Source: https://www.laleggepertutti.it/212037_facebook-obblighi-dellamministratore-di-una-pagina-fanpage
Timestamp: 2018-10-15 18:19:21+00:00
Document Index: 170695743

Matched Legal Cases: ['sentenza ', 'sentenza ', 'sentenza ', 'sentenza ', 'sentenza ', 'sentenza ']

Facebook: obblighi dell'amministratore di una pagina (fanpage)
Facebook: obblighi dell’amministratore di una pagina (fanpage)
Anche l’amministratore della fanpage di Facebook è responsabile per il trattamento dei dati degli utenti che hanno cliccato il like (mi piace) potendo monitorare i loro dati tramite i cookies.
Hai aperto una pagina Facebook (una cosiddetta fanpage) in cui promuovi le attività della tua associazione culturale. Sei animato da finalità sociali, di condivisione della cultura e dell’informazione, per creare una maggiore coscienza da parte della collettività nei confronti di temi che ritieni delicati e degni di protezione. Tuttavia, di tanto in tanto, controlli la funzione “Insights” che Facebook stesso ti offre per comprendere chi è il tuo pubblico, da dove proviene, quale età ha e a quale sesso maggiormente appartiene, le sue preferenze. Grazie a questi dati riesci a fare delle campagne pubblicitarie mirate. Di recente, soprattutto dopo l’introduzione del nuovo regolamento europeo sulla privacy (il cosiddetto GDPR), ti sei chiesto quali sono gli obblighi dell’amministratore di una pagina Facebook (fanpage) in tema di trattamento e conservazione dei dati dei propri utenti. La risposta te la offre una sentenza della Corte di Giustizia dell’Unione Europea pubblicata ieri [1].
Come Facebook è responsabile del trattamento dei dati degli utenti che hanno messo il like sulla fanpage, anche l’amministratore lo è: quest’ultimo infatti imposta i parametri del trattamento dei dati dei visitatori della stessa in base al suo bacino d’utenza, «agli obiettivi di gestione e di promozione aziendale», determinandone le finalità e le modalità. Inoltre l’amministratore della pagina può chiedere di ricevere in forma anonima i dati raccolti dai cookies di Facebook per dette finalità di webtracking e per creare promozioni su misura degli utenti.
1 Cos’è una fanpage di Facebook?
2 Cos’è il webtracking?
3 Chi è il responsabile per i dati trattati sulla fanpage?
4 A chi rivolgersi in caso di violazione della privacy?
Cos’è una fanpage di Facebook?
Facebook consente ai propri utenti di attivare due servizi fondamentali: il profilo personale, collegato di solito a persone fisiche, e una pagina di tipo aziendale, di solito collegata ad attività aventi scopo di lucro e non, ma comunque riconducibili a particolari finalità (dal volontariato, all’informazione, alla promozione di finalità sociali, agli scopi commerciali). Quest’ultima viene definita fanpage. La visibilità della fanpage tra gli iscritti dipende dai like che gli utenti mettono alla pagina stessa: solo chi ha effettuato questa interazione può vedere i post pubblicati dagli amministratori i quali, peraltro, con una campagna sponsorizzata, possono anche ottenere una maggiore visibilità per inserzioni pubblicitarie ed eventi.
Cos’è il webtracking?
L’attività di webtracking consiste nell’uso di cookies per tracciare un profilo per fini di marketing dell’utente di un sito o di una certa pagina web e rivolgergli offerte mirate e su “misura” dei suoi gusti ed interessi. I dati raccolti tramite i cookies sono sia demografici che territoriali (sesso, età, stato sentimentale, professione, interessi, preferenze commerciali, area di residenza etc.) e sono volti a migliorare la struttura del sito o della fanpage ed a permettere «ai pubblicitari di rivolgersi in modo mirato alle diverse fasce di pubblico» che visitano il sito e/o la pagina web.
