[doc. web n. 9574709]

Provvedimento del 25 marzo 2021

Registro dei provvedimenti
n. 126 del 25 marzo 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (“Regolamento generale sulla protezione dei dati” - di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTA la nota n. 47853 del 15 dicembre 2020 con la quale l’Ufficio, nell’aprire un formale procedimento nei confronti di Tik Tok (di seguito anche “la Società”), ha contestato a quest’ultima la presunta violazione di alcune disposizioni del Regolamento, fra l’altro, sotto il profilo della base giuridica del trattamento dei dati personali dei suoi utenti, delle modalità di rilascio dell’informativa, del trasferimento dei dati all’estero, del periodo di conservazione dei dati, del rispetto dei principi di privacy by design e by default e, soprattutto, delle forme previste per verificare l’età anagrafica degli utenti medesimi con riferimento, in particolare, ai minori;

VISTO il provvedimento n. 20 del 22 gennaio 2021 con il quale questa Autorità, anche sulla base dell’allarme sociale determinato da alcuni drammatici episodi di cronaca nazionale, ha adottato, in via d’urgenza, nei confronti della stessa Tik Tok la misura della limitazione provvisoria del trattamento, ai sensi degli artt. 58, par. 2, lett. f) e 66, par. 1, del Regolamento, vietando ogni ulteriore trattamento dei dati personali degli utenti che si trovano sul territorio italiano per i quali non risultasse possibile verificare l’età con particolare riferimento a quella individuata dalla stessa società come età minima necessaria per l’utilizzo della piattaforma (tredici anni) e quella prescritta dalla disciplina vigente per la prestazione del consenso al trattamento dei dati personali (quattordici anni);

VISTO il provvedimento n. 61 dell’11 febbraio 2021 con il quale il Garante, ai sensi dell’art. 58, par. 2, lett. f) e 66, par. 1 del Regolamento, stante il perdurare delle ragioni di urgenza poste a fondamento del precedente provvedimento e l’insufficienza delle misure sino ad allora implementate da Tik Tok in ottemperanza al sopra richiamato provvedimento del 22 gennaio 2021 ha ritenuto, anche al fine di verificare l’efficacia delle misure frattanto adottate dalla Società ha ritenuto di prorogare il precedente provvedimento di limitazione del trattamento fino al 15 marzo 2021;

DATI, dunque, per richiamati e per integralmente qui riprodotti i provvedimenti n. 20 del 22 gennaio 2021 e n. 61 dell’11 febbraio 2021;

VISTA la relazione sull’adempimento da parte di Tik Tok alla contestazione predisposta dall’Ufficio, da cui risulta, in particolare, che:

- il sistema della semplice autodichiarazione dell’età anagrafica da parte degli utenti, benché associato a una nuova funzionalità per effetto della quale gli utenti che dichiarino un’età inferiore ai tredici anni sono privati della possibilità di registrarsi alla piattaforma anche qualora successivamente dichiarino un’età superiore si è rivelato inidoneo a limitare in maniera significativa il numero degli utenti infratredicenni, che continuano ad utilizzare i servizi forniti dalla piattaforma e a veder trattati i loro dati personali da parte della Società;

- il messaggio veicolato da Tik Tok attraverso i media, benché contenesse i riferimenti al limite di età per accedervi, non è risultato avere i necessari caratteri di urgenza e di allarme idonei a sollevare la dovuta attenzione da parte dei titolari della responsabilità genitoriale sui minori;

- gli ulteriori strumenti che Tik Tok ha dichiarato di aver implementato, tra i quali i nuovi form di segnalazione in app, l’aumento dei “moderatori” in lingua italiana, e la verifica dei comportamenti degli utenti non risultano aver condotto a significativi risultati, come confermato anche da talune verifiche compiute dall’Ufficio che hanno consentito di accertare che anche qualora un utente visualizzi e ricerchi attivamente esclusivamente contenuti chiaramente di interesse di un pubblico infratredicenne e, anzi, addirittura dedicati a un pubblico di età pre-scolare, la Società non adotta alcuna misura idonea a escluderlo dalla fruizione dei propri servizi;

- il Garante ha continuato e continua a ricevere numerose sollecitazioni, segnalazioni, istanze e richieste da parte della società civile in relazione alla ricorrente presenza di minori di anni tredici sulla piattaforma;

- la memoria del 26 gennaio 2021 depositata da TikTok nell’ambito del procedimento di merito promosso dal Garante non contiene elementi che consentano di rivedere le conclusioni già poste a fondamento dei richiamati provvedimenti d’urgenza e ciò con particolare riferimento:

alla base giuridica del trattamento che non sembra, diversamente da quanto sostenuto dalla Società, potersi identificare nell’esigenza di trattare i dati degli interessati al solo fine di dare esecuzione a un servizio da questi richiesti specie quando gli utenti siano minorenni o, addirittura, infra-tredicenni e ciò in quanto un accordo per effetto del quale un utente minorenne acconsente al trattamento di propri dati personali – eventualmente anche particolari – a fronte della fruizione di un servizio della società dell’informazione  non può essere considerato, ai sensi della disciplina italiana sulla validità dei contratti, un “atto comune” con la conseguenza che il relativo contratto non può considerarsi validamente perfezionato;

alle informazioni da fornire agli interessati ex art. 13 del Regolamento, che Tik Tok non sembra rendere nel rispetto delle modalità di cui all’articolo 12 del Regolamento e ciò anche tenuto conto del fatto che il servizio reso dalla Società risulta, almeno nei fatti, specificamente destinato ai minori;

alla stessa privacy by design che non può essere considerata ritenersi rispettata dagli strumenti di age verification adottati: tale parametro, peraltro, viene esaminato solo con riferimento al (presunto stato dell’arte in materia, ma non con riguardo alla natura, all’ambito di applicazione ed alle finalità del trattamento in relazione ai rischi per i diritti e le libertà delle persone fisiche, che, nel caso di specie, sono prevalentemente minori d’età;

