Lo scorso gennaio il Garante per la protezione dei dati personali ha annunciato di aver disposto, nei confronti del social TikTok, il blocco immediato dell’uso dei dati degli utenti per i quali non fosse stata accertata con sicurezza l’età anagrafica. Il provvedimento di blocco è stato emanato a seguito della drammatica morte della bambina palermitana di 10 anni e ha spiegato i suoi effetti sino al 15 febbraio, data entro la quale l’Autorità avrebbe effettuato ulteriori valutazioni. Nel frattempo, però, TikTok ha comunicato agli utenti di aver adottato misure volte ad impedire l’accesso al social agli under 13 in modo da adeguarsi alla decisione del Garante. Prima di analizzare tali misure, è bene rammentare quali sono le ragioni che hanno indotto l’Autorità italiana ad intervenire.
IL FONDAMENTO GIURIDICO DELLA DECISIONE Il provvedimento cautelare adottato dal Garante rinviene il proprio fondamento giuridico nel fatto che TikTok tratta i dati personali di tutti i suoi utenti esclusivamente per dare esecuzione al contratto di adesione ai servizi offerti. Quelli degli utenti che prestano uno specifico consenso, invece, sono trattati per finalità commerciali ulteriori. Il social, inoltre, riserva ai soli utenti che abbiano più di tredici anni la proposta contrattuale di adesione ai servizi.
Ne consegue che, se ad aderire alla proposta è un infratredicenne, non si perfeziona alcun valido contratto e, dunque, il conseguente trattamento dei dati personali si ritrova privo di base giuridica in violazione dell’art. 8 par. 3 Regolamento UE 679/2016 (c.d. GDPR). Parimenti accade quando un infraquattordicenne (limite di età oggi previsto dalla normativa italiana in materia di privacy) presta un consenso al trattamento dei suoi dati anche per finalità commerciali ulteriori (art. 8, par. 1 e 2 GDPR). In casi del genere, il consenso ottenuto da TikTok non sarebbe valido, a nulla rilevando che l’utente abbia dichiarato di avere l’età richiesta per accettare la proposta contrattuale ed aderire al contratto.
LE RILEVATE VIOLAZIONI DEL GDPR Come noto, il GDPR impone al titolare del trattamento di disegnare, progettare e gestire i propri processi in modo che i trattamenti di dati personali siano leciti e, soprattutto, idonei a garantire sempre la liceità (art. 25 GDPR). In assenza di adeguati controlli sull’età di chi accetta la propria proposta contrattuale e di chi presta il consenso a ulteriori trattamenti per scopi commerciali, l’Azienda avrebbe violato le norme europee in materia di privacy e protezione dei dati personali.
Inoltre TikTok, contrariamente a quanto richiesto dal GDPR, non mette(va) a disposizione dei suoi utenti un’informativa sulla privacy redatta a misura di bambino e/o adolescente, con la conseguenza che sia il trattamento fondato sul contratto che quello effettuato in base al consenso sarebbero stati illeciti perché basati su manifestazioni di volontà meno consapevoli di quanto stabilito dall’art. 12 GDPR.
Vale, infine, la pena di ricordare che, secondo il GDPR, sono le Autorità di protezione dei dati personali del Paese europeo in cui il titolare del trattamento ha il suo stabilimento principale a dover vigilare sul rispetto delle norme del Regolamento europeo, salvo il potere delle singole Autorità nazionali di intervenire in via d’urgenza in casi ad alta connotazione nazionale. Nel caso di TikTok si è ritenuto ricorressero i presupposti d’urgenza di cui all’articolo 66 del GDPR a tutela della vita e dell’integrità dei minorenni.
LE MISURE ADOTTATE DA TIKTOK Come accennato, il social cinese ha reso noto che si sarebbe adeguato alle richieste formulate dal Garante italiano. A far data dal 9 febbraio scorso, dunque, TikTok ha bloccato tutti gli utenti italiani, chiedendo di indicare nuovamente la data di nascita per accedere all’app. Lo scopo è identificare con ragionevole certezza gli utenti under 13 e rimuoverne gli account. Per raggiungere tale obiettivo, l’Azienda ha annunciato di impegnarsi a valutare ulteriormente l’uso di sistemi di intelligenza artificiale e di introdurre un pulsante nell’app che permetta agli utenti di segnalare rapidamente quelli che sembrano aver meno di 13 anni. Il social ha anche apportato modifiche all’informativa privacy (in modo da renderla più fruibile per gli utenti adolescenti) e ha comunicato la propria disponibilità ad effettuare campagne informative sull’utilizzo dei social per genitori e figli. In ogni caso, il Garante privacy ha già precisato che si riserverà tutte le valutazioni del caso sull’adeguatezza ed effettività delle misure intraprese.
Avv. Stefano FRANCHI
