Il Regolamento (UE) 2016/679 nel prevedere che ogni trattamento debba trovare fondamento in un’idonea base giuridica individua, come noto, nell’articolo all’articolo 6 le seguenti basi giuridiche: consenso, adempimento obblighi contrattuali, interessi vitali della persona interessata o di terzi, obblighi di legge cui è soggetto il titolare, interesse pubblico o esercizio di pubblici poteri, interesse legittimo prevalente del titolare o di terzi cui i dati vengono comunicati.

Per individuare la corretta base giuridica per il trattamento concernente la memorizzazione di dati personali nei dispositivi degli utenti per finalità di marketing ci si deve riferire alla Direttiva Europea 2002/58, (c.d. direttiva “ePrivacy”), e all’art. 122 del Codice in materia di protezione dei dati personali (che ne dà attuazione), secondo i quali si prevede espressamente come base giuridica “per l’archiviazione di informazioni, o l’accesso a informazioni già archiviate, nell’apparecchiatura terminale di un abbonato o utente” esclusivamente il consenso degli interessati.

Si tratta di un principio ribadito recentemente dal Garante in un provvedimento d’urgenza adottato il 7 luglio 2022, con il quale ha avvertito il noto social network Tik Tok che è illecito utilizzare dati personali archiviati nei dispositivi degli utenti per profilarli e inviare loro pubblicità personalizzata in assenza di un esplicito consenso.

Il caso è sorto dopo che Tik Tok aveva informato i propri utenti che, a partire dal 13 luglio, le persone maggiori di 18 anni sarebbero state raggiunte da pubblicità “personalizzata”, basata cioè sulla profilazione dei comportamenti tenuti nella navigazione e per fare questo aveva modificato la sua privacy policy prevedendo come base giuridica per il trattamento dei dati non più il consenso degli interessati, ma non meglio precisati “legittimi interessi” di Tik Tok e dei suoi partner.

Il Garante dopo aver avviato immediatamente un’istruttoria sulla modifica della privacy policy e chiesto informazioni al social network, ha concluso che tale mutamento della base giuridica risulta incompatibile con la direttiva europea 2002/58 , e con l’art. 122 del Codice in materia di protezione dei dati personali; norme che prevedono espressamente come base giuridica “per l’archiviazione di informazioni, o l’accesso a informazioni già archiviate, nell’apparecchiatura terminale di un abbonato o utente” esclusivamente il consenso degli interessati.

L’Autorità italiana, avvalendosi di uno dei poteri previsti dal Regolamento Ue, ha pertanto inviato un “avvertimento” formale alla Società, avvisando che un trattamento effettuato sulla base giuridica del “legittimo interesse”, almeno in relazione alle informazioni archiviate sui dispositivi degli utenti, si porrebbe al di fuori della cornice normativa in vigore, con le evidenti conseguenze, anche di carattere sanzionatorio.

Fonte: Avv. Marco Soffientini – Federprivacy