È da tempo che una morsa si sta stringendo attorno a Facebook nell’Unione Europea: oltre al possibile blocco irlandese per i trasferimenti dei dati personali negli USA, ora si è resa nota una formale “stoccata” nientemeno che da un’autorità di controllo, quella norvegese (denominata “Datailsynet”). In un documento pubblicato recentemente l’autorità ha svolto una valutazione di impatto privacy, DPIA (ex art. 35 GDPR) sul possibile uso di una pagina Facebook per la propria attività istituzionale. Non a seguito di segnalazioni o presunte violazioni specifiche, ma in vista dell’utilizzo, come potenziale utente nel ruolo di titolare di una pagina sociale, in ossequio all’accountability imposta dalla normativa.
Il risultato è stato negativo: il documento sancisce, con un esame accurato, l’insufficiente tutela dei dati personali come praticata da Facebook. Implicitamente questo documento costituisce una bocciatura a 360 gradi, visto che il ruolo rivestito dall’autorità nell’analisi – cioè quello di mero utente che apre una pagina Facebook e ne gestisce la comunicazione con gli utenti – è comune anche a tante imprese e ne vengono esposte tutte le criticità lato data protection.
Dovrebbe essere preso a esempio di disamina per la valutazione dei rischi e di impatto privacy da parte di tutti i titolari, pur dichiarando nelle premesse al documento stesso che non vada inteso come dichiarazione generale di un’autorità circa la legittimità o responsabilità nell’essere titolari di una pagina Facebook.
Peraltro, l’autorità chiarisce che il testo originale norvegese è del marzo 2020 e che solo ora viene tradotto e pubblicato in inglese, in una versione ridotta.
Indice degli argomenti
La valutazione di impatto (DPIA): un breve riepilogo
Ricordiamo brevemente che la c.d. DPIA (Data Protection Impact Assessment) è un onere di accountability imposto dal GDPR in determinati casi presenti nell’art. 35 GDPR, oppure qualora da una valutazione dei rischi questi risultino elevati, oppure ancora se previsto in elenchi (positivi o negativi) delle autorità di controllo.
La valutazione di impatto non ha un modello standard predefinito per legge, se non nella sua ossatura generale, per cui sono invalse nella prassi varie metodologie che devono tenere conto delle importanti indicazioni del WP29 (ora EDPB) con le sue linee guida del 2017.
In breve, una DPIA ex art. 35 GDPR deve contenere come minimo:
- una descrizione sistematica dei trattamenti previsti e delle finalità del trattamento, compreso, ove applicabile, l’interesse legittimo perseguito dal titolare del trattamento;
- una valutazione della necessità e proporzionalità dei trattamenti in relazione alle finalità;
- una valutazione dei rischi per i diritti e le libertà degli interessati;
- le misure previste per affrontare i rischi, includendo le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali e dimostrare la conformità al presente regolamento, tenuto conto dei diritti e degli interessi legittimi degli interessati e delle altre persone in questione.
Pagine Facebook e privacy: l’iniziativa dell’autorità norvegese
L’autorità dichiara che lo scopo originario e primario della sua documentazione era quello di consentire alla propria direzione di prendere una decisione responsabile sull’opportunità o meno di creare una pagina Facebook istituzionale, quale punto di contatto e comunicativo con il pubblico.
Ritenendo di interesse pubblico in generale la propria valutazione, in quanto svolta come titolare del trattamento anche dei relativi obblighi che derivano da questo ruolo ai sensi del GDPR, è stata pubblicata e ora anche tradotta.
Lo studio ha indagato ciò che comporterebbe, in termini di responsabilità per la protezione dei dati personali, creare una pagina su Facebook e sulla sua conformità alla normativa data protection: l’autorità norvegese, come tanti titolari, avrebbe comunque un notevole interesse proprio ad aumentare la visibilità delle proprie attività e ad aree di interesse al di fuori del proprio dominio web, aumentando il traffico verso lo stesso.
Per garantire che la privacy degli interessati sia protetta, l’autorità sottolinea che una valutazione d’impatto sulla protezione dei dati rappresenta uno strumento importante per affrontare i rischi e la loro gestione, associati alla creazione e all’utilizzo di pagine web tramite social media.
