Prescrizioni del Garante n. 448 del 21/12/2022

Meta Platforms Ireland Limited - avvertimento urgente su EDI e trattamenti elettorali

Il provvedimento riguarda Meta Platforms Ireland Limited ed è adottato in via d’urgenza con riferimento alla funzionalità "Election Day Information" (EDI) e alle funzioni analoghe su Instagram connesse alle elezioni politiche italiane del 25 settembre 2022. Il Garante interviene ai sensi dell’art. 66 GDPR, in un contesto di cooperazione con la DPC irlandese, ritenendo che i trattamenti descritti possano verosimilmente violare la disciplina privacy e creare un pregiudizio imminente per i diritti e le libertà degli interessati.

Origine dell’istruttoria e ricostruzione dei fatti

L’Autorità prende le mosse da notizie di stampa del 20 settembre 2022, secondo cui Meta avrebbe lanciato una campagna rivolta agli utenti italiani maggiorenni, con promemoria elettorali e adesivi su Facebook e Instagram per indirizzare gli utenti al sito del Ministero dell’interno e fornire informazioni sulle elezioni. Il Garante, con nota del 21 settembre 2022, chiede chiarimenti su natura dei trattamenti, conservazione dei dati, accordi con il Ministero, rapporti con i fact-checker, base giuridica e misure per limitare l’iniziativa ai maggiorenni.

Meta risponde in modo ritenuto incompleto; il 23 settembre 2022 l’Autorità invita la società a sospendere temporaneamente il trattamento. Un successivo riscontro serale del 23 settembre fornisce ulteriori elementi ma, secondo il Garante, non chiarisce i profili di liceità e anzi aggrava i dubbi, soprattutto perché emerge che i dati sarebbero aggregati entro 90 giorni e condivisibili con terzi, tra cui partner di ricerca, accademici, partner governativi o comitati elettorali.

Cooperazione con l’autorità capofila irlandese e scelta della procedura d’urgenza

Poiché Meta Platforms Ireland Limited ha dichiarato il proprio stabilimento principale nell’Unione in Irlanda, la DPC irlandese è l’autorità capofila ai sensi dell’art. 56, par. 1 GDPR. Il Garante attiva quindi il meccanismo di cooperazione e coerenza ex artt. 60 e ss. GDPR e formula una richiesta di mutua assistenza ex art. 61 GDPR, chiedendo alla DPC di condividere urgentemente le informazioni disponibili sulla funzione EDI e di valutare misure correttive, inclusa una limitazione provvisoria del trattamento prima delle elezioni italiane.

La DPC fornisce alcune delucidazioni verbali e sollecita Meta a rispondere in modo più completo, ma non adotta misure correttive. L’Autorità italiana rileva inoltre che la valutazione della DPC sulla funzione EDI era stata limitata, in precedenza, a profili di trasparenza e non alle più ampie questioni di liceità, base giuridica, finalità e conservazione. Considerata l’imminenza del termine di 90 giorni dichiarato da Meta per l’aggregazione e la condivisione dei dati, il Garante ritiene sussistenti circostanze eccezionali e urgenza tali da giustificare la deroga al normale meccanismo di cooperazione, applicando l’art. 66, par. 1 GDPR.

Valutazione di liceità, correttezza, trasparenza e base giuridica

Nel merito, il Garante osserva che Meta non indica una base giuridica specifica e chiara per il trattamento svolto tramite EDI. Le informazioni fornite rimandano genericamente alle finalità complessive della piattaforma e alle basi di cui all’art. 6, par. 1, lett. b) e f) GDPR, senza un consenso specifico ex art. 7 GDPR e senza consentire agli utenti di comprendere l’effettiva portata del trattamento.

L’Autorità critica anche la pretesa finalità dell’iniziativa, presentata come informativa e di interesse pubblico. Secondo il Garante, una società privata commerciale, il cui modello di business si basa sulla piattaforma social e sulla pubblicità profilata, non può collocarsi spontaneamente nel perimetro di un interesse pubblico primario come la tutela del voto democratico, senza un’idonea cornice giuridica. Inoltre, non risulta alcun accordo o incarico formale del Ministero dell’interno che investa Meta del compito di informare i cittadini sulle operazioni di voto.

Di conseguenza, il provvedimento ravvisa un fumus di violazione degli artt. 5, par. 1, lett. a) e b), 6, 12 e 13 GDPR, per mancanza di chiarezza sulla liceità, sulla finalità e sulle informazioni rese agli interessati.