Proprio grazie ai cookie è possibile raccogliere le informazioni di tutti i visitatori della fanpage. Tanto Facebook quanto gli amministratori della fanpage «possono usare i cookie sui servizi di Facebook per fornire servizi direttamente sul social network e fare pubblicità.
Chi è il responsabile per i dati trattati sulla fanpage?
Secondo i giudici di Lussemburgo, l’amministratore di una fanpage di Facebook è responsabile, insieme a Facebook stesso, del trattamento dei dati dei visitatori della sua pagina. Non importa che questi dati non siano da lui raccolti con propri strumenti informatici, ma gli siano consegnati su un piatto d’argento dallo stesso Facebook, che riesce a controllare i cookies degli utenti per ben due anni. Una volta che si hanno a disposizione le informazioni riservate del pubblico bisogna trattarle nei limiti ed entro i confini stabiliti dalle leggi europee e nazionali sulla privacy.
Con il risultato che, ad esempio, in caso di campagne pubblicitarie mirate, ci saranno due soggetti corresponsabili:
innanzitutto Facebook stesso o, per quanto riguarda l’Europa, la sua filiale Facebook Ireland: la società proprietaria del social network deve infatti ritenersi «responsabile del trattamento» dei dati personali degli utenti nonché delle persone che hanno visitato la fanpage;
in secondo luogo l’amministratore della fanpage il quale va considerato responsabile, assieme alla Facebook Ireland, del trattamento dei dati interessati. Il fatto che egli utilizzi gli strumenti messi a disposizione da Facebook in via automatica, e a chiunque gestisca una pagina, è del tutto irrilevante e non lo esonera dagli obblighi in materia di protezione dei dati personali. L’amministratore della fanpage Facebook infatti partecipa, attraverso la propria azione d’impostazione dei parametri (in funzione del suo pubblico destinatario nonché di obiettivi di gestione o promozione delle proprie attività), alla determinazione delle finalità e degli strumenti del trattamento dei dati personali dei visitatori della sua fanpage. Del resto è a tutti noto che l’amministratore della fanpage può chiedere di ricevere (in forma anonima) – e, quindi, di trattare – dati demografici concernenti il suo pubblico destinatario (in particolare tendenze in materia di età, sesso, situazione sentimentale e professionale), informazioni sullo stile di vita e sugli interessi di detto pubblico (incluse informazioni sugli acquisti e il comportamento di acquisto online dei visitatori della sua pagina, nonché le categorie di prodotti o di servizi di loro maggiore interesse) e dati territoriali che consentono all’amministratore della fanpage di stabilire dove avviare promozioni speciali o organizzare eventi e, in generale, di offrire informazioni maggiormente mirate.
A chi rivolgersi in caso di violazione della privacy?
La “vittima” dello spam derivante da una fanpage di Facebook e per le lesioni nel trattamento dei propri dati può rivolgersi all’Autorità Garante della Privacy dello Stato membro in cui risiede ed opera l’amministratore della fanpage.
[1] Corte Giust. Ue sent. del 5.06.2018 causa C-210/16.
Corte di Giustizia UE, Grande Sezione, sentenza 5 giugno 2018, causa C-210/16 (*)
2 Tale domanda è stata presentata nell’ambito di una controversia tra, da un lato, l’Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (autorità di vigilanza regionale indipendente per la protezione dei dati dello Schleswig-Holstein) (in prosieguo: l’«ULD») e, dall’altro, la (omissis) Schleswig-Holstein GmbH, società di diritto privato specializzata nel settore della formazione (in prosieguo: la « (omissis)»), in merito alla legittimità di un provvedimento emesso dall’ULD con cui si intima alla (omissis) di disattivare una fanpage presente sul sito del social network Facebook (in prosieguo: «Facebook»).
(…)6. Ciascuna autorità di controllo, indipendentemente dalla legge nazionale applicabile al trattamento in questione, è competente per esercitare, nel territorio del suo Stato membro, i poteri attribuitile a norma del paragrafo 3. Ciascuna autorità può essere invitata ad esercitare i suoi poteri su domanda dell’autorità di un altro Stato membro.