Un effetto collaterale dell’utilizzo di una pagina su Facebook, da subito evidente, sarebbe quello di ottenere informazioni sulla comunicazione effettuata sulla pagina medesima, come le statistiche sui gruppi target e le interazioni con utenti, considerando che i dati informativi aggregati sono predefiniti per i titolari di una pagina Facebook e non possono essere disattivati lato titolare.
L’analisi dei rischi nel creare e gestire una pagina Facebook
Datailsynet, dopo aver introdotto il tema, rispetta lo schema visto sopra per la DPIA, come richiesto dal GDPR, esponendo di volta in volta sia i principi teoretici da rispettare e di seguito le proprie considerazioni sulla possibilità di rispettarli tramite l’uso di Facebook.
La mappatura e l’analisi effettuati si basano principalmente sull’informativa sulla privacy di Facebook e su altro materiale reso disponibile da Facebook stessa, raccolto nel periodo da luglio 2019 a febbraio 2020 incluso. Inoltre è stata raccolta documentazione da altre fonti ritenute idonee a far luce sul trattamento dei dati e sui rischi inerenti all’utilizzo della piattaforma – come sentenze, guide ecc. –, altresì per chiarire e valutare l’accordo di contitolarità da stringere con Facebook.
Venendo all’analisi dei rischi, l’autorità ha indagato vari ambiti:
- anzitutto quelli associati alla natura del trattamento (ad es. risulta difficile per l’interessato esercitare i propri diritti ai sensi del GDPR nei confronti di Facebook, il trattamento dei dati personali è caratterizzato da imprevedibilità, oltre che mancanza di trasparenza nei confronti dell’interessato, un potenziale squilibrio di potere tra Facebook e l’utente);
- all’ambito di trattamento (tra cui il potenziale trattamento di dati personali relativi a persone vulnerabili, con un volume di dati personali e di interessati molto ampio, con rilevanti incertezze relative alla retention dei dati che potrebbe essere potenzialmente permanente, nonché l’ambito geografico di trattamento potenzialmente globale);
- alle finalità del trattamento (ritenute vaghe, ambigue ed estese, oltre che difformi da quelle dell’autorità e incerte sul fatto che i dati personali vengano utilizzati per scopi nuovi o alternativi rispetto a quelli originari);
- al contesto del trattamento (tra cui incertezze associate ai dataset, in particolare quanto ai flussi di dati e alle catene di trattamento che sembrano poco chiari, compresi i coinvolti destinatari dei dati).
Sulla contitolarità (ovvero la compresenza di titolari che decidono congiuntamente finalità e mezzi del trattamento, ai sensi dell’art. 26 GDPR), l’autorità conclude che – riferendosi ad es. agli indici emersi dalle sentenze Fashion ID e Wirtschaftsakademie della Corte di Giustizia, in particolare – risulterebbe contitolare con Facebook almeno per il trattamento dei dati relativi agli utenti che visitano o interagiscono con la pagina, in particolare utilizzando le funzioni di “Page Insights”.
Tuttavia, l’ente afferma di non essere certa di avere un livello di contitolarità effettivo rispetto a Facebook, nonostante si condividano le responsabilità informative di trasparenza verso gli utenti oltre che quelle per la protezione dei diritti e delle libertà degli interessati.
Ragion per cui Datailsynet afferma che l’uso di Facebook porterebbe a una parziale conformità verso quanto prescritto dall’art. 26 GDPR, tranne che per l’esercizio dei diritti degli interessati: in questo caso la non conformità sarebbe totale, a causa della gestione opaca e del tutto esclusiva da parte di Facebook di questi aspetti.
Quanto alla necessità e proporzionalità del trattamento, l’autorità norvegese dapprima pondera un proprio legittimo interesse (divulgativo e comunicativo, promozionale e d’immagine) che potrebbe essere prevalente rispetto a quelli degli interessati, tenendo conto anche dei vantaggi conoscitivi per gli interessati stessi.
Parallelamente non considera prevalente l’interesse di Facebook, contitolare del trattamento, a fronte dei rischi emersi e citati sopra, oltre che dell’esempio etico (negativo) che ne deriverebbe per Datailsynet stessa in quanto istituzione per la protezione dei dati.
