L’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) ha ricevuto diverse domande di giornalisti e partiti politici in merito alla compatibilità dei cosiddetti strumenti per la gestione di campagne con la protezione della sfera privata e il diritto all’autodeterminazio-ne in materia di informazione dei cittadini. Il presente documento intende rispondervi.
Contesto
Alcuni raggruppamenti politici e altre associazioni d’interesse utilizzano applicazioni digitali per esempio per integrare determinate azioni sul loro sito Internet, in vista di pianificare e svolgere le stesse per interagire con gruppi mirati di persone. I dati necessari a tal fine provengono da persone che hanno manifestato un interesse per contenuti specifici. Dopo aver registrato informazioni, come il nome o l’indirizzo email di dette persone, i responsabili della campagna possono trarre conclusioni sulle loro affinità e i loro interessi politici paragonando per mezzo di un algoritmo il comportamento che essi adottano sulle piattaforme di reti sociali.
L’impiego di strumenti digitali per la gestione di campagne comporta pertanto il trattamento di dati sulle convinzioni politiche e ideologiche delle persone interessate, dati che rientrano nella categoria dei dati personali degni di particolare protezione. Inoltre, collegando i dati che le suddette persone lasciano su siti Internet e piattaforme di reti sociali, si possono generare profili della personalità. Ai sensi dell’articolo 4 capoverso 5 della legge federale sulla protezione dei dati (LPD), il trattamento di dati degni di particolare protezione o di profili della personalità richiede il consenso esplicito della persona interessata, a meno che la legge o un interesse preponderante privato o pubblico lo giustifichino (art. 13 LPD).
Considerazioni giuridiche
Alla luce di quanto esposto e in base all’interpretazione dell’articolo 4 capoverso 5 LPD, l’IFPDT è giunto alla seguente valutazione giuridica.
- Il trattamento di dati personali mediante strumenti per la gestione di campagne è autorizzato soltanto se le persone interessate vi hanno dato il loro consenso esplicito, se il principio di autodeterminazione è rispettato e se le persone sono state sufficientemente informate in merito all’impiego dei loro dati. I raggruppamenti politici e le altre associazioni d’interesse sono autorizzati a trattare dati mediante tali strumenti soltanto per gli scopi e nella misura previsti.
- Un consenso è esplicito se la persona interessata si è registrata nel sito Internet dei responsabili della campagna e ha espressamente dichiarato (per esempio spuntando una casella) di essere d’accordo che i suoi dati siano trattati con gli strumenti corrispondenti.
- Le dichiarazioni mediante le quali le persone accettano solo in maniera generale le condizioni d’uso non costituiscono un consenso esplicito all’impiego di strumenti per la gestione di campagne.
- Lo stesso vale per le dichiarazioni che le persone devono fare per abbonarsi a progetti e contenuti pubblicati dai responsabili di campagna, per esempio su piattaforme di reti sociali, o per lasciare commenti.
- Il consenso può concernere soltanto i propri dati: l’impiego di strumenti per la gestione di campagne per i dati di terzi richiede il loro consenso.
- Il consenso rispetta il principio di autodeterminazione se le persone interessate hanno in ogni momento la possibilità di revocare il proprio consenso e di ritirarsi dal trattamento dei dati mediante gli strumenti corrispondenti.
- Un consenso informato presuppone che le persone interessate abbiano ricevuto, prima di registrarsi sul sito, informazioni complete e trasparenti sul trattamento dei loro dati mediante gli strumenti corrispondenti e sui loro diritti, segnatamente quello di revocare in qualsiasi momento il proprio consenso.
- Le informazioni sono trasparenti se sono facilmente comprensibili, se possono essere trovate velocemente e se la grafica ne facilita la lettura.
- I testi pubblicati online sono completi se spiegano, con un grado di dettaglio progressivo adeguato ai destinatari, gli obiettivi e il funzionamento degli strumenti digitali per la gestione delle campagne, in particolare la durata del trattamento e, se del caso, la trasmissione di dati a terzi. A tale scopo, la pagina di registrazione deve contenere, in uno spazio ben visibile, informazioni concise che presentino i principali aspetti del trattamento dei dati. Ognuno di questi punti deve contenere link mediante i quali il lettore può consultare i passaggi pertinenti dei regolamenti relativi al trattamento dei dati e delle disposizioni di protezione dei dati.
- Per essere complete, le informazioni devono inoltre contenere indicazioni sul trattamento dei dati che sono arricchite e valutate mediante informazioni tratte dalle reti sociali («Social Match»).
IFPDT, 18.10.2017