La Data Protection Commission (Dpc) irlandese ha inflitto una sanzione da 5,5 milioni di euro a Whatsapp (Meta) per il mancato rispetto delle norme Ue (QUI LA NOTA DELL’AUTORITA’) e in particolare per l’obbligo agli utenti, da parte dell’azienda, ad acconsentire all’utilizzo dei dati personali in nome di miglioramenti del servizio e della sicurezza.
Meta nel mirino: seconda maxi sanzione da inizio anno
In una decisione correlata all’inizio del mese, l’autorità di vigilanza irlandese aveva già sanzionato Meta per 390 milioni per violazioni della privacy che coinvolgono Facebook e Instagram. Tutti e tre i casi risalgono al maggio 2018, quando sono entrate in vigore le severe normative UE sulla privacy. E riguardo al caso WhatsApp, il regolatore ha anche ordinato all’azienda di rendere le sue operazioni di trattamento dei dati conformi alle norme UE sulla privacy entro sei mesi. Whatsapp ha rimandato le accuse al mittente annunciando ricorso. “Crediamo fermamente che il modo in cui il servizio opera sia tecnicamente e legalmente conforme”, ha fatto sapere un portavoce.
Irlanda sede legale delle principali tech company extra Ue
L’autorità di regolamentazione irlandese, che è il principale regolatore dell’Ue anche perché molte delle tech company extra Ue hanno sede legale a Dublino, aveva già inflitto una multa da 225 milioni a Whatsapp nel 2021. E in totale ammontano a 1,3 miliardi le multe a carico di Meta fino ad oggi e sono una decina le indagini aperte sui servizi della società.
L’autorità di regolamentazione ha multato Meta per 1,3 miliardi di euro fino ad oggi e ha altre 10 indagini aperte sui suoi servizi.
Le contestazioni dell’Autorità a Whatsapp
- In violazione dei suoi obblighi di trasparenza, le informazioni relative alla base giuridica su cui WhatsApp Ireland si fondava non erano chiaramente illustrate agli utenti, con il risultato che gli utenti non avevano sufficiente chiarezza su quali operazioni di trattamento venissero effettuate sui loro dati personali, per quale/i scopo/i e con riferimento a quale delle basi giuridiche identificate nell’articolo 6 del Gdpr. Il Dpc ha ritenuto che la mancanza di trasparenza su tali questioni fondamentali violasse gli articoli 12 e 13, paragrafo 1, lettera c), del Gdpr. Il Dpc, avendo già imposto una multa molto consistente di 225 milioni di euro a WhatsApp Ireland per la violazione di questo e altri obblighi di trasparenza nello stesso periodo di tempo, non ha proposto l’imposizione di ulteriori multe o misure correttive, avendolo già fatto in una precedente indagine. Tutte le 47 Csa (Concerned Supervisory Authorities) hanno approvato questo elemento della bozza di decisione del Dpc.
- In circostanze in cui il Dpc ha riscontrato che WhatsApp Ireland non si è basata sul consenso degli utenti come base legittima per il trattamento dei loro dati personali, l’aspetto del “consenso forzato” dei reclami non poteva essere sostenuto. Da qui, il Dpc ha esaminato se WhatsApp Ireland fosse obbligata a fare affidamento sul consenso come base legale in relazione alla fornitura del servizio, anche per scopi di miglioramento del servizio e di sicurezza. In questo caso, il Dpc ha ritenuto che WhatsApp Ireland non fosse tenuta a fare affidamento sul consenso. Nessuna Csa (Concerned Supervisory Authorities) ha sollevato obiezioni a questa analisi e, di conseguenza, questo elemento del reclamo è stato respinto. L’Autorità di vigilanza tedesca a cui è stato originariamente presentato il reclamo ha ora la responsabilità di adottare una decisione separata per le parti che sono state respinte e di notificarla al reclamante e di informare WhatsApp Ireland ai sensi dell’articolo 60(9) del Gdpr.
