Youtube, la piattaforma online di proprietà di Google è sotto accusa per aver violato la privacy dei minori, precisamente per aver raccolto i dati personali di utenti di età inferiore ai 13 anni senza il consenso dei genitori. Il fatto interessa gli USA, dove una nutrita schiera composta da circa 20 studi legali e diverse associazioni a difesa dei consumatori, ha presentato ricorso alla Federal Trade commission (l’Antitrust statunitense) chiedendo di indagare sull’eventuale violazione del Children’s Online Privacy Protection Act (nota come “COPPA”), legge federale che disciplina la raccolta di informazioni su minori con età inferiore ai 13 anni.
Le accuse ruotano attorno al fatto che, nonostante nei termini di utilizzo Google affermi che YouTube sia destinata a utenti di età superiore ai 13 anni, la piattaforma tragga attualmente profitto da pubblicità dedicate ai più piccoli. Sono tanti infatti, i canali e i video dedicati ai bambini compresi tra i 6 e i 12 anni, come ChuChu, TV Nursery Rhymes & Kids Songs, che infrangerebbero gli stessi termini previsti. Risultato: una raccolta di informazioni, avvenuta senza consenso dei genitori, riguardanti localizzazione, identificazione degli apparecchi, numeri di telefono mobile.
Nonostante la denuncia sia ancora in fase iniziale, spetterà all’Antitrust statunitense dimostrare che YouTube raccolga realmente dati in maniera illecita.
Tuttavia, se si volesse considerare l’accaduto da una prospettiva europea, secondo i contenuti del Regolamento (UE) 679/2016, i minori meriterebbero una specifica protezione relativamente ai loro dati personali, in quanto meno consapevoli dei rischi, e delle conseguenze legate al trattamento dei loro dati. In particolare, all’art.8 si precisa che: “Ove il minore abbia un’età inferiore ai 16 anni, tale trattamento è lecito soltanto se e nella misura in cui tale consenso è prestato o autorizzato dal titolare della responsabilità genitoriale. Gli Stati membri possono stabilire per legge un’età inferiore a tali fini purché non inferiore ai 13 anni.”
Secondo quanto previsto invece dallo Schema di decreto legislativo recante disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 679/2016, sempre con riferimento al trattamento dei dati personali dei minori, all’art. 2-quinquies, dispone quanto segue:
1. Al consenso del minore al trattamento dei propri dati personali, in relazione ai servizi della società dell’informazione, si applicano le condizioni di cui all’articolo 8, paragrafo l, del Regolamento. In relazione a tali servizi, il trattamento dei dati personali del minore di età inferiore a sedici anni, fondato sull’articolo 6, paragrafo 1, letterali), del Regolamento, è lecito a condizione che sia prestato da chi esercita la responsabilità genitoriale.
2. In relazione all’offerta diretta ai minori dei servizi di cui al comma l, il titolare del trattamento redige con linguaggio particolarmente chiaro e semplice, facilmente accessibile e comprensibile dal minore, le informazioni e le comunicazioni relative al trattamento che lo riguardi.
Relativamente all’art. 2-quinquies, le Commissioni parlamentari di recente hanno espresso un parere a riguardo affermando che: “con riguardo all’articolo 2, comma 1, lettera e), rispetto al testo del nuovo articolo 2-quinquies, si “provveda a sostituire la parola “sedici” con “quattordici”;
A tal proposito sono state rilevate decisioni discordanti che vedono contrapposte il parere del Garante della privacy nazionale, da quello del Garante Europeo relativamente al consenso dei minori, di seguito riportati:
- Parere sullo schema di decreto legislativo recante disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679 – 22 maggio 2018
Il Garante nazionale Antonello Soro : “Con riferimento all’art. 2-quinquies del Codice come modificato dallo schema di decreto, si osserva, in relazione ai servizi della società dell’informazione, che l’indicazione in base alla quale in tale ambito è consentito “il trattamento dei dati personali del minore di età inferiore a sedici anni” non appare coerente con altre disposizioni dell’ordinamento che individuano, invece, a quattordici anni il limite di età consentito per esercitare determinate azioni giuridiche. Si pensi, fra le tante, alle disposizioni in materia di cyberbullismo che consentono al minore ultraquattordicenne di esercitare i diritti previsti a propria tutela contro atti di cyberbullismo nei suoi confronti (v. art. 2, c. 1, l. n. 71 del 2017). O si pensi al diritto del minore ultraquattordicenne di prestare il proprio consenso all’adozione (art. 7, c. 2, l. n. 184 del 1983). Parrebbe pertanto incoerente ammettere il quattordicenne a prestare il proprio consenso per essere adottato, ma non per iscriversi a un social network”
- Senato della Repubblica Italiana – Commissione speciale sugli atti urgenti del Governo – Audizione di Giovanni Buttarelli, Garante europeo della protezione dei dati, nell’ambito dell’esame dell’atto del Governo n. 22, sulla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, 7 giugno 2018
Il Garante europeo Giovanni Buttarelli: “L’articolo 2-quinquies contiene, al comma 1, in materia di consenso dei minori, una duplicazione dell’articolo 8, paragrafo 1, del regolamento, inutile e soprattutto non consentita dal regolamento stesso. Non si comprende poi il senso del comma 2, il riferimento alla chiarezza dell’informativa, anche perché tale informativa verrebbe diretta, in ragione del comma 1, a chi esercita la potestà genitoriale e quindi rispetto a questa varrebbero le norme generali per gli adulti. Il comma 2 dovrebbe, semmai, piuttosto riferirsi ai minori tra i 16 e i 18 anni. Inoltre, il riferimento al linguaggio dell’informatica andrebbe rapportato alle nuove tecnologie.”
A tal proposito si ricorda che la stessa ANORC coingiuntamente ad AIFAG hanno presentato osservazioni in merito allo Schema di decreto recante disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679