Il Garante della privacy il 19 marzo 2015 ha emanato le linee guida86 in merito alla profilazione online dei dati degli utenti, mantenendo la stessa linea d’azione che caratterizza i precedenti provvedimenti in materia di cookie, carte fedeltà, etc. Tale provvedimento ha un carattere generale e mira a regolare l’attività dei soggetti che offrono servizi online accessibili al pubblico tramite reti di comunicazione elettronica, cioè i cd. servizi della società dell’informazione87
.
Il Garante, in tale disposizione elenca una serie di funzionalità cui si fa riferimento in merito ai servizi online, cioè motori di ricerca, posta elettronica, mappe online, servizi
cloud, social network, gestione di pagamenti online, monitoraggio dei visitatori di siti
84
In informatica, la procedura di back up è quella per la registrazione e memorizzazione delle operazioni, attuata al fine di disporre di informazioni sufficienti a ricostruire quanto è andato perso, nel caso in cui le operazioni non vadano a buon fine o si distruggano parte dei dati, in www.treccani.it.
85
La pubblicità comportamentale o behavioural targeting è una tecnica ampiamente impiegata nel
marketing e nella pubblicità online, che si basa sull’utilizzo delle informazioni relative al comportamento
dell’utente circa le pagine visitate, al fine di individuare i suoi interessi e sviluppare una pubblicità che abbia per oggetto i beni o servizi ricercati dal medesimo utente.
86 Garante per la protezione dei dati personali, Linee guida in materia di trattamento di dati personali per
profilazione on line - 19 marzo 2015, G.U. n. 103 del 6 maggio 2015, Registro dei provvedimenti n. 161
del 19 marzo 2015, doc-web n. 3881513, in www.garanteprivacy.it.
87 Decreto Legislativo 9 aprile 2003, n. 70, Attuazione della direttiva 2000/31/CE relativa a taluni aspetti
giuridici dei servizi della società dell'informazione, in particolare il commercio elettronico, G.U. n.87 del
53
web e così via; sono soprattutto funzionalità offerte agli utenti a titolo gratuito, poiché le
società che offrono tali servizi spesso tendono a valorizzare le entrate provenienti dalla pubblicità.
Nella maggior parte dei casi, i dati raccolti sono usati dalle società per svolgere l’attività di profilazione, di analisi delle informazioni relative agli utenti, affinché quest’ultimi possano essere ripartiti in profili, cioè gruppi omogenei per determinate caratteristiche, in modo da giungere all’identificazione inequivoca del singolo utente (cd. single out). Solitamente, tale attività di profilazione è adatta per garantire l’offerta di servizi quanto più mirati e personalizzati, bensì anche per comunicare messaggi pubblicitari conformi alle specifiche esigenze del cliente.
È possibile operare una distinzione degli utenti di tali funzionalità sulla base del fatto che questi siano in possesso o meno di un account generato in seguito ad una procedura di registrazione per l’accesso "autenticato" ai servizi (cd. utenti autenticati, ad esempio per il servizio di posta elettronica), oppure che usufruiscano delle stesse funzionalità in assenza di una precedente autenticazione (cd. utenti non autenticati).
L’Autorità ha invitato i titolari del trattamento al rispetto delle disposizioni di legge in materia di trattamento dei dati ed ad adottare tutte le misure idonee ad assicurare la tutela degli utenti; in particolar modo l’informativa che sarà fornita agli interessati dovrà essere chiara, completa, facilmente accessibile (ad es. con un click), esaustiva e possibilmente strutturata su più livelli, indicando le diverse finalità e modalità del trattamento dei dati personali (ai sensi dell’art. 13 del Codice). Inoltre, ha richiamato l’art 23 del Codice, ed ha affermato che occorre richiedere e ottenere il consenso espresso dell’interessato, il quale deve avere la possibilità di revocarlo in qualsiasi momento, per poter svolgere l’attività di profilazione per scopi promozionali. In merito alla profilazione il Garante ha sancito che può essere effettuata sostanzialmente tramite:
trattamento, in modalità automatizzata, dei dati personali degli utenti autenticati in relazione all’utilizzo del servizio per l’inoltro e la ricezione di messaggi di posta elettronica;
incrocio dei dati personali raccolti in merito alla fornitura ed al relativo utilizzo di più funzionalità diverse tra quelle messe a disposizione dell'utente;
ad eccezione dell’utilizzo dei cookie (per i quali si fa richiamo alle disciplina di legge e alle prescrizioni rese dall’Autorità con il provvedimento n. 229, dell’8
54 maggio 2014), utilizzo di altri identificatori (credenziali di autenticazione,
fingerprinting, etc.), necessari per ricondurre a soggetti determinati, identificati
o identificabili, specifiche azioni o schemi comportamentali ricorrenti nell’uso delle funzionalità offerte (pattern).
