privacy - linee guida in materia di trattamento di dati personali per profilazione on line – provvedimento del Garante privacy del 19 marzo 2015 (pubblicato sulla Gazzetta Ufficiale n. 103 del 6 maggio 2015 – doc web n. 3881513)

All'interno dell'attuale società dell'informazione operano diversi fornitori di servizi on line accessibili al pubblico attraverso reti di comunicazione elettronica. Con il provvedimento in oggetto, il Garante per la privacy intende armonizzare, semplificandole, le diverse modalità attraverso le quali è possibile garantire il rispetto dei principi applicabili in materia di protezione dei dati personali nell'espletamento delle attività che caratterizzano la fornitura di servizi on line.

I servizi oggetto del provvedimento

La gamma dei servizi offerti, sul mercato ed in base alla tecnologia attuale, è ampia. Le diverse funzionalità cui si fa riferimento possono infatti variare dal motore di ricerca sul web alla posta elettronica, dalle mappe on line alla commercializzazione di spazi pubblicitari, dai social network alla gestione di pagamenti on line, dai negozi virtuali per l'acquisto di applicazioni, musica, film, libri e riviste, alla ricerca, visualizzazione e diffusione di filmati, da servizi di immagazzinamento, condivisione e revisione di testi, a software per la visualizzazione di immagini o per la gestione di agende e calendari, da funzionalità per il controllo e la gestione dei profili dell'utente, all'immagazzinamento (servizi cloud/storage), a strumenti di analisi statistica e di monitoraggio dei visitatori di siti web e così via.

Si tratta, per lo più, di funzionalità offerte a titolo gratuito agli utenti finali, dal momento che il modello imprenditoriale delle società coinvolte nella prestazione di tali servizi si fonda spesso su modelli di business che valorizzano gli introiti ad esse derivanti dalla pubblicità.

In molti casi, i dati raccolti vengono utilizzati per finalità di profilazione, cioè per l'analisi e l'elaborazione di informazioni relative a utenti o clienti, al fine di suddividere gli interessati in "profili", ovvero in gruppi omogenei per comportamenti o caratteristiche sempre più specifici, con l'obiettivo di pervenire all'identificazione inequivoca del singolo utente (cd. single out) ovvero del terminale e, per il suo tramite, anche del profilo, appunto, di uno o più utilizzatori di quel dispositivo. Gli utenti delle funzionalità prese in considerazione possono essere distinti a seconda che dispongano di un account creato a seguito di una procedura di registrazione per l'accesso "autenticato" ai servizi (cd. utenti autenticati, ad esempio per il servizio di posta elettronica), ovvero che utilizzino le medesime funzionalità in assenza di previa autenticazione (cd. utenti non autenticati).

Le diverse modalità di profilazione

Le indagini di carattere istruttorio condotte dall'Ufficio del Garante hanno consentito di identificare diversi ambiti, con riferimento ai quali il provvedimento richiama i soggetti coinvolti ad un puntuale rispetto delle disposizioni di legge in materia di trattamento dei dati, pur considerate le specificità dei contesti nei quali tali soggetti operano e, dunque, prendendo in considerazione possibili, particolari modalità idonee a garantire la necessaria tutela degli utenti. La profilazione in questione può essere effettuata essenzialmente mediante:

a) trattamento, in modalità automatizzata, dei dati personali degli utenti autenticati in relazione all'utilizzo del servizio per l'inoltro e la ricezione di messaggi di posta elettronica;

b) incrocio dei dati personali raccolti in relazione alla fornitura ed al relativo utilizzo di più funzionalità diverse tra quelle messe a disposizione dell'utente;

c) ad eccezione dell'utilizzo dei cookie (per i quali si fa espresso richiamo, oltre alla disciplina di legge, alle prescrizioni rese dall'Autorità con il provvedimento dell'8 maggio 2014, utilizzo di altri identificatori (credenziali di autenticazione, fingerprinting etc.), necessari per ricondurre a soggetti determinati, identificati o identificabili, specifiche azioni o schemi comportamentali ricorrenti nell'uso delle funzionalità offerte (pattern).

Il ricorso alle tecniche di identificazione di cui alla lettera c), si basa sul trattamento, da parte dei titolari, di dati personali ovvero anche di informazioni o parti di informazioni (che non sono o non sono ancora dati personali ma che, poste in associazione tra loro ovvero con altre informazioni, possono diventarlo), con l'obiettivo di pervenire all'identificazione inequivoca del terminale (cd. single out) e, per il suo tramite, anche del profilo di uno o più utilizzatori di quel dispositivo. Tale tecnica, denominata fingerprinting, utilizzata per il conseguimento delle medesime finalità di profilazione, risulta anch'essa disciplinata, al pari dell'impiego dei cookie, dal Codice della privacy (articolo 122), con ogni riflesso in ordine all'obbligo di acquisizione del consenso preventivo dell'interessato, tranne i casi di esenzione previsti (nella specie, trasmissione di una comunicazione su una rete di comunicazione elettronica o erogazione del servizio su richiesta dell'utente).

