L’Edpb (European data protection board) ha adottato tre decisioni vincolanti con cui risolve le controversie in materia di privacy suscitate dal trattamento dei dati degli utenti di Meta Platforms Ireland (Meta IE), la sede europea del gruppo americano che controlla Facebook, Instagram e WhatsApp. Le decisioni del Garante privacy europeo si basano sull’art. 65 del Gdpr e ora vincolano il Garante privacy irlandese, che aveva posto la questione all’autorità Ue, ad adottarle per risolvere le controversie. Per Meta questo potrebbe implicare anche sanzioni.
Il trattamento dati su Facebook & co
Come si legge nella nota dell’Edpb, le decisioni vincolanti prese affrontano importanti questioni legali derivanti dalle decisioni preliminari dell’Sa (Supervisory authority) irlandese come autorità di vigilanza principale (Lsa, Lead supervisory authority) per quanto riguarda le piattaforme di Meta IE Facebook, Instagram e WhatsApp. Le decisioni vincolanti dell’Edpb svolgono un ruolo chiave nel garantire la corretta e coerente applicazione del Gdpr da parte delle autorità nazionali di vigilanza.
L’Sa irlandese ha emanato la bozza di decisione a seguito di indagini basate su reclami sulle attività di trattamento dei dati da parte delle tre piattaforme. Per Facebook e Instagram si tratta, in particolare, della legittimità e trasparenza del trattamento dei dati per scopi di pubblicità comportamentale. La decisione preliminare su WhatsApp riguarda invece la legittimità del trattamento ai fini del miglioramento dei servizi.
La pronuncia sulla base giuridica del Gdpr
Diverse Sa hanno sollevato obiezioni sulle bozze di decisione preparate dalla Sa irlandese riguardanti, tra l’altro, la base giuridica per il trattamento (art. 6 Gdpr), i principi di protezione dei dati (art. 5 Gdpr) e l’uso di misure correttive, comprese le multe.
Poiché non è stato raggiunto alcun consenso su tali obiezioni, l’Edpb è stato invitato a risolvere la controversia tra le Sa entro due mesi.
Nelle sue decisioni vincolanti l’Edpb risolve, tra l’altro, la questione se il trattamento dei dati personali per l’esecuzione di un contratto costituisca o meno una base giuridica adeguata per la pubblicità comportamentale, nel caso di Facebook e Instagram, e per il miglioramento del servizio, nel caso di WhatsApp.
Meta a rischio multa
L’Lsa – ovvero, nel caso di Meta, l’Autorità irlandese per la protezione dei dati – adotterà le sue tre decisioni definitive, indirizzate al responsabile del trattamento, sulla base delle decisioni vincolanti dell’Edpb, al più tardi un mese dopo che l’Edpb ha notificato le sue decisioni e potrebbero includere uno schema di sanzioni. L’Edpb pubblicherà le sue decisioni sul suo sito web dopo che l’Lsa avrà notificato le sue decisioni nazionali al responsabile del trattamento.
Secondo quanto scrive il Wall Street Journal, le decisioni potrebbero limitare i dati a cui Meta può accedere per vendere gli annunci mirati. La posizione dell’Edpb è – riporta il quotidiano finanziario – che la legge sulla privacy Ue non consente alle piattaforme di social media di Meta, come Facebook e Instagram, di usare i termini di utilizzo come giustificazione per consentire la pubblicità basata su ciò che gli utenti cliccano e guardano all’interno delle loro app. Le autorità per la privacy irlandesi avrebbero proposto una multa di 26-36 milioni di euro ma il Cnil francese e altri Garanti nazionali vorrebbero una sanzione più alta. Di qui il ricorso allo Edpb.
Meta ha commentato dichiarando all’Afp che le decisioni adottate non sono “definitive ed è troppo presto per fare speculazioni”.
Secondo il sito Politico, che ha consultato i documenti finanziari, il gruppo Meta ha accantonato 3 miliardi di euro per eventuali sanzioni europee nel 2022 e 2023.
