Le tutele per i minori previste da DSA e GDPR nell’attività di marketing

Il quadro normativo

Le attività di marketing online hanno subito una forte limitazione ad opera del Digital Service Act e del Regolamento UE 2016/679, noto con l'acronimo di GDPR, soprattutto per quanto concerne i soggetti minorenni, sebbene i due regolamenti abbiano scopi diversi, il primo quello di garantire un ambiente online sicuro, prevedibile e affidabile, il secondo quello di assicurare la protezione dei dati personali.

I minori, infatti, sono utenti attivi dello spazio digitale, utilizzano spesso prodotti e servizi digitali progettati per gli adulti, rimanendo, conseguentemente, esposti a diverse tecniche di commercializzazione online, o ne sono addirittura i destinatari, nonché possono venire a contatto con contenuti nocivi o inappropriati a causa della loro inesperienza e mancanza di consapevolezza dei rischi connessi alla navigazione online.

Le tutele apprestate dalle due normative citate hanno come obiettivo comune la protezione di questi soggetti, fragili, per i quali deve essere garantita una tutela specifica in ragione dell'età e del livello di sviluppo cognitivo in modo che l'offerta digitale non leda i diritti e le libertà degli stessi.

Il divieto di pubblicità mirata

Nel contesto di una disciplina generale che tende a garantire uno spazio digitale sicuro e affidabile, si contraddistingue, per l'importanza e le implicazioni che ne derivano, la previsione dell'art. 28 DSA che impone alle piattaforme digitali il divieto di presentare, sulle proprie interfacce, pubblicità targetizzata che sia rivolta ai soggetti minori.

Le piattaforme, quindi, non possono proporre pubblicità basata sulla profilazione che faccia utilizzo di dati personali degli utenti qualora, con ragionevole certezza, sappiano che il destinatario è un soggetto minore.

La previsione si inserisce perfettamente nella finalità perseguita dalla normativa in esame, ossia la tutela dei soggetti più a rischio nell'ambito digitale e la protezione dei loro diritti e delle loro libertà.

La profilazione, infatti, presuppone il trattamento dei dati personali degli utenti che potrebbe anche coinvolgere dati che rientrano nella categoria dei dati personali particolari per i quali, a norma dell'art. 9 GDPR vige il divieto di utilizzo, salve le eccezioni indicate dal successivo comma 2.

La previsione del DSA quindi si appresta come massima tutela per i dati personali dei minori che sarebbero sottoposti ad un trattamento per finalità di marketing, ossia legate esclusivamente alle attività di business delle piattaforme. In questo caso la tutela del minore è senza alcun dubbio prioritaria, considerato che le tecniche di profilazione e le forme di pubblicità targetizzata rappresentano un pericolo concreto per i diritti e le libertà di questi soggetti che, per lo sviluppo psico-cognitivo raggiunto in relazione all'età, rappresentano dei soggetti fragili che necessitano di adeguata protezione.

È significativo che il legislatore europeo, a differenza di quanto fatto nel GDPR, si limiti ad utilizzare l'espressione “minori” senza ulteriori specificazioni.

L'art. 8 GDPR, infatti, prevede espressamente un limite di età oltre il quale il consenso rilasciato dal minore può dirsi validamente reso con la conseguenza che il conseguente trattamento dei dati risulterà lecito.

Nel DSA manca una simile indicazione, con la conseguenza che uno stesso soggetto, minorenne, potrà fornire un valido consenso per il trattamento dei propri dati, ma, allo stesso tempo, non potrà essere destinatario di pubblicità mirata e di profilazione.

La divergenza tra le due normative non stupisce se si considera che in questo modo viene garantito un maggior livello di protezione per quanto concerne il minore, il quale, in linea con lo scopo del DSA, non viene esposto a pubblicità e dark pattern in grado di ingannare, manipolare, distorcere o pregiudicare la sua capacità di prendere decisioni libere ed informate.

