Gli annunci personalizzati su Facebook, Instagram e WhatsApp sono stati dichiarati illegali

novembre reclami: il modello di business di Meta è stato dichiarato illegale nell’UE secondo il WSJ. Facebook, Instagram e WhatsApp non possono più pubblicare annunci personalizzati senza il consenso dell’utente

Come riportato dal Wall Street Journal, l’EDPB ha stabilito che Meta non può costringere gli utenti ad accettare annunci personalizzati. Nel maggio 2018, quando il GDPR è entrato in vigore nell’UE, Meta Ireland Ltd. che può “aggirare” il requisito di ottenere il consenso opt-in dagli utenti, semplicemente aggiungendo una disposizione ai termini e condizioni. Il 25 maggio 2018, l’organizzazione per i diritti digitali novembre ha sporto denuncia alle competenti Autorità per la Protezione dei Dati Personali (DPA). Ora, 4,5 anni dopo, il Comitato europeo per la protezione dei dati (EDPB) ha ritenuto illegale il presunto “aggiramento” del GDPR da parte di Meta. L’EDPB ha anche respinto il punto di vista della Commissione irlandese per la protezione dei dati (DPC) che in precedenza si era schierata con Meta, dopo che ci sono voluti quattro anni per indagare sul caso.

Fatti basilari. Ecco i punti chiave:

• Le informazioni attuali si basano sul rapporto del Wall Street Journal, secondo il quale l’EDPB è “ha stabilito che la legge sulla privacy dell’UE non consente alle piattaforme Meta, come Instagram e Facebook, di utilizzare i loro termini di servizio come giustificazione per consentire tale pubblicità.”
• Questa decisione si basa sui reclami presentati da noyb il 25 maggio 2018, giorno in cui il GDPR è diventato applicabile.
• L’EDPB ha emesso una decisione che richiede al DPC irlandese (l’autorità di regolamentazione per Meta nell’UE) di emettere una decisione definitiva entro un mese.
• La decisione dell’EDPB non è rivolta alle parti prima del procedimento, ma al DPC irlandese.
• L’EDPB ha quindi ribaltato un precedente progetto di decisione del DPC irlandese che riteneva legale l’aggiramento del GDPR da parte di Meta.
• La decisione dell’EDPB richiede che Meta non possa utilizzare i dati personali per annunci basati su un presunto “contratto”. Pertanto, gli utenti devono disporre di un’opzione di autorizzazione sì/no.
• La decisione dell’EDPB non vieta altre forme di pubblicità (come gli annunci contestuali, basati sul contenuto di una pagina).
• La stessa decisione dell’EDPB non è stata pubblicata, ma sarà pubblicata insieme alla decisione finale del DPC nel gennaio 2023.
• L’EDPB ha anche chiesto una grossa multa, il cui importo esatto non è ancora noto.

Meta vuole “bypassare” il permesso. Il GDPR prevede sei basi giuridiche per il trattamento dei dati, una delle quali è il consenso ai sensi dell’articolo 6, paragrafo 1, lettera a). Meta ha cercato di aggirare il requisito del consenso per il tracciamento e la pubblicità online sostenendo che gli annunci facevano parte del “servizio” che contrattualmente doveva agli utenti. Il presunto trasferimento della base giuridica è avvenuto precisamente alla mezzanotte del 25 maggio 2018 quando il GDPR ha iniziato ad applicarsi. Il cosiddetto “requisito contrattuale” ai sensi dell’articolo 6, paragrafo 1, lettera b) è generalmente inteso in modo restrittivo e ad es. consente a un negozio online di inoltrare l’indirizzo a un servizio postale, poiché è strettamente necessario per consegnare un ordine. Tuttavia, Meta ritiene di poter aggiungere solo elementi casuali al contratto (come annunci pubblicitari personalizzati), per evitare un’opzione di consenso sì/no per gli utenti.

Max Schrems: “Invece di avere un’opzione sì/no per gli annunci personalizzati, hanno semplicemente spostato la clausola di consenso nei termini e condizioni. Questo non è solo ingiusto ma chiaramente illegale. Non siamo a conoscenza di nessun’altra azienda che abbia cercato di ignorare il GDPR in modo così arrogante.”

Sono previste multe salate. Oltre a un blocco generale degli annunci personalizzati, l’EDPB ha imposto una massiccia multa per Meta, secondo il WSJ. Dopotutto, la società ha basato la maggior parte del trattamento dei dati commerciali su basi legali che l’EDPB ha espressamente escluso nelle sue linee guida del 2019, portando a chiare violazioni intenzionali della legge. Meta è già stata colpita finora con più di 1 miliardo di euro di multe GDPR. Meta deve pagare questa multa allo stato irlandese.

Max Schrems: “Questa procedura attinge a molte risorse della nostra associazione finanziata da donazioni. Il caso probabilmente colpirà i tribunali dopo. Tuttavia, la punizione andrà all’Irlanda, lo stato che si è schierato con Meta e ha ritardato la procedura per più di quattro anni. .”

DPC e Meta hanno lavorato insieme su “bypass”. Nel corso del procedimento, Meta si è basata su dieci incontri riservati con il DPC irlandese in cui il DPC avrebbe autorizzato Meta ad utilizzare tale “bypass”. Successivamente è stato rivelato che il DPC ha persino cercato di influenzare le pertinenti linee guida dell’EDPB nell’interesse di Meta. Tuttavia, altre DPA europee hanno respinto il punto di vista del DPC nel 2018 e di nuovo nella decisione finale dell’EDPB. Il caso è durato più di 4,5 anni e ha portato a centinaia di pagine di rapporti e osservazioni, nonostante il caso riguardasse una questione legale relativamente semplice.

Max Schrems: “Questo caso riguarda una semplice questione legale. Nonostante la lentezza della procedura, dopotutto siamo felici della decisione dell’EDPB.“

Conseguenza: nessun annuncio personalizzato. La sentenza significa che Meta deve consentire agli utenti di avere una versione di tutte le app che non utilizzi dati personali per gli annunci. La decisione consentirà comunque a Meta di utilizzare dati non personali (come il contenuto di una storia) per personalizzare gli annunci o chiedere agli utenti il ​​consenso agli annunci tramite un’opzione sì/no. Gli utenti devono poter revocare il consenso in qualsiasi momento e Meta non può limitare il servizio. Sebbene ciò limiterà in modo significativo le entrate di Meta nell’UE, non vieterà completamente la pubblicità. Invece, la decisione metterà Meta sullo stesso livello di altri siti Web o app, che devono offrire agli utenti un’opzione sì/no.

Max Schrems: “Questo è un duro colpo per le entrate dell’UE di Meta. Ora alle persone deve essere chiesto se vogliono che i loro dati vengano utilizzati per gli annunci o meno. Devono avere una risposta “sì o no” e possono cambiare idea in qualsiasi momento. La decisione garantisce anche parità di condizioni ad altri inserzionisti che devono anch’essi ottenere l’autorizzazione opt-in.”

Prossimi passi. La decisione dell’EDPB viene comunicata al DPC irlandese. La decisione dovrebbe essere consegnata a Meta in Irlanda e a novembre in Austria entro un mese (quindi a gennaio 2023). Meta può quindi presentare ricorso contro la decisione, ma le possibilità di vincere tale ricorso sono minime dopo la decisione dell’EDPB. Ci sono anche due casi simili presso la Corte di giustizia dell’UE (CGUE) sull’aggiramento del consenso di Meta, che potrebbe risolvere definitivamente la questione e tutti i ricorsi. Gli utenti possono anche agire sull’uso illegale dei propri dati negli ultimi 4,5 anni.