RITENUTO che tali osservazioni confermino per un verso l’illiceità – nei limiti della valutazione possibile in fase di urgenza - dei trattamenti di dati personali almeno degli utenti minori di tredici e quattordici anni, nonché l’attualità dei rischi di pregiudizio che potrebbero derivare a tali utenti in assenza di interruzione di ogni trattamento di dati personali loro riferibili;

RITENUTO che, ferme restando le contestazioni già indirizzate alla Società in ordine all’inadeguatezza, in caso di utenti minorenni, dell’identificazione della base giuridica del trattamento in un contratto, l’individuazione di misure idonee ad escludere, mediante sbarramento all’ingresso, almeno il trattamento di dati personali di utenti che in ragione della loro età non possono essere destinatari dei servizi prestati dalla Società che espressamente riserva i propri servizi agli ultra-tredicenni o non sono in grado di esprimere validamente un consenso al trattamento per finalità altre rispetto all’esecuzione del contratto, costituisce un preciso ed ineliminabile dovere del titolare del trattamento in attuazione dei principi di accountability, privacy by design e by default (artt. 24 e 25 del Regolamento);

RITENUTO pertanto, alla luce degli elementi acquisiti, di dover adottare ai sensi dell’art. 58, par. 2, lett. d) e f), del Regolamento – nei limiti anche temporali previsti dall’art. 66, par. 1, dello stesso – un nuovo provvedimento d’urgenza nei confronti di Tik Tok, valido nel territorio italiano ed avente efficacia fino al 22 Aprile 2021,

- ingiungendo l’immediata implementazione di idonee misure di sbarramento all’ingresso della piattaforma volte ad evitare l’accesso ad essa da parte dei minori di anni 13 e dei minori di anni 14 in assenza della necessaria manifestazione di volontà resa dal titolare della responsabilità genitoriale, corredate da un chiaro ed inequivoco avviso automaticamente attivabile ad ogni apertura dell’app in questione che ne evidenzi l’utilizzo riservato esclusivamente ai maggiori di anni 13, debitamente autorizzati dagli esercenti la responsabilità genitoriale fino all’età di anni 14;

- imponendo la limitazione provvisoria del trattamento, vietando l’ulteriore trattamento dei dati personali degli utenti dei quali non risulti in grado di verificare l’età anagrafica o, almeno, l’appartenenza a una fascia di età compatibile con la fruizione di servizi destinati ad un pubblico di ultra-tredicenni debitamente autorizzati dagli esercenti la responsabilità genitoriale fino all’età di anni 14;

RICORDATO che, in caso di inosservanza della misura disposta dal Garante, possono trovare applicazione la sanzione penale di cui all’art. 170 del Codice e le sanzioni amministrative previste dall’art. 83, par. 5, lett. e), del Regolamento;
RISERVATA ogni valutazione in ordine alla eventuale decisione di richiedere al Comitato europeo per la protezione dei dati personali, ai sensi dell’art. 66, par. 2, di adottare, sempre in via d’urgenza, un provvedimento definitivo, idoneo a eliminare i rischi all’origine dei provvedimenti già emessi dal Garante;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art.15 del regolamento n.1/2000;

RELATORE l’Avv. Guido Scorza;

TUTTO CIÒ PREMESSO IL GARANTE:

a)  ai sensi dell’art. 58, par. 2, lett. d) e f) e 66, par. 1 del Regolamento:

1. ingiunge l’immediata implementazione di idonee misure di sbarramento all’ingresso della piattaforma volte ad evitare l’accesso ad essa da parte dei minori di anni 13 e dei minori di anni 14 privi della necessaria manifestazione di volontà resa dal titolare della responsabilità genitoriale, corredate da un chiaro ed inequivoco avviso automaticamente attivabile ad ogni apertura dell’app in questione che ne evidenzi l’utilizzo riservato esclusivamente ai maggiori di anni 13, debitamente autorizzati dagli esercenti la responsabilità genitoriale fino all’età di anni 14;

2. impone la limitazione provvisoria del trattamento, vietando l’ulteriore trattamento dei dati personali degli utenti dei quali non risulti in grado di verificare l’età anagrafica o, almeno, l’appartenenza a una fascia di età compatibile con la fruizione di servizi destinati a un pubblico di ultra-tredicenni debitamente autorizzati dagli esercenti la responsabilità genitoriale fino all’età di anni 14;

b)  il presente provvedimento ha effetto immediato a decorrere dalla data di ricezione dello stesso da parte del titolare e cessa i suoi effetti alla data del 22 aprile 2021;

c) ordina a Tik Tok la trasmissione al Garante, entro il termine di scadenza del presente provvedimento, di ogni informazione utile a consentire la valutazione dell’efficacia delle misure prescritte.

Ai sensi dell’art. 66, par 1, del Regolamento, del presente provvedimento è data tempestiva informazione alle autorità di controllo interessate, al Comitato europeo per la protezione dei dati ed alla Commissione europea.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 25 marzo 2021

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei