Garante mette in guardia TikTok Italia e TikTok Technology in relazione alle attività pubblicitarie pianificate basate sul legittimo interesse

L'Autorità Garante per la protezione dei dati personali ('Garante') ha emesso, in data 7 luglio 2022, la propria Decisione n. 248, con la quale ha intimato a TikTok Italy Srl e TikTok Technology Limited una diffida urgente per presunte violazioni dell'articolo 5, comma 3, del Direttiva sulla privacy e sulle comunicazioni elettroniche (2002/58/CE) (e successive modifiche) ("la direttiva e-privacy") e l'articolo 122 del codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento della normativa nazionale al regolamento generale sulla protezione dei dati (regolamento ( UE) 679/2016) ('GDPR') ('il Codice'), a seguito di un comunicato stampa sull'emissione della diffida in questione.

Contesto della decisione In particolare, il Garante ha riferito di aver avviato un'istruttoria a seguito dell'annuncio di TikTok, nel giugno 2022, in merito a imminenti modifiche alla sua privacy policy. Nello specifico, il Garante ha spiegato che TikTok aveva comunicato agli utenti, anche tramite specifici messaggi, l'intenzione di iniziare, a partire dal 13 luglio 2022, a rivolgere agli utenti, di età superiore ai 18 anni, annunci personalizzati, basati su comportamenti di profilazione sulla piattaforma. Il Garante ha inoltre precisato che, secondo la nuova informativa privacy, tale trattamento dei dati personali sarebbe basato sui legittimi interessi di TikTok, dei suoi partner pubblicitari e dei suoi utenti, ai sensi dell'articolo 6, comma 1, lettera f), del GDPR, piuttosto che sul consenso degli interessati.

Successivamente, il Garante ha dichiarato di aver richiesto a TikTok Italia ulteriori informazioni, anche sui motivi alla base della scelta di far valere come base giuridica il legittimo interesse. Inoltre, il Garante ha osservato che TikTok Italia aveva chiarito, tra l'altro, che le attività di trattamento in relazione al targeting degli utenti con annunci personalizzati coinvolgerebbero sia i dati ricavati dalle attività su TikTok (ossia le informazioni raccolte direttamente dalle azioni degli utenti sul piattaforma) e dati derivati da attività esterne a TikTok (ossia informazioni ricevute da partner esterni operanti nei settori pubblicità, misurazione e dati, ottenute dall'attività degli utenti svolta al di fuori della piattaforma).

Risultato del Garante A seguito di quanto sopra, il Garante ha stabilito che, nonostante quanto comunicato da TikTok, dalla versione della privacy policy in vigore dal 13 luglio 2022 risultava evidente che TikTok, tra l'altro, intendeva utilizzare le informazioni raccolte automaticamente, vale a dire informazioni sul dispositivo degli utenti, incluso il sistema operativo, i modelli di digitazione, l'indirizzo IP e le informazioni sulla posizione di un utente. Separatamente, il Garante ha inoltre evidenziato che, secondo la medesima privacy policy, TikTok utilizza cookie e tecnologie di tracciamento similari, anche per finalità di marketing.

Pertanto, il Garante ha ritenuto che, sulla base dell'articolo 5, paragrafo 3, della Direttiva ePrivacy e dell'articolo 122 del Codice, l'attività pianificata di TikTok di indirizzare gli utenti con annunci personalizzati, attraverso la profilazione del loro comportamento all'interno della piattaforma, non può essere fondata sul legittimo interesse, almeno nella misura in cui tali attività siano basate, come espressamente indicato nella privacy policy di TikTok, su informazioni raccolte automaticamente e su informazioni memorizzate sul dispositivo degli utenti. Pertanto, il Garante ha concluso che il trattamento dei dati personali degli utenti che Tik Tok intende intraprendere a partire dal 13 luglio 2022 violerà verosimilmente l'articolo 5, comma 3, della Direttiva ePrivacy e l'articolo 122 del Codice.

Separatamente, il Garante ha evidenziato che, sulla base degli elementi sopra citati, le attività di trattamento di TikTok presentano anche alcuni profili di criticità ai sensi del GDPR, che sono oggetto di indagine da parte del Garante. Sul punto, il Garante ha inoltre confermato di aver informato della propria decisione il Consiglio europeo per la protezione dei dati ('EDPB') e la Commissione per la protezione dei dati ('DPC') e ha consigliato agli stessi di prendere in considerazione l'adozione di misure urgenti nell'ambito della le procedure di cooperazione previste dal GDPR.

Risultati In conclusione, il Garante ha emesso una diffida nei confronti di TikTok Italy e TikTok Technology ed ha evidenziato che, qualora lo stesso dovesse procedere con le attività di trattamento sopra descritte a partire dal 13 luglio 2022, il Garante si riserva di intraprendere ulteriori azioni, anche sanzionatorie. Il Garante ha infine rilevato che TikTok Italy e TikTok Technology possono impugnare la decisione dinanzi all'autorità giudiziaria ordinaria.

