Clubhouse sanzionata dal Garante privacy per 2 milioni di euro: ecco i motivi

Mancanza di trasparenza nell’uso dei dati di utenti e loro contatti, possibilità da parte degli iscritti di memorizzare gli audio senza consenso degli interessati, mancanza di base giuridica nella condivisione delle informazioni sugli account e tempi indefiniti di conservazione delle registrazioni: sono alcune delle contestazioni mosse dal Garante privacy italiano ad Alpha Exploration, la società proprietaria del social network Clubhouse.

L’autorità ha sanzionato l’azienda per due milioni di euro, riscontrando al termine di un’istruttoria svolta nel 2021 diverse violazioni della normativa sulla protezione dei dati. 

Data breach nelle chat Clubhouse: ecco cosa è successo realmente

Sanzione Clubhouse, l’antefatto

L’attività di indagine del Garante privacy italiano è scattata in seguito a diversi articoli sulla stampa relativi a presunti problemi privacy legati al social Clubhouse. Clubhouse è un social basato su interazioni vocali, composto da “stanze”, “room”, in cui conversare tramite app rilasciata nel 2020 prima per Android e poi per iOS. Nel 2021 erano oltre 16 milioni gli utenti a livello mondiale, di cui circa 90mila in Italia.

Oltre alle notizie apparse sulle testate su possibili rischi per i dati personali, al Garante è giunta una segnalazione nel febbraio 2021 riguardante una serie di punti critici del social sui profili di sicurezza, l’esercizio dei diritti degli interessati, mancanza di un rappresentante in UE (l’app è gestita da Alpha Exploration, società californiana non stabilita in alcun Paese UE), problemi sul fronte della profilazione e della conservazione dei dati personali. 

Il Garante privacy ha quindi chiesto alla società informazioni, Alpha Exploration ha risposto, come si legge nel provvedimento dell’autorità italiana, con una comunicazione “in cui, in via preliminare, ha sostenuto l’insussistenza della giurisdizione italiana“, in quanto “le operazioni di trattamento connesse all’attività di social networking posta in essere da Clubhouse non rientrerebbero nella sfera di applicazione dell’art. 3, par. 2, lett. a), del Regolamento in quanto la Società non avrebbe avuto, quanto meno in origine, intenzione di offrire i suoi servizi nell’Unione europea; elementi di segno contrario non potrebbero essere desunti dal mero fatto che l’App fosse liberamente disponibile per il download negli store dei due principali sistemi operativi per dispositivi mobili; la Società non avrebbe mai promosso campagne pubblicitarie o di marketing nell’Unione europea”. 

Le contestazioni del Garante privacy italiano

A marzo 2022, il Garante privacy ha comunicato ad Alpha Exploration l’avvio del procedimento per adottare provvedimenti considerando presunte violazioni a diversi articoli del GDPR:

1. artt. 5, par. 1, lett. a), 6 e 7, comunica il Garante, “per aver realizzato trattamenti per finalità di marketing, registrazione e condivisione con terzi degli audio, profilazione e condivisione delle informazioni sugli account, in carenza di un’idonea base giuridica che legittimi i trattamenti medesimi”;
2. art. 13 “per avere omesso di fornire, fino al 4 agosto 2021, le informazioni sul trattamento agli interessati che conferivano in propri dati personali”;
3. art. 14 del GDPR, per avere omesso, scrive il Garante nel provvedimento, “di fornire le informazioni sul trattamento ai soggetti le cui numerazioni telefoniche sono presenti nella lista contatti degli utenti che hanno acconsentito alla loro condivisione con Clubhouse”;
4. artt. 5, par. 1, lett. a) e 12, par. 1, “per aver reso, successivamente alla data di cui al punto b), informazioni sul trattamento in carenza dei requisiti di chiarezza, trasparenza e comprensibilità ivi previsti”;
5. artt. 5, par. 1, lett. e) e 13 per avere dato informazioni non idonee sui tempi di conservazione dei dati personali;
6. artt. 13, par. 1, lett. a) “per non aver ritualmente indicato i recapiti del rappresentante designato”;
7. art. 27, par 4, “per non aver designato un rappresentante dotato di idonee funzioni e competenze”;
8. art. 28 GDPR “per non aver ritualmente designato come responsabili del trattamento i fornitori di servizi ai quali i dati personali possono essere comunicati”;
9. artt. 5, par. 1, lett. f) e 32 per aver implementato, scrive il Garante, “misure di sicurezza che, tenuto conto della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio per i diritti e le libertà delle persone fisiche, non appaiono adeguate a garantire un livello di sicurezza adeguato al rischio medesimo”;
10. art. 35 “per avere omesso di effettuare una valutazione dell’impatto dei trattamenti previsti sulla protezione dei dati personali, tenuto conto della ricorrenza dell’ipotesi di cui al paragrafo 3, lett. a), del richiamato art. 35”. 

Clubhouse, le irregolarità riscontrate

È seguita dunque la fase istruttoria in cui la società ha esercitato il proprio diritto di difesa, al termine il Garante rilevando comunque la sussistenza di irregolarità e violazioni della normativa privacy ha dichiarato illecito il trattamento dati svolto da Alpha Exploration.

Come comunicato dal Garante, sono state riscontrate in particolare:

1. poca trasparenza sull’utilizzo dei dati degli utenti e dei loro “amici”;
2. sussistenza della possibilità per gli utenti “di memorizzare e condividere gli audio senza consenso delle persone registrate”;
3. profilazione e condivisione delle informazioni relative ai vari account senza che sia individuata una corretta base giuridica;
4. mancata definizione dei tempi di conservazione delle registrazioni svolte da Clubhouse per contrastare eventuali abusi.

Le richieste del Garante privacy e la sanzione

Il Garante ha chiesto quindi alla società una serie di integrazioni, tra cui quella relativa ai termini di servizio “mediante l’inserimento della descrizione delle funzioni Clips & Replays con specifico riferimento alle prerogative degli amministratori ed alle salvaguardie predisposte a favore degli utenti che partecipano alle room”, oltre a integrazioni dell’informativa, anche in riferimento ai tempi di conservazione dei dati, inserendo un link che rimandi ai responsabili del trattamento e indicando una email del rappresentante designato .

Ha inoltre ingiunto l’introduzione di una funzione per consentire agli utenti di apprendere dalla registrazione della chat prima di entrare nella “room”, e di introdurre un sistema che “nel caso in cui Clubhouse debba inviare un invito ad unirsi alla comunità, indirizzato a soggetti non ancora utenti i cui dati sono stati acquisiti dalle rubriche telefoniche degli utenti, nel testo dell’invito sia inserito un link che rimandi ad una specifica informativa resa nell’interesse dei non utenti, da inserire separatamente nel sito web, nonché una indicazione sull’origine del messaggio, al fine di consentire al destinatario di operare in autonomia ogni pertinente approfondimento”. 

Nell’atto di designazione del rappresentante devono essere precisati “funzioni e limiti del rappresentante medesimo”. Il Garante ha chiesto inoltre di effettuare una DPIA sui trattamenti dei dati svolti tramite Clubhouse e ha vietato alla società ogni trattamento svolto ai fini di marketing diretto, profilazione e condivisione delle informazioni sugli account “per l’inidoneità della base giuridica”. 

Oltre a ciò, il Garante ha sanzionato per due milioni di euro la società.