati dell'Unione europea in materia di trattamento dei dati personali e di privacy.

Per adeguarsi alle normative europee, Meta (all'epoca il gruppo societario si chiamava ancora Facebook) inserì nei propri contratti d'uso alcune clausole vincolanti che, ancora oggi, impongo agli utenti di accettare il trattamento dei dati al fine di ricevere pubblicità personalizzate, diffuse sulla base dell'analisi del loro comportamento e delle loro preferenze, spesso espresse inconsapevolmente durante l'utilizzo delle piattaforme (Facebook, Instagram e WhatsApp). 

Secondo l'interpretazione di Meta, l'accettazione del contratto d'uso (all'interno del quale sono inserite tali clausole vincolanti, senza cioè che gli utenti possano scegliere di eliminarle dall'accordo) rappresenta una base giuridica sufficiente per il trattamento dei dati. In altre parole, secondo Meta basta avere l'accettazione del contratto con le clausole vincolanti per ottenere anche il consenso delle persone all'utilizzo dei propri dati, senza obbligo ulteriore da parte di Meta di fornire informazioni dettagliate e senza necessità di ottenere dagli utenti un consenso esplicito, specifico per il trattamento dei dati personali.

Nel 2018, la Supervisory Authority irlandese, ossia il Garante della Privacy dell'Irlanda (l'organo di vigilanza principale per quanto riguarda Meta Platforms Ireland Limited, la sede di Meta in Europa), ritenne corretta l'interpretazione fatta dalla multinazionale. Da quel momento iniziò però a ricevere numerosissime denunce e ricorsi, in particolare da parte degli attivisti di Noyb (None for your business), l'associazione attiva in ambito privacy-protezione dei dati e difesa dei diritti dei consumatori, nata nel 2017 per volontà di Max Schrems (l'attivista protagonista della storica decisione della Corte di Giustizia Ue che dichiarò illegale il Privacy Shield, l'accordo che permetteva lo scambio di dati tra Europa e Stati Uniti).

A distanza di quattro anni di denunce e ricorsi, inascoltati, ecco allora che interviene l'Edpb il comitato europeo per la protezione dei dati previsto dal Gdpr e organo collegiale costituito dai rappresentanti di tutte le Supervisory Authority europee, le Autorità nazionali di protezione dati. L'Edpb non interviene però nei confronti di Meta, ma verso il Garante irlandese, consapevole che la sua decisione vincolante diventa tale non solo per l'autorità dell'Irlanda ma per tutte le autorità europee.

Cosa succede ora

La scelta dell'Edpb di prendere decisioni vincolanti nei confronti del Garante irlandese (con effetto diretto e vincolo su tutte le altre autorità europee preposte alla privacy e alla protezione dei dati a livello nazionale) rappresenta un segnale molto forte del ruolo che il comitato sta assumendo nell'applicazione del Gdpr e, soprattutto, nei meccanismi di supervisione e coerenza tra le autorità di controllo sull'uso dei dati personali.

Le decisioni vincolanti dell'Edpb svolgono, infatti, un ruolo chiave nel garantire la corretta e coerente applicazione del Gdpr da parte delle Autorità di controllo nazionali. E se qualcosa non torna, come nella vicenda Meta - Garante Irlandese, ecco che interviene. 

Nel comunicato stampa di qualche giorno fa relativo alla vicenda, si legge che nelle sue decisioni vincolanti l'Edpb risolve, tra l'altro, la questione se il trattamento dei dati personali per l'esecuzione di un contratto sia o meno una base giuridica adeguata per la pubblicità comportamentale (nei casi di Facebook e Instagram) e per il miglioramento del servizio (nel caso di WhatsApp). 

L'Edpb ha di fatto vincolato il Garante irlandese a decidere una sanzione verso Meta. Benché le specifiche sulle decisioni saranno rese pubbliche soltanto tra un mese, si intuisce che Meta non potrà più utilizzare i termini di servizio, cioè il contratto per l'utilizzo delle proprie piattaforme, per richiedere agli utenti di accettare clausole vincolanti per la loro profilazione (e questo non solo in Irlanda ma in tutta l'Unione Europea, dato che le decisioni dell'Edpb sono vincolanti, come accennato, per tutti i Garanti europei).

A gennaio, quando le decisioni vincolanti dell'Edpb saranno rese pubbliche, ne sapremo di più. Tra gli scenari possibili, anche quello che porta Meta a dover chiedere un consenso esplicito agli utenti per il trattamento dei loro dati personali. E se una parte importante di utenti rinunciasse a tale profilazione, la base informativa sulla quale Meta costruisce i pubblici verso i quali indirizzare la pubblicità diminuirebbe significativamente, con enormi ripercussioni sulle entrate economiche (il titolo azionario, nel frattempo, dopo lo scoop del Wall Street Journal, ha perso un ulteriore 8%, dopo un anno che ha visto il titolo cadere di oltre il 65%).