L’EDPB ha annunciato di aver adottato tre decisioni vincolanti di risoluzione delle controversie, ai sensi di quanto disposto dall’art. 65 GDPR, nei confronti di Meta Platforms Ireland Limited, società madre delle piattaforme Facebook, Instagram e WhatsApp.
Dette decisioni, come annunciato dallo stesso EDPB all’interno del comunicato stampa pubblicato sul sito istituzionale, risolvono, tra le altre cose, l’annosa questione relativa alla possibilità di utilizzare l’esecuzione di un contratto quale base giuridica adeguata per la finalità di advertising comportamentale (nel caso di Facebook e Instagram) e per il miglioramento del servizio (per quanto riguarda, invece, WhatsApp).
Secondo quanto riportato dal Wall Street Journal, sulla base di informazioni rese alla testata da persone vicine all’Autorità, le decisioni, il cui testo deve essere ancora reso pubblico, avrebbero stabilito che Meta non potrà utilizzare quale base giuridica per il targeting degli annunci sulle proprie piattaforme social l’adempimento dei termini di servizio, in quanto detto modus operandi sarebbe contrario ai principi stabiliti dal GDPR.
Insomma ne verrebbe il diritto dell’utente ad avere il servizio senza subire un trattamento dati finalizzato alla pubblicità (personalizzata in base alle sue attività e interessi). Si tenga conto che finora Meta ha offerto questa possibilità solo in merito all’uso di dati di terze parti (che vengono da siti e app diverse da quelle di Meta).
Clubhouse sanzionata dal Garante privacy per 2 milioni di euro: ecco i motivi
Si tratta di una decisione che, ove confermata, potrebbe avere importanti risvolti per la società, che basa gran parte dei propri ricavi proprio dai contenuti sponsorizzati e dalla pubblicità mirata, particolarmente efficace proprio in ragione dell’enorme base dati cui Meta – al pari di altre grandi piattaforme social – attinge per poter rendere ai propri utenti contenuti in linea con i loro interessi.
La decisione, inoltre, sarebbe un’ulteriore conferma dell’inasprimento, nei confronti delle Big Tech, dei controlli e dell’attività di controllo da parte delle Autorità Garanti, che hanno comunque provveduto, negli ultimi anni, a irrogare sanzioni di rilievo nei confronti non soltanto di Meta ma anche di Amazon, Google, ed Apple, molte delle quali tuttora oggetto di impugnativa innanzi alle competenti autorità giudiziarie.
Indice degli argomenti
Cosa dice l’EDPB sulla pubblicità di Meta
Le decisioni di risoluzione delle controversie di cui si discute nascono da un’indagine avviate dall’Autorità Garante irlandese, avviate a seguito di denunce presentata all’autorità e relative alle attività di trattamento dei dati personali da parte delle tre piattaforme. Come indicato da EDPB, per Facebook ed Instagram si lamentava la violazione dei principi di liceità e trasparenza del trattamento per la finalità di pubblicità comportamentale, mentre per WhatsApp si lamentava la violazione del principio di liceità del trattamento dei dati necessari per il miglioramento dei servizi resi agli utenti. A fronte della comunicazione dei progetti di decisione da parte dell’Autorità garante irlandese, altre Autorità garanti europee avevano sollevato delle obiezioni, relative, fra l’altro, alla base giuridica del trattamento (ai sensi dell’art. 6 GDPR), ai principi generali di protezione dei dati (contenuti nell’art. 5 GDPR) e al corretto uso di misure correttive nei confronti della società, ivi incluse le sanzioni pecuniarie.
Non essendo stato raggiunto, fra le autorità, un consenso circa il contenuto della decisione finale, l’EDPB, ai sensi dell’art. 65 GDPR, è stato chiamato a risolvere la controversia tra le autorità. Il contenuto delle decisioni sarà vincolante per l’autorità irlandese, che dovrà addivenire ad una proposta di decisione finale tenendo necessariamente conto del contenuto della decisione resa da EDPB, al più tardi entro un mese dalla notifica di queste ultime decisioni da parte di EDPB.
L’analisi del WSJ
Secondo quanto riportato dal Wall Street Journal , tuttavia, il contenuto delle decisioni vincolanti di EDPB sarebbe fortemente penalizzante per Meta, in quanto andrebbe a limitare il numero e la tipologia di dati cui Meta potrà accedere per vendere tali annunci, non permettendo alla società – ed alle società ad esse assimilabili, che pure rendono servizi social con annunci personalizzati – di utilizzare quale base giuridica, tra quelle previste dall’art. 6 GDPR, l’adempimento delle clausole contrattuali contenute nei termini di servizio. È anche vero, come riferisce il Wall street Journal, che le decisioni dell’autorità garante potranno comunque essere impugnate, e Meta potrebbe ottenere la sospensione dell’efficacia della decisione nelle more dell’emissione di una sentenza definitiva da parte delle autorità giudiziarie.
