La tutela dei dati personali torna al centro del dibattito europeo. L’Autorit\u00e0 norvegese per la protezione dei dati (Datatilsynet) ha inflitto una sanzione di 92 milioni di corone norvegesi, pari a circa 8,6 milioni di euro, a Xandr, societ\u00e0 di advertising oggi parte del gruppo Microsoft, per aver trattato e condiviso dati personali sensibili in violazione del Regolamento generale sulla protezione dei dati (GDPR). Si tratta della multa pi\u00f9 alta mai emessa nella storia dell’autorit\u00e0 norvegese per la tutela della privacy.<\/p>\n
La decisione<\/a> arriva al termine di una lunga vicenda iniziata nel 2020 grazie alle indagini del Consiglio dei Consumatori norvegese (Forbrukerr\u00e5det), membro del BEUC, l’Organizzazione europea dei consumatori di cui Adiconsum fa parte. Le indagini avevano messo in luce i meccanismi opachi dell’ecosistema pubblicitario online e il modo in cui enormi quantit\u00e0 di dati personali vengono raccolte, condivise e sfruttate per finalit\u00e0 commerciali, senza che gli utenti ne siano realmente consapevoli.<\/p>\n Il caso Grindr e la condivisione dei dati sensibili<\/strong><\/p>\n Al centro della vicenda vi \u00e8 l’app di incontri Grindr basata sulla geolocalizzazione e rivolta a persone gay, bisessuali, transgender e queer. Secondo quanto accertato dall’autorit\u00e0 norvegese, i dati degli utenti dell’app, compresi elementi dai quali era possibile desumere l’orientamento sessuale, venivano trasmessi attraverso la piattaforma pubblicitaria Xandr a potenzialmente migliaia di soggetti operanti nel mercato della pubblicit\u00e0 digitale.<\/p>\n Il rapporto “Out of Control<\/a>“, pubblicato dal Forbrukerr\u00e5det nel 2020, aveva documentato come il sistema della pubblicit\u00e0 comportamentale consentisse la diffusione di informazioni personali a un numero enorme di intermediari pubblicitari, rendendo praticamente impossibile per gli utenti sapere chi stesse trattando i loro dati e per quali finalit\u00e0.<\/p>\n La Datatilsynet ha stabilito che Xandr non poteva limitarsi a presumere che Grindr avesse ottenuto un consenso valido dagli utenti. Chi riceve e utilizza dati personali per finalit\u00e0 pubblicitarie ha infatti l’obbligo di verificare che tali dati siano stati raccolti nel rispetto della normativa. La responsabilit\u00e0, ha sottolineato l’autorit\u00e0, non pu\u00f2 essere trasferita ad altri operatori della filiera.<\/p>\n Perch\u00e9 questa decisione riguarda tutti i consumatori<\/strong><\/p>\n Il caso mostra in modo emblematico come funziona il cosiddetto sistema di “real-time bidding”, l’asta pubblicitaria in tempo reale che alimenta gran parte della pubblicit\u00e0 online. Ogni volta che una persona apre un’app o visita un sito, informazioni sul suo profilo possono essere condivise con una moltitudine di aziende affinch\u00e9 queste competano per mostrare un annuncio personalizzato. Tutto ci\u00f2 avviene in pochi millisecondi e spesso in modo invisibile all’utente.<\/p>\n Secondo le organizzazioni dei consumatori, questo modello economico permette la creazione di veri e propri “gemelli digitali” degli utenti, costruiti attraverso la raccolta continua di dati relativi a preferenze, abitudini di consumo, stato di salute, opinioni politiche e orientamento sessuale.<\/p>\n La sanzione a Xandr rappresenta quindi un importante precedente: le aziende che basano la propria attivit\u00e0 sullo sfruttamento dei dati personali non possono sottrarsi alle proprie responsabilit\u00e0 sostenendo di fare affidamento sulle dichiarazioni di altri soggetti.<\/p>\n Un messaggio anche per il futuro delle regole europee<\/strong><\/p>\n