14 La (omissis) offre servizi di formazione attraverso una fanpage presente su Facebook.
15 Le fanpage sono account utenti che possono essere attivate su Facebook da singole persone o imprese. Per farlo, l’autore della fanpage, dopo essersi registrato su Facebook, può utilizzare la piattaforma da quest’ultimo amministrata per presentarsi agli utenti di detto social network nonché alle persone che visitano la fanpage e diffondere comunicazioni di ogni tipo sul mercato dei media e del pubblico. Gli amministratori delle fanpage possono ottenere dati statistici anonimi riguardanti i visitatori di tali pagine servendosi di una funzione denominata Facebook Insights, messa a loro disposizione gratuitamente da Facebook secondo condizioni d’uso non modificabili. Tali dati sono raccolti grazie a marcatori (in prosieguo: i «cookie») contenenti ciascuno un codice utente unico, attivi per due anni e salvati da Facebook sul disco fisso del computer o su qualsiasi altro supporto dei visitatori della fanpage. Il codice utente, che può essere associato ai dati di collegamento degli utenti registrati su Facebook, è raccolto ed elaborato al momento dell’accesso alle fanpage. A tal riguardo, dalla decisione di rinvio emerge che né la (omissis) né la Facebook Ireland Ltd hanno menzionato l’operazione di conservazione e il funzionamento di tale cookie o il trattamento successivo dei dati, quanto meno durante il periodo rilevante per il procedimento principale.
16 Con decisione del 3 novembre 2011 (in prosieguo: la «decisione impugnata») l’ULD, in qualità di autorità di controllo, ai sensi dell’articolo 28 della direttiva 95/46, incaricata di sorvegliare l’applicazione nel territorio del Land Schleswig-Holstein (Germania) delle disposizioni adottate dalla Repubblica federale di Germania in attuazione di tale direttiva, ordinava alla (omissis), conformemente all’articolo 38, paragrafo 5, primo periodo, del BDSG, la disattivazione della fanpage da essa creata su Facebook all’indirizzo www.facebook.com/ (omissis), prevedendo una penalità in caso di mancato adempimento entro il termine prescritto, per il fatto che né la (omissis) né Facebook informavano i visitatori della fanpage del fatto che quest’ultimo raccoglieva, mediante cookie, informazioni personali che li riguardavano e che essi elaboravano successivamente tali informazioni. Avverso tale decisione, la (omissis) presentava reclamo negando, essenzialmente, di essere responsabile, alla luce della normativa applicabile in materia di protezione dei dati, del trattamento dei dati realizzato da Facebook e dei cookie da quest’ultimo installati.
17 Con decisione del 16 dicembre 2011 l’ULD respingeva tale reclamo, affermando che la responsabilità della (omissis), quale fornitore di servizi, scaturiva dagli articoli 3, paragrafo 3, punto 4, e 12, paragrafo 1, del TMG, in combinato disposto con l’articolo 3, paragrafo 7, del BDSG. L’ULD precisava che, avendo creato la propria fanpage, la (omissis) forniva un contributo attivo e volontario alla raccolta, da parte di Facebook, di dati personali riguardanti i visitatori di tale fanpage, dati di cui essa beneficiava mediante statistiche messe a disposizione da quest’ultimo.
18 Avverso tale decisione, la (omissis) proponeva ricorso dinanzi al Verwaltungsgericht (Tribunale amministrativo, Germania), affermando che il trattamento dei dati personali realizzato da Facebook non poteva esserle imputato e negando inoltre di aver incaricato Facebook di effettuare, ai sensi dell’articolo 11 del BDSG, un trattamento dei dati soggetto al suo controllo o rientrante nella sua sfera di influenza. La (omissis) ne deduceva che l’ULD avrebbe dovuto agire direttamente contro Facebook invece di adottare contro di essa la decisione impugnata.
