È in atto negli USA uno scontro ormai ampio tra Google e gli Attorneys Generals – procuratori generali – di alcuni Stati quali lo Stato di Washington, dell’Indiana, del Texas intorno all’attività di Google accusata di manipolare o ingannare gli utenti per poterne tracciare la posizione.
L’accusa a Google negli USA
In particolare l’accusa comune rivolta a Google dagli Attorneys Generals di questi Stati rivolta a Google sarebbe quella di far credere agli utenti che il cambio di account o la pulizia del device sia sufficiente a proteggere i dati personali da accessi illegittimi. Al contrario, ed è questa l’accusa, i dati di localizzazione sono conservati e protetti in modo profondo (deeply) tanto che secondo Google gli stessi reclami da parte degli utenti sono fondati su scarsa conoscenza delle misure adottate a Google nel suo sforzo di “vigorously defend” e di garantire un “robust controls for location data” (secondo le parole dell’accusa).
In sostanza, questa sembra esser la tesi, proprio lo sforzo di rendere massima la tutela dei dati di localizzazione conduce ad adottare misure di protezione dei dati che gli utenti non sono in grado di conoscere adeguatamente per poter giudicare se i loro diritti siano o meno violati.
E’ evidente, dunque, che la posizione di Google è quella di massimizzare la rigorosa applicazione delle misure di protezione dei dati anche a costo di rendere difficile o quasi impossibile la conoscenza da parte degli utenti interessati dei rischi che corrono i dati trattati a loro riferibili e in che misura sia vero che essi sono adeguatamente protetti.
Il corto circuito della privacy
In sostanza sarebbe la stessa applicazione della legge a rendere la legge stessa non sufficientemente applicabile per quanto riguarda la verifica dei diritti degli interessati: un corto circuito di grande interesse, questo, col quale in più di un caso anche i Garanti europei e lo stesso Garante italiano hanno dovuto misurarsi, talvolta anche rinunciando a comprendere fino in fondo il funzionamento delle misure poste in essere.
Naturalmente l’esperienza europea e quella in atto nei citati Stati USA sono comparabili solo fino a un certo punto giacchè, come è noto, negli USA non si applica il GDPR e il caso in questione in ciascuno degli Stati citati riguarda la applicazione della legge statale sulla privacy. E’ noto infatti che mentre a livello federale vi è tuttora una non risolta resistenza ad adottare una legge federale generale di protezione dei dati personali in molti Stati i legislatori statali hanno da tempo approvato, nell’ambito e nei limiti delle loro competenze, leggi nazionali di protezione dati, molte delle quali anche fortemente influenzate dalla esperienza europea.
Non è possibile dunque forzare il discorso fino a comparare l’esperienza, peraltro ancora alle fasi iniziali, ni corso in alcuni Stati USA con quella, peraltro assai poco nota, già verificatasi in UE nell’ambito dell’attività svolta dai Garanti statali degli Stati membri nell’ambito della loro competenza.
Possiamo solo dire che il tema è di grande interesse, tanto da trovare riscontri interessanti su entrambe le sponde dell’Atlantico.
L’obiettivo dei procuratori generali
Negli USA la tendenza che sembra accumunare gli Attorneys Generals citati è quella di spingere affinché, proprio ad evitare il verificarsi di questi cortocircuiti, si modifichino le leggi privacy statali in vigore fino a rendere esplicito il divieto alle OTT di operare con le modalità tipiche del dark pattern. Questa linea già presente in California e in Colorado incontra però non poche difficoltà giacché non vi è chiaro e univoco consenso su cosa debba intendersi per dark pattern e soprattutto non vi è adeguata convergenza su questo punto da parte delle organizzazioni dei regolatori, dei consumatori e delle imprese interessate al tema in esame.
In queste condizioni promuovere una linea del genere potrebbe, secondo alcuni autorevoli osservatori USA, favorire pratiche ingannevoli o sleali, tanto che, come lo stesso Joseph Duball ricorda, qualcuno ha richiamato la necessità di seguire, nell’affrontare questo tema, il c.d. “Justice Potter Stewart approach”. Di fronte a situazioni poco chiare e regole difficilmente definibili nelle loro applicazione il giudice Potter Stewart usava infatti affermare “ io posso conoscere solo ciò che posso vedere” per mettere così un freno a teorie troppo fumose e passibili di applicazioni troppo contraddittorie.
Tuttavia non vi è dubbio che il tema esiste ed è di notevole spessore.
Non è certo un fatto nuovo che la troppo rigorosa applicazione di una legge, soprattutto se basata sulla sua applicazione letterale, possa condurre sostanzialmente a uno svuotamento dell’effetto della legge stessa e del resto proprio questo profilo è spesso al centro del magistero delle Corti Supreme e in particolare delle Corti costituzionali.
Tuttavia nell’ambito dell’applicazione delle leggi sulla protezione dei dati personali il ricorso alle Corti di ultima istanza non è così facile né così immediato. Questo spiega perché in USA e negli Stati interessati sembra crescere la spinta a interventi normativi che sciolgano in via definitiva la questione come appunto il divieto di ricorso a misure di protezione basate sull’uso del dark web o dei dark pattern”.
Negli Stati americani il problema è comunque ormai emerso ed è al centro di una discussione estremamente interessante.
Perché è interessante per l’Europa
Non così invece in UE, dove la diffidenza verso le OTT si concentra essenzialmente nel divieto di trasferimento di dati all’estero come misura per diminuire il loro impatto sulla tutela dei dati personali dei cittadini UE.
E’ chiaro tuttavia che seguire quanto avviene in USA e, in particolare, negli Stati citati è estremamente interessante anche per noi in UE.
E’ giunta l’ora, infatti, di affrontare apertamente il caso di usi “fraudolenti” del GDPR, specie quando consistenti nell’applicarlo in modo da indebolire di fatto le tutele o di aggirarne di fatto le disposizioni.
Come si vede anche nell’apparente e crescente conflitto il confronto tra USA e UE è sempre produttivo di insegnamenti importanti per gli operatori di entrambi i Continenti.
Infine, e per concludere, è bene dire che rispetto alla UE e, ancora di più, all’Italia la vicenda qui ricostruita, che potrà certamente riguardare domani anche il GDPR, richiama oggi essenzialmente le modalità di applicazione della normativa e-privacy e le regole di profilazione online relative all’acquisizione del consenso.
Per noi italiani inoltre il punto di riferimento sono, proprio per questo e per il loro stretto collegamento con la e-privacy, le Linee guida del Garante sui cookie in vigore dal 10 gennaio.
E’ proprio sul terreno della e-privacy e della profilazione on line, dunque, che un qualunque “scantonamento” dalle Linee guida del Garante potrebbe fare piacere a molti. Per questo stesso motivo tuttavia, e proprio perché il Garante già si è pronunciato, qualunque scantonamento sarebbe in Italia portatore di problemi ancora più rilevanti, e certamente più immediatamente percepibili e ineludibili, di quelli che abbiamo visto emergere negli Stati USA richiamati in precedenza.