La sola differenza apprezzabile tra l'impiego dei cookie e del fingerprinting consiste nel fatto che mentre nel primo caso l'utente che non intenda essere profilato, oltre alle tutele di carattere giuridico connesse all'esercizio del diritto di opposizione, ha anche la possibilità di rimuovere direttamente i cookie, in quanto archiviati all'interno del proprio dispositivo, con riguardo al fingerprinting il solo strumento nella sua disponibilità consiste nella possibilità di rivolgere una specifica richiesta al titolare, confidando che essa venga accolta. Ciò in quanto il fingerprinting non risiede nel terminale dell'utente, bensì presso i sistemi del provider, ai quali l'interessato non ha, ovviamente, alcun accesso libero e diretto.

Gli adempimenti

Pur con alcune semplificazioni, indicate nel provvedimento in oggetto e variabili in considerazione della specificità dei servizi offerti, tutti i soggetti che comunque offrono ai propri utenti servizi on line accessibili al pubblico attraverso reti di comunicazione elettronica, con specifico riguardo ai trattamenti di dati personali relativi all'utilizzo delle funzionalità offerte, dovranno rispettare le regole previste dal Codice. In sintesi:

• Tutele per ogni utente. Occorre tutelare la privacy sia degli utenti autenticati, cioè quelli che accedono ai servizi tramite un account (ad esempio per l'utilizzo della posta elettronica), sia di quelli che fanno uso dei servizi in assenza di previa autenticazione (utenti non autenticati), come in caso di semplice navigazione on line.

• Informativa. L'informativa sul trattamento dei dati dovrà essere chiara, completa, esaustiva e resa ben visibile, già dalla prima pagina del sito. Essa costituisce il presupposto per consentire agli interessati medesimi di esprimere o meno il consenso all'uso dei propri dati per fini di profilazione ed è preferibile che sia strutturata su più livelli, per renderne più facile la lettura: un primo livello immediatamente accessibile con un solo click dalla pagina visitata, con tutte le informazioni di maggiore importanza (ad esempio l'indicazione dei trattamenti e dei dati oggetto di trattamento); un secondo livello, accessibile dal primo, con ulteriori dettagli sui servizi offerti.

• Consenso. Qualunque attività di trattamento dei dati personali dell'utente per finalità di profilazione e diversa da quelle necessarie per la fornitura del servizio (ad esempio, i filtri antispam o antivirus, gli strumenti per consentire ricerche testuali, etc.) potrà essere effettuata esclusivamente con il consenso informato dell'utente. Questo obbligo si applica dunque alla profilazione per finalità promozionali comunque effettuata: sia quella sui dati relativi all'uso della posta elettronica, sia quella basata sull'incrocio dei dati personali raccolti in relazione all'utilizzo di più funzionalità da parte degli utenti (ad esempio: posta elettronica e navigazione sul web, partecipazione a social network e utilizzo di mappe o visualizzazione di contenuti audiovisivi etc.), sia infine quella fondata sull'impiego di strumenti di identificazione diversi dai cookie (come il fingerprinting, che costruisce profili dell'utente sulla base di specifici parametri di impostazione del terminale o sulle modalità del suo utilizzo). Attraverso modalità semplificate, gli utenti potranno scegliere in modo attivo e consapevole se acconsentire alla profilazione. All'utente dovrà comunque essere sempre pienamente garantito il diritto di revoca delle scelte espresse in precedenza. A tale scopo dovrà essere predisposto un link, sempre ben visibile.

• Conservazione. Dovranno essere definiti tempi certi di conservazione dei dati, sulla base delle norme del Codice privacy, proporzionati alle specifiche finalità perseguite.

Nel rinviare alla lettura del provvedimento allegato, ricordiamo che per i trattamenti di dati, con l'ausilio di strumenti elettronici, volti a definire il profilo o la personalità dell'interessato, o ad analizzare abitudini o scelte di consumo, ovvero a monitorare l'utilizzo di servizi di comunicazione elettronica, con esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli utenti, l’articolo 37 del Codice prevede inoltre l’obbligo di effettuare la notificazione al Garante.

linee guida