19 Con sentenza del 9 ottobre 2013 il Verwaltungsgericht (Tribunale amministrativo) annullava la decisione impugnata sulla base del rilievo che, sostanzialmente, poiché l’amministratore di una fanpage su Facebook non costituisce un organismo responsabile ai sensi dell’articolo 3, paragrafo 7, del BDSG, la (omissis) non poteva essere destinataria di una misura adottata a norma dell’articolo 38, paragrafo 5, del BDSG.
21 L’Oberverwaltungsgericht (Tribunale amministrativo superiore del Land) aggiungeva che la decisione impugnata era illegittima anche per il fatto che un provvedimento a norma dell’articolo 38, paragrafo 5, del BDSG può essere pronunciato solo nei confronti dell’organismo responsabile, ai sensi dell’articolo 3, paragrafo 7, del BDSG, e, per quanto riguarda i dati raccolti da Facebook, tale organismo non sarebbe la (omissis). Infatti, solo Facebook deciderebbe della finalità e degli strumenti relativi alla raccolta e al trattamento dei dati personali utilizzati nell’ambito della funzione Facebook Insights, mentre la (omissis), dal canto suo, riceverebbe solo informazioni statistiche rese anonime.
22 L’ULD proponeva ricorso per cassazione (Revision) dinanzi al Bundesverwaltungsgericht (Corte amministrativa federale, Germania), deducendo, fra i vari argomenti, la violazione dell’articolo 38, paragrafo 5, del BDSG nonché diversi errori procedurali inficianti la decisione del giudice d’appello. Essa ritiene che la violazione commessa dalla (omissis) consista nel fatto che quest’ultima ha affidato la realizzazione, l’hosting e la manutenzione di un sito Internet a un fornitore inadatto in quanto irrispettoso della normativa applicabile in materia di protezione dei dati, nello specifico la Facebook Ireland. Il provvedimento, che intima alla (omissis), mediante la decisione impugnata, di effettuare la disattivazione della sua fanpage sarebbe diretto a porre rimedio a tale violazione, poiché gli vieterebbe di continuare a utilizzare l’infrastruttura di Facebook come base tecnica del suo sito Internet.
23 Analogamente all’Oberverwaltungsgericht (Tribunale amministrativo superiore del Land), il Bundesverwaltungsgericht (Corte amministrativa federale, Germania) è del parere che la (omissis) non possa essere considerata essa stessa responsabile del trattamento di dati, ai sensi dell’articolo 3, paragrafo 7, del BDSG o dell’articolo 2, lettera d), della direttiva 95/46. Tale ultimo giudice ritiene, tuttavia, che, in linea di principio, tale nozione debba essere interpretata in modo estensivo nell’interesse di una tutela efficace del diritto alla vita privata, come la Corte avrebbe dichiarato nella sua recente giurisprudenza in materia. Esso nutre, inoltre, dubbi in merito ai poteri di cui dispone nella fattispecie l’ULD nei confronti della Facebook Germany, tenuto conto del fatto che il responsabile della raccolta e del trattamento dei dati personali all’interno del gruppo Facebook è, a livello dell’Unione, la Facebook Ireland. Infine, esso si interroga sull’impatto, ai fini dell’esercizio dei poteri d’intervento dell’ULD, delle valutazioni effettuate dall’autorità di controllo in cui rientra la Facebook Ireland, in merito alla liceità del trattamento dei dati personali in oggetto.
31 Ciò premesso, e al fine di rispondere alle questioni sollevate, si deve esaminare se e in che misura l’amministratore di una fanpage presente su Facebook, come la (omissis), contribuisca, nell’ambito di tale fanpage, a determinare, assieme con la Facebook Ireland e la Facebook Inc., le finalità e gli strumenti del trattamento dei dati personali dei visitatori della suddetta fanpage e possa, quindi, anch’essa essere considerata quale «responsabile del trattamento», ai sensi dell’articolo 2, lettera d), della direttiva 95/46.
