Privacy: come i social (non) si sono adeguati al Gdpr

A oltre quattro anni dalla pubblicazione del GDPR e considerando l’importanza che la società dell’informazione ricopre nel mondo attuale, sorge spontaneo chiedersi quale sia lo stato di adeguamento dei principali social network alla normativa relativa alla protezione dei dati personali. Con questa piccola ricerca si cerca di fornire una risposta a questa domanda. Tra la fine di agosto e i primi di settembre sono stati aperti account di Facebook, Google (che ha la medesima informativa sul trattamento dei dati personali per tutti i suoi servizi, tra i quali si colloca ad esempio Youtube), Instagram, LinkedIn, TikTok, Tumblr e Twitter.

Per ogni aspetto analizzato è stato assegnato un punteggio pari ad uno in caso di adempimento completo e, in caso di un parziale adempimento mezzo punto. Si ritiene di precisare che si tratta di considerazioni proprie dell’autrice, svolte, comunque, sulla base del Regolamento, della giurisprudenza, dei provvedimenti delle autorità garanti, del Gruppo di lavoro Art. 29 e del Comitato Europeo per la Protezione dei Dati.

Conclusione del contratto e consenso al trattamento dei dati

All’atto dell’iscrizione, con un semplice click, l’utente manifesta, in un’unica ed immediata formula, la propria volontà di fruire dei servizi di comunicazione offerti dai social network – fornendo immediatamente alcuni dati personali richiesti – e accettando contestualmente le condizioni generali di contratto (variamente definite: Condizioni, Contatto di licenza, Termini di utilizzo, Condizioni generali di utilizzo del servizio, Termini, Termini di servizio), le informative sulla privacy (anche per queste la terminologia è la più varia: privacy policy, normativa sui dati, l’informativa privacy, informativa sulla privacy, norme sulla privacy) e le informazioni sui cookies (denominate: Normativa sui cookie, l’informativa sui cookie, l’utilizzo dei cookie) unilateralmente predisposte dal gestore e ospitate, nei casi analizzati, in alcune pagine web secondarie, delocalizzate rispetto alla home page (pagina principale di accesso) e, purtroppo, quasi mai visitate al momento dell’iscrizione.

L’utente “manifesta” la propria volontà contrattuale e il proprio consenso con la pressione di un apposito bottone virtuale, in genere di colore azzurro, con caratteri di dimensioni nettamente maggiori rispetto alle indicazioni dei link alle condizioni contrattuali, alle informazioni privacy e cookie.

Richiesta di dati iniziali

Alcuni social richiedono dati prima ancora che si sia accettato il contratto, ma, soprattutto, prima che l’utente abbia cliccato di aver preso visione delle informazioni sul trattamento dei dati personali.

• Facebook: richiesti nome, cognome ed età. L’account deve esser collegato ad indirizzo email oppure utenza telefonica – Punteggio 0;
• Google: richiesti numero di telefono e indirizzo email sui quali vengono inviati codici per l’attivazione dell’account. Nulla è richiesto sull’età – Punteggio 0;
• Instagram: richiesti dati identificativi e la data di nascita. L’account deve esser collegato ad indirizzo mail oppure utenza telefonica – Punteggio 0;
• LinkedIn: nessun dato anagrafico è richiesto (neppure l’età), è richiesto l’indirizzo e-mail per creare l’account – Punteggio 0;
• TikTok: cliccando su accedi, viene richiesto di registrarsi fornendo la data di nascita – Punteggio 0;
• Tumblr: è necessario prima accettare la privacy policy, che offre anche opzioni, poi fornire l’età e solo dopo il contratto è concluso (procedura tramite cellulare) – Punteggio 1;
• Twitter: richiesto di fornire un nome e un numero di telefono. Viene richiesta quindi l’età che è, comunque, discrimine per poter proseguire nella creazione dell’account – Punteggio 0.

Il Regolamento 2016/679 è molto chiaro in merito al fatto che il consenso per il trattamento dei dati personali deve essere distinto da altre questioni. La manifestazione di volontà deve essere “libera”: ciò implica che l’interessato abbia una scelta effettiva e il controllo sui propri dati. Specificatamente, il Gruppo di lavoro art. 29 ha affermato che: “se il consenso è parte non negoziabile delle condizioni generali di contratto/servizio, si presume che non sia stato prestato liberamente”.

