Prescrizioni del Garante n. 77 del 22/03/2023

Meta Platforms Ireland Limited - limitazione provvisoria del trattamento dei dati tramite EDI in ambito elettorale

Il Garante per la protezione dei dati personali, in via d’urgenza, ha disposto nei confronti di Meta Platforms Ireland Limited la limitazione provvisoria del trattamento dei dati personali dei cittadini italiani raccolti tramite la funzionalità EDI (Election Day Information) nel contesto delle elezioni politiche del 25 settembre 2022. Il provvedimento si inserisce nella continuità di un precedente avvertimento urgente e mira a mantenere una tutela immediata dei diritti degli interessati in attesa della definizione dell’istruttoria.

Contesto fattuale e origine del procedimento

L’Autorità richiama quanto emerso da agenzie di stampa nazionali a partire dal 20 settembre 2022: Meta avrebbe attivato su Facebook e Instagram una campagna informativa, tramite la funzionalità EDI, indirizzata agli utenti maggiorenni italiani, con finalità dichiarate di informazione al voto, contrasto alle interferenze e rimozione di contenuti che disincentivavano la partecipazione elettorale. Il Garante evidenzia la particolare delicatezza del momento, trattandosi del rinnovo del Parlamento nazionale, e la rilevanza costituzionale delle garanzie poste a tutela della regolarità delle operazioni elettorali.

Precedente avvertimento e cooperazione con l’autorità di controllo irlandese

Nel provvedimento viene richiamato l’avvertimento n. 448/2022 del 21 dicembre 2022, adottato d’urgenza ai sensi dell’art. 66, par. 1, GDPR. L’Autorità osserva che, successivamente, Meta ha trasmesso una comunicazione all’Autorità in data 8 febbraio 2023, nella quale ha manifestato l’intenzione di non condividere i dati, medio tempore aggregati, dei cittadini italiani raccolti tramite EDI, confermando sostanzialmente di aver effettuato operazioni di raccolta e conservazione di tali informazioni. Nel frattempo, il Garante ha svolto le procedure di cooperazione con la Data Protection Commission irlandese, che il 16 marzo 2023 ha riconosciuto la competenza del Garante per i trattamenti di Meta che incidono in modo sostanziale unicamente sugli interessati italiani, ai sensi dell’art. 56, par. 2, GDPR.

Valutazioni del Garante e necessità di tutela urgente

Il Garante osserva che gli effetti giuridici del precedente avvertimento erano provvisori e destinati a cessare il 22 marzo 2023. In tale quadro, ritiene persistenti seri rischi per i diritti e le libertà degli interessati, rischi che sarebbero aggravati dalla cessazione automatica di ogni misura cautelare. La valutazione tiene conto del fatto che il trattamento è svolto da un soggetto privato in occasione di un momento politico particolarmente sensibile per la vita democratica del Paese.

Misura adottata: limitazione provvisoria del trattamento

Sulla base dell’art. 58, par. 2, lett. f), GDPR, il Garante dispone nei confronti di Meta Platforms Ireland Limited, in qualità di titolare del trattamento, la limitazione provvisoria del trattamento dei dati personali dei cittadini italiani effettuato attraverso la funzionalità EDI. La misura decorre immediatamente dalla ricezione del provvedimento ed è posta in continuità con il precedente avvertimento n. 448/2022, con riserva di ogni ulteriore determinazione all’esito dell’istruttoria avviata sul caso.

Obblighi di comunicazione e profili sanzionatori

Il Garante, richiamando l’art. 58, par. 1, GDPR e l’art. 157 del Codice, invita inoltre il titolare a comunicare entro 20 giorni dalla ricezione del provvedimento quali iniziative siano state adottate per dare attuazione alla misura e a fornire un riscontro adeguatamente documentato. Viene espressamente ricordato che il mancato riscontro è punito con la sanzione amministrativa di cui all’art. 83, par. 5, lett. e), GDPR. È altresì evidenziato che l’inosservanza della misura disposta integra la sanzione penale di cui all’art. 170 del Codice e può dar luogo alle sanzioni amministrative previste dall’art. 83, par. 5, lett. e), GDPR.

Opposizione

Avverso il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, con ricorso da depositare presso il tribunale ordinario del luogo in cui ha la residenza il titolare del trattamento entro 30 giorni dalla comunicazione del provvedimento, ovvero entro 60 giorni se il ricorrente risiede all’estero.