EDPB: illegale la pubblicità personalizzata sui social di Meta. Senza consenso esplicito degli interessati, il contratto non è base legale sufficiente per il trattamento.

Illegale la pubblicità personalizzata sui social di Meta: c'è di nuovo lo zampino di Schrems

In questa vicenda c'è di nuovo lo zampino di Noyb (None for your business), l'associazione di Max Schrems. Noyb, nata nel 2017 a Vienna, è attiva in ambito privacy, diritti e protezione dei consumatori, protezione dei dati ecc... Schrems e gli attivitisti di Noyb sono stati tra i protagonisti dell'epocale decisione di inadeguatezza, da parte della Corte di Giustizia UE, del Privacy Shield, l'accordo che permetteva lo scambio di dati con gli Stati Uniti.

Tra le varie attività Noyb, dal 2018 in poi, ha presentato molteplici ricorsi all'autorità di protezione dei dati irlandese contro la decisione di Meta di inserire nel contratto che gli utenti accettano al momento di registrarsi al social una serie di clausole necessarie per somministrare pubblicità personalizzata.

Dal momento dell'entrata in vigore del GDPR Meta (al tempo ancora Facebook) ha inserito in contratto delle clausole vincolanti per cui l'utente che si registra accetta il trattamento dei dati a fine di pubblicità personalizzate. In dettaglio Meta riteneva sufficiente base giuridica per il trattamento dati l'accettazione del contratto, senza necessità di fornire informazioni dettagliate e soprattutto, senza l'esplicito consenso dell'utente. Un'interpretazione questa molto estensiva del GDPR ma che l'Autorità irlandese ha ritenuto legittima, confermando la tesi sostenuta da Meta.

Entra in gioco l'EDPB

Mentre il Garante irlandese confermava la tesi di Meta, Nyob presentava i ricorsi. Così, a distanza di 4 anni dalla presentazione dei ricorsi, è intervenuto l'European Data Protection Board. L'EDPB ha deciso di intervenire, però, non verso Meta ma verso il Garante irlandese stesso, adottando una decisione che diviene vincolante per tutte le autorità europee, quindi anche per quella irlandese.

La decisione è semplice: l'EDPB ritiene l'interpretazione di Meta esageratamente estensiva e finalizzata a bypassare le previsioni del GDPR. Questa interpretazione però è infondata, afferma l'EDPB, poichè il trattamento dei dati personali anche senza il consenso esplicito degli interessati è illegale e in contrasto col GDPR. In dettaglio l'EDPB ritiene che la pubblicità personalizzata debba sempre essere vincolata ad un consenso esplicito dell'utente. Consenso che deve basarsi su una informativa dettagliata e specifica ai sensi dell'art 13 del GDPR.

Ne consegue, nei fatti, una decisione che mina alle fondamenta il modello di business di Meta.

Per approfondire > Il Garante Privacy irlandese sotto accusa: agevolerebbe Facebook e le Big Tech

La fuga di notizie del Wall Street Journal e gli effetti della decisione dell'EDPB

La particolarità di questa decisone dell'EDPB è che il Wall street Journal l'ha anticipata, ancora prima che l'EDPB stesso la rendesse pubblica. C'è quindi da attendere di poter leggere il dispositivo per intero per conoscere i dettagli e toccherà attendere due mesi. Dal comunicato stampa rilasciato dall'EDPB, però, si capisce già che Meta non potrà più porre come conditio sine qua non per aderire ai social il trattamento dei dati per targettizzazione e sponsorizzazione mirata. 

Ora "la palla" passa al garante irlandese, dato che la decisione dell'EDPB vincola questa autorità a decidere la sanzione da comminare a Meta. Una decisione che rischia di essere deflagrante per il modello di business di Meta, già duramente messo alla prova dalla scelta di Apple di tutelare i dati dei propri utenti.

Questa decisione è poi importante anche da un punto di vista istituzionale, confermando la centralità e importanza dell'EDPB nel "sistema GDPR". Una vicenda cioè che ha dato concretezza ai poteri vincolati che il GDPR riconosce all'EDPB e che interviene ad armonizzare l'applicazione del GDPR.

Un dettaglio importante: questa decisione riguarda Meta, ma il principio messo nero su bianco dall'EDPB riguarda tutte quelle aziende che fanno uso della cosidetta pubblicità comportamentale (behavioural ads). Il punto infatti è che questa decisione colpisce un sistema di marketing che nel tempo è diventato centrale nell'economia globalizzata iper digitalizzata.

In ogni caso le tempistiche sono lunghe: la decisione dell'EDPB riguarda l'autorità irlandese. Questa dovrà decidere rispetto a Meta, che potrà comunque appellarsi contro la decisione. Dato però che le aziende che utilizzano il behavioural ads sono moltissime, c'è da aspettarsi una pioggia di ricorsi.