È interessante citare un passaggio ove si afferma che “al fine di ridurre al minimo la raccolta dei dati, nessun plug-in di Facebook o simile funzionalità verrebbe implementato sul nostro sito web”, fornendo un esempio di prassi per la minimizzazione del trattamento e privacy by default. Impossibile però da attuare sulla piattaforma social, non permettendo di minimizzare l’uso di dati tra le varie opzioni disponibili lato titolare della pagina.
Continuando su questa linea, l’informazione pare latitare da parte di Facebook, come si dichiara nello studio parlando di “una mancanza di trasparenza e di chiarezza nei confronti dei titolari delle pagine e degli interessati” e che “dopo aver letto la documentazione e aver tentato di preparare una descrizione sistematica completa dell’elaborazione dei dati sulla piattaforma”, l’autorità dichiara non avere potuto ricostruire un quadro dei trattamenti.
Una grave lacuna che palesa un controllo di fatto esclusivo da parte di Facebook, minando il rapporto stesso di contitolarità – e dunque di condivisione – che in qualche misura si dovrebbe instaurare.
Si sarebbe “alla mercé di Facebook e dei suoi termini e condizioni, creando e utilizzando una pagina sulla piattaforma”, dichiarando finalità ampie, complesse, vaghe, non concedendo alcuna influenza al titolare della pagina su ciò che Facebook raccoglie in termini di metadati, dati osservati e dati inferiti dagli utenti quando interagiscono con le pagine del sito.
Anche i tempi di conservazione dei dati stessi da parte della piattaforma sarebbero incerti. Il tutto porta l’autorità ad affermare che vi siano troppi dubbi sul modo in cui Facebook protegge i diritti e le libertà degli interessati, specialmente quanto all’esercizio effettivo dei loro diritti (sul quale un titolare di una pagina non ha alcun controllo né accesso, per quanto avviene sulla piattaforma).
Si nota – almeno nella versione ridotta in inglese dello DPIA – una lacuna rispetto a un aspetto cruciale di ogni analisi simile, specie in era post-Schrems II, ovvero circa i trasferimenti di dati al di fuori dei paesi UE/SEE. Sarebbe ovviamente un altro punto dolente rispetto a Facebook, considerato quanto sta accadendo e quanto abbiamo ricordato all’inizio di questo scritto.
Facebook non supera positivamente la valutazione DPIA
Le conclusioni dell’autorità sono riassumibili come segue:
- ritiene che i rischi per i diritti e le libertà degli interessati associati al trattamento dei dati personali attraverso una pagina Facebook siano troppo elevati;
- non sarebbe in grado di attuare misure per attenuare in modo soddisfacente tali rischi;
- non sarebbe conforme all’art. 26 GDPR sulla contitolarità del trattamento (soprattutto circa l’esercizio dei diritti degli interessati);
- non sarebbe sufficiente che l’autorità stipulasse un accordo standard, predefinito da Facebook, sulla contitolarità, né sarebbe in grado di trattare con Facebook la stipula di un accordo ad hoc;
- non sarebbe possibile per l’autorità rispettare i requisiti dell’art. 25 GDPR di privacy by default e by design, utilizzando Facebook;
- il DPO dell’autorità raccomanda di non implementare Facebook come piattaforma di comunicazione.
Al termine del documento l’autorità afferma che “Facebook ha senza dubbio un notevole potenziale come canale di informazione e comunicazione” verso il pubblico di oggi, svolgendo un’attività essenziale (nel divulgare e creare contatti) per l’autorità nel suo ruolo istituzionale nell’attuale società digitale.
Tuttavia, i vantaggi dei social media devono essere valutati rispetto ai loro svantaggi: nonostante sulla piattaforma già si trovino molti potenziali utenti e autorità pubbliche, lo studio non può che concludersi con la raccomandazione di non utilizzare Facebook.
Non resta che considerare lo studio qui in esame come un supporto utile per l’accountability ma anche un chiaro monito a tutti i titolari di pagine Facebook, i quali dovrebbero – se non già fatto in precedenza – svolgere un’adeguata DPIA: difficile sarà superare le criticità emerse dall’analisi norvegese.
Un tema ancor più d’attenzione anche per il ruolo ricoperto: la contitolarità – almeno formale – che permea tutto il rapporto titolare della pagine – Facebook reca con sé le annesse responsabilità verso gli interessati. Saranno in grado tali titolari di valutarle con lo stesso rigore presente nella DPIA norvegese e trarne le debite conclusioni?
