Il trattamento dei dati personali dei soggetti minori di età è un argomento “fisiologicamente” complesso, afferendo ad una categoria di interessati che, pur eventualmente solo nell’ambito di dati comuni, risulta particolarmente delicata e oggetto di maggiori attenzioni.
D’altro canto, il trattamento dei dati di un minorenne, a prescindere dal tipo di dato, necessita di un livello di protezione più ampio, a causa sia della valutazione della fattispecie concreta (per la quale un dato comune potrebbe impattare in maniera comunque significativa sulla sfera personale del soggetto) sia dell’incapacità – certo non assoluta, ma spesso presunta – del minore stesso di valutare in maniera oggettiva la convenienza del trattamento in essere.
Le normative vigenti, come l’articolo 8 del GDPR, cercano di fornire un quadro di riferimento per la gestione di queste informazioni sensibili, ma l’applicazione pratica di tali regolamenti può rivelarsi complessa. In questo scenario intricato e in continua evoluzione, come possono le organizzazioni gestire efficacemente le incombenze legali relative ai minori nel mondo digitale?
Il trattamento dei dati personali dei minori: il quadro normativo
La normativa europea, all’articolo 8 del GDPR, recita che “il trattamento di dati personali del minore è lecito ove il minore abbia almeno 16 anni. Ove il minore abbia un’età inferiore ai 16 anni, tale trattamento è lecito soltanto se e nella misura in cui tale consenso è prestato o autorizzato dal titolare della responsabilità genitoriale. Gli Stati membri possono stabilire per legge un’età inferiore a tali fini purché non inferiore ai 13 anni. Il testo però si riferisce nella titolazione dell’articolo al solo consenso dei minori in relazione ai servizi della società dell’informazione”.
L’applicabilità dell’articolo 8 del GDPR ai servizi della società dell’informazione
Questo è il primo scoglio interpretativo che si incontra nell’affrontare la tematica oggetto dell’articolo odierno. Il GDPR, infatti, non prevede altra disciplina specifica per il minore di età, a esclusione del consenso mirato per i servizi di informazione, i quali rappresentano una fetta importante ma certo non assoluta dei possibili trattamenti dei dati dei minorenni. Ci sono altri riferimenti ai soggetti che non abbiano ancora compiuto diciotto anni, soprattutto per quanto concerne l’informativa e la particolare attenzione da prestare, in linea generale, nel momento in cui si appronta un trattamento che li coinvolga.
Rimane il fatto che, a oggi, la norma di riferimento è applicabile con certezza solo ai servizi della società dell’informazione. Ricostruendo la definizione dalla Direttiva 2000/31 CE, i servizi della società dell’informazione indicano quei servizi prestati “dietro retribuzione a distanza, per via elettronica, mediante apparecchiature elettroniche di elaborazione e di memorizzazione di dati, e a richiesta individuale di un destinatario”.
Di cosa parliamo quando parliamo di servizi della società dell’informazione
I servizi in questione comprendono una vasta gamma di attività economiche svolte online, tra le quali spiccano la vendita in linea di merci, l’offerta di informazioni o di comunicazioni commerciali online, la fornitura di strumenti per la ricerca, l’accesso e il reperimento di dati. Inclusi nella categoria sono anche la trasmissione tramite una rete di comunicazione, la fornitura di accesso a una rete di comunicazione, lo stoccaggio di informazioni fornite da un destinatario di servizi e servizi video a richiesta come pure l’invio di comunicazioni commerciali per posta elettronica.
La radiodiffusione televisiva e la radiodiffusione sonora non si identificano con i servizi della società dell’informazione, in quanto non prestati a richiesta individuale. L’impiego della posta elettronica o di altre comunicazioni individuali equivalenti pur se utilizzati per concludere contratti non costituiscono i servizi in oggetto. Inoltre qualunque tipo di attività che non può essere esercitata a distanza o con mezzi elettronici non rientra nella categoria.
Si vede quindi che, pur nel novero largo della definizione sopra riportata, siamo ben lontani dal parametrare in via più generale il consenso del minore al trattamento dei propri dati personali, in quanto tale.
Il trattamento dei dati dei minori al di fuori dei servizi della società dell’informazione
Cosa succede perciò, quando si esula dai servizi della società dell’informazione per i minori di 16 anni (e giova ricordarlo, 14 anni per la normativa italiana)?
Ebbene, il par. 3 dell’art. 8 GDPR stabilisce che le norme relative ai requisiti di autorizzazione genitoriale nei confronti dei minori non pregiudicano “le disposizioni generali del diritto dei contratti degli Stati membri, quali le norme sulla validità, la formazione o l’efficacia di un contratto rispetto a un minore”.
Le discrepanze tra il diritto contrattuale nazionale e il GDPR
Di conseguenza, i requisiti per la validità del consenso all’uso dei dati relativi a minori rientrano in un quadro giuridico da considerarsi distinto dal diritto contrattuale nazionale. Se da un lato può convincere il fatto che il negozio giuridico sia su un binario parallelo rispetto al trattamento dei dati, dall’altro potrebbe far storcere la bocca, però, che venga attribuito un diverso livello di autonomia al minorenne, nell’ambito di attività che sono strettamente connesse tra loro.
Quale che sia lo scenario (tipicamente tre: (i) ammesso consenso per negozio e trattamento; (ii) ammesso consenso per negozio e non per il trattamento; ammesso consenso per il trattamento e non per il negozio) ci si potrebbe ritrovare a permettere che un particolare negozio giuridico – il quale necessita per forza di cose dei dati del minore e che con quei dati mette in atto proprio le attività negoziali – venga considerato come adatto alla firma del minorenne ma, non rientrando nel novero dell’articolo 8, necessiti della firma genitoriale, o viceversa.
L’idiosincrasia, pur nella maggiore sicurezza fornita dal consenso degli esercenti la responsabilità genitoriale, starebbe soprattutto nel considerare un soggetto autonomo per il compimento del negozio, rifiutando però allo stesso tempo la possibilità di autodeterminarsi anche in merito alla propria sfera di riservatezza. L’eventuale opposizione a tale ragionamento, ossia la sostanziale “povertà” di casistiche inerenti a grosse discrepanze tra i due binari sopra riportati, risulterebbe convincente solo a livello pratico e comunque in assenza di una precisa comparazione tra le decine di sistemi giuridici nazionali applicati dai singoli Stati membri. Il rischio, concreto anch’esso, è che la tassatività del GDPR in merito al consenso ed ai suoi trattamenti non proceda di pari passo con quanto invece permesso (o non permesso) dalla legislazione contrattuale nazionale.
Conclusioni
In conclusione, risulta difficile ordinare e gestire in maniera semplice ed al contempo corretta quanto inerente alle incombenze collegate ai negozi giuridici nei confronti dei minori. Si sconsiglia, però, in un’ottica di tutela dei diritti e dell’autodeterminazione del minore d’età, di intraprendere la scorciatoia della firma genitoriale “a priori”. L’approccio rimane, quindi, quello di analizzare il negozio giuridico di riferimento, sposarne la normativa inerente alla firma e procedere analogicamente (quando possibile) o specificamente al GDPR.