Per valutare se il consenso sia prestato liberamente è di rilievo l’art. 7 co 4: infatti, non è opportuno accorpare il consenso all’accettazione delle condizioni generali di contratto/servizio o subordinare la fornitura di un contratto o servizio a una richiesta di consenso al trattamento di dati personali che non sono necessari per l’esecuzione del contratto o servizio. In questi casi, per l’appunto, si presume che il consenso prestato in una tale situazione non sia prestato liberamente.

Relativamente alle privacy policy dei social network che sono oggetto della presente ricerca emerge, per contro, l’accorpamento, in un unico click, relativo all’accettazione delle condizioni generali di contratto e di consenso al trattamento dei dati personali. Che ci si trovi su due piani distinti, uno contrattuale e l’altro relativo alla tutela della protezione dei dati personali è stato, recentemente, recepito dalla giurisprudenza con la sentenza del 10 gennaio 2020 n. 261, il Tar del Lazio. Questo aspetto porta conseguenze connesse alla richiesta capacità di agire per la conclusione del contratto (18 anni), diversa dall’età per prestare il consenso al trattamento dei dati personali da parte di minori nell’ambito della società dell’informazione (14 anni).

• Facebook: con un unico click si conclude il contratto, accettando le condizioni e la privacy policy – Punteggio 0;
• Google: un unico “accetto” con la seguente formula “Pubblichiamo i Termini di servizio di Google affinché tu sappia cosa aspettarti quando usi i nostri servizi. Se fai clic su Accetto, accetti questi termini. Accetti inoltre i Termini di servizio di Google Play per attivare il rilevamento e la gestione delle app. Tieni presente che nelle Norme sulla Privacy di Google viene spiegato in che modo Google gestisce le informazioni generate quando utilizzi i servizi Google. Puoi visitare in qualsiasi momento la pagina Account Google (account.google.com) per eseguire un controllo privacy o per modificare i tuoi controlli per la privacy”: Punteggio 0;
• Instagram: con un unico click si accettano le condizioni e la normativa sui dati e la normativa cookie –  Punteggio 0;
• LinkedIn: “cliccando su accetta e iscriviti, accetti il contratto di licenza, l’informativa privacy e sui cookie” –  Punteggio 0;
• TikTok: “continuando, accetti i Termini di utilizzo di TikTok e confermi di aver letto la Informativa sulla Privacy di TikTok” – Punteggio 0;
• Tumblr: viene richiesta, innanzitutto, l’età e di cliccare su “ho letto, compreso e accettato le condizioni generali di utilizzo del servizio di Tumblr”. Si apre una seconda schermata per accettare in generale o con opzioni ciò che è descritto come “Il rispetto della tua privacy è la nostra priorità”. Le opzioni, si presentano di default su “disattivato” e sono: “Archiviare e/o accedere a informazioni su un dispositivo”, “Selezionare annunci basici (basic ads)”, “Creare un profilo di annunci personalizzati”, “Selezionare annunci personalizzati”, “Creare un profilo di contenuto personalizzato”, “Selezionare contenuti personalizzati”, “Valutare le performance degli annunci” e “Valutare le performance dei contenuti”: Punteggio 1.
• Twitter: “iscrivendoti accetti i Termini, l’informativa sulla privacy e l’utilizzo dei cookie” – Punteggio 0.

Consenso e sue caratteristiche

Ovviamente, l’analisi del consenso relativo al trattamento dei dati personali concerne i dati che non risultano necessari per l’esecuzione del contratto ovvero per l’esecuzione di misure precontrattuali. Infatti, in tale eventualità la base giuridica per il trattamento è quella indicata all’art. 6 co 1 lett. b), anziché lett. a): si vuole rammentare, tuttavia, che i dati necessari per la conclusione del contratto possono essere il nome e cognome, l’età, l’utenza telefonica e/o l’indirizzo mail.

Il Regolamento – come in precedenza la direttiva – considera il consenso quale “qualsiasi” manifestazione di volontà. La manifestazione, come sopra ricordato, deve essere libera.

Oltre alla “libera manifestazione”, altro aspetto che viene preso in considerazione dalle linee guida del Gruppo di lavoro art. 29 sul consenso è quello della “granularità”. Infatti, poiché un servizio può comportare trattamenti multipli per più finalità, l’interessato dovrebbe essere libero di scegliere quali finalità accettare, anziché dover acconsentire a un, unico, insieme di finalità: in sintesi, per ogni finalità dovrebbe essere richiesto un distinto consenso.

