Le piattaforme di incontri online rappresentano uno degli ambiti nei quali il diritto alla protezione dei dati personali raggiunge la sua massima intensità.
Attraverso tali servizi vengono infatti trattate informazioni che, pur non essendo sempre espressamente dichiarate dagli utenti, sono idonee a rivelarne la vita sessuale o l'orientamento sessuale, rientrando così nelle categorie particolari di dati personali disciplinate dall'art. 9 del Regolamento (UE) 2016/679 (GDPR).
Con il provvedimento n. 599 del 7 dicembre 2023, il Garante per la Protezione dei Dati Personali ha affrontato proprio questo tema, accertando gravi e sistematiche violazioni della disciplina europea da parte di una società gerente una piattaforma di dating.
Il Caso
L'istruttoria trae origine dagli accertamenti ispettivi svolti dal Garante presso la società che gestisce un portale con quasi 5 milioni di account, dei quali oltre un milione associati a indirizzi e-mail validati, da cui ne derivava il trattamento di un ingente mole di informazioni personali, comprese fotografie, preferenze relazionali, dati identificativi e ulteriori elementi dai quali risultava agevolmente desumibile la sfera sessuale degli utenti.
Secondo il Garante, proprio tale circostanza rendeva applicabile l'art. 9 GDPR, che vieta, quale regola generale, il trattamento delle categorie particolari di dati personali salvo il ricorrere di una delle condizioni derogatorie previste dal secondo paragrafo della disposizione, tra cui il consenso esplicito dell'interessato, ai sensi dell’art. 9, par. 2, lett. a.
Le verifiche hanno invece evidenziato che la procedura di registrazione non prevedeva alcun meccanismo idoneo a raccogliere un consenso esplicito al trattamento dei dati concernenti la vita o l'orientamento sessuale, limitandosi alla generica adesione ai servizi della piattaforma.
A ciò si aggiungevano numerose ulteriori criticità.
L'informativa privacy risultava carente sotto molteplici profili, in violazione dell'art. 13 GDPR, poiché ometteva di indicare in maniera chiara le finalità del trattamento, le relative basi giuridiche, i destinatari dei dati, i diritti esercitabili dagli interessati e i criteri utilizzati per determinarne i tempi di conservazione.
La società non aveva inoltre predisposto alcuni degli strumenti organizzativi fondamentali previsti dal Regolamento europeo, tra cui il registro delle attività di trattamento (art. 30 GDPR), la valutazione d'impatto sulla protezione dei dati (Data Protection Impact Assessment - DPIA), obbligatoria ai sensi dell'art. 35 GDPR per trattamenti caratterizzati da elevati rischi, né aveva provveduto alla designazione del Responsabile della protezione dei dati (Data Protection Officer - DPO), richiesta dall'art. 37 GDPR per i trattamenti su larga scala di categorie particolari di dati.
Particolarmente significativa è risultata poi la gestione della conservazione dei dati.
Le ispezioni hanno infatti accertato la presenza di oltre 1 milione di account inattivi da oltre dieci anni, nonché di dati riferiti ad utenti che avevano soltanto effettuato la prova gratuita del servizio, senza sottoscrivere alcun abbonamento.
Ancora più delicata è apparsa la circostanza che migliaia di fotografie continuassero a permanere nei sistemi informatici anche dopo la cancellazione dei relativi profili.
Sul punto il Garante ha ribadito un principio ormai consolidato nella giurisprudenza europea: l'immagine di una persona costituisce essa stessa un dato personale, in quanto consente l'identificazione diretta dell'interessato.
Tale conclusione trova fondamento nella definizione di dato personale contenuta nell'art. 4, punto 1, GDPR ed è coerente con l'orientamento della Corte di Giustizia dell'Unione Europea, che interpreta estensivamente il concetto di dato personale ogniqualvolta un'informazione renda identificabile, anche indirettamente, una persona fisica.
La Decisione
Al termine del procedimento il Garante ha ritenuto illecito il trattamento dei dati personali effettuato dalla società, ravvisando la violazione di numerosi principi cardine del GDPR, tra cui quelli di liceità, correttezza e trasparenza, limitazione della conservazione, integrità e riservatezza dei dati, nonché del principio di responsabilizzazione ("accountability").
L'Autorità ha riconosciuto che, dopo l'avvio dell'istruttoria, la società aveva iniziato un percorso di adeguamento introducendo una nuova informativa privacy, predisponendo il registro dei trattamenti, avviando la valutazione d'impatto, implementando alcune misure di sicurezza e definendo una prima policy di conservazione dei dati.
Tali interventi sono stati valutati positivamente come elementi attenuanti, ma non sono stati ritenuti sufficienti a sanare integralmente le violazioni riscontrate.
Per questo motivo il Garante ha ordinato alla società di adottare ulteriori misure correttive, imponendo, tra l'altro, la definizione di tempi di conservazione realmente proporzionati alle diverse finalità del trattamento, la cancellazione definitiva dei dati non più necessari, l'eliminazione delle informazioni residue presenti nei sistemi informatici, il rafforzamento delle misure di sicurezza, l'introduzione di sistemi avanzati di gestione degli accessi e di tracciamento delle operazioni effettuate sui dati, nonché una revisione sostanziale della valutazione d'impatto.
Considerata la gravità delle violazioni, protrattesi per circa sedici anni e riguardanti circa un milione di utenti, il Garante ha infine applicato una cospicua sanzione amministrativa di € 200.000,00 disponendo anche la pubblicazione del provvedimento sul proprio sito istituzionale.
In Sintesi
La decisione assunta conferma come il trattamento dei dati personali nell'ambito delle piattaforme digitali non possa essere valutato esclusivamente in funzione delle informazioni formalmente raccolte, ma debba considerare anche il contesto nel quale esse vengono utilizzate e le ulteriori informazioni che da esse possono essere inferite.
Nel settore del dating online, la semplice partecipazione al servizio è spesso sufficiente a rivelare aspetti della sfera sessuale dell'utente, con la conseguente applicazione delle garanzie rafforzate previste dall'art. 9 GDPR.
Il provvedimento costituisce inoltre un'ulteriore conferma dell'orientamento ormai consolidato delle autorità europee di controllo, secondo cui il principio di accountability rappresenta il vero fulcro del sistema introdotto dal GDPR.
Non è sufficiente predisporre informative, registri o policy interne: il titolare deve dimostrare di avere costruito un'organizzazione capace di prevenire i rischi, governare l'intero ciclo di vita dei dati e documentare in modo verificabile ogni scelta effettuata.
In questa prospettiva, il caso presentato rappresenta un significativo precedente per tutti gli operatori dell'economia digitale che trattano dati appartenenti alle categorie particolari: il rispetto della normativa sulla protezione dei dati personali non costituisce un adempimento meramente formale, ma un requisito essenziale di affidabilità, sicurezza e corretto esercizio dell'attività d'impresa.
Accedi/Registrati
Conto OPEN