Ordinanza ingiunzione o revoca n. 112 del 22/02/2024

Italiaonline S.p.A. - trattamenti illeciti nei portali Libero e Virgilio

Il provvedimento riguarda Italiaonline S.p.A. e i trattamenti di dati personali effettuati attraverso i portali Libero e Virgilio, con particolare attenzione al servizio di ricerca in Internet basato su componenti di Google, ai trattamenti di marketing e profilazione, alla gestione dei dati dei minori e alla procedura di cancellazione dell’account di posta elettronica. L’istruttoria trae origine da reclami di interessati ed è stata approfondita mediante richieste di informazioni e accertamenti ispettivi svolti nel 2022.

Origine del procedimento e attività istruttoria

L’Autorità aveva inizialmente chiesto chiarimenti a Italiaonline in relazione alle istanze di deindicizzazione proposte da utenti che cercavano di rimuovere risultati associati al proprio nominativo nei motori di ricerca accessibili dai portali. La Società aveva sostenuto di non avere alcun ruolo nel trattamento svolto da Google e di limitarsi a rendere accessibile il servizio di ricerca. Le ulteriori verifiche hanno però fatto emergere un quadro più complesso, con trattamenti non adeguatamente descritti nelle informative e con una gestione dei dati personali che, secondo il Garante, richiedeva una qualificazione giuridica diversa da quella prospettata dalla Società.

Servizio di ricerca in Internet e flussi di dati verso Google

Nel corso dell’ispezione è stato accertato che la ricerca nei portali Libero e Virgilio avviene tramite componenti JavaScript forniti da Google, con invio delle query agli server della stessa e restituzione dei risultati di ricerca. I log conservati da Italiaonline registrano anche indirizzo IP, data e ora, parole chiave, browser e sistema operativo. Il Garante osserva che questi dati, specie se combinati tra loro, integrano dati personali ai sensi dell’art. 4, par. 1, n. 1, GDPR.

L’Autorità ritiene che Italiaonline partecipi alla determinazione delle finalità e dei mezzi del trattamento, quanto meno in contitolarità con Google LLC, poiché decide di incorporare nei propri portali il componente tecnico che rende possibile la raccolta e la trasmissione dei dati degli utenti. La valutazione si fonda sulla giurisprudenza della Corte di giustizia, in particolare sulla sentenza Fashion ID, e sulle linee guida EDPB in materia di titolare e responsabile del trattamento.

Informativa, trasparenza e diritti degli interessati

Secondo il Garante, l’informativa resa da Italiaonline non descriveva in modo adeguato il trattamento connesso al motore di ricerca né i ruoli rispettivamente svolti da Italiaonline e da Google. Mancava, inoltre, una chiara indicazione su chi dovesse ricevere le richieste degli interessati, specie quelle di deindicizzazione. Anche l’informativa di Google, richiamata dalla Società, è stata ritenuta insufficiente a sostituire quella dovuta da Italiaonline, perché resa solo dopo che la comunicazione dei dati era già avvenuta.

Il Garante conclude quindi per la violazione dei principi di liceità, correttezza e trasparenza, nonché dell’accountability e della protezione dei dati fin dalla progettazione, con riferimento agli artt. 5, parr. 1, lett. a) e b), e 2; 6; 9; 12, parr. 1 e 2; 13, parr. 1, lett. c), d), e), e 2, lett. a); 24; 25, par. 1, GDPR.

Registro dei trattamenti

L’Autorità contesta anche la mancata descrizione nel registro dei trattamenti dell’attività di ricerca in Internet resa disponibile dai portali. Pur avendo Italiaonline sostenuto che il trattamento fosse ricompreso in una voce più ampia del registro e avendo successivamente integrato il documento, il Garante ritiene la descrizione originaria non idonea a soddisfare gli obblighi dell’art. 30, par. 1, GDPR.

Marketing e profilazione: consenso e informativa

Nel corso delle verifiche sui moduli di registrazione degli account è emerso che i consensi per marketing e profilazione venivano acquisiti con meccanismi non pienamente conformi. In particolare, l’utente si trovava a interagire con formule di consenso che accorpavano le finalità, talvolta riferite congiuntamente a Italiaonline e ai partner, e con caselle preselezionate che rendevano il consenso non sufficientemente libero e specifico. Le informative risultavano anche carenti quanto alla profilazione e ai tempi di conservazione dei dati.