Tale aspetto risulta, particolarmente, carente nei social network oggetto della ricerca. Infatti, come sopra evidenziato, l’attività di accettazione del contratto e il consenso per il trattamento dei dati personali, viene, in genere, accorpata in unica azione: sebbene, nelle privacy policy si faccia riferimento alle molteplici finalità, ad esse non corrispondono distinti consensi.

La granularità è strettamente correlata alla necessità che il consenso sia specifico. In particolare, il consenso dell’interessato deve essere espresso in relazione a una o più specifiche finalità e l’interessato deve poter scegliere in relazione a ciascuna di esse.

In altri termini, un consenso totale – come rilevato in alcune reti sociali – senza che sia specificato lo scopo preciso del trattamento, non è ammissibile: il consenso deve essere accordato in relazione ai diversi aspetti del trattamento. Risulta, quindi, di rilievo l’indicazione della finalità dell’attività di trattamento in forma specifica, esplicita e legittima: non soddisfano il criterio della specificità (sempre secondo il Gruppo di lavoro art. 29) formule quali “migliorare l’esperienza degli utenti”, “finalità di marketing”, “finalità di sicurezza informatica”, o “ricerca futura”. Nelle informazioni fornite dai social network site in commento il contenuto è di maggiore ampiezza, ma il carattere di specificità non risulta sempre rispettato.

• Facebook: un unico click – Punteggio 0;
• Google: idem – Punteggio 0;
• Instagram: come sopra – Punteggio 0;
• LinkedIn: come i social network sopra analizzati: Punteggio 0;
• TikTok: idem: Punteggio 0;
• Tumblr: Una indicazione di varie opzioni è offerta e sono tutte, di default, disattivate, richiedendo quindi, un’azione che può essere intesa come “manifestazione di volontà”, tuttavia, la descrizione è troppo sintetica per poter essere considerato un consenso informato: Punteggio 0.5;
• Twitter: un unico click: Punteggio 0.

Consenso dei minori

Il Regolamento, con l’introduzione dell’art. 8 stabilisce che, in caso di prestazione di consenso per trattamenti di dati comuni (e non, quindi, per quelli appartenenti a particolari categorie di dati, quali quelli sensibili, genetici, biometrici, sanitari o giudiziari), il trattamento di dati personali del minore è lecito, avendo riguardo alla sola ipotesi di offerta diretta di servizi della società dell’informazione a minori, qualora questi abbiano almeno 16 anni (o la minore età stabilita dagli Stati membri, età che, in ogni caso, non può essere inferiore a 13 anni). In caso di minore infrasedicenne (o della inferiore età stabilita dagli Stati membri), invece, tale tipologia di trattamento è lecito solamente se e nella misura in cui tale consenso è stato prestato o autorizzato dal titolare della responsabilità genitoriale.

La norma discende dall’esigenza di adeguare la disciplina giuridica alla realtà attuale, caratterizzata dall’uso sempre più ampio dei servizi telematici e, in particolare, dei social network da parte dei minori, anche minori di anni 13.

Il comma 3 dell’art. 8 precisa, infine, che tale previsione non pregiudica le disposizioni generali del diritto dei contratti degli Stati membri, quali le norme sulla validità, la formazione o l’efficacia di un contratto rispetto a un minore: il regolamento, infatti, non mira ad armonizzare la disciplina nazionale dei contratti. Rimane, quindi, inderogabile il limite fissato in 18 anni per la conclusione del contratto secondo quanto previsto dall’art. 2 c.c.

Altro aspetto che merita di essere posto in evidenza riguarda la tipologia dei dati. Infatti, l’art. 8 concerne i dati c.d. comuni: non dovrebbero, pertanto, essere neppure poste vaghe sollecitazione, al minore, di fornire dati personali particolari: allo stato attuale, tuttavia, al momento della creazione del profilo di Facebook, tra i campi da compilarsi sono presenti anche quelli relativi alle abitudini sessuali, alle convinzioni politiche e al credo religioso.

Sono state effettuate aperture di account fornendo data di nascita nel luglio del 2007, quindi di persona di 13 anni compiuti.

