La Corte Europea dei diritti dell’uomo cerca di arginare il trattamento dei dati sugli utenti Facebook. Con la recentissima sentenza del 4 ottobre 2024, nella causa C – 446/21, la Corte ha affermato che il gestore di una piattaforma di social network online non può aggregare, analizzare ed elaborare dati, ottenuti dall’interessato o da terzi, raccolti su tale piattaforma o al di fuori, senza limitazione temporale e senza distinzione basata sulla natura di tali dati.
La Corte è giunta a tale conclusione prendendo le mosse dalle circostanze di fatto descritte dal giudice di rinvio e dal quadro normativo di riferimento.
Sotto il primo aspetto, si legge nella sentenza, la società Meta Platforms Ireland, che gestisce l’offerta dei servizi del social network online Facebook nell’Unione, è la titolare del trattamento dei dati personali degli utenti. La Meta Platforms Ireland promuove, in particolare, all’indirizzo www.facebook.com, determinati servizi che, fino al 5 novembre 2023, erano forniti gratuitamente agli utenti privati. A partire dal 6 novembre 2023, tali servizi hanno continuato ad essere gratuiti unicamente per gli utenti che hanno accettato che i dati personali fossero raccolti e utilizzati per indirizzare loro pubblicità personalizzata; è stata, infatti, offerta agli utenti la possibilità di sottoscrivere un abbonamento a pagamento per accedere ad una versione dei servizi senza ricevere pubblicità.
Il modello economico di Facebook si fonda sul finanziamento tramite la pubblicità online, che viene creata su misura per i singoli utenti del social network, in funzione, in particolare, del comportamento di consumo, degli interessi e della situazione personale. Il presupposto tecnico per questo tipo di pubblicità è la creazione automatizzata di profili dettagliati degli utentidel network e dei servizi online offerti a livello del gruppo Meta.
Al fine di trattare i dati personali degli utenti Facebook, la Meta Platforms Ireland si basa sul contratto di utilizzo al quale questi ultimi aderiscono mediante l’attivazione del pulsante ‘registrarsi’, e con il quale essi accettano le condizioni generali stabilite da tale società.
La Meta Platforms Ireland utilizza cookies (marcatori), social plugins (moduli di estensione sociale) e pixels che costituiscono quindi un elemento essenziale della pubblicità su Internet. In particolare, i plugins consentono di presentare agli utenti gli annunci pertinenti e i pixels servono agli inserzionisti per misurare le prestazioni delle campagne pubblicitarie e per ottenere informazioni su gruppi mirati di utenti.
Nel caso di specie, dalla decisione di rinvio, risultava che il ricorrente non avesse autorizzato la Meta Platforms Ireland a trattare i dati personali sulle attività esterne a Facebook a fini della pubblicità personalizzata. Tuttavia, alcuni dati erano stati ottenuti dalla Meta Platforms Ireland grazie a cookies, social plugins e tecnologie analoghe integrate nei siti Internet di terzi e sarebbero stati utilizzati al fine di migliorare i prodotti Facebook e di inviare pubblicità personalizzata.
Per quanto riguarda il contesto normativo, dopo aver richiamato il contenuto dei considerando 1, 4, 39, 42, 43, 50 e 51 del RGP, nonché gli artt. 4, 5, 7, 9, 13 e 25, la Corte ha evidenziato che, in forza dell’articolo 5, paragrafo 1, lettera a), del RGPD, i dati personali devono essere trattati in modo lecito, corretto e trasparente nei confronti dell’interessato e, conformemente alla lettera b) di tale articolo 5, paragrafo 1, devono essere raccolti per finalità determinate, esplicite e legittime e successivamente trattati in modo non incompatibile con tali finalità.
Inoltre, l’articolo 5, paragrafo 1, lettera c), del Regolamento, che sancisce il principio della minimizzazione dei dati, prevede che i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati.
Circa la limitazione temporale del trattamento dei dati personali – ha ricordato la Corte - il responsabile del trattamento è tenuto a limitare il periodo di raccolta dei dati personali in questione a quanto strettamente necessario, alla luce della finalità del trattamento proposto. Infatti, più a lungo vengono conservati i dati, maggiore è l’impatto sugli interessi e sulla privacy dell’interessato e più severi sono i requisiti relativi alla legittimità della stessa conservazione. Ne consegue che anche un trattamento inizialmente lecito può divenire, nel tempo, contrario alle disposizioni del RGPD qualora i dati non siano più necessari rispetto alle finalità per le quali sono stati rilevati o successivamente trattati.