Leggi qui il provvedimento del 7 luglio 2022

11 Luglio - #Tik-Tok: Altolà del Garante Privacy alla pubblicità “personalizzata” basata sul legittimo interesse. Base giuridica inadeguata e rischi che la pubblicità arrivi anche ai minori Il Garante per la protezione dei dati personali manda un segnale forte a Tik Tok. L’Autorità, con un provvedimento d’urgenza adottato il 7 luglio, ha avvertito la piattaforma che è illecito utilizzare dati personali archiviati nei dispositivi degli utenti per profilarli e inviare loro pubblicità personalizzata in assenza di un esplicito consenso. Nelle scorse settimane il social network aveva informato i propri utenti che, a partire dal 13 luglio, le persone maggiori di 18 anni sarebbero state raggiunte da pubblicità “personalizzata”, basata cioè sulla profilazione dei comportamenti tenuti nella navigazione su TikTok. E aveva modificato la sua privacy policy prevedendo come base giuridica per il trattamento dei dati non più il consenso degli interessati, ma non meglio precisati “legittimi interessi” di Tik Tok e dei suoi partner. Il Garante aveva immediatamente avviato un’istruttoria sulla modifica della privacy policy e chiesto informazioni al social network. Sulla base degli elementi forniti dalla Società, l’Autorità ha ora concluso che tale mutamento della base giuridica risulta incompatibile con la direttiva europea 2002/58, la cosiddetta direttiva “ePrivacy” , e con l’art. 122 del Codice in materia di protezione dei dati personali (che ne dà attuazione), norme che prevedono espressamente come base giuridica “per l'archiviazione di informazioni, o l'accesso a informazioni già archiviate, nell'apparecchiatura terminale di un abbonato o utente” esclusivamente il consenso degli interessati. Oltre alla base giuridica inadeguata, il Garante ha messo in luce un aspetto che desta particolare preoccupazione e che riguarda la tutela dei minori iscritti alla piattaforma. Le attuali difficoltà mostrate da TikTok nell’accertare l’età minima per l’accesso alla piattaforma - ha osservato l’Autorità - non consentono infatti di escludere il rischio che la pubblicità “personalizzata” basata sul legittimo interesse raggiunga i giovanissimi, con contenuti non appropriati. L’Autorità italiana, avvalendosi di uno dei poteri previsti dal Regolamento Ue, ha pertanto inviato un “avvertimento” formale alla Società, avvisando che un trattamento effettuato sulla base giuridica del “legittimo interesse”, almeno in relazione alle informazioni archiviate sui dispositivi degli utenti, si porrebbe al di fuori della cornice normativa in vigore, con le evidenti conseguenze, anche di carattere sanzionatorio. L’Autorità si è pertanto riservata l’adozione di eventuali provvedimenti anche di urgenza qualora #TikTok non recedesse dal proprio proposito. La violazione della direttiva “ePrivacy” ha consentito al Garante di intervenire direttamente e in via d’urgenza nei confronti di Tik Tok, al di fuori della procedura di cooperazione prevista dal Gdpr, che avrebbe visto l’esercizio dell’iniziativa da parte dell’Autorità di protezione dati irlandese, Paese ove Tik Tok ha fissato il proprio stabilimento principale. In ogni caso, poiché anche il trattamento di informazioni diverse rispetto a quelle archiviate sui dispositivi degli utenti sulla base del legittimo interesse appare incompatibile con la disciplina europea in materia di protezione dei dati personali - in questo caso quella dettata dal Gdpr - il Garante ha contestualmente informato il Comitato europeo delle autorità di protezione dei dati personali e l’Autorità irlandese, perché valutino le ulteriori iniziative da intraprendere.

12 Luglio Tik Tok rinvia la pubblicità basata sul legittimo interesse. Per il Garante privacy “una decisione responsabile” A seguito dell’avvertimento del Garante Privacy, Tik Tok ha sospeso il passaggio al legittimo interesse come base giuridica per la pubblicità “personalizzata” per le persone maggiori di 18 anni, cioè fondata sulla profilazione dei comportamenti tenuti nella navigazione sulla piattaforma. L’Autorità Garante per la protezione dei dati personali prende atto della decisione “responsabile” del social network e si dichiara aperta a un dialogo finalizzato alla ricerca del bilanciamento tra interessi economici e diritti degli utenti. Nel provvedimento adottato d’urgenza lo scorso 7 luglio, il Garante della Privacy aveva avvertito Tik Tok che, in assenza di un esplicito consenso, l’utilizzo dei dati personali archiviati nei dispositivi degli utenti per profilarli e inviare loro pubblicità personalizzata sarebbe stato illecito. Contrariamente a quanto sostenuto dalla piattaforma, che aveva individuato nel proprio legittimo interesse la base giuridica per il trattamento dati relativi alla fornitura di pubblicità, secondo il Garante Privacy tale attività sarebbe stata in contrasto con la direttiva “ePrivacy” del 2002 e con il Codice in materia di protezione dei dati personali. L’archiviazione di informazioni, o l'accesso a informazioni già archiviate, nell'apparecchiatura terminale di un abbonato o utente prevedono espressamente come base giuridica l’esclusivo consenso degli interessati. Nell’avvertimento, l’Autorità Garante, alla luce dell’incapacità di Tik Tok (e di altri social network) di identificare le persone di maggiore età, aveva evidenziato il rischio che la pubblicità potesse raggiungere anche i minori. La violazione della direttiva “ePrivacy” ha consentito al Garante di intervenire direttamente e in via d’urgenza nei confronti di Tik Tok, al di fuori della procedura di cooperazione prevista dal #Gdpr. Contestualmente l’Autorità aveva comunque informato la Data Protection Commission d’Irlanda, Paese in cui Tik Tok ha il proprio stabilimento principale, e il Comitato europeo per la protezione dei dati personali.