Prescrizioni del Garante n. 704 del 14/11/2024

Hoda s.r.l. - divieto di ulteriori trattamenti, ammonimento e valutazione di illiceità dei servizi Weople e LifeKosmos

Il Garante per la protezione dei dati personali ha esaminato il modello di trattamento predisposto da Hoda s.r.l. nell’ambito dei servizi Weople e LifeKosmos, avviando il procedimento a seguito di segnalazioni e reclami provenienti in prevalenza da operatori della grande distribuzione organizzata. L’istruttoria ha riguardato la raccolta di dati personali degli utenti, anche mediante esercizio della portabilità verso titolari terzi, la successiva elaborazione in chiave profilativa e statistica, nonché l’uso di deleghe per l’inoltro di richieste di esercizio dei diritti e di revoca del consenso.

Origine del procedimento e attività istruttoria

L’Autorità ha avviato il procedimento con atto dell’8 aprile 2021 ai sensi dell’art. 166, comma 5, del Codice, nei confronti di Hoda s.r.l. L’istruttoria ha incluso accertamenti ispettivi, acquisizione di documentazione e consultazione dei contenuti presenti nelle applicazioni Weople e LifeKosmos fino al 2 luglio 2024. La società ha depositato memoria difensiva e ha svolto audizione in videoconferenza.

Trattamenti esaminati

Dagli accertamenti è emerso che Hoda raccoglieva dati personali direttamente dagli utenti e, per loro conto, presso altri titolari del trattamento attraverso il diritto alla portabilità. I dati venivano poi elaborati con algoritmi proprietari per ricavarne profili di consumo e pattern statistici, utilizzati per veicolare pubblicità e prodotti analitici verso soggetti terzi. La società riconosceva agli utenti una percentuale dei ricavi ottenuti, in un modello descritto come valorizzazione economica dei dati personali.

Base giuridica contrattuale ritenuta inidonea

Il punto centrale del provvedimento riguarda l’inidoneità dell’art. 6, par. 1, lett. b), GDPR quale base giuridica dei trattamenti svolti nell’ambito di Weople e LifeKosmos. Il Garante richiama l’interpretazione rigorosa fornita dal WP29/EDPB: la necessità del trattamento va intesa in senso strumentale all’esecuzione di un contratto avente un oggetto diverso dal trattamento stesso. Non è sufficiente che il trattamento sia previsto o imposto dal contratto; al contrario, esso non può coincidere con l’oggetto della prestazione negoziale.

Nel caso esaminato, invece, la raccolta e l’elaborazione dei dati costituivano proprio la prestazione principale promessa agli utenti, finalizzata alla loro "valorizzazione" economica. Per questo motivo il Garante ha escluso che il contratto potesse fungere da valida base giuridica, rilevando anche dubbi sulla validità complessiva delle clausole predisposte dalla società, dato il carattere indeterminato della durata, delle modalità di sfruttamento e della facoltà di modifica unilaterale.

Categorie particolari di dati

Il provvedimento afferma che Hoda trattava anche dati appartenenti a categorie particolari, almeno fino alla loro classificazione e separazione. Anche sotto questo profilo il contratto non può costituire base giuridica: l’art. 9 GDPR non contempla il contratto tra i presupposti di liceità del trattamento di dati particolari. Il Garante ha quindi ritenuto illecito il trattamento di tali dati, respingendo le difese della società secondo cui l’acquisizione sarebbe stata involontaria o resa difficile da condotte di terzi.

Delega per la portabilità e revoca del consenso

Un ulteriore profilo di illiceità riguarda il meccanismo di delega predisposto da Hoda per l’esercizio dei diritti degli interessati, in particolare della portabilità ex art. 20 GDPR. La delega, secondo l’Autorità, non era sufficientemente specifica, circoscritta nell’oggetto e nel tempo, ma operava in modo generalizzato e potenzialmente illimitato, agganciata all’attivazione della cassetta di sicurezza e alla logica di sfruttamento commerciale dei dati.

Il Garante ha inoltre escluso che la revoca del consenso possa essere trattata come atto delegabile nel medesimo modo. La revoca è stata qualificata come espressione diretta e personale della volontà dell’interessato, funzionale a interrompere immediatamente il trattamento; perciò non può essere ricondotta a un meccanismo di rappresentanza così ampio e indeterminato.

Trattamenti riguardanti i minorenni

L’istruttoria ha accertato che Hoda trattava dati personali di 1.031 soggetti minorenni. Per tali soggetti non era stato richiesto il consenso né ai minori né a chi esercita la responsabilità genitoriale, e la società aveva continuato a richiamare la base giuridica contrattuale e, per alcune finalità, l’interesse legittimo. Il Garante ha ritenuto tale impostazione incompatibile con l’art. 8 GDPR e con la disciplina civilistica italiana sulla capacità di contrarre.

In particolare, il provvedimento sottolinea che il par. 3 dell’art. 8 GDPR non deroga alle regole nazionali sulla validità dei contratti con minori. Ne consegue che un minorenne non dispone della capacità di agire necessaria a sottoscrivere un contratto che consenta a un terzo di trattare i suoi dati personali in chiave commerciale e profilativa. L’Autorità richiama anche il Considerando 71 e il maggiore livello di vulnerabilità dei minori, soprattutto online.

Informativa e trasparenza

La contestazione relativa agli artt. 12 e 13 GDPR è stata ritenuta superata. Il Garante ha riconosciuto che Hoda aveva adottato un apparato informativo articolato, con documenti esplicativi, video e strumenti visivi che rendevano sufficientemente comprensibili i trattamenti. L’Autorità ha comunque suggerito di rendere più immediata la comprensione di alcuni articoli dell’informativa, senza che ciò incidesse sulle violazioni sostanziali accertate.

Esito del procedimento e misure adottate

Il Garante ha ritenuto accertate le violazioni degli artt. 6, par. 1, lett. b), 9 e 20 GDPR, nonché degli artt. 5 e 8 GDPR nei limiti sopra indicati. Ha quindi imposto a Hoda, ai sensi dell’art. 58, par. 2, lett. f), GDPR, il divieto di ogni ulteriore trattamento dei dati acquisiti in forza dei contratti e delle deleghe oggetto del provvedimento.

Pur riconoscendo la complessità delle questioni e la collaborazione della società, l’Autorità non ha applicato una sanzione pecuniaria. Ha invece rivolto a Hoda un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR e le ha ingiunto, ex art. 157 del Codice, di comunicare le iniziative intraprese per dare esecuzione ai divieti. È stato inoltre avvertito che l’eventuale mancato adempimento può comportare l’applicazione della sanzione di cui all’art. 83, par. 5, GDPR.

Tutela giurisdizionale

Avverso il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, entro trenta giorni dalla comunicazione, davanti al tribunale ordinario del luogo in cui ha sede il titolare del trattamento.