Like di Facebook sul sito: gestori corresponsabili per la GDPR

I gestori dei siti Web che incorporano gli strumenti di Facebook, affinché gli utenti possano esprimere una reaction a prodotti o articoli, sono corresponsabili della raccolta dei dati personali secondo la GDPR. È quanto ha stabilito la Corte di Giustizia Europea, in merito a una causa aperta in Germania. Quali sono le decisioni dei giudici e, soprattutto, le nuove misure riguardano unicamente il social network di Mark Zuckerberg?

Il caso

A sollevare la questione è stata un'associazione dei consumatori tedesca, la Verbraucherzentrale, che già dal 2015 ha contestato l'uso dei dati personali degli utenti su un portale di shopping online, Fashion ID.

Secondo quanto riferito dall'associazione, la società avrebbe trasmesso alla divisione irlandese di Facebook dei dati personali relativi ai suoi clienti, senza l'esplicito consenso di questi ultimi. Il tutto semplicemente incorporando gli strumenti per abilitare le reaction - ad esempio i like - direttamente sul sito.

Il Tribunale di Dusseldorf, chiamato a esprimersi sul caso, ha quindi chiesto un parere alla Corte di Giustizia dell'Unione Europea, data anche l'introduzione della GDPR per la protezione della privacy e delle informazioni sensibili degli utenti che navigano online.

Sebbene il portale di shopping abbia riferito di non aver un controllo diretto sui dati eventualmente raccolti da Facebook con il suo plugin per le reaction, se non la semplice statistica sui "mi piace" e le condivisioni raccolte, per la Corte i siti possono essere ritenuti corresponsabili della raccolta dei dati personali, poiché il plugin di Facebook comporta un trasferimento dei dati dell'utente dalla pagina del sito alla stessa piattaforma statunitense. E, come noto, Facebook utilizza queste informazioni - anche avvalendosi di sistemi di tracking - per delle azioni di advertising mirato.

I giudici, tuttavia, hanno specificato come i siti siano responsabili del trattamento delle informazioni raccolte dal plugin sulle loro pagine, ma non possono essere invece considerati tali dopo l'avvenuto trasferimento al social network.

Quali conseguenze?

Per quanto intricata, la sentenza ha un impatto importante sugli obblighi che i singoli gestori di siti Web devono assumere per garantire il pieno rispetto delle disposizioni contenute nella GDPR. In merito agli strumenti di Facebook, gli stessi gestori non possono essere più considerati soggetti passivi nella raccolta dei dati personali, bensì degli attori principali: sebbene il plugin sia di terze parti, l'azione di raccolta avviene sulla pagina del gestore, che deve quindi predisporre tutte le misure necessarie affinché la privacy dell'utente venga rispettata.

Poiché effettivamente il gestore del sito ha poche possibilità di determinare quali informazioni Facebook raccolga, e in che modo le gestisca, la società di Mark Zuckerberg ha promesso di elaborare opportune soluzioni affinché le terze parti possano continuare a usare i plugin in modo sicuro. D'altronde, pare che lo strumento per le reaction sia già disponibile su quasi 3 milioni di pagine, difficile quindi pensare a un eliminazione forzata per non imbattersi in doveri aggiuntivi per la GDPR.

L'effetto più grande, tuttavia, potrebbe essere sulle piattaforme social nel loro complesso. Oltre a Facebook, infatti, diversi servizi forniscono pulsanti, tool di condivisione e altre funzionalità da inserire all'interno dei siti. Anche in questo caso, i gestori potrebbero essere considerati corresponsabili.