Qualche giorno fa il Garante italiano per la Protezione dei Dati ha reso pubbliche alcune importanti decisioni riguardanti Wind Tre S.p.A e Facebook, relativamente al caso Cambridge Analytica.

    1. Telemarketing indesiderato - 600.000 euro di sanzione a Wind Tre

Il Garante per la Privacy ha comminato a Wind Tre una sanzione di 600.000 euro per gravi violazioni del GDPR e della normativa nazionale in materia di protezione dei dati personali. La sanzione segue la dichiarazione di illecito trattamento dei dati dei clienti effettuato dalla società, dichiarazione conseguente a numerosissime segnalazioni di utenti. Tra le altre cose, Wind Tre ha ricevuto anche il divieto di utilizzare nuovamente tali dati ai fini di marketing. L'illecito origina dall'uso senza consenso dei dati dei clienti a fini promozionali, ma anche dal trasferimento, in maniera continuativa e sistematica, di tali dati alla propria rete di partner senza consenso esplicito degli utenti. Il Garante ha anche riconosciuto la mancata verifica, nelle liste di contatti, di coloro che avevano espresso il desiderio di non essere contattati a scopi pubblicitari, nonostante le liste recassero l'indicazione del consenso o meno espresso da ogni utente.

L'importo della sanzione è stato valutato tenendo conto della gravità delle violazioni contestate, dell'uso di differenti canali di contatto (telefonate e sms) e dell'esponenziale aumento nel tempo dell'invasività delle campagne di marketing. In termini favorevoli invece (inteso in termini di riduzione della sanzione), il Garante ha preso atto di come Wind Tre avesse comunque già posto in essere iniziative per eliminare tali problematicità ben prima del provvedimento di divieto. Iniziative rafforzate ulteriormente con l'entrata in vigore del GDPR.

       2. Cambridge Analytica: conclusa l'istruttoria sono in preparazione le sanzioni

Si è recentemente conclusa l'istruttoria del Garante per la Protezione dei dati nei confronti di Facebook attinente al caso Cambridge Analytica. Le verifiche hanno rilevato come i dati degli utenti acquisiti tramite l'app "Thisisyourdigitalife", un test della personalità finalizzato alla raccolta di informazioni personali da profilare, per quanto non trasmessi a Cambridge Analytica sono comunque stati trattati illecitamente data l'assenza di una idonea e chiara informativa e di un consenso esplicito e specifico da parte degli utenti. Il Garante ha vietato quindi ulteriore trattamento di tali dati e sta avviando un procedimento sanzionatorio separato.

Dall'istruttoria è emerso anche uno specifico trattamento dei dati personali degli utenti italiani in occasione delle elezioni politiche del 4 Marzo, tramite un'app installata su Facebook rinominata "Candidati". Questa app consentiva agli elettori che fornivano la propria email di ricevere informazioni sui candidati della propria circoscrizione. Facebook, per quanto abbia ripetutamente dichiarato di non aver usato tale app per registrare le preferenze elettorali degli utenti, ha comunque conservato i log delle azioni degli utenti per un periodo di 90 giorni per poi estrarne "matrici aggregate" di non meglio precisata natura. In seconda battuta il Garante contesta a Facebook anche la comparsa, nel newsfeed degli utenti di Facebook, di un invito a condividere con gli altri utenti l'essersi recati o meno alle urne e un commento sulle elezioni. Nessuna di queste funzioni, concepite specificatamente per utenti italiani, è prevista nelle finalità indicate dalla data policy di Facebook, laddove invece il GDPR esprime chiaro obbligo di esplicitare le finalità di un trattamento dati, sopratutto quando in gioco vi sono informazioni sensibili come quelle relative all'orientamento politico di un soggetto.

Il provvedimento è stato già trasmesso all'omonima autorità irlandese, paese presso il quale ha sede Facebook in Euorpa, per le relative valutazioni di competenza: sono molto probabili future sanzioni amministrative per trattamento illecito.