Dalla decisione di rinvio risultava che Meta Platforms Ireland raccoglie i dati personali degli utenti di Facebook sia su tale social network sia al di fuori di esso. Più nel dettaglio, la raccolta riguarda i dati relativi alla consultazione della piattaforma online nonché di pagine Internet e di applicazioni terze, ed anche il comportamento di navigazione degli utenti in tali pagine mediante i già citati social plugins e pixels inseriti nelle pagine Internet interessate.
Si tratta – secondo la Corte – di un trattamento particolarmente esteso, giacché verte su dati potenzialmente illimitati e con un notevole impatto sull’utente, di cui la Meta Platforms Ireland controlla gran parte, se non la quasi totalità, delle attività online, il che può suscitare la sensazione di una continua sorveglianza della vita privata dell’utente.
In questo contesto, il trattamento di dati è stato reputato dalla Corte caratterizzato da una grave ingerenza nei diritti fondamentali degli interessati, in particolare dei diritti al rispetto della vita privata e alla protezione dei dati personali garantiti dagli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea, che, fatte salve le verifiche che spettano al giudice del rinvio effettuare, secondo la Corte, non sembra ragionevolmente giustificata alla luce dell’obiettivo consistente nel consentire la diffusione di pubblicità mirate.
In ogni caso, l’utilizzo indifferenziato di tutti i dati personali detenuti da una piattaforma di social network a fini pubblicitari, indipendentemente dal grado di sensibilità di tali dati, non risulta essere un’ingerenza proporzionata nei diritti garantiti agli utenti di tale piattaforma dall’RGPD.
Dunque – ha concluso la Corte - l’articolo 5, paragrafo 1, lettera c), del RGPD deve essere interpretato nel senso che il principio della minimizzazione dei dati, da esso previsto, osta a che tutti i dati personali che un responsabile del trattamento, come il gestore di una piattaforma di social network online, ha ottenuto dall’interessato o da terzi e che sono stati raccolti sia su tale piattaforma che al di fuori di essa, siano aggregati, analizzati ed elaborati a fini di pubblicità mirata, senza limitazione temporale e senza distinzione basata sulla natura di tali dati.
L’ulteriore questione affrontata dalla Corte discendeva dal fatto che il ricorrente si era espresso sul proprio orientamento sessuale in occasione di una tavola rotonda aperta al pubblico. Il giudice di rinvio aveva chiesto, in sostanza, se, con la suddetta dichiarazione, il ricorrente non avesse più diritto alla protezione conferita dall’articolo 9, paragrafo 1, del RGPD e se, di conseguenza, Facebook avesse il diritto di trattare altri dati relativi al suo orientamento sessuale.
Secondo la Corte, da un lato, ritenere che l’insieme dei dati relativi all’orientamento sessuale di una persona sfugga alla protezione derivante dal paragrafo 1 dell’articolo citato per il solo motivo che l’interessato ha manifestamente reso pubblico un dato personale relativo al proprio orientamento sessuale sarebbe contrario all’interpretazione restrittiva che occorre dare all’articolo 9, paragrafo 2, lettera e), del RGPD.
Dall’altro lato, il fatto che una persona abbia manifestamente reso pubblico un dato riguardante il proprio orientamento sessuale non consente di ritenere che tale persona abbia fornito il proprio consenso, ai sensi dell’articolo 9, paragrafo 2, lettera a), del RGPD, al trattamento, da parte del gestore di una piattaforma di social network online, di altri dati relativi all’orientamento sessuale.
Pertanto – e questa è l’ulteriore importante conclusione alla quale è giunta la sentenza - l’articolo 9, paragrafo 2, lettera e), del RGPD deve essere interpretato nel senso che la circostanza che una persona si sia espressa sul proprio orientamento sessuale in occasione di una tavola rotonda aperta al pubblico non autorizza il gestore di una piattaforma di social network online a trattare altri dati relativi all’orientamento sessuale di detta persona, ottenuti, eventualmente, al di fuori di tale piattaforma a partire da applicazioni e siti Internet di partners terzi, al fine dell’aggregazione e dell’analisi di detti dati, per proporre pubblicità personalizzata.