Prescrizioni del Garante n. 609 del 20/06/2024

Meta Platforms Ireland Limited - funzione Election Day Information (EDI) nelle elezioni politiche italiane del 25 settembre 2022

Il provvedimento riguarda Meta Platforms Ireland Limited e il trattamento di dati personali connesso alla funzione Election Day Information (EDI), attivata su Facebook e Instagram in occasione delle elezioni politiche italiane del 25 settembre 2022. L’istruttoria nasce da notizie di stampa e si sviluppa attraverso richieste di informazioni, avvertimenti urgenti e interlocuzioni con la DPC irlandese, fino all’adozione del presente provvedimento correttivo e interdittivo.

Origine del procedimento e svolgimento dell’istruttoria

L’Autorità avvia il procedimento ai sensi dell’art. 166, comma 5, del Codice privacy dopo aver appreso che Meta aveva lanciato una campagna elettorale informativa con promemoria e stickers che reindirizzavano gli utenti verso il sito del Ministero dell’interno. Il Garante, tenuto conto dei precedenti del 2018 e del 2019 e di un precedente analogo in Irlanda, richiede a Meta chiarimenti su:

• natura e modalità dei trattamenti;
• eventuali accordi con il Ministero dell’interno;
• base giuridica;
• ruolo dei fact-checkers;
• garanzie per limitare la fruizione ai soli maggiorenni.

Le risposte iniziali sono giudicate carenti, in particolare per l’assenza di una base giuridica chiara e per l’opacità sulle finalità ulteriori. Per questo, il Garante chiede la sospensione prudenziale del trattamento, richiesta alla quale Meta non aderisce. In seguito, la società dichiara che i dati sarebbero stati aggregati entro 90 giorni e potenzialmente condivisi con soggetti terzi genericamente indicati come partner di ricerca, accademici, governativi o comitati elettorali, salvo poi affermare che la condivisione con terzi non è avvenuta.

Competenza del Garante e contesto normativo italiano

Un primo nodo riguarda la competenza dell’Autorità italiana. Il Garante richiama il procedimento di cooperazione ex art. 56 GDPR e la decisione della DPC irlandese, che riconosce la competenza del Garante per gli aspetti con impatto esclusivamente locale, in ragione della normativa costituzionale e elettorale italiana. L’Autorità respinge quindi l’eccezione di incompetenza sollevata da Meta.

Sul piano del contesto normativo, il provvedimento sottolinea che il caso non riguarda in astratto il contrasto alla disinformazione, ma la compatibilità del trattamento svolto da un’impresa privata con la disciplina italiana ed europea in materia di protezione dei dati, tenendo conto delle regole sul voto libero, del silenzio elettorale, della legge n. 150/2000, della legge n. 28/2000 e della vigilanza di organismi nazionali come AGCOM. È evidenziato inoltre che il Ministero dell’interno non aveva stipulato con Meta un accordo formale o un incarico per l’iniziativa.

Trattamenti esaminati e dati coinvolti

La funzione EDI non si limitava a fornire un mero link a siti istituzionali, ma raccoglieva dati relativi alle interazioni degli utenti con la funzione stessa, oltre a informazioni come:

• età;
• sesso;
• posizione geografica;
• dispositivo utilizzato;
• dati sulle interazioni con il messaggio informativo.

Secondo il Garante, il trattamento non si esauriva in un rinvio al Ministero dell’interno, ma comportava un’attività di selezione, tracciamento, conservazione e successiva aggregazione dei dati. La società aveva inoltre confermato che gli utenti minorenni erano esclusi dalla visualizzazione delle informazioni elettorali e che i politici e candidati erano esclusi dalle attività di fact-checking.

Esclusione della violazione dell’art. 9 GDPR

L’atto di avvio contestava anche la possibile violazione dell’art. 9 GDPR, ipotizzando che i dati potessero rivelare opinioni politiche. Tuttavia, all’esito dell’istruttoria, il Garante ritiene di non avere elementi sufficienti per affermare che si sia concretizzato, in quel caso, un livello di rischio tale da imporre l’applicazione delle più stringenti garanzie dell’art. 9. La relativa contestazione viene quindi archiviata.

Violazione della base giuridica e illiceità del trattamento

Il cuore del provvedimento è la violazione degli artt. 5, par. 1, lett. a), e 6 GDPR, in relazione alla mancanza di una base giuridica idonea. Il Garante esclude che il trattamento possa ricondursi all’art. 6, par. 1, lett. e), perché Meta non è un soggetto investito di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, né che possa fondarsi sull’art. 6, par. 1, lett. b), perché le funzioni EDI non sono oggettivamente necessarie all’esecuzione del contratto con l’utente.

L’Autorità richiama anche le Linee guida EDPB 2/2019, che interpretano in modo rigoroso la base contrattuale e negano che il mero miglioramento del servizio, o la raccolta di dettagli sul coinvolgimento degli utenti, possa di regola fondarsi sull’art. 6, par. 1, lett. b). Analogamente, viene respinto il richiamo al Digital Services Act, sia perché successivo ai fatti, sia perché comunque non imponeva i trattamenti concretamente effettuati.