• Facebook: sebbene sia richiesta la data di nascita non ne deriva alcuna conseguenza per la prestazione del consenso – Punteggio 0;
• Google: non viene richiesta la data di nascita – Punteggio 0;
• Instagram: segue la stessa impostazione di Facebook –Punteggio 0;
• LinkedIn: non è richiesta la data di nascita al momento dell’apertura dell’account – Punteggio 0;
• TikTok: richiede la data di nascita al momento dell’iscrizione, ma non ne discende alcuna conseguenza – Punteggio 0;
• Tumblr: Inserito 13 e 14 anni, ma l’iscrizione non è andata a buon fine, solo allorché è stata indicata età superiore a 16 anni si è potuto procedere. Il sistema è aggirabile inserendo molteplici date di nascita, ma tiene conto della problematica – Punteggio 0,5;
• Twitter: Inserita età di 13 anni viene richiesto un indirizzo e-mail di genitore. Su tale indirizzo giunge mail ove si chiede conferma per l’apertura dell’account da parte del minore – Punteggio 1.

Informazioni

L’attenzione attribuita al principio di trasparenza rappresenta una novità nella disciplina sul trattamento dei dati personali. L’obbligo di utilizzare un linguaggio semplice, evitando lunghe e complesse informative sul trattamento dei dati personali deriva implicitamente dal principio di correttezza, tuttavia, l’espressa indicazione della trasparenza contenuta nell’art. 12 del Regolamento, assume un rilievo significativo. La rilevanza della trasparenza emerge, altresì, dalla terminologia alla quale si è adeguato il legislatore nazionale. Infatti, nel Codice privacy ante novella l’art. 13 era rubricato informativa: in linea con quanto già previsto dalla Direttiva 95/46/CE, invece, il Regolamento contempla, tra i diritti degli interessati, le “informazioni”. Si sposta, quindi l’attenzione, in virtù del principio della trasparenza dal “contenitore-informativa” al “contenuto-informazioni”.

L’informativa propedeutica al consenso assume il ruolo di consentire un controllo dell’interessato sull’attività di trattamento e sui diritti che poi spetteranno all’interessato nel corso del trattamento.

Facilità di individuazione delle informazioni

Per quanto riguarda, gli obblighi di trasparenza e informazione è necessario verificare che le informazioni fornite dalla società agli utenti corrispondano agli obiettivi di accessibilità, chiarezza e comprensione fissati dall’art. 12 del Regolamento. Le informazioni devono, inoltre, essere visibili, cioè fornite direttamente agli individui interessati; non è sufficiente che le informazioni siano “disponibili” da qualche parte.

Facebook: Nelle informazioni sono presenti ben 92 link ipertestuali e, ogni volta che si clicca su uno di questi e si intende ritornare al punto di lettura precedente, si viene riportati all’inizio del testo. Inoltre, sono previsti molteplici passaggi per esercitare i propri diritti: es. per la portabilità ne sono necessari 4: Punteggio 0;

• Google: L’individuazione di tutte le informazioni non è facile. Ad esempio per contattare Google e il c.d. “ufficio protezione dei dati” è necessario compiere 5 passaggi non sempre intuitivi. E, comunque, alla fine si giunge ad un form e non si ottengono i recapiti. Tuttavia, offre il vantaggio di avere un documento scaricabile in formato PDF con glossario alla fine-  Punteggio 0,5;
• Instagram: stesso documento di Facebook con gli stessi aspetti – Punteggio 0;
• LinkedIn: Unico documento, tuttavia con 91 link ipertestuali – Punteggio 0;
• TikTok: In unico testo con 16 link ipertestuali – Punteggio 1;
• Tumblr: Unico testo con 30 link – Punteggio 1;
• Twitter: Può essere scaricato in formato PDF, con 69 link – Punteggio 0,5.

Linguaggio e lingua

Ovviamente il modo in cui le informazioni devono essere fornite dipende dal contesto, cioè dovrebbero essere comprensibili ad un utente regolare/medio, oppure se il destinatario del servizio è un minore, il linguaggio dovrebbe essere ulteriormente semplificato. Le informazioni devono, inoltre, essere fornite nella lingua dell’utente e non in altra lingua.