L'identificazione del minore

La norma fornisce una precisa indicazione anche con riferimento alla individuazione della minore età del soggetto fruitore della piattaforma.

Si ricorda infatti che il divieto di profilazione e pubblicità mirata riguarda esclusivamente i soggetti minorenni, pertanto il fornitore della piattaforma dovrà valutare l'età dei propri utenti per verificare se il divieto in esame riguardi anche la sua attività.

L'art. 28, comma 3 DSA specifica che il divieto opera unicamente laddove si sappia, con ragionevole certezza, che il destinatario del servizio è un minore.

La formulazione è generica, e il Regolamento non avrebbe potuto dare indicazioni più dettagliate, e in questo contesto si inseriscono, come è logico, le osservazioni relative alle modalità pratiche per la c.d. age verification, che, come noto, rappresenta ancor oggi una criticità di difficile soluzione.

La norma, inoltre, sottolinea che la verifica dell'età non può comportare, per il fornitore, l'obbligo di effettuare ulteriori trattamenti di dati degli utenti, obbligo, questo, che aggraverebbe le piattaforme di ulteriori oneri in termini di protezione dati personali, così come previsto dal GDPR.

La trasparenza informativa

Un ulteriore spunto di riflessione, per quanto attiene alle attività di marketing, viene offerto dallo specifico obbligo di tutela imposto dall'art. 28, comma 1 DSA.

La norma stabilisce che i fornitori di piattaforme online accessibili ai minori, debbano adottare “misure adeguate e proporzionate per garantire un elevato livello di tutela della vita privata, di sicurezza e di protezione dei minori sul loro servizio”.

La formulazione richiama le “misure adeguate” più volte menzionate dal GDPR in relazione alla protezione dei dati personali, attribuendo, anche in questo caso, al soggetto destinatario dell'obbligo di adozione delle misure in parola, l'onere di identificare il grado di adeguatezza necessario per soddisfare la previsione normativa.

Sarà pertanto onere del singolo prestatore, fin dalla fase di creazione e progettazione del servizio, studiare e individuare misure adeguate e proporzionate al fine di garantire una reale ed effettiva protezione dei minori.

Si aggiunga, inoltre, che il DSA a tutela degli utenti e delle loro libertà, impone alle piattaforme di predisporre interfacce che garantiscano la trasparenza delle informazioni rese.

Si inserisce, quindi, in tale contesto la necessità di utilizzare un linguaggio chiaro e comprensibile in relazione alla tipologia di utenti, e quindi all'età degli stessi, a cui si rivolge la piattaforma.

In questo senso il Digital Service Act, in maniera speculare a quanto previsto dal GDPR per le informative, indica la necessità di adottare, per i termini di utilizzo, un linguaggio “chiaro, semplice, comprensibile, facilmente fruibile e privo di ambiguità e sono disponibili al pubblico in un formato facilmente accessibile e leggibile meccanicamente” (art. 14 GDPR).

Appare evidente che le modalità di presentazione, testuali ed eventualmente grafiche, dei termini e delle condizioni di utilizzo del servizio costituiscono uno dei nodi centrali per la protezione dei minori proprio perché attraverso le tecniche, linguistiche e grafiche utilizzate, passa la reale comprensione delle informazioni rese agli utenti minorenni.

In conclusione

L'introduzione del divieto di profilazione e di pubblicità mirata per i soggetti minorenni è senza dubbio un grande risultato nell'ottica di protezione dei soggetti più giovani che, come più volte sottolineato, spesso utilizzano la tecnologia senza aver le necessarie competenze per poter gestire e difendersi dalle insidie del modo digitale.

Questo divieto rappresenterà, senza dubbio alcuno, un importante cambiamento nelle attività di marketing svolte dalle piattaforme che porterà ad una evoluzione del business online verso sistemi diversi da quelli che vengono utilizzati tradizionalmente, anche nel mondo digitale.