È necessario inoltre tener conto del principio di finalità nella conservazione dei dati personali degli utenti ai sensi dell’art. 11, comma 1, lett. e), del Codice.
Per quanto riguarda il consenso al trattamento dei dati, si possono rinvenire alcune attività, in merito alla fornitura di servizi online, per le quali non è necessario il consenso degli utenti, quali le attività di carattere tecnico riconducibili alla fornitura del servizio stesso (per esempio l’utilizzo di filtri antispam, l’individuazione di eventuali virus, l’impiego del controllo ortografico, la trasmissione di risposte automatiche, la lettura vocale dei messaggi per soggetti non vedenti. etc.) ed in tal caso il trattamento dei dati degli interessati per le suddette finalità, che è svolto in maniera automatizzata e pertanto non vi è alcun intervento dell’uomo, non necessita di preventiva acquisizione del consenso, in virtù dell’art. 24, comma 1, lettera b) del Codice.
Tuttavia, è necessario che i titolari acquisiscano un preventivo ed informato consenso degli utenti sia nei casi in cui il trattamento è eseguito per perseguire finalità ulteriori alla fornitura del servizio di posta elettronica, in particolar modo per mostrare agli utenti autenticati messaggi di testo volti alla fornitura di pubblicità comportamentale personalizzata, sia qualora le operazioni di trattamento volte alla profilazione dell’utente sono svolte altresì mediante l’incrocio di dati raccolti in merito a differenti funzionalità ( ad esempio la partecipazione ai social network e utilizzo mappe). Anche nei casi in cui vi sia l’utilizzo di cookie di profilazione e di fingerprinting88 o di ulteriori sistemi che permettano l’identificazione dell’utente, è necessario che questo manifesti in modo inequivoco la propria volontà, fatti salvi i casi di esenzione previsti.
Il Garante, pur lasciando liberi i destinatari di tale provvedimento, circa la scelta dei criteri e delle misure da adottare affinché vi sia l’osservanza della normativa relativa al
88 Tecnica di identificazione che si basa sul trattamento, da parte dei titolari, di dati personali ovvero
anche di informazioni o parti di informazioni (che non sono o non sono ancora dati personali ma che, poste in associazione tra loro ovvero con altre informazioni, possono diventarlo), con l'obiettivo di pervenire all'identificazione inequivoca del terminale (cd. single out) e, per il suo tramite, anche del profilo di uno o più utilizzatori di quel dispositivo. In tal senso Garante per la protezione dei dati personali, Linee guida in materia di trattamento di dati personali per profilazione on line - 19 marzo
55 trattamento dei dati degli utenti per le finalità di profilazione, prospetta comunque, anche in linea con le richiamate finalità di semplificazione, una modalità di acquisizione del consenso online idonea a soddisfare i requisiti previsti dagli artt. 7, 23 e 122 del Codice, nel caso in cui il consenso non sia stato già acquisito tramite differenti modalità quali coupon, moduli cartacei ed altri.
In tal senso, per acquisire il consenso online sarà necessario tenere in considerazione della distinzione tra utenti autenticati e non autenticati, poiché le forme di acquisizione del consenso potranno differire proprio in relazione alla tipologia di utente.