• Facebook: Il linguaggio è molto complesso, inoltre, alcuni link portano ad informazioni in lingua inglese (es. gestione dei dati) – Punteggio 0;
• Google: anche se di lettura più agevole rispetto a quella di Facebook, tuttavia è informativa molto lunga: Punteggio 0;
• Instagram: segue la stessa impostazione di Facebook: Punteggio 0;
• LinkedIn: Linguaggio formale, ma comprensibile. Tuttavia si rivolge anche a minori di età (16 anni) senza considerare tale utenza: Punteggio 0;
• TikTok: Esiste un’informativa sintetica per i minori di età: Punteggio 1;
• Tumblr: Linguaggio semplice, tuttavia le condizioni generali di contratto, che riportano aspetti importanti quali l’età minima per aprire un account sono in inglese: Punteggio 0;
• Twitter: Linguaggio semplice, ma anche in questo caso non è fornito tutto in lingua italiana. Ad esempio, cliccando su “Puoi contattarci in un qualunque momento” all’interno dell’informativa privacy si giunge a schermata che riporta la frase “al momento l’assistenza Twitter non è completamente in italiano. La risposta dell’assistenza di Twitter potrebbe essere in inglese”: Punteggio 0.

Terminologia specifica

Il Regolamento utilizza termini specifici, il mancato utilizzo di tale terminologia, soprattutto, poiché in alcuni casi presenta il carattere di novità, può determinare confusione nell’utente medio.

• Facebook: La terminologia è corretta: Punteggio 1;
• Google: Non sempre si usa la terminologia corretta: es. non c’è un riferimento specifico e generale ai diritti degli interessati, si menzionano categorie di dati sensibili e non dati particolari, si parla di esportare i dati anziché di portabilità: Punteggio 0;
• Instagram: segue la stessa impostazione di Facebook: Punteggio 1;
• LinkedIn: Si autodefinisce responsabile del trattamento, mentre in realtà è titolare del trattamento, si menzionano informazioni sensibili, anziché informazioni particolari, si definisce il Responsabile della protezione dei dati (ovvero DPO) come Responsabile della tutela dei dati: Punteggio 0;
• TikTok: terminologia corretta: Punteggio 1;
• Tumblr: terminologia corretta: Punteggio 1;
• Twitter: nelle informazioni si menzionano i dati sensibili in luogo dei dati particolari. Anche Twitter si definisce “responsabile del trattamento” ancorché ricopra il ruolo di “titolare del trattamento”: Punteggio 0.

Completezza delle informazioni

Tutte le informazioni previste dall’art. 13 sono obbligatorie e devono essere fornite agli utenti medesimi.

• Facebook: Anche se come evidenziato sopra le informazioni sono sparse, si presentano complete: Punteggio 1;
• Google: Mancano i recapiti di Google e del Responsabile della protezione dei dati: gli stessi sono contattabili con procedura molto articolata: Punteggio 0;
• Instagram: segue la stessa impostazione di Facebook: Punteggio 1;
• LinkedIn: Informazioni complete: Punteggio 1;
• TikTok: Informazioni complete: Punteggio 1;
• Tumblr: Non è indicato il DPO: Punteggio 0;
• Twitter: Informazioni complete: Punteggio 1.

Diritto alla portabilità dei dati

Tra i nuovi diritti introdotti dal Regolamento si menziona il diritto alla portabilità: tale diritto intende promuovere il controllo degli interessati sui propri dati personali, facilitando la circolazione, la copia o la trasmissione dei dati da un ambiente informatico all’altro (che si tratti dei propri sistemi, dei sistemi di soggetti terzi fidati, o di quelli di un diverso titolare del trattamento.

Il regolamento definisce il diritto alla portabilità come il diritto dell’interessato a ricevere, in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che lo riguardano forniti a un titolare del trattamento e ha il diritto di trasmettere tali dati a un altro titolare del trattamento senza impedimento da parte del titolare del trattamento cui li ha forniti (art. 20 co 1).

Per rispettare il nuovo diritto alla portabilità dei dati, il Gruppo di lavoro articolo 29 chiarisce che i titolari devono informare gli interessati dell’esistenza di tale diritto: è precisato, altresì, che nel fornire le informazioni necessarie, i titolari devono avere cura di distinguere il diritto alla portabilità da altri diritti. In particolare, inoltre, è raccomandato ai titolari di spiegare con chiarezza la differenza fra le categorie di dati che un interessato può ricevere attraverso l’esercizio del diritto alla portabilità anziché del diritto di accesso.

Le cristalline indicazioni del Gruppo di lavoro art. 29 non paiono essere state completamente recepite.

