L’autorità garante irlandese ha annunciato la conclusione dell’indagine aperta nei confronti di Meta Platforms Ireland Limited, società madre della piattaforma social Facebook, irrogando altresì una sanzione di 265 milioni di euro e ordinando l’adozione di una serie di misure correttive.
Non si tratta della prima sanzione di rilievo che l’autorità irroga nei confronti dell’azienda: solo in settembre, infatti, il Garante irlandese aveva sanzionato Instagram (società che fa sempre parte del gruppo Meta) per 405 milioni di euro, a conclusione di un’indagine che si focalizzava sulle policy di trattamento dei dati degli utenti di minore età, ricompresa tra i 13 e i 17 anni (detti utenti, infatti, potevano operare anche come account business, e questo rendeva più facile la diffusione del numero di telefono dell’utente o del suo indirizzo email).
Ancora, a marzo di quest’anno Meta si era nuovamente vista multare per 18,6 milioni di dollari per non aver correttamente registrato una serie di violazioni di dati intercorse nel 2018 e che portarono alla diffusione di circa 30 milioni di utenti di Facebook.
Nel corso del 2022, dunque, Meta ha ricevuto dal solo garante irlandese sanzioni per quasi 700 milioni di euro: importi senza dubbio rilevanti, anche se non impattanti sui risultati economici della società, e ridotti rispetto all’effettivo valore che i dati oggetto di violazione potrebbero avere nel mercato, che mostrano come l’atteggiamento delle autorità garanti sia mutato, verso una linea di condotta sempre meno favorevole alle Big Tech.
Instagram ha violato la privacy dei minori: dal Garante irlandese super multa da 405 milioni di euro
Indice degli argomenti
L’indagine dell’Autorità irlandese
Come riportato nel comunicato ufficiale dell’Autorità irlandese, l’indagine, iniziata ad aprile 2021, prendeva spunto da una serie di report che avevano riscontrato nel web la presenza di un dataset di dati personali di utenti Facebook, estratti illecitamente dalla piattaforma mediante un’attività di c.d. data scraping.
Si tratta di una tecnica il cui scopo è quello di estrapolare, a partire da un testo, una serie di informazioni, che vengono elaborati e archiviati all’interno di un database in forma integrale o rielaborata. Vi sono anche usi leciti di detta tecnica, come la creazione di una copia di sicurezza delle pagine, o l’analisi dei contenuti di un sito web.
Allo stesso modo, tuttavia, lo scraping è utilizzato in modo illecito quando finalizzato ad estrapolare informazioni da rivendere, o danneggiare il sito web consumando le risorse del server del sito web e limitando la navigazione ad altri soggetti.
L’Autorità, pertanto, apriva l’indagine relativa all’esame e alla valutazione degli strumenti di Facebook Search, Facebook Messenger Contact Importer e Instagram Contact Importer “in relazione al trattamento effettuato da Meta Platforms Ireland Limited (in prosieguo: il «MPIL») nel periodo compreso tra il 25 maggio 2018 e il settembre 2019”, al fine di verificare la conformità di detti strumenti ai principi dettati dal GDPR e, più nello specifico, all’art. 25, il quale sancisce i principi di c.d. privacy by design e by default.
L’Autorità ha dunque esaminato l’attuazione, da parte di Meta, delle misure tecniche e organizzative adeguate, ai sensi di quanto disposto proprio dall’art. 25.
“C’è stato un processo di indagine approfondito, compresa la cooperazione con tutte le altre autorità di controllo della protezione dei dati all’interno dell’UE”, si legge nel comunicato, “Tali autorità di controllo hanno concordato con la decisione del DPC”.
A conclusione dell’indagine, dunque, la decisione, adottata il 25 novembre ha registrato la violazione dell’art. 25, par. 1 e 2 del GDPR. A fronte della violazione, è stato previsto:
- un rimprovero formale;
- l’ordine, nei confronti di Meta, di rendere conforme il suo trattamento adottato una serie di azioni correttive specifiche entro un determinato lasso di tempo;
- l’imposizione di sanzioni amministrative pecuniarie per un totale di 265 milioni di euro.