Limitazione delle finalità e trattamenti ulteriori

La funzione EDI, secondo Meta, avrebbe dovuto avere finalità meramente informative. Il Garante osserva però che i trattamenti effettuati andavano oltre il semplice invio di un promemoria civico, perché includevano la selezione dei destinatari, la raccolta delle interazioni, la conservazione per 90 giorni e la preparazione di dati aggregati. Tali operazioni sono considerate estranee alla finalità dichiarata e riconducibili, almeno in parte, a obiettivi propri della società, come il miglioramento del servizio o la dimostrazione dell’utilità dell’iniziativa.

Viene quindi accertata anche la violazione dell’art. 5, par. 1, lett. b), GDPR, per mancato rispetto della limitazione delle finalità. La contestazione relativa alla comunicazione dei dati a terzi viene invece archiviata, perché Meta ha dichiarato di non averla effettuata in concreto, anche in ragione del divieto disposto dal Garante nel precedente avvertimento.

Correttezza, trasparenza e informative agli interessati

Il provvedimento ritiene violato anche il principio di correttezza di cui all’art. 5, par. 1, lett. a), GDPR, oltre alle regole su trasparenza e informativa degli artt. 12 e 13 GDPR. Le informazioni rese agli utenti sono giudicate insufficienti perché:

• non indicano chiaramente la base giuridica;
• si limitano a rinvii generici alla Privacy Policy;
• non rendono comprensibile che i dati di età, sesso, posizione e interazioni sarebbero stati usati per finalità di sensibilizzazione e possibile aggregazione;
• non chiariscono adeguatamente tempi di conservazione e finalità ulteriori.

Il Garante osserva inoltre che l’interlocuzione della DPC irlandese si era concentrata soprattutto sulla trasparenza del prodotto, senza affrontare compiutamente i profili di liceità e di compatibilità con il diritto italiano. Le dichiarazioni del report annuale della DPC, citate nel provvedimento, sono lette come conferma che le modifiche introdotte riguardavano la maggiore trasparenza e non sanavano i profili sostanziali del trattamento.

Violazione dell’art. 31 GDPR e collaborazione con l’Autorità

La condotta di Meta viene ritenuta non conforme ai doveri di collaborazione previsti dall’art. 31 GDPR. Il Garante evidenzia che la società ha fornito riscontri generici, non esaustivi e in parte contraddittori, soprattutto sulla base giuridica, sull’aggregazione e sulla possibile condivisione dei dati. È inoltre criticato il rifiuto di sospendere il trattamento quando richiesto in via prudenziale.

L’Autorità sottolinea che il comportamento della società ha ostacolato l’istruttoria e ha reso necessario l’uso di poteri straordinari, prima con l’avvertimento urgente ai sensi dell’art. 66 GDPR e poi con la limitazione provvisoria. Per questo viene confermata la violazione dell’art. 31 GDPR.

Profili trasmessi alla DPC irlandese

Pur ritenendo di essere competente sugli aspetti esclusivamente locali, il Garante decide di trasmettere alla DPC irlandese gli aspetti ritenuti non esclusivamente locali. In particolare, segnala possibili violazioni di:

• art. 5, par. 1, lett. a), per trasparenza e correttezza;
• art. 5, par. 1, lett. c), per minimizzazione;
• art. 5, par. 1, lett. e), per conservazione;
• artt. 12 e 13 GDPR, per insufficienza informativa;
• art. 25, par. 2, GDPR, per privacy by design e minimizzazione.

Il Garante contesta la lettura della DPC, che aveva distinto il “caso nazionale” dagli altri profili, ma decide di autolimitare in questa sede i propri poteri su tali aspetti per ragioni di cooperazione istituzionale.

Provvedimenti finali adottati

All’esito del procedimento, il Garante:

• rivolge a Meta un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, per la rappresentazione incompleta, generica e fuorviante resa all’Autorità;
• impone il divieto di qualsiasi trattamento, compresa la conservazione, dei dati personali di interessati italiani raccolti tramite EDI in occasione delle elezioni del 25 settembre 2022, ai sensi dell’art. 58, par. 2, lett. f), GDPR;
• rivolge un avvertimento ai sensi dell’art. 58, par. 2, lett. a), GDPR, per future iniziative analoghe, che dovranno rispettare il principio di liceità e disporre di una base giuridica adeguata;
• ingiunge a Meta, ai sensi dell’art. 58, par. 2, lett. d), GDPR, di comunicare entro 60 giorni le iniziative adottate per attuare il divieto e, per eventuali future consultazioni elettorali analoghe, almeno 30 giorni prima;
• dispone la trasmissione del provvedimento alla DPC irlandese, al Ministero dell’interno e ad AGCOM.

Il provvedimento segnala infine che l’eventuale mancato adempimento alle prescrizioni può comportare l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, GDPR. Non viene applicata, in pendenza di opposizione, la sanzione accessoria della pubblicazione dell’ordinanza ingiunzione.