Dunque, per quanto riguarda gli utenti non autenticati, occorre investigare circa l’esistenza di uno spazio, fisico ovvero virtuale, che consenta loro, di rilasciare il consenso e che permetta al titolare di prendere atto e tenere traccia delle scelte manifestate. Nel caso in cui tale spazio non sia disponibile, è necessario che il titolare metta in atto un meccanismo, che consenta all’utente non autenticato, già dall’accesso alla home page (o ad altra pagina) del sito web, di visualizzare all’istante in primo piano un’area di idonee dimensioni, quindi uno spazio di dimensioni tali da rappresentare una percettibile discontinuità nella fruizione dei contenuti della medesima pagina che l’utente sta visitando, e dovrà contenere tali indicazioni:
che il sito effettua attività di trattamento dei dati per finalità di profilazione (ad esempio mediante l’incrocio dei dati tra funzionalità diverse ovvero utilizzando altri identificatori differenti dai cookie col fine di inviare messaggi pubblicitari personalizzati, altresì realizzare analisi e monitoraggio dei comportamenti degli utenti autenticati, in merito all'uso del servizio per l'inoltro e la ricezione di messaggi di posta elettronica, etc.);
il link all’informativa, dove vengono rilasciate tutte le informazioni utili;
il link ad un’ulteriore area dedicata nella quale l’utente può negare il consenso circa il trattamento dei dati per finalità di profilazione, o comunque selezionare o deselezionare le funzionalità e le modalità per le quali l’utente sceglie di essere profilato;
l’avviso che proseguendo con la navigazione tramite l’accesso o la selezione di un elemento sottostante o esterno all’area in primo piano, l’utente rilascia il proprio consenso alla profilazione.
56 Così, il fornitore di servizi mediante documentazione dell’avvenuta acquisizione del consenso dell’interessato, non dovrà proporre ad una successiva visita dell’utente sulla pagina web alcuna forma di discontinuità nella navigazione, se questo adopera lo stesso terminale, tuttavia resta sempre disponibile all’utente la possibilità di negare il proprio consenso e/o modificare, in qualsiasi momento le relative opzioni (cfr. art. 7, comma 4, del Codice). Affinché si possa esercitare tale diritto di autodeterminazione, è quindi necessario che tutte le pagine web riconducibili al titolare del trattamento presentino un
link all’area dedicata, dove l’utente avrà la possibilità di esercitare compiutamente i
propri diritti (per esempio la revoca del consenso rilasciato).
Nell’ipotesi in cui l’utente abbia solamente selezionato il collegamento all’informativa, col fine di ricevere ulteriori informazioni in modo da poter compiere le proprie scelte consapevolmente, tale meccanismo dovrà essere ripresentato nel momento della prima azione successiva a tale presa visione, affinché possa rilasciare o meno il proprio consenso. Inoltre, per poter tenere traccia delle azioni e delle scelte dell’utente circa il trattamento dei dati, il titolare potrà utilizzare appositi cookie tecnici o altri identificatori diversi da quest’ultimi.
In merito alle scelte dell’utente non autenticato circa il trattamento dei propri dati per finalità di profilazione, proprio per il fatto che non sono riconducibili ad un account, avranno validità esclusivamente con riferimento a quel determinato dispositivo adoperato; per quanto riguarda invece la documentazione delle scelte dell’utente autenticato che manifesta la propria volontà, questa proprio per il fatto che è riconducibile ad un soggetto individuato si può estendere anche nell’ipotesi in cui l’utente autenticato per fruire delle funzionalità e dei servizi utilizzi differenti dispositivi.
In conclusione il Garante ribadisce la necessità dell’informativa agli interessati ai sensi dell’art.13 del Codice, del consenso preventivo degli utenti, sia autenticati che non autenticati, in materia di trattamento dei dati per finalità di profilazione online, del rispetto del diritto di opposizione di cui all’art. 7 del Codice e dell’adozione di una
policy di data retention conforme al principio di proporzionalità di cui all’art. 11 del
Codice, per definire i tempi di conservazione dei dati che risultino proporzionati alle finalità che si intendono perseguire. Merita ricordare che il trattamento dei dati per
57 finalità di profilazione deve essere notificato al Garante89, anche se nelle Linee guida non vi è stato alcun riferimento a tale disposizione.
89
58