Il commento di Meta
Un portavoce di Meta, in una nota, ha comunicato che resta priorità dell’azienda tutelare la privacy dei propri utenti: “Proteggere la privacy e la sicurezza dei dati delle persone”, ha sottolineato, “è fondamentale per il nostro lavoro. Per questo motivo abbiamo collaborato attivamente con l’Autorità Garante irlandese su questa importante tematica. Nel periodo a cui si fa riferimento, abbiamo apportato modifiche ai nostri sistemi, tra cui l’eliminazione della possibilità di effettuare lo scraping delle nostre funzionalità utilizzando numeri di telefono. Lo scraping non autorizzato di dati è inaccettabile e contrario alle nostre regole; continueremo a collaborare con i nostri partner per affrontare questa sfida di settore”.
Il portavoce ha poi riferito che la società sta esaminando attentamente la decisione, probabilmente per valutare la possibilità di appellarla innanzi alle autorità giudiziarie competenti ed ottenere una rideterminazione delle sanzioni.
L’art. 25 GDPR e le possibili soluzioni al data scraping
È interessante, nella decisione in esame, vedere come al centro della decisione vi siano i due principi di cui all’art. 25 GDPR, i quali talvolta passano in sordina rispetto a principi quali il diritto all’oblio o il diritto alla corretta informativa degli interessati.
All’interno di detta norma, infatti, il GDPR cristallizza quelli che sono due dei principi più rilevanti dell’intero impianto normativo: quello della protezione dei dati per impostazione predefinita e fin dalla progettazione. Detto principio comporta, in primo luogo, che ogni trattamento di dati debba essere, sin dal suo inizio, progettato secondo logiche di rigorosa tutela dei dati personali, al fine di evitare che questi ultimi possano vedere lesi i propri diritti alla riservatezza.
Pertanto, si legge, il titolare “tenuto conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche costituiti dal trattamento, sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso”, al fine di rispettare detto principio, dovrà mettere in atto misure – sia di natura tecnica che organizzativa – adeguate al rischio rilevato sulla base dei citati parametri, come la pseudonimizzazione o la minimizzazione dei dati.
L’incremento del numero di dati trattati, infatti, comporta senz’altro maggiori rischi per l’interessato, specie ove la violazione di detti dati possa dare adito a possibili furti di identità da parte di terzi animati da intenti dolosi.
Il par. 2 della norma, poi, impone al titolare del trattamento di adottare misure tecniche e organizzative adeguate non soltanto a garantire la sicurezza dei dati, ma anche a garantire che siano trattati, per impostazione predefinita, “solo i dati personali necessari per ogni specifica finalità del trattamento”.
Tale obbligo, continua, “vale per la quantità dei dati personali raccolti, la portata del trattamento, il periodo di conservazione e l’accessibilità. In particolare, dette misure garantiscono che, per impostazione predefinita, non siano resi accessibili dati personali a un numero indefinito di persone fisiche senza l’intervento della persona fisica”.
È evidente, dunque, come l’attuazione di tattiche di scraping dei dati, ossia di estrazione di detti dati dall’output generato da un altro programma, costituisce un rischio da prevenire assolutamente, soprattutto per piattaforme social come Facebook, nel quale sono contenuti indirizzi e-mail, numeri di telefono, e contenuti preferenziali che facilmente potranno rendere l’interessato oggetto di dannosi tentativi di ingegneria sociale o di tattiche di spamming/scamming/phishing.
A livello tecnico, vi sono una serie di strategie che il titolare può dunque mettere in atto per evitare che si verifichino episodi di data scraping, come:
- la limitazione della frequenza delle richieste di interazione col sito (che nel caso di scraping risultano eccessivamente incrementate);
- la modifica, a intervalli regolari, del markup HTML, in quanto i bot che effettuano data scraping sono agevolati dalla formattazione omogenea degli elementi HTML;
- l’utilizzo di CAPTCHA, in aggiunta alla limitazione del numero di richieste possibili, per bloccare i bot, che saranno incapaci di rispondere al quesito posto dal CAPTCHA.
