Source: http://www.ftcc.it/gdpr-spunti-riflessione-tema-profilazione-bambini-minori/
Timestamp: 2018-10-23 12:16:32+00:00

Document:
GDPR: ALCUNI SPUNTI DI RIFLESSIONE IN TEMA DI PROFILAZIONE DI BAMBINI (O MINORI?) - FTCC
GDPR: ALCUNI SPUNTI DI RIFLESSIONE IN TEMA DI PROFILAZIONE DI BAMBINI (O MINORI?)
Il 28 novembre u.s. si è chiusa la consultazione pubblica sulle linee guida del WP art. 29 in tema di processi decisionali automatizzati e profilazione, pubblicate il 3 ottobre u.s. Per il nuovo anno si attende l’emanazione della versione definitiva di tale documento e la traduzione in italiano da parte del nostro Garante.
Si spera che nella versione definitiva e nella traduzione in italiano delle linee guida in questione venga definitivamente chiarito l’equivoco terminologico di cui diremo più avanti, così evitando il molto probabile diverso trattamento normativo da parte degli Stati membri UE di una medesima fattispecie.
Le dette linee guida dedicano un intero capitolo (il quarto) ai “children”, che in italiano possiamo tradurre letteralmente con il termine “bambini”, e alla profilazione. Fanno ciò perché vi è un considerando del GDPR, il 71 per essere precisi, che stabilisce che un bambino (“child”, termine utilizzato nella versione inglese del GDPR) non dovrebbe essere sottoposto ad un processo decisionale automatizzato, compresa la profilazione, essendo un soggetto non maturo e, per questo, particolarmente vulnerabile.
In proposito, il WP art. 29 ha chiarito come tale previsione non vada letta come divieto assoluto di sottoporre i bambini ad un trattamento decisionale automatizzato, inclusa la profilazione. Ed infatti, i bambini potrebbero essere profilati per esigenze di protezione della loro salute.
Tuttavia, il WP art. 29 raccomanda alle imprese di evitare di profilare i bambini per finalità di marketing, trattandosi di soggetti molto più facilmente influenzabili, rispetto ad un adulto, dai messaggi pubblicitari.
Ciò sinteticamente rilevato, bisogna capire a quale età ci si riferisce quando si parla di “bambino”/“bambini” (“child”/“children”), con specifico riferimento al considerando 71 GDPR e alle dette linee guida.
Segnaliamo, al riguardo, che i documenti provenienti dalle federazioni europee degli operatori di pubblicità (EASA Best Practice Recommendation on Online Behavioural Advertising, IAB Europe’s EU Framework for Online Behavioural Advertising) identificano concordemente i bambini nei soggetti di età inferiore ai 12 anni.
Dunque, secondo gli operatori del settore chiamato in causa, ovvero quello pubblicitario, il bambino cui si riferisce il considerando 71 GDPR potrebbe essere identificato con quello di età inferiore ai 12 anni. Seguendo questo ragionamento, sarebbe del tutto legittima una profilazione a fini di marketing di un soggetto che abbia età compresa tra i 12 e i 18 anni.
Sennonché, la versione italiana del GDPR, pubblicata in G.U.U.E., al considerando 71 utilizza il termine “minore”, che in Italia significa minore di 18 anni.
Ma vi è di più. Vi sono altre norme della versione inglese del GDPR in cui vengono utilizzate le parole “child” o “children”, che nella versione italiana del GDPR sono state tradotte con i termini “minore” o “minori”: considerando 38 (sulla particolare protezione che meritano tali soggetti); considerando 75 (ove si individua nel trattamento di dati di tali soggetti un’ipotesi di rischio per i diritti e le libertà degli individui); art. 8 (sulla validità del consenso prestato dal 16enne per i servizi online); art. 40.2.g) (sui redigendi codici di condotta, che riguarderanno anche il trattamento di dati di tali soggetti).
L’espressione prescelta dalla traduzione italiana del testo inglese del GDPR, ossia “minore”, corrisponde al differente termine inglese “underage”, che però non compare mai nel testo inglese del regolamento.
Si consideri, inoltre, che in tutte le summenzionate previsioni normative del GDPR, per la lingua francese, conformemente al testo inglese, è stata utilizzata l’espressione “enfant”, al singolare, ed “enfants”, al plurale, ossia “bambino”/“bambini”; per la lingua tedesca è stato utilizzato il termine “kind”, che ancora una volta può essere tradotto in “bambino”. La parola italiana “minore” corrisponderebbe invece ai termini francese “mineur” e tedesco “minderjährig”, del tutto assenti nelle disposizioni de quibus del testo francese e tedesco del GDPR.
Si aggiunga, infine, che le linee guida del WP art. 29 sulla DPIA, adottate in via definitiva il 4 ottobre u.s., tra i criteri per valutare il rischio elevato di trattamenti da sottoporre a valutazione d’impatto individuano specificamente, al criterio n. 7, i dati dei “children”, cioè “bambini”; il nostro Garante ha però tradotto questa espressione inglese, nella versione in italiano delle dette linee guida, con il termine “minori”.
Data la situazione, è quindi necessario fare un po’ di chiarezza. A quale età si riferiscono il GDPR e il WP art. 29 quando utilizzano il termine “child”/“children”? E, in particolare, a quale età si riferiscono quando parlano di divieto di profilazione automatizzata di un “child”?
I bambini non si identificano con i minori. Per il nostro Paese, se permane l’ambiguità terminologica sopra evidenziata le imprese sarebbero costrette ad evitare la profilazione per fini di marketing del minore di 18 anni. Mentre in alcuni altri Stati (come la Francia, la Germania e l’Inghilterra, per l’appunto) potrebbe essere ritenuta del tutto legittima la profilazione dei soggetti di età compresa tra i 12 e i 18 anni, intendendosi con le espressioni “enfant”, “kind” o “child”, per la prassi in uso nel settore pubblicitario, un soggetto di età inferiore ai 12 anni.
Una delle norme in cui è utilizzata l’espressione “child”, l’art. 8 GDPR, in tema di consenso privacy online, non crea alcuna difficoltà interpretativa perché l’età è specificata: 16 anni, che può essere ridotta sino a 13 su intervento legislativo dei singoli Stati membri UE.
Lo stesso non può dirsi per il considerando 71, in cui non è indicata alcuna età.
A questo punto, attendiamo fiduciosi indicazioni precise dal Gruppo art. 29, o dal nostro Garante o, forse meglio, dal nostro legislatore in sede di esercizio della delega conferita recentemente per l’adeguamento dell’ordinamento italiano al GDPR.
Avv. Santina Parrello

References: art. 29
 art. 29
 art. 29
 art. 8
 art. 40
 art. 29
 art. 29
 art. 29