Nel giro di una settimana, tra il 14 e il 22 gennaio, l’Autorità Garante per la protezione dei dati personali si è fatta sentire contro due social network molto diffusi (WhatsApp e TikTok), in difesa dei cittadini italiani e, soprattutto, dei più giovani.
Il 14 gennaio 2021 il Garante ha deciso di avviare un’indagine formale sull’operato dell’App di messaggistica istantanea più diffusa al mondo. Il motivo è la modifica unilaterale delle condizioni di trattamento dei dati personali da parte di WhatsApp, in vigore dall’8 febbraio. Come spesso accade per la maggior parte dei servizi online, le condizioni di trattamento dei dati personali dell’utente-consumatore devono essere accettate “in blocco”, e al buio, perché il servizio possa essere fruibile. Di esempi ce ne sono molti, dall’apertura di un account su una piattaforma di streaming ai cookies di navigazione di una pagina web: dobbiamo accettare la cessione di alcuni dati (personali) in favore del gestore del servizio, per poterne usufruire. E l’eventuale gratuità del servizio stesso è tutta apparenza, poiché i dati personali ceduti dagli utenti-consumatori saranno poi venduti a terzi, con un lauto profitto. Oltretutto, le condizioni del trasferimento dei dati, e loro trattamento, vengono offuscate dalla miriade di clausole e formule generiche, impossibili da leggere e comprendere appieno. Ecco perché poi il nostro consenso a queste condizioni non è libero, né esplicito, né informato. Non siamo consapevoli di come vengano trattati i nostri dati personali, chi li utilizzi, per quali scopi e se vengano venduti a terzi (per finalità ulteriori rispetto a quelle del servizio prescelto). È la data driven economy.
A ben vedere, la modifica unilaterale delle condizioni di utilizzo del servizio (e di trattamento dei dati personali “consegnati” da noi al suo gestore) comporta una semplice “scelta secca” da parte dell’utente-consumatore: prendere o lasciare. Questo è il meccanismo dell’Opt-out: se le condizioni del servizio non ti stanno bene, sei libero di recedere (opting-out), ma non potrai fruire del servizio. Una sorta di ricatto, in pratica. Qualcosa di molto diverso dal meccanismo, opposto, di Opt-in previsto dal Gdpr (e dal nostro Codice per la protezione dei dati personali, D.lgs. 196/2003). Infatti, la normativa e la giurisprudenza europea ritengono che un consenso al trattamento dei dati personali debba essere libero, esplicito ed informato, espresso di fronte a varie alternative di scelta. Laddove non v’è libertà di scegliere le modalità del trattamento dei dati personali, oppure queste non siano sufficientemente chiare e trasparenti, siamo di fronte ad un meccanismo di Opt-out, da ritenersi illegittimo (v. Provvedimento Garante, n. 134 del 14 giugno 2019). La “preimpostazione automatica” delle condizioni del servizio (attraverso controlli granulari o scelte “pre-flaggate”) è contraria non soltanto al Gdpr, ma anche alla normativa a tutela del consumatore (artt. 24, 25 e 33 del Codice del Consumo, Dlgs. n. 206/2005), poiché le sue clausole sono oscure, generiche, prevaricanti sull’utente-consumatore, e quindi “vessatorie” (cioè nulle, in teoria).
Per cercare di fare luce su tutti questi aspetti, il Garante ha avviato un’indagine formale ai danni di WhatsApp il 14 gennaio 2021. Le premesse per un’eventuale declaratoria di illegittimità delle condizioni di trattamento ci sono tutte, come sommariamente descritte sopra. Staremo a vedere cosa succederà in concreto e quanto severe saranno le sanzioni. Certo, si spera più gravi e afflittive di quelle comminate a Facebook Ireland (e a Facebook Italy s.r.l.) per la vicenda Cambridge Analitica e la App Thisisyourdigitallife (che “rubarono” i dati personali di oltre 214mila utenti Facebook, tracciandone profili psicologici e orientamenti politici, in grado di influenzare le elezioni politiche del 2018). In quella occasione, il social network fu sanzionato per un milione di euro nel 2019 (Provvedimento Garante, n. 134 del 14 giugno 2019). Speriamo che stavolta le misure siano un po’ più “dissuasive”.
