Tale provvedimento di Meta – che ha suscitato anche l’attenzione del nostro Garante per la Protezione dei Dati Personali (potete trovare qui la relativa newsletter) – non ha tardato ad attirare critiche.
In merito, va segnalata una prima formale diffida trasmessa a Meta a metà dello scorso maggio da parte di Noyb.
Noyb (acronimo di “none of your business”) è una ONG con sede a Vienna e avente quale scopo principale il monitoraggio del rispetto della normativa in materia di protezione dei dati.
Noyb è stata inoltre ufficialmente riconosciuta come “ente legittimato” ai sensi dell’art. 4 della Direttiva (UE) 1828/2020: tale qualifica comporta la legittimazione per taluni enti, quali le organizzazioni dei consumatori, ad intentare azioni rappresentative degli interessi collettivi sia nazionali che transfrontaliere (nel caso in esame, Noyb è stata riconosciuta in Unione Europea, nello Spazio Economico Europeo e in Irlanda, ed è quindi titolata ad avviare azioni a tutela dei consumatori in tali aree).
Entrando nel merito delle contestazioni di Noyb, il tema principale è quello relativo all’invocazione, da parte di Meta, del legittimo interesse ex art. 6, paragrafo 1, lettera f) GDPR quale base per il trattamento massivo dei dati personali per le finalità di addestramento dei sistemi AI.
Noyb ha invece ritenuto che Meta non si possa avvalere del concetto di interesse legittimo per una serie di ragioni di cui si riassumono di seguito le più significative:
- per gli utenti sarebbe concretamente difficile esercitare i diritti previsti dagli artt. 13-22 GDPR, a causa della difficoltà – ammessa dalla stessa Meta – di individuare precisamente i dati riferibili agli interessati una volta inseriti in sistemi complessi;
- la stessa CGUE ha chiarito, in casi piuttosto simili a quello in esame, che (a) Meta non possa utilizzare l’art. 6, paragrafo 1, lett. f) del GDPR in casi di pubblicità personalizzata (cfr. sentenza “Bundeskartellamt”, C-252/21) e (b) gli interessi commerciali di un titolare, per quanto legittimi, non possano comunque giustificare trattamenti massivi di dati, anche laddove provengano da contenuti pubblicamente accessibili (cfr. sentenza “Google Spain”, C/131-12);
- Meta non ha comunicato con chiarezza gli utenti sul futuro utilizzo dei loro dati, limitandosi a e-mail e comunicazioni piuttosto generiche;
- l’esercizio per l’opposizione al trattamento di tutti i propri dati ha un termine mentre, ai sensi dell’art. 21 GDPR, tale diritto dovrebbe poter essere esercitato in qualunque momento;
- Meta non ha ancora reso pubblica alcuna informazione o documentazione attestante la valutazione del bilanciamento tra i propri interessi e quelli degli interessati.
Si tratta solo della prima presa di posizione netta rispetto al provvedimento di Meta, ma che potrebbe essere accompagnata in futuro da ulteriori segnalazioni dello stesso tipo, anche da parte delle autorità nazionali per la protezione dei dati (che attualmente si stanno limitando a fornire agli utenti indicazioni su come proteggere i propri dati personali), e portare a procedimenti dinnanzi alla CGUE.