Italiaonline ha poi rappresentato che alcune modalità erano state oggetto di test e che, al termine della sperimentazione, aveva ripristinato il precedente modulo. Il Garante, tuttavia, conferma la violazione degli artt. 6, 7 e 13 GDPR per i trattamenti già effettuati.

Trattamenti dei minori

Particolare rilievo assume la questione dei minori. Il Garante osserva che i trattamenti per marketing e profilazione erano effettuati senza una gradazione delle tutele in base all’età e, per gli infraquattordicenni, senza un meccanismo effettivo che coinvolgesse il genitore o il tutore nelle fasi successive alla registrazione, incluse le eventuali modifiche dei consensi. Il consenso espresso dal minore è quindi ritenuto non valido nei casi in cui non sia garantito il controllo del soggetto titolare della responsabilità genitoriale. Vengono confermate le violazioni degli artt. 6, 7, 8 e 22 GDPR e dell’art. 2-quinquies del Codice privacy.

Cancellazione dell’account e diritto alla semplificazione

Con riferimento alla cancellazione dell’account di posta elettronica di Libero, la procedura prevedeva la richiesta di copia del documento di identità dell’interessato. Il Garante ritiene che tale richiesta sia eccessiva e non proporzionata, soprattutto se l’utente è già autenticato per l’accesso al servizio, e richiama le linee guida EDPB sui diritti dell’interessato, secondo cui il titolare non deve raccogliere più dati del necessario per verificare l’identità del richiedente. Per questo viene confermata la violazione dell’art. 12, par. 2, GDPR. Invece, non viene confermata la contestazione relativa agli artt. 5, par. 1, lett. c), d) ed e), poiché la Società ha dichiarato di distruggere immediatamente i documenti raccolti senza conservarli o usarli per ulteriori finalità.

Difese della Società e valutazioni dell’Autorità

Italiaonline ha sostenuto di non essere titolare del trattamento rispetto al motore di ricerca, affermando che la comunicazione dei dati avvenisse direttamente dal browser dell’utente a Google senza passaggio dai propri server. L’Autorità non condivide questa impostazione e valorizza la raccolta e conservazione dei log, nonché la scelta deliberata di integrare il componente di Google nei propri portali. Anche le difese sui consensi e sulla cancellazione dell’account non sono state ritenute idonee a escludere le violazioni contestate, salvo l’archiviazione della specifica contestazione sui documenti d’identità conservati.

Sanzione e criteri di quantificazione

Il Garante applica l’art. 83, par. 3, GDPR, ritenendo che le molteplici violazioni siano connesse a trattamenti collegati e ricadano, ai fini sanzionatori, nell’alveo della violazione più grave. La sanzione amministrativa pecuniaria è fissata in euro 100.000,00, pari a circa il 3,4% della sanzione massima edittale indicata nel provvedimento.

Nel determinare l’importo, l’Autorità considera come aggravanti:

• l’elevato numero degli interessati coinvolti;
• la difformità della condotta rispetto al dettato normativo e alla precedente attività provvedimentale del Garante.

Sono invece valorizzati come elementi attenuanti:

• l’adozione di misure correttive già durante il procedimento;
• la cooperazione prestata da Italiaonline;
• il carattere derivato di alcune violazioni rispetto alla errata qualificazione del trattamento di ricerca;
• la situazione economico-finanziaria generale.

Misure correttive e adempimenti

L’Autorità ingiunge a Italiaonline, con riferimento ai trattamenti connessi alla ricerca in Internet condivisi con Google LLC, di fornire un’informativa idonea a descrivere chiaramente il trattamento e i relativi ruoli, anche per quanto riguarda l’esercizio dei diritti degli interessati ai sensi degli artt. 15-22 GDPR. La Società deve comunicare al Garante, entro 30 giorni dalla notifica, le iniziative adottate per dare attuazione alle misure disposte.

Pubblicazione del provvedimento e rimedi

Oltre alla sanzione pecuniaria, è disposta la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno dell’Autorità. Contro il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria nei termini previsti dall’art. 78 GDPR e dalla normativa nazionale richiamata nel dispositivo.