TIKTOK: IL GARANTE PRIVACY BLOCCA L’APP A TUTELA DEI MINORI

Dopo la morte della bimba undicenne di Palermo il Garante interviene d’urgenza contro TikTok: come finirà ?

I recenti fatti di cronaca della bimba undicenne di Palermo che, dopo avere ricevuto in regalo un cellulare, è stata trovata dai genitori priva di vita per avere partecipato – così emerge dai primi accertamenti – a una “sfida” estrema lanciata sul social network Tiktok impone di interrogarsi una volta di più – anche alla luce del conseguente provvedimento d’urgenza di “blocco” adottato il 22.2.2021 dal Garante della protezione  dati personali  italiano –  sull’uso, da parte dei minori, dei social networks e sulla sottostante delicata questione del trattamento dei loro dati personali da parte delle società commerciali.

L’INDAGINE SU TIKTOK DEL GARANTE ITALIANO DELLA PROTEZIONE DEI DATI PERSONALI

Già a metà del mese di dicembre del 2020 il Garante italiano della protezione dei dati personali (GPDP) aveva avviato un procedimento contro ByteDance, la società cinese attiva nel settore informatico titolare della applicazione TikTok, contestando alla stessa una scarsa attenzione alla tutela degli utenti minorenni della piattaforma.

TikTok è un social network che consente ai suoi fruitori di realizzare e condividere video di breve durata ed è oggi, dopo avere superato due colossi come Instagram e Facebook, l’applicazione di “condivisione” più scaricata al mondo.

Le contestazioni del GPDP all’applicazione TikTok

Le contestazioni sollevate dal GDPR a dicembre 2020 riguardavano una serie di violazioni tanto del Regolamento UE n. 679/2016 sul trattamento dei dati personali delle persone fisiche – il cd. GDPR – che del Codice della Privacy italiano – il d.lgs. n. 196/2003, come modificato dal d.lgs. 101/2018, n. 101.

Le carenze nella verifica dell’età dell’utente

In particolare il Garante contestava a TikTok la non conformità alle normativa comunitaria e italiana sulla modalità di rilascio dell’informativa sul trattamento dei dati, sul trasferimento dei dati all’estero, sul periodo (ritenuto non congruo) di conservazione dei dati ma, soprattutto, la inidoneità degli strumenti adottati dalla applicazione – stante la peculiare disciplina e tutela riservata, come si dirà di seguito, ai minori – per verificare l’età anagrafica degli utenti con evidente riferimento, appunto, al problema della protezione degli utenti minorenni.

I PRESUPPOSTI PER LA TUTELA RAFFORZATA DEI MINORI NELLA LEGISLAZIONE EUROPEA

Era stato del resto lo stesso legislatore comunitario a spiegare puntualmente, nelle considerazioni che precedono il testo del citato GDPR – esattamente al considerando 38 – i motivi che richiedono una speciale salvaguardia dei minori relativamente alla protezione dei loro dati personali.

La necessità di tale protezione  “rafforzata” dipende dalla constatazione che i minori sono potenzialmente “meno consapevoli dei rischi, delle conseguenze e delle misure di salvaguardia” necessarie alla protezione dei loro dati così come meno consci dei loro diritti in relazione al trattamento dei dati stessi.

L’art. 8 del GDPR: il cd “consenso digitale“ del minore 

Questa protezione dedicata deve riguardare in particolare il caso del trattamento dei dati effettuato in occasione dell’utilizzo, da parte del minore, di servizi  forniti direttamente allo stesso, come avviene, ad esempio, nel caso della fruizione, da parte dei minori, dei servizi offerti agli stessi dai social network.

Gli strumenti “legali” di maggiore protezione: l’uso di linguaggio adeguato all’età

Dato che i minori meritano una protezione specifica, il Regolamento in primo luogo prevede che qualsiasi informazione e comunicazione destinata al minore – ad esempio in fase di iscrizione o creazione di un profilo utente, durante la quale vengono conferiti dati anagrafici, la cd. attività di sign-up – debba essere effettuata utilizzando un linguaggio semplice e chiaro che sia agevolmente comprensibile per il minore che ascolta o legge.

Il consenso del minore e l’autorizzazione del genitore

Inoltre, quando il presupposto per il trattamento dei dati è il consenso dell’interessato, il regolamento detta una specifica norma se quest’ultimo è un minore.

L’art. 8 del GDPR prevede che se il trattamento riguarda i servizi della società dell’informazione offerte direttamente, è necessario e “sufficiente” il  consenso dato direttamente dal minore che abbia compiuto i 16 anni, e sempre a condizione che detto consenso a sia consapevole e informato.

Se invece il minore è infrasedicenne il trattamento dei dati è lecito solo vi è l’autorizzazione del genitore o di un altro adulto che esercita sul minore la responsabile genitoriale.

La norma prevede tuttavia che gli Stati membri possano stabilire per legge un’età inferiore a 16 anni come “età soglia” purché non sia inferiore ai 13 anni.

L’Italia, avvalendosi di questa facoltà, con il D.lgs. 101/2018 ha fissato la minore età digitale a 14 anni.

Gli obblighi dei soggetti che trattano i dati personali nell’accertamento dell’età

Ma come può un social network “accertarsi” della età di un utente e, se richiesto, verificare l’effettivo consenso prestato dal genitore o da chi esercita la responsabilità genitoriale sul minore?

L’art. 8 del GDPR impone ai soggetti che raccolgono e trattano i dati dei minori, i cd. titolari del trattamento o data controller, il dovere di “adoperarsi in ogni modo ragionevole” – tenuto conto delle tecnologie di fatto disponibili – per accertarsi che il consenso sia stato effettivamente e lecitamente prestato dal minore che ha compiuto i 16 anni ( o l’età inferiore prevista dagli Stati membri) ovvero che l’uso sia autorizzato dal genitore del minore che è sotto l’età soglia.