Possibile coinvolgimento di dati particolari ex art. 9 GDPR

Il Garante ritiene che i dati trattati da EDI possano, nel contesto elettorale, assumere una valenza idonea a rivelare orientamenti politici. La funzione si fonda infatti su dati relativi ad età, localizzazione, genere, dispositivo e interazioni con il contenuto elettorale; inoltre Meta prevede la possibile condivisione di "aggregated insights" con partner di ricerca, mondo accademico, partner governativi o comitati elettorali.

L’Autorità osserva che i dati non sono anonimi né prima né dopo l’aggregazione, poiché continuano a essere riferibili agli interessati; richiama anche la stessa Privacy Policy di Meta, che distingue tra aggregazione e anonimizzazione. Nel contesto delle elezioni politiche italiane, tali dati possono essere incrociati e utilizzati per forme di profilazione di carattere politico. Pertanto, il Garante ritiene sussistente un fumus di illiceità anche sotto il profilo dell’art. 9 GDPR.

Principio di minimizzazione e limitazione della conservazione

Sul piano della minimizzazione, il Garante contesta l’eccessività dei dati utilizzati rispetto alla dichiarata finalità di mero promemoria elettorale. Anche ammettendo che per mostrare un avviso elettorale servano età e, in certa misura, nazionalità, l’uso di ulteriori informazioni come genere, posizione geografica e dati sul dispositivo appare non necessario. La funzione, inoltre, traccia le interazioni dell’utente con il messaggio informativo, ampliando ulteriormente il perimetro del trattamento.

Sul piano della conservazione, le risposte di Meta sono giudicate incoerenti: in una prima versione si parla di conservazione fino a quando i dati siano necessari per fornire servizi e prodotti Facebook o fino alla disattivazione dell’account; in una seconda si afferma che i dati di coinvolgimento vengono aggregati entro 90 giorni. Il Garante evidenzia che ciò mostra una finalità ulteriore, non dichiarata, e che non è definito un termine certo di conservazione dopo l’aggregazione. Ne deriva un fumus di violazione degli artt. 5, par. 1, lett. a) e c), 13, par. 2, lett. a), e 25, par. 2 GDPR.

Fact-checking, responsabili del trattamento e libertà di espressione

Il provvedimento dedica attenzione anche alle attività di fact-checking svolte con organizzazioni indipendenti. Meta afferma di collaborare con tali soggetti per rimuovere o ridurre la visibilità di contenuti che scoraggiano o interferiscono con il voto, anche al di fuori della specifica funzione EDI. Le agenzie di fact-checking dichiarano di operare come responsabili del trattamento e descrivono l’uso di un tool che contiene contenuti da revisionare, dati dell’autore del post, numeri di visualizzazioni, condivisioni e segnalazioni degli utenti.

Il Garante rileva che il meccanismo presenta criticità anche sul piano della trasparenza e della base giuridica, perché gli utenti devono ricostruire il trattamento attraverso più documenti frammentari. Inoltre, una delle agenzie riferisce che Meta esclude politici e candidati dal fact-checking, il che implica una selezione ex ante dei soggetti sottoposti a verifica, con possibili ricadute sulla libertà di espressione e sul principio di parità di trattamento. L’Autorità ritiene quindi che anche questi trattamenti non siano adeguatamente sorretti da consenso e che la base contrattuale sia quantomeno dubbia.

Misura adottata e contenuto dell’avvertimento

Sulla base delle valutazioni svolte, il Garante conclude che il trattamento descritto può verosimilmente violare la disciplina vigente. Pertanto, ai sensi dell’art. 58, par. 2, lett. a), e dell’art. 66, par. 1 GDPR, rivolge a Meta Platforms Ireland Limited un avvertimento con validità di tre mesi, secondo cui eventuali trattamenti dei dati personali oggetto delle condotte descritte si porrebbero in violazione delle disposizioni richiamate.

L’Autorità si riserva di attivare le procedure per l’adozione di misure definitive ai sensi dell’art. 66, par. 2 GDPR, e dispone che del provvedimento sia data tempestiva informazione alle autorità di controllo interessate, al Comitato e alla Commissione.

Impugnazione

Il provvedimento è impugnabile davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice privacy e dell’art. 10 del d.lgs. 150/2011, con ricorso da proporre entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all’estero.