L’esenzione domestica nel Reg. (UE) 2016/679: uno spunto di riflessione partendo dal provvedimento del Garante per la protezione dei dati personali del 13 novembre 2024

L’esenzione domestica nel Reg. (UE) 2016/679: uno spunto di riflessione partendo dal provvedimento del Garante per la protezione dei dati personali del 13 novembre 2024

 

Introduzione

Viviamo in un’epoca in cui la condivisione di contenuti online è all’ordine del giorno e coinvolge, sempre di più, anche bambini e adolescenti. Secondo uno studio pubblicato sul Journal of Pediatrics, il 73% dei bambini in Europa appare in immagini o video online prima ancora di compiere due anni.

In un recente caso, il Garante per la protezione dei dati personali ha ammonito un padre per aver pubblicato online una foto del figlio infraquattordicenne, senza aver prima chiesto il consenso della madre. Con questo provvedimento il Garante ha riaffermato un principio già emerso nella giurisprudenza, ovvero che la pubblicazione di immagini di minori infraquattordicenni richiede il consenso di entrambi i genitori ed è, dunque, da considerarsi atto di straordinaria amministrazione.

Dagli elementi riportati nel provvedimento, non è possibile stabilire con certezza in quale contesto fosse stata pubblicata l’immagine del minore, ma il padre, in risposta alla richiesta di osservazioni avanzata dal Garante, ha dichiarato che l’immagine era stata pubblicata sul proprio profilo Facebook al solo fine di mettere in evidenza alcune somiglianze con il secondogenito.

 

L’esenzione domestica

Il Regolamento (UE) 2016/679 per la protezione dei dati personali non dovrebbe trovare applicazione in quei contesti familiari o domestici, in virtù della cosiddetta esenzione domestica, prevista dall’art. 2, paragrafo 2, lettera c) del Regolamento stesso. Dunque, quando il trattamento dei dati personali è effettuato da una persona fisica per scopi estranei ad attività professionali, le disposizioni del Regolamento non sono destinate ad applicarsi.

Anche il Considerando 18 conferma che l’uso dei social network potrebbe rientrare tra le attività a carattere personale e beneficiare così dell’esenzione domestica.

Perché, allora, il Garante ha ritenuto opportuno applicare comunque la normativa europea sulla protezione dei dati personali?

Sulla questione si era già espressa la Corte di Giustizia dell’Unione Europea nel lontano 2003, quando il trattamento dei dati personali e la libera circolazione degli stessi erano disciplinati dalla Direttiva 95/46/CE, contenente anch’essa un’espressa deroga nell’ambito familiare o domestico.

Il caso trattato dalla Corte di Giustizia riguardava una catechista svedese che aveva realizzato delle pagine internet per fornire le informazioni necessarie sulla parrocchia ai futuri cresimandi. Così facendo, aveva diffuso online i dati personali propri e degli altri 18 volontari, in un caso pubblicando addirittura dati inerenti allo stato di salute. La Corte aveva escluso l’applicabilità dell’esenzione domestica e affermato che essa riguarda esclusivamente attività che rientrano nella vita privata o familiare e che la pubblicazione su internet, rendendo i dati accessibili a un numero indefinito di persone, non può essere considerata tale[1].

Nel 2020 anche il Tribunale olandese[2] si è occupato di un caso analogo a quello trattato dal Garante italiano, sollevato da una madre e riguardante la pubblicazione non autorizzata di immagini dei propri figli sui social media da parte della nonna paterna. In quella circostanza, il Tribunale ha ritenuto applicabile il Regolamento, evidenziando che le immagini potevano essere accessibili a terzi tramite motori di ricerca come Google e ordinandone, di conseguenza, la rimozione.

Nello specifico, la sentenza affermava che, pur non potendo escludere che la pubblicazione di immagini su pagine Facebook o Pinterest rientrasse tra le attività puramente personali o domestiche, gli accertamenti svolti nel corso del giudizio non avevano consentito di escludere che tali foto potessero essere entrate nella disponibilità di terzi. L’assenza di garanzie sulla limitata diffusione delle immagini rendeva di fatto inapplicabile l’esenzione domestica.

 

Quali conseguenze?

In ragione di quanto sopra detto, possiamo ora affermare che il Garante per la protezione dei dati personali abbia ragionato in maniera coerente con la giurisprudenza della Corte di Giustizia. Tuttavia, la mancata applicazione dell’esenzione domestica a tutti quei casi in cui i dati personali, pur trattati in contesti e per finalità assolutamente familiari, vengono veicolati attraverso un social media, potrebbe portare a delle conseguenze rilevanti.

Quando la condivisione si estende a un pubblico indeterminato, i confini tra la sfera privata e la sfera pubblica si sfumano, creando dei potenziali problemi interpretativi nell’applicazione del Regolamento. Se l’esenzione domestica venisse meno, qualsiasi persona che condivida sui social network foto, video o altri dati personali riferibili ad altre persone, sarebbe soggetta agli stessi obblighi di un Titolare del trattamento. Ad esempio, sarebbe chiamata a fornire agli interessati un’adeguata informativa sul trattamento dei dati, ad applicare il principio di minimizzazione dei dati, condividendo solo quanto necessario ed evitando le informazioni superflue, a segnalare prontamente all’autorità di controllo eventuali data breach e così via.

Cosa accade, invece, se il profilo social è impostato in modalità privata o è visibile solo agli utenti “amici” (come previsto, ad esempio, dalla piattaforma Facebook)? In questo caso, la condivisione dei dati personali è da considerarsi pubblica o privata?

E se la condivisione avviene all’interno di un gruppo chiuso con centinaia di persone, l’esenzione domestica potrà ancora trovare applicazione?

Come evidenziato dal Tribunale olandese citato al paragrafo precedente, un criterio utile per dirimere tali questioni potrebbe essere la presenza di indicizzazione sui motori di ricerca; se i dati possono essere reperiti tramite una ricerca su Google, la loro diffusione supera l’ambito strettamente personale e domestico, rendendo così applicabile il Regolamento.

Ad ogni modo, appare evidente che l’inclusione di questi casi nel campo di applicazione del Regolamento potrebbe portare ad una forte limitazione nell’utilizzo dei social network, rendendo tali attività troppo difficili da gestire. Anche perché, a queste incombenze dovrebbero far fronte anche i giovanissimi, una volta raggiunta l’età minima per usufruire dei servizi della società dell’informazione.

 

Conclusione

Le pronunce citate in questo articolo si orientano tutte verso un’applicazione estesa del Regolamento, in virtù di un’auspicata maggiore tutela dei dati personali. 

Tuttavia, come correttamente evidenziato dall’Autorità Garante per l’Infanzia e l’Adolescenza nel proprio parere sui disegni di legge in esame dal Parlamento per l’innalzamento dell’età minima per il consenso digitale, le misure normative da sole non bastano. È, invece, fondamentale affiancare agli strumenti normativi un’importante attività di “educazione e sensibilizzazione al digitale”, riservando un ruolo attivo anche ai minori stessi, al fine di valorizzare le loro esperienze e opinioni per lo sviluppo di soluzioni efficaci e rispettose dei loro diritti[3].

In conclusione, la protezione dei dati personali nell’utilizzo dei social network non può essere garantita solo attraverso l’applicazione del Regolamento – anche in quei contesti in cui l’esenzione domestica non trova applicazione – ma deve essere per forza supportata da una solida cultura della consapevolezza e della responsabilità nell’uso delle tecnologie.