La CNIL, Autorità Garante per la protezione dei dati personali francese, ha emesso una sanzione nei confronti della piattaforma social TikTok pari a 5 milioni di euro. Le motivazioni poste alla base del provvedimento sanzionatorio sono due: la mancata previsione di modalità di revoca del consenso per i cookies semplice ed immediata, e la mancata enunciazione, in modo sufficientemente preciso, delle finalità per le quali i diversi cookies sono raccolti.
Dette pratiche hanno comportato, in particolare, una violazione dell’art. 82 del DPA, la legge sulla protezione dei dati personali francese (la quale a sua volta richiama il GDPR).
L’importo della multa è stato determinato sulla base di una serie di fattori, tra cui, in particolar modo, la gravità delle violazioni poste in essere, il numero di interessati coinvolti dalla violazione (molti dei quali minorenni) ed il numero di “preavvisi” effettuati da CNIL nei confronti della piattaforma al fine di garantirne la conformità alla legge francese sulla protezione dei dati. La società, infatti, si sarebbe adeguata alle prescrizioni normative previste dalla normativa nazionale e dal GDPR soltanto nel febbraio 2022, introducendo un pulsante dedicato al rifiuto dei cookies.
La sanzione si colloca a ridosso del colloquio tenutosi fra il CEO della società che gestisce la piattaforma e la Commissione Europea, nel quale, secondo quanto riportato dai Commissari, si è posta in rilievo proprio la necessità, da parte di TikTok, di adeguare le proprie politiche (soprattutto in relazione al trattamento dei dati personali degli utenti) alle vigenti normative europee.
TikTok, aperto tavolo di confronto con l’UE: focus su privacy e sicurezza dei servizi digitali
Indice degli argomenti
L’indagine avviata da CNIL
Il provvedimento sanzionatorio di cui si discute prende avvio da un’indagine, avviata nel maggio 2020 e protrattasi sino al giugno 2022, svolta da CNIL sul sito web “tiktok.com”, in una sessione, come riportato nel comunicato stampa ufficiale, non loggata. L’indagine non ha riguardato l’applicazione mobile della piattaforma.
CNIL ha anche richiesto a TikTok la produzione di una serie di documenti e questionari che potessero chiarire le modalità secondo le quali venivano svolte le operazioni di trattamento dati sulla piattaforma. Si chiedeva, inoltre, di rendere “ dettagli sulla finalità di ciascuno dei cookie menzionati in tale relazione e sulla finalità delle richieste rivolte a determinati settori menzionati nei documenti”.
Nel corso di una seconda ispezione, una delegazione della CNIL verificava che vi erano delle anomalie nella gestione dei cookie e, più nello specifico, nel banner dedicato alla raccolta dei consensi. Si verificava, in particolare, che il processo per esprimere il proprio dissenso alla raccolta dei cookie, o per effettuare un opt-out successivo, risultava più complesso e difficoltoso rispetto al processo per fornire il consenso alla raccolta dei medesimi cookie.
In esito alle attività di indagine condotte, CNIL riscontrava dunque una violazione dell’articolo 82 della legge n. 78-17, del 6 gennaio 1978, ossia la “legge sulla protezione dei dati” francese. Nella relazione notificata alla società, si imponeva non solo un’ammenda amministrativa pecuniaria, ma si ingiungeva altresì di interrompere il deposito di cookie e traccianti, fatto salvo il previo consenso dei residenti in Francia, al momento dell’apertura del sito “tiktok.com”. Detta ingiunzione viene, poi, revocata nella decisione finale, alla luce delle positive modifiche apportate da TikTok sulla propria piattaforma.
Le violazioni accertate
Come anticipato in premessa, le violazioni accertate da CNIL riguardano l’inadempimento degli obblighi relativi ai cookie da parte della piattaforma.
Come si legge nel testo della decisione, l’odierno provvedimento sanzionatorio si fonda sull’art. 82 della legge sulla protezione dei dati francese, la quale recepisce la direttiva relativa alla vita privata e alle comunicazioni elettroniche, prevede che “ogni abbonato o utente i un servizio di comunicazione elettronica deve essere informato in modo chiaro e completo, a meno che non sia stato preventivamente informato dal responsabile del trattamento o dal suo rappresentante:
- lo scopo di qualsiasi azione tendente ad accedere, mediante trasmissione elettronica, a informazioni già memorizzate nella sua apparecchiatura terminale di comunicazioni elettroniche, o a inserire informazioni in tale apparecchiatura;
- i mezzi a sua disposizione per opporvisi”.
