LA DISCIPLINA DEI COOKIE E LA LEGGENDA DEL LEGITTIMO INTERESSE
A cura di Giovanni Crea
Il provvedimento d’urgenza adottato dal Garante per la protezione dei dati personali lo scorso 7 luglio 2022 nei riguardi della piattaforma Tik Tok ha definitivamente chiarito l’inadeguatezza della base giuridica del legittimo interesse per i trattamenti di dati personali effettuati durante la navigazione in internet e individuati nella “archiviazione di informazioni, o l’accesso a informazioni già archiviate, nell’apparecchiatura terminale di un abbonato o utente”.
Questa fattispecie di trattamenti (archiviazione di dati o accesso a dati archiviati), svolti attraverso l’impiego di tecnologie denominate ‘marcatori’ (cookies), è assoggettata al quadro normativo ‘speciale’ rappresentato dalla direttiva c.d. e-privacy, segnatamente l’art. 5.3 e, in diritto interno, dall’art. 122, d.lgs. 196/2003.
Con riguardo ai profili applicativi, vale la pena richiamare le Linee guida del Garante relative all’utilizzo dei cookie e “altri strumenti di tracciamento” in cui l’autorità, riferendosi alla categoria più generale degli ‘identificatori’, oltre i cookies distingue gli identificatori passivi (es., fingerprinting) che consentono di effettuare trattamenti analoghi a quelli sopra tratteggiati.
Le basi giuridiche che legittimano i trattamenti effettuati attraverso i predetti strumenti vanno pertanto ricercate all’interno del quadro ‘speciale’ che, come è immediato verificare, non contempla il legittimo interesse ai sensi del Regolamento (UE) 2016/679 (Gdpr).
La lex specialis prevede il consenso dell’interessato, a meno che i trattamenti siano indispensabili per effettuare trasmissioni di comunicazioni (più precisamente, instradare informazioni su una rete di comunicazione elettronica) finalizzate alla gestione operativa del sito del provider o per la fornitura di un servizio richiesto dall’utente.
Il consenso, dunque, copre tutti i trattamenti le cui finalità sono diverse dalla gestione del sito o dalla prestazione di un servizio, compresi i trattamenti svolti ai fini dell’invio di pubblicità personalizzata.
Per completezza argomentativa, va anche precisato che la base giuridica rappresentata dalla “necessità di gestione operativa del sito” non è ascrivibile a un legittimo interesse nel senso del Gdpr per il semplice motivo che il quadro speciale non prevede, per i relativi trattamenti, alcun test di bilanciamento.
In chiusura, va peraltro osservato che l’istruttoria svolta dal Garante ha fatto emergere come, anche nell’ipotesi in cui le eccezioni al consenso previste dalla direttiva e-privacy fossero riconducibili alla base giuridica del legittimo interesse ai sensi dell’art. 6.1.f), gdpr, il provider ne abbia fatto un uso comunque 'disinvolto'.
- In primo luogo, perché non ha fornito - se non in modo astratto e insufficiente - elementi concreti che potessero dimostrare l’esecuzione del test di bilanciamento (in particolare, seguendo le indicazioni fornite dalla Corte di giustizia UE nella sentenza Rīgas satiksme).
- In secondo luogo, perché la scelta del fondamento giuridico è apparsa espressione di un criterio di convenienza piuttosto che un presupposto aderente alla realtà del trattamento, tenuto conto che in occasione di un precedente intervento del Garante la piattaforma aveva dichiarato l’applicazione del consenso per la somministrazione di pubblicità personalizzata ai maggiori di anni 16.
[1] Cfr. Gpdp, Provv. n. 248/2022, in Registro dei provvedimenti, https://garanteprivacy.it/ web/guest/home/docweb/-/docweb-display/docweb/9788429
[2] direttiva 2002/58/CE come modificata dalla direttiva 2009/136/CE, in GUCE, L 337, 18.12.2009, p. 13.
[3] Cfr. Gpdp, Provv. n. 231/2021, in Registro dei provvedimenti e G.U. n. 163 del 9 luglio 2021.
[4] Cfr. Corte di giustizia Ue, causa C‑13/16, Rīgas satiksme, in Raccolta generale, 4 maggio 2017.
