Può un semplice soggetto che utilizza internet e passa una parte del proprio tempo libero sui social essere in qualche maniera Titolare del Trattamento ai sensi del GDPR? Tranquillizziamo i naviganti: la norma sul punto è chiara. Il GDPR si applica ad aziende, privati e professionisti che raccolgono e utilizzano dati personali. Non si applica quindi ai privati e una nonna che ha nel cellulare solo i numeri dei figli e dei nipoti non dovrà raccogliere il loro consenso per poterli chiamare.

Ma anche ai singoli utenti della rete è richiesta un'accortezza non minima nella gestione e nel trattamento di quanto venga nella loro disponibilità e, dopo, immesso in rete. Pensiamo a chi semplicemente posta on line l’immagine di un pranzo con gli amici, la gita scolastica o un evento sociale di qualsiasi tipo. Siamo proprio sicuri che tutte le persone che compaiono nelle immagini vogliano finire sui social? Ricordiamoci che la rete ha una memoria che possiamo definire con due parole: eterna e infinita. Una semplice immagine che resta in internet anche solo dieci secondi, ha moltissime probabilità di restare per sempre nella rete.

Immaginiamo una delle situazioni più normali ormai della quotidianità: un utente di un social che posta immagini o sulla propria pagina. Siamo pronti a scommettere che ben pochi, anche tra gli addetti ai lavori, hanno letto con attenzione l’informativa di Facebook che spiega come avviene il trattamento dei dati immessi dall’utente. Forse in pochi si sono resi conto che si parla di terze parti, di trasferimento di dati all’interno dei servizi globali, di modalità di eliminazione di un documento di identità inviato al social dopo trenta giorni dall’invio stesso (ma ad un hacker bastano pochi secondi per sottrarlo), fino all’eliminazione di tutti i documenti e i contenuti in caso di cancellazione dell’account, salvo precisare che non è possibile far sparire dalla memoria della rete quanto su di me hanno pubblicato altri né, tantomeno, i miei contenuti da altri condivisi. In sintesi potrebbe saltare fuori tra dieci o venti anni, da chissà dove, la foto con la fidanzata di oggi che, magari, si voleva tenere nascosta alla futura moglie.

Legalmente parlando, un utente di un social è un “Interessato” ai sensi del GDPR, in forza dell’accordo concluso al momento dell’iscrizione. Gli utenti peraltro generalmente immettono e condividono non solo i propri dati personali, ma anche dati riguardanti terzi, iniziando dalle fotografie. Il Social è il Titolare del Trattamento; nulla quaestio sul punto ed è lo stesso che determina i mezzi e le finalità del trattamento dei dati immessi sui suoi server, ma è anche l’utente che contribuisce a tale trattamento quando immette dati di terze parti, ponendo in essere una forma di trattamento a sua volta. Teoricamente la normativa esenta i trattamenti per uso personale e senza finalità commerciali, ma il nostro utente “Interessato” comunica a un numero indeterminato di persone al di fuori di una cerchia ristretta: si tratta semplicemente di diffusione.

Un paradosso? Chissà. In questa sede ci preme considerarla una provocazione per richiamare tutti ad un uso più oculato dello strumento internet quando si ha a che fare con dati di terzi, specialmente se fossero sensibili o riferibili a minori. Pensiamo al caso di uno dei genitori, separato o non convivente, che posta le foto del figlio contro la volontà dell’altro. I tribunali si sono già occupati di casi simili.

Alcune piattaforme hanno già previsto questa possibilità e inserito nelle loro informative chiari avvisi all’utenza in base alle quali chi posta dati o immagini di terzi se ne assume la responsabilità e che dovrebbe comunque pensare alla possibilità di furto dati o uso improprio degli stessi. E’ del tutto impensabile che delle fotografie possano diventare prove in un giudizio? Qualche navigatore distratto potrebbe essere chiamato a cospicui risarcimenti danni.