“Tale accesso o registrazione”, continua la norma, “può avvenire solo a condizione che l’abbonato o l’utente abbia espresso, dopo aver ricevuto tali informazioni, il suo consenso, che può derivare da parametri appropriati del suo dispositivo di connessione o di qualsiasi altro dispositivo sotto il suo controllo. Queste disposizioni non si applicano se l’accesso alle informazioni memorizzate nell’apparecchiatura terminale dell’utente o la registrazione di informazioni nell’apparecchiatura terminale dell’utente:
- ha il solo scopo di consentire o facilitare la comunicazione con mezzi elettronici;
- oppure, è strettamente necessario per la fornitura di un servizio di comunicazione online su espressa richiesta dell’utente”.
Sulla scorta di quanto enunciato dalla presente norma, e dei controlli effettuati, l’Autorità Garante osserva, dunque, quanto segue:
- sebbene le società “TikTok UK e TikTok Ireland abbiano offerto un pulsante che consente l’accettazione immediata dei cookie, non hanno messo in atto una soluzione equivalente (pulsante o altro) per consentire all’utente di Internet di rifiutare il loro deposito con la stessa facilità. Sono stati necessari diversi clic per rifiutare tutti i cookie, al contrario di uno solo per accettarli”;
- rendere più complesso il meccanismo di rifiuto rispetto a quello di assenso scoraggia gli utenti dal rifiutare i cookies e li incoraggia a preferire la facilità del pulsante “accetta tutto”, che permette loro di accedere con maggior celerità al contenuto di interesse. Detto processo costituisce una violazione della libertà di consenso garantita agli utenti del web, oltre che una violazione dell’art. 82 precedentemente citato, “poiché non era così facile rifiutare i cookie come accettarli al momento dell’indagine online effettuata nel giugno 2021 e fino all’implementazione di un pulsante “Rifiuta tutto” nel febbraio 2022”;
- gli utenti non venivano informati “n modo sufficientemente preciso delle finalità (obiettivi) dei cookie, né sul banner informativo di primo livello né nell’ambito dell’interfaccia di scelta accessibile dopo aver cliccato su un link nel banner”.
L’autorità riscontrava, in particolare, come le finalità di analisi e marketing non fossero correttamente dettagliate, mancando qualsiasi indicazione ulteriore utile a ritenere che le reali finalità perseguite fossero coerenti con quanto indicato nell’informativa. L’utente, dunque, al momento della prestazione del consenso, non poteva sapere esattamente a cosa stava acconsentendo, e non poteva esprimere un consenso realmente libero e informato.
TikTok UK e TikTok Ireland sono stati ritenuti corresponsabili delle violazioni accertate in quanto è stato verificato, sulla base della documentazione prodotta dalle medesime, che le stesse determinano congiuntamente sia le finalità che i mezzi del trattamento per le operazioni di accesso o registrazione dei cookies nei terminali degli utenti francesi, agendo dunque come contitolari del trattamento preso in esame.
Le sanzioni
Per dette motivazioni, la formazione ristretta della CNIL ha:
- inflitto una sanzione amministrativa pecuniaria di 2,5 milioni di euro (due milioni e cinquecentomila euro) nei confronti di TikTok Information Technologies UK Limited, per violazione dell’articolo 82 della legge sulla protezione dei dati;
- inflitto una seconda sanzione amministrativa pecuniaria di 2,5 milioni di euro (due milioni e cinquecentomila euro) a TikTok Technology Limited, per violazione dell’articolo 82 della legge sulla protezione dei dati.
Non è stato ritenuto necessario emettere anche un’ingiunzione volta ad ordinare la cessazione del deposito di cookies e traccianti, alla luce del fatto che le società hanno comunque provveduto, nel settembre 2022, ad apportare una serie di modifiche alle proprie politiche di raccolta del consenso e all’interfaccia utente, che consentono agli interessati di essere ben informati sulle finalità dei vari cookies, e di effettuare una scelta facendo clic su un pulsante di scorrimento.
Resta dunque ferma la volontà di TikTok di adeguare il proprio impianto di raccolta dei dati a quanto previsto dalla normativa europea, secondo un principio di collaborazione e cooperazione con le autorità, le quali hanno più volte affermato e dimostrato, nel corso degli ultimi anni, di voler garantire il pieno rispetto delle prescrizioni normative da parte delle piattaforme social, sulle quali transitano, come nel caso di specie, moltissimi dati anche riferibili a minori, soggetti meritevoli di maggiori tutele.