Per contenuti come questo e su tanti altri temi, Iscriviti alla nostra Newsletter!!
Giovanni Crea
Direttore del Centro di Ricerca e Formazione Integrata Selefor, responsabile scientifico e Presidente del Comitato Tecnico-Scientifico con delega Data Protection.
Economista, è professore incaricato di “Economia Aziendale e Processi di amministrazione del lavoro” presso l’Università Europea di Roma, dal 2014 insegna la materia di “Protezione dei dati personali” presso Master Universitari e Corsi specialistici.
RIFLESSIONI SULLA NATURA DI ESSENTIAL FACILITIES DEI DATI PERSONALI
A cura di Giovanni Crea
L’esperienza dell’offerta di servizi attraverso internet (comprese le app) ha messo in luce come il loro consumo venga inevitabilmente codificato in dati (es., google maps) e come tali dati siano oggetto di trattamenti effettuati per finalità sia ‘tecniche’ – legate, cioè, alla fornitura e fruizione del servizio – sia di interesse economico del titolare del trattamento.
Con riguardo a quest’ultimo profilo, la disponibilità di grandi masse di dati (big data) rende possibile costruire profili degli utenti-interessati su cui ritagliare i propri servizi ovvero – spostandoci sul versante della raccolta pubblicitaria – per vendere spazi pubblicitari agli inserzionisti consentendo a questi di proporre a livello individuale i loro prodotti e servizi.
I mercati dei servizi internet, dunque, sono data intensive, e le posizioni dominanti che in essi si formano trovano nei dati personali una lèva essenziale [1] la cui replicabilità non è scontata in quanto riguardano i clienti dei provider e che gli stessi provider tendono a non diffondere per ragioni di vantaggio competitivo [2].
Questa prospettiva apre all’ipotesi della natura di essential facilities dei dati personali raccolti nei mercati di internet; profilo che, secondo la dottrina antitrust, è un elemento qualificante della posizione dominante, e la cui inibizione a potenziali concorrenti, da parte dei titolari, prefigura un abuso di tale posizione vietato dall’art. 102 TFUE.
Nel caso Google-Hoda [3], in cui ricorre l’ipotesi di ostacoli, da parte del motore di ricerca, alla portabilità dei dati – e dunque, in definitiva, all’accesso/trasferimento a favore di Hoda – l’Agcm sottolinea la valenza pro-concorrenziale di tale istituto, lasciando intendere come tali dati possano essere inquadrati nella categoria delle “risorse essenziali”.
Se i dati personali, descrittivi delle abitudini di consumo di beni e servizi forniti da un’impresa, fossero facilmente replicabili, la violazione dell’art. 20 del GDPR rileverebbe per il solo profilo di mancato esercizio di un diritto degli interessati e non anche per gli aspetti antitrust.
[1] Cfr. Agcm, Provvedimento n. 28051, Big Data, in Boll., n. 9/2020, 13 ss.
[2] Cfr. Agcm, Provvedimento n. 19140, Sfruttamento di informazioni commerciali privilegiate, in Boll., n. 47/2008, 5 ss.
[3] Cfr. Agcm, Provvedimento n. 30215, Google-ostacoli alla portabilità dei dati, in Boll., n. 27/2022, 83 ss.
Per contenuti come questo e su tanti altri temi, Iscriviti alla nostra Newsletter!!
Giovanni Crea
Direttore del Centro di Ricerca e Formazione Integrata Selefor, responsabile scientifico e Presidente del Comitato Tecnico-Scientifico con delega Data Protection.
Economista, è professore incaricato di “Economia Aziendale e Processi di amministrazione del lavoro” presso l’Università Europea di Roma, dal 2014 insegna la materia di “Protezione dei dati personali” presso Master Universitari e Corsi specialistici.
Servizi di intermediazione dei dati e altruismo dei dati: come la Commissione Europea permette la condivisione dei dati
Redazione Selefor CReFIS
Il riutilizzo dei dati detenuti da enti pubblici: le disposizioni della Commissione Europea
Per contenuti come questo e su tanti altri temi, Iscriviti alla nostra Newsletter!!
Redazione Selefor CReFIS