D’altro canto, tuttavia, ove le decisioni siano confermate, potrebbero senz’altro rendere molto più complesso per Meta e per le altre piattaforme mostrare agli utenti annunci personalizzati che siano davvero interessanti per i clienti: Meta, infatti, pur consentendo agli utenti di disattivare la personalizzazione degli annunci in base ai dati ricevuti da siti web e app di terzi, non ha fornito alcuna opzione del genere per gli annunci basati sui dati sull’attività degli utenti sulle proprie piattaforme, ad esempio quali video guarda un utente di Instagram.
Se una parte significativa degli utenti delle piattaforme, dunque, dovesse rinunciare al targeting – assumendo quale unica base giuridica il consenso dell’utente – Facebook e Instagram avrebbero molte meno informazioni da utilizzare per offrire ai propri clienti un servizio efficace, che oggi appunto costituisce la principale entrata del gruppo. La società, infatti, ha sostenuto negli anni più volte che la personalizzazione degli annunci in base alla profilazione del comportamento online degli utenti rappresenta una parte necessaria del servizio offerto, oltre che un’attività dal valore di decine di miliardi di dollari all’anno. Secondo quanto si legge sul Wall Street Journal, le decisioni, ad ogni modo, “non ordinano direttamente a Meta di cambiare le pratiche, ma piuttosto chiedono alla Commissione irlandese per la protezione dei dati di emettere ordini pubblici che riflettano le sue decisioni, insieme a multe significative”.
I possibili risvolti della decisione per Meta
Come anticipato, ove confermata, la decisione rappresenterebbe senz’altro un’importante sfida per il gruppo Meta, simile all’impatto subito da Meta nel momento in cui Apple ha richiesto agli sviluppatori di app per iPhone di chiedere agli utenti se vogliono che il loro utilizzo venga monitorato. Molti utenti di iPhone hanno rifiutato tale tracciamento, costringendo Meta a rinunciare ad una fonte significativa di dati, previamente utilizzati per targettizzare i propri utenti e indirizzar loro annunci personalizzati.
L’alternativa sarebbe una sanzione miliardaria potenzialmente, dal Garante irlandese.
La società stessa ha affermato che detto ultimo cambiamento ha ridotto le sue entrate dell’8% nel 2021, con impatti sul business che sussistono tuttora. A ciò si aggiunga come sempre più legislatori stiano introducendo normative che consentono agli utenti di rinunciare alla pubblicità comportamentale, anche intercontestuale (ossia basata sull’attività svolta dall’utente su siti di terzi). “Quello che stiamo vedendo ora è un approccio più acuto da parte dei regolatori verso il monitoraggio comportamentale”, ha affermato Dominique Shelton Leipzig, partner per la sicurezza informatica e la privacy dei dati di Mayer Brown.
Le sanzioni e indagini in corso
Al tempo stesso, Meta è stata oggetto di sanzioni da parte dell’Irlanda, per oltre 900 milioni di dollari in altri quattro casi negli ultimi 15 mesi e attualmente sono in corso 10 ulteriori indagini sulla società e sulle sue politiche di trattamento dei dati. Meta sta ancora impugnando due di queste decisioni e considerando un appello per la sanzione più recente, arrivando addirittura a stanziare, al 31 dicembre 2021, circa 3 miliardi di euro per multe sulla privacy nell’UE, in aumento di 1,97 miliardi di euro rispetto all’anno precedente, secondo quanto riferito dal WSJ.
Il commento di Meta
“Questa non è la decisione finale ed è troppo presto per speculare”, ha affermato al WSJ, a commento della notizia, un portavoce di Meta, aggiungendo che la legge europea sulla protezione dei dati potrebbe comunque garantire alla società di usufruire di altre basi legali per il targeting dei suoi annunci, alternative al consenso (che comunque dovrebbero consentire all’utente di esercitare il diritto di opt-out). “Ci siamo impegnati pienamente con il DPC sulle loro indagini e continueremo a impegnarci con loro mentre finalizzano la loro decisione”.
Sul punto, la Commissione Irlandese per la protezione dei dati ha dichiarato al WSJ che sarebbe inappropriato commentare il contenuto delle decisioni, non essendo ancora le stesse pubbliche. Parimenti, il Comitato europeo per la protezione dei dati ha confermato al WSJ che il consiglio ha preso decisioni lunedì, ma ha rifiutato di commentare la loro sostanza. La decisione, ad ogni modo, sarà presto resa pubblica dall’EDPB.