Modalità pratiche di verifica dell’età: alcuni strumenti

Il GDPR non precisa le modalità pratiche per adempiere a questo “sforzo ragionevole” di indagine sull’età imposto ai titolari. Spetta dunque alle singole società dell’informazione predisporre degli strumenti idonei per accertarsi dell’età dell’utente.

Lo strumento “minimale” è costituito dalla richiesta della data di nascita e del Paese di localizzazione, e, eventualmente, dell’indicazione della mail del genitore al quale inviare una comunicazione per “notificargli” la richiesta o, se necessario, ottenere l’autorizzazione dovuta.

Un ulteriore livello di verifica può essere costituito dalla richiesta di specifiche informazioni ulteriori potenzialmente “rivelatrici” – ad esempio il codice fiscale – o ancora dalla proposizione di quesiti il cui superamento o meno dovrebbe collocare presuntivamente il soggetto, considerata la complessità delle domande poste, in una determinata fascia di età.

È chiaro che si tratta pur sempre di strumenti che non sono del tutto al riparo da manipolazioni e tuttavia possono rendere meno immediato e agevole l’accesso indiscriminato ai servizi.

LA RISPOSTA INTERLOCUTORIA DI TIKTOK E LE IMPLEMENTAZIONI ANNUNCIATE 

Ricevuta la notifica del procedimento aperto dal Garante italiano, TikTok, in ragione del periodo natalizio e delle difficoltà create dalla pandemia in corso, chiedeva una proroga del termine entro quale rispondere alle contestazioni sollevate dall’autorità di controllo italiana, termine che andava a scadere proprio a fine gennaio 2021.

Già all’inizio di gennaio del 2021 la società cinese, attraverso organi di stampa, rendeva tuttavia noto che su TikTok sarebbero state presto implementate delle misure ad hoc per aumentare il livello di protezione della privacy degli utenti minorenni.

Trasformazione dei profili di minori da pubblici in privati

Una delle più importanti tra le novità annunciate dai responsabili dell’area Europa – dove si applica il GDPR UE 679/2016 – era indicata nella automatica trasformazione da pubblici a privati dei profili degli utenti minorenni di età compresa tra 13 e 15 anni.

Questa trasformazione farà sì, secondo quanto dichiarato dalla società cinese, che i filmati di questi profili non potranno più comparire nella sezione “Per te” – nella versione inglese “For you” – della generalità di tutti gli utenti della piattaforma ma solo su quella dei “followers” dei minori, ovvero sui profili degli altri utenti che sono collegati a quello del minore e che saranno gli unici autorizzati a vedere i video del minore o poter messaggiare con lui.

Per questi utenti TikTok disabiliterà in automatico, impostandola in default su “off” – l’opzione “Suggerisci il tuo account agli altri”.

Limitazioni alle opzioni di commento

Una seconda importante novità annunciata dai vertici del social network riguarderà la limitazione, per gli utenti tra i 13 e i 15 anni, alle opzioni di commento dei loro video: mentre per gli utenti con più di 16 anni sarà sempre possibile scegliere che a commentare i loro video i siano “tutti” gli utenti, o solo gli “amici”, o “nessuno”, i più giovani non avranno accesso all’opzione “tutti” gli utenti, ma solo alle altre due.

IL PROVVEDIMENTO DI BLOCCO DEL GARANTE DEL 22 GENNAIO 2021

Il Garante della Privacy italiano, considerato l’evento tragico della morte della bambina di Palermo, con decisione assunta in via d’urgenza in data 22 gennaio 2021 – la n. 9524194 – e ritenendo che ricorressero delle circostanze eccezionali tali da giustificare l’adozione di misure urgenti e provvisorie a tutela dei diritti e delle libertà degli utenti del social, ha intanto ordinato al società proprietaria di Tik Tok, ai sensi dell’art. 58 del GDPR, la limitazione provvisoria del trattamento dei dati degli utenti che si trovano sul territorio italiano e la cui età non è stata verificata.

In sostanza, in applicazione dei poteri conferiti alle autorità di controllo nazionale dall’art. 66 del GDPR, l’autorità di controllo italiana ha disposto con effetto immediato nei confronti di TikTok, ai sensi dell’art. 58 del GDPR, il blocco – con effetto immediato dalla data di ricezione del presente provvedimento – del trattamento dei dati riferiti a profili per i quali non vi sia assoluta certezza dell’età e, conseguentemente, del rispetto delle disposizioni collegate al requisito anagrafico.

Di tale decisione il GPDP ha dato tempestiva notizia, come previsto, a tutte le altre autorità di controllo europee, al Comitato europeo per la protezione dei dati e alla Commissione europea.

CONSIDERAZIONI FINALI

Il provvedimento del GPDP va ovviamente valutato per quello che è: un provvedimento “interinale” che durerà per il momento fino al 15 febbraio 2021, data entro la quale il Garante si è riservato ulteriori valutazioni.

Il tema della tutela dei minori – considerata anche la pervasività dello strumento nella vita quotidiana di milioni di giovanissimi e la sua diffusione a livello mondiale – richiederà necessariamente un intervento sovranazionale, perlomeno a livello europeo: il Garante per la privacy italiano aveva già sollecitato, nel gennaio 2020, il Comitato europeo per la protezione dei dati personali (Edpb) – organismo che riunisce tutte le Autorità privacy dell’Unione – alla creazione di una specifica task force.

La ricerca di un punto di equilibrio tra la libertà di espressione del minore e la necessaria protezione della sua fragilità resterà la vera e difficilissima sfida da affrontare.