• Facebook: Diritto non specificato rispetto agli altri; 4 click per esercitarlo: Punteggio 0,5;
• Google: Definisce la portabilità come “esportazione: Punteggio 0,5;
• Instagram: segue la stessa impostazione di Facebook: Punteggio 0,5;
• LinkedIn: nella sottosezione “Le Sue scelte e i Suoi obblighi”, elenca i diritti dell’interessato, tra i quali il “Diritto di accedere e/o impossessarsi dei Suoi dati”. La terminologia è due volte errata (non si tratta di scelte, bensì di diritti, non si tratta di impossessarsi, ma di portabilità). La confusione che si crea nell’utente è molto elevata: Punteggio 0;
• TikTok: descrive la portabilità per metà (puoi chiedere una copia dei dati personali che hai fornito in un formato atto alla lettura): Punteggio 0,5;
• Tumblr: Accesso e portabilità sono indicati assieme e non viene esplicitata la differenza tra i due diritti: Punteggio 0,5;
• Twitter: Diritto indicato distintamente dagli altri, in particolare dal diritto di accesso. La procedura per esercitare il diritto è descritta in maniera semplice: Punteggio 1.

Processo decisionale automatizzato e profilazione

Sebbene collocato all’interno del Capo III del Regolamento, relativo ai diritti dell’interessato, quanto disposto dall’art. 22 si caratterizza, piuttosto, come un divieto. In sintesi, l’articolo 22 stabilisce che di norma esiste un divieto generale all’adozione di decisioni completamente automatizzate relative alle persone fisiche, compresa la profilazione, che hanno un effetto giuridico o che incidono in modo analogo significativamente; che esistono eccezioni alla regola, tra le quali il consenso esplicito dell’interessato e la necessità per la conclusione o l’esecuzione di un contratto tra l’interessato e il titolare del trattamento; che, laddove, si applichi una di tali eccezioni, devono essere adottate misure adeguate a tutela dei diritti delle libertà e dei legittimi interessi dell’interessato.

La nozione di “trattamento automatizzato” comprende quella di “profilazione”, che consiste in una forma di trattamento automatizzato dei dati personali che valuta aspetti personali concernenti una persona fisica, al fine di analizzarne e prevederne gli aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze o gli interessi personali, l’affidabilità o il comportamento, l’ubicazione o gli spostamenti. Ai fini del riconoscimento dell’applicazione dell’articolo 22 è necessario che la decisione, basata unicamente su un trattamento automatizzato di dati personali, produca effetti sulla sfera giuridica dell’interessato o comunque incida significativamente sulla persona fisica.

In ambiente online, connesse al trattamento automatizzato e alla profilazione, si richiama, in particolare, il fenomeno di behavioural advertising.

Il Behavioural Advertising è una tecnica che, basandosi su informazioni riguardanti il comportamento e i dati dell’utente, individua gli interessi degli stessi e su quella base eroga, la pubblicità.

Nella presente ricerca, si è quindi verificata la presenza di informazioni sulla profilazione, l’utilizzo di tale termine, il riferimento esplicito all’esistenza di un processo decisionale automatizzato, o il riferimento al Behavioural Advertising.

Infatti, l’informazione, specificamente sulla logica utilizzata, nonché sull’importanza e sulle conseguenze previste per l’interessato, assieme al diritto di ottenere l’intervento umano e al diritto a contestare la decisione, rappresenta, secondo il Gruppo di Lavoro art. 29, misura appropriata per tutelare i diritti, le libertà e i legittimi interessi dell’interessato.

• Facebook: manca ogni riferimento a quanto sopra indicato: Punteggio 0;
• Google: idem: Punteggio 0;
• Instagram: segue la stessa impostazione di Facebook: Punteggio 0;
• LinkedIn: idem: Punteggio 0;
• TikTok: Sebbene il divieto in oggetto venga menzionato, non è interpretato alla luce delle linee guida del Gruppo Art. 29. In particolare, onera l’interessato di fornire le ragioni della sua obiezione, aspetto che non è previsto da alcuna normativa: Punteggio 0;
• Tumblr: manca ogni riferimento a quanto indicato sopra: Punteggio 0;
• Twitter: nelle informazioni si menziona l’adesione ai Principi di Autoregolamentazione per la Pubblicità Comportamentale Online e vengono fornite alcune informazioni specifiche su cosa sia: Punteggio 0,5.

La risposta al quesito che ci si era posti all’inizio è di un percorso di adeguamento al Regolamento ancora, ampiamente, in corso. Infatti, solo Tumblr risulta adeguato ad oltre la metà dei parametri analizzati.