A distanza di una settimana circa, il Garante è intervenuto di nuovo, contro un’altra App che va per la maggiore, soprattutto tra i giovanissimi. Si tratta di TikTok, il popolare social che consente di creare, commentare e condividere brevi video. Stavolta il Garante ha usato il pugno duro: ha sospeso il trattamento dei dati di tutti quegli utenti-consumatori (soggetti interessati) di cui non si abbia “assoluta certezza dell’età” e, conseguentemente, “del rispetto delle disposizioni collegate al requisito anagrafico”. La misura è stata disposta dopo la tragedia della bimba di 10 anni a Palermo, morta per asfissia e strangolamento in seguito alla sfida di soffocamento estremo (cd. blackout challenge) in voga tra i ragazzini registrati al social. Una vera tragedia, che ha spinto il Garante ad intervenire il giorno dopo, il 22 gennaio, sospendendo temporaneamente il servizio online fino al 15 febbraio 2021.
A poco valgono le scuse accampate da TikTok, che ha dichiarato: “Siamo davanti ad un evento tragico e rivolgiamo le nostre più sincere condoglianze e pensieri di vicinanza alla famiglia e agli amici di questa bambina. La sicurezza della community TikTok è la nostra priorità assoluta, siamo a disposizione delle autorità competenti per collaborare alle loro indagini…Nonostante il nostro dipartimento dedicato alla sicurezza non abbia riscontrato alcuna evidenza di contenuti che possano aver incoraggiato un simile accadimento, continuiamo a monitorare attentamente la piattaforma come parte del nostro continuo impegno per mantenere la nostra community al sicuro. Non consentiamo alcun contenuto che incoraggi, promuova o esalti comportamenti che possano risultare dannosi. Utilizziamo diversi strumenti per identificare e rimuovere ogni contenuto che possa violare le nostre policy”.
Queste affermazioni aprono il triste e dibattuto tema del controllo dei contenuti pubblicati sui servizi online e le pagine web in generale. In pratica, fino a che punto può spingersi il dovere di controllo del gestore della pagina o della App? Deve controllare ogni contenuto pubblicato, prima che venga messo a disposizione sulla piattaforma online, oppure può limitarsi a rimuovere un contenuto inappropriato o illegittimo? La Corte di Giustizia UE si era già pronunciata altre volte, in merito al trattamento dei dati personali (v. casi Fanpage-Facebook del 2016 e Fashion ID del 2019), affermando che sia il gestore della singola pagina web che il service provider e l’host hanno un dovere di controllare i contenuti caricati online, perché sono titolari di trattamento dei dati personali. A dirla tutta, è meglio che i contenuti vengano controllati dal gestore del sito o della App prima di esser pubblicati, non dopo (sanzionandoli come “contenuti inappropriati”). Significherebbe un onere troppo gravoso per le multinazionali della tecnologia? Forse no, considerando i potenti mezzi tecnici a loro disposizione (per esempio, algoritmi in grado di influenzare l’orientamento politico di una persona).
La vicenda di TikTok purtroppo non è la prima, né l’ultima, poiché sussiste sempre la grande incertezza in ordine ai controlli sui contenuti pubblicati online. Ancora oggi non esiste una chiara normativa in merito. Casi come la Blue-Whale su Facebook, le folli challenges caricate su YouTube e, oggi, il soffocamento estremo su TikTok sono l’immagine di un disagio giovanile mal curato, che la pandemia ha solamente acuito. Per fortuna, ogni tanto possiamo anche contare sul Garante privacy, un cavaliere gentile di fronte alle ciniche multinazionali della tecnologia.
di Ermanno Salerno
