Il caso Meta negli USA accelera l’attuazione degli obblighi europei su privacy dei minori e design algoritmico. In Italia, il D.Lgs. 196/2003 integrato dal GDPR (Reg. UE 2016/679) impone già oggi standard stringenti per il trattamento dei dati di under 14. Gli studi che assistono aziende digitali o media company devono aggiornare la propria checklist di compliance prima che arrivi un accertamento del Garante.
Punti chiave
- Punto 1 — Il GDPR fissa a 14 anni in Italia la soglia di consenso autonomo al trattamento dei dati personali.
- Punto 2 — Il Digital Services Act impone audit algoritmici obbligatori per le piattaforme con oltre 45 milioni di utenti UE.
- Punto 3 — Il Garante Privacy può irrogare sanzioni fino al 4% del fatturato mondiale annuo per violazioni sistematiche.
Se assisti piattaforme digitali, e-commerce, media company o anche singoli operatori che raccolgono dati di utenti minorenni, il caso Meta negli USA non è solo cronaca estera: è un promemoria che il ciclo di enforcement su algoritmi e privacy dei minori è già aperto anche in Europa. Le autorità di controllo — Garante italiano incluso — stanno affilando gli strumenti. Aggiornare la due diligence dei tuoi clienti adesso costa meno che gestire un procedimento sanzionatorio domani.
Meta ha raggiunto un accordo da oltre 1,4 miliardi di dollari con lo Stato del Texas per violazioni legate al riconoscimento facciale e alla profilazione di minori, e fronteggiano azioni analoghe in altri 33 Stati USA. In Europa il quadro normativo è diverso ma più pervasivo: lo riporta Diritto.it analizzando le implicazioni per il mercato digitale europeo.
Il contesto normativo
In Italia, l’art. 2-quinquies del D.Lgs. 196/2003 (Codice Privacy) fissa a 14 anni la soglia minima per il consenso autonomo al trattamento dei dati personali nell’ambito dei servizi della società dell’informazione: al di sotto, serve il consenso del genitore o del tutore. Il GDPR (Reg. UE 2016/679), in particolare l’art. 8, lascia agli Stati membri la facoltà di abbassare quella soglia fino a 13 anni, ma l’Italia ha scelto 14. Sul fronte algoritmico, il Digital Services Act (Reg. UE 2022/2065, artt. 27 e 34) impone alle piattaforme very large — quelle con oltre 45 milioni di utenti attivi mensili nell’UE — una valutazione periodica dei rischi sistemici generati dai propri sistemi di raccomandazione, inclusi quelli che incidono sulla tutela dei minori. Il Garante Privacy italiano ha già avviato procedimenti analoghi: si veda il provvedimento su TikTok del 22 gennaio 2021, che portò alla sospensione del trattamento per gli utenti di età incerta.
Cosa cambia per lo studio
- Mappatura degli utenti minori. Se il tuo cliente opera una piattaforma o un’app, verifica che abbia implementato meccanismi di verifica dell’età conformi alle linee guida del Garante del 2023. L’assenza di age verification documentata è già sufficiente per aprire un procedimento.
- Audit dei sistemi di raccomandazione. Il DSA impone alle piattaforme very large audit annuali indipendenti (art. 37 Reg. UE 2022/2065). Anche le piattaforme più piccole devono documentare come i propri algoritmi evitano di raccomandare contenuti dannosi agli under 18.
- Aggiornamento delle informative e delle basi giuridiche. Il consenso del minore under 14 raccolto senza il coinvolgimento dei genitori è radicalmente nullo ai sensi dell’art. 2-quinquies D.Lgs. 196/2003. Ogni trattamento fondato su quel consenso espone il cliente a sanzioni fino al 4% del fatturato mondiale (art. 83, par. 5, GDPR).
- Monitoraggio del Digital Markets Act. Il DMA (Reg. UE 2022/1925) vieta ai gatekeeper di combinare dati personali provenienti da servizi diversi senza consenso esplicito: un vincolo che tocca direttamente Meta e gli operatori che ne utilizzano i pixel di tracciamento.
- Preparare la documentazione difensiva. In caso di accertamento, il Garante valuta positivamente l’esistenza di un registro dei trattamenti aggiornato (art. 30 GDPR), una DPIA per i trattamenti ad alto rischio (art. 35 GDPR) e un DPO nominato dove obbligatorio. Avere questa documentazione pronta dimezza i tempi di risposta.
Attenzione a
Non confondere la normativa USA con quella UE. L’accordo Meta-Texas si fonda sul BIPA (Biometric Information Privacy Act) dell’Illinois e su leggi statali sul consenso dei minori: un impianto sanzionatorio per danni liquidati che non ha equivalenti diretti in Europa. Usare quei numeri per spaventare i clienti senza contestualizzare il quadro GDPR genera aspettative distorte e potenziali problemi deontologici.
Non trascurare i fornitori terzi. Molti clienti integrano SDK pubblicitari o strumenti di analytics di terze parti che raccolgono dati autonomamente. Il titolare del trattamento rimane responsabile anche per questi flussi se non ha stipulato un DPA (Data Processing Agreement) aggiornato con ciascun fornitore: art. 28 GDPR. Un audit dei contratti con i vendor tecnologici è il primo passo concreto da suggerire.
Domande frequenti
A che età un minore può dare il consenso al trattamento dei dati in Italia?
In Italia l’art. 2-quinquies del D.Lgs. 196/2003 fissa la soglia a 14 anni per i servizi della società dell’informazione. Al di sotto di questa età il consenso deve essere prestato o autorizzato dal genitore o dal tutore legale. Un consenso raccolto direttamente da un under 14 è privo di efficacia giuridica e rende illecito il trattamento.
Il Digital Services Act si applica anche alle PMI italiane o solo alle grandi piattaforme?
Il DSA si applica a tutti i fornitori di servizi intermediari nell’UE, ma con obblighi graduati. Le piattaforme very large (oltre 45 milioni di utenti UE mensili) hanno obblighi massimi, inclusi audit algoritmici indipendenti. Le PMI con meno di 50 dipendenti e 10 milioni di fatturato annuo sono esentate da alcuni adempimenti, ma non dall’obbligo generale di rimozione dei contenuti illegali.
Cosa rischia un’azienda italiana se raccoglie dati di minori senza consenso dei genitori?
Il Garante Privacy può irrogare sanzioni fino al 4% del fatturato mondiale annuo ai sensi dell’art. 83, par. 5, del GDPR, per violazioni degli artt. 5, 6 e 8. Oltre alla sanzione amministrativa, l’azienda può essere esposta ad azioni civili per danni da parte degli interessati o dei loro rappresentanti legali, con onere della prova invertito a proprio carico.
Fonte di riferimento: Diritto.it