39 In tale contesto, si deve ritenere che l’amministratore di una fanpage presente su Facebook, quale la (omissis), partecipa, attraverso la propria azione d’impostazione dei parametri, in funzione, segnatamente, del suo pubblico destinatario nonché di obiettivi di gestione o promozione delle sue attività, alla determinazione delle finalità e degli strumenti del trattamento dei dati personali dei visitatori della sua fanpage. Pertanto, tale amministratore deve essere, nella fattispecie, qualificato come responsabile di tale trattamento, all’interno dell’Unione, assieme alla Facebook Ireland, ai sensi dell’articolo 2, lettera d), della direttiva 95/46.
46 L’ULD e il governo italiano esprimono dubbi in merito alla ricevibilità di tali questioni in quanto esse sarebbero irrilevanti per la soluzione della controversia di cui al procedimento principale. Infatti, la decisione impugnata avrebbe come destinataria la (omissis) e non riguarderebbe quindi né la Facebook Inc. né nessun’altra filiale stabilita nel territorio dell’Unione.
48 Nel caso di specie, occorre evidenziare che il giudice del rinvio afferma che una risposta della Corte alla terza e alla quarta questione pregiudiziale è necessaria perché lo stesso possa pronunciarsi sulla controversia di cui al procedimento principale. Esso spiega infatti che, nel caso in cui si constatasse, alla luce di tale risposta, che l’ULD avrebbe potuto porre rimedio alle asserite violazioni del diritto alla protezione dei dati personali agendo nei confronti della Facebook Germany, una siffatta circostanza potrebbe dimostrare l’esistenza di un errore di valutazione che inficia la decisione impugnata, nella parte in cui essa sarebbe stata adottata erroneamente nei confronti della (omissis).
50 Per rispondere a tali questioni, occorre rammentare in via preliminare che, ai sensi dell’articolo 28, paragrafi 1 e 3, della direttiva 95/46, ciascuna autorità di controllo esercita tutti i poteri che le sono stati conferiti dal diritto nazionale nel territorio dello Stato membro cui appartiene, per assicurare in tale territorio il rispetto delle norme in materia di protezione dei dati (v., in tal senso, sentenza del 1° ottobre 2015, Weltimmo, C‑230/14, EU:C:2015:639, punto 51).
54 Per quanto attiene, in primo luogo, alla condizione secondo cui il responsabile del trattamento di dati personali deve disporre di uno stabilimento nel territorio dello Stato membro dell’autorità di controllo interessata, occorre rammentare che, secondo il considerando 19 della direttiva 95/46, lo stabilimento nel territorio di uno Stato membro implica l’esercizio effettivo e reale di un’attività mediante un’organizzazione stabile e che la forma giuridica di siffatto stabilimento, si tratti di una semplice succursale o di una filiale dotata di personalità giuridica, non è il fattore determinante (sentenza del 1° ottobre 2015, Weltimmo, C‑230/14, EU:C:2015:639, punto 28 e giurisprudenza ivi citata).
56 Per quanto riguarda, in secondo luogo, la condizione in base alla quale il trattamento di dati personali deve essere effettuato «nel contesto delle attività» dello stabilimento interessato, si deve rammentare, innanzitutto, che, tenuto conto dell’obiettivo perseguito dalla direttiva 95/46, consistente nel garantire una tutela efficace e completa delle libertà e dei diritti fondamentali delle persone fisiche, segnatamente del diritto alla vita privata, riguardo al trattamento dei dati personali, l’espressione «nel contesto delle attività di uno stabilimento» non può essere interpretata restrittivamente (sentenza del 1° ottobre 2015, Weltimmo, C‑230/14, EU:C:2015:639, punto 25 e giurisprudenza ivi citata).
66 Al fine di rispondere a tali questioni, si deve rammentare, come emerge dalla risposta fornita alla prima e alla seconda questione pregiudiziale, che l’articolo 2, lettera d), della direttiva 95/46 deve essere interpretato nel senso che esso consente, in circostanze come quelle di cui al procedimento principale, di riconoscere la responsabilità di un organismo, quale la (omissis), in qualità di amministratore di una fanpage presente su Facebook, in caso di violazione delle disposizioni relative alla tutela dei dati personali.