Raccolta dati dei minori: il Minnesota si muove per la limitazione

La discussione sulla raccolta dei dati dei minori nei social media è diventata un punto focale per i legislatori. Mentre alcuni cercano di implementare impostazioni predefinite di privacy per proteggere i giovani utenti, i gruppi commerciali esprimono preoccupazioni riguardo alle possibili restrizioni alle pratiche di raccolta dati e agli impatti finanziari sulle aziende.

Questo dibattito richiama l'attenzione sulla necessità di trovare un equilibrio tra la protezione della privacy dei minori e la libertà operativa delle aziende tecnologiche.

Sommario: Introduzione Il Minnesota Age-Appropriate Design Code Act Considerazioni sull’impatto dell’ Age-Appropriate Design Code

GDPR e Normativa Privacy Commentario, di Belisario Ernesto, Riccio Giovanni M., Scorza Guido, Ed. IPSOA, 2022. Il volume offre il commento dei singoli articoli del Regolamento n. 2016/679/UE, integrato con le norme del decreto di adeguamento della normativa nazionale (d.lgs. n. 101/2018). Scarica gratuitamente l'estratto

1. Introduzione

L'ampia diffusione dell'utilizzo della tecnologia da parte dei bambini e degli adolescenti ha suscitato numerose preoccupazioni riguardo al suo impatto sulla loro salute mentale, sullo sviluppo sociale e sulla sicurezza.

Sebbene vi siano evidenze del fatto che i giovani possano trarre benefici dalle attività digitali, spesso ciò avviene non grazie al modo in cui le piattaforme sono progettate, ma nonostante esse. Affrontare efficacemente queste problematiche richiede un approccio che coinvolga non solo le famiglie e gli individui, ma anche le aziende tecnologiche, i legislatori e gli educatori.

Il principio “the best interests of a child”, ossia dell' interesse superiore del bambino, è uno dei princìpi fondamentali sanciti dalla Convenzione delle Nazioni Unite sui diritti del fanciullo (UNCRC).

Esso riconosce che, in tutte le questioni che riguardano i bambini, sia a livello legale che amministrativo, l'interesse superiore del bambino deve essere una considerazione primaria.

L'UNCRC sottolinea che i bambini hanno diritto a particolari protezioni e cure speciali, in quanto sono considerati soggetti particolarmente vulnerabili ed in via di sviluppo.

Questo principio viene applicato in una vasta gamma di contesti, compresi quelli relativi alla famiglia, all'istruzione, alla salute, alla giustizia, alla protezione sociale ed alla partecipazione civica. È uno strumento guida fondamentale per garantire che le decisioni e le politiche adottate rispettino e promuovano i diritti ed il benessere dei bambini in tutto il mondo.

A tal riguardo, il 27 febbraio 2023, il disegno di legge 2257 è stato introdotto alla legislatura del Minnesota, mirando a istituire il “Minnesota Age-Appropriate Design Code Act”, conosciuto anche come Children’s Code.

Successivamente, il disegno di legge è stato deferito al Comitato per la finanza e la politica del commercio per ulteriori valutazioni e considerazioni.

Le disposizioni includono diverse misure volte a garantire una maggiore protezione della privacy e della sicurezza dei minori online.

Tra queste, vi è l'obbligo per le aziende di completare una valutazione d'impatto sulla protezione dei dati (DPIA) per qualsiasi servizio, prodotto o funzionalità online che potrebbe essere accessibile ai minori prima che vengano offerti al pubblico.

Inoltre, le aziende devono riesaminare le DPIA ogni due anni e documentarne i rischi di danno materiale per i minori, derivanti dalle proprie pratiche di gestione dei dati.

Il disegno di legge prevede anche che le aziende forniscano un elenco delle DPIA completate all'Attorney General, entro tre giorni lavorativi dalla richiesta scritta di quest'ultimo.

Sul punto, è bene specificare che l'Attorney General è il capo del Dipartimento di Giustizia dello Stato del Minnesota.

Questa figura è responsabile dell'applicazione della legge nello Stato, della difesa degli interessi del Minnesota in cause legali, fornendo consulenza legale al governo statale ed ai suoi dipartimenti.

Secondo il Children’s Code, le impostazioni di privacy predefinite fornite ai minori devono essere configurate su livelli elevati di privacy, a meno che l'azienda non sia in grado di dimostrare un motivo convincente per cui un'impostazione diversa è nell'interesse migliore dei minori.

Infine, il disegno di legge sottolinea che le disposizioni proposte entreranno in vigore il 1° luglio 2024, stabilendo una scadenza per l'implementazione delle misure prescritte.

Dunque, leggi come il Minnesota Age-Appropriate Design Code Act rappresentano un passo importante verso la creazione di un ambiente online più sicuro ed adatto ai minori, ponendo la responsabilità anche sulle piattaforme digitali per garantire che i loro servizi siano progettati in modo appropriato per l'età degli utenti e che rispettino le normative sulla privacy e sulla sicurezza dei minori. Il Codice, per la prima volta, estende questa protezione al mondo digitale, imponendo alle aziende con servizi online ‒ a cui, appunto, potrebbero accedere i minori di 18 anni ‒ di applicare le impostazioni sulla privacy per “impostazione predefinita”.

Ciò include app, programmi, giocattoli e dispositivi connessi, motori di ricerca, piattaforme di social media, servizi di streaming, giochi online, siti Web di notizie o educativi e siti Web che offrono altri beni o servizi agli utenti su Internet.

È necessaria, di base, una maggiore sensibilizzazione e formazione per genitori, educatori e giovani stessi sui rischi e sugli impatti dell'uso della tecnologia, nonché sulle strategie per promuovere un uso responsabile e consapevole dei dispositivi digitali. Sul punto, già il 20 settembre 2022, il governatore Gavin Newsom ha siglato la legge AB-2273, nota come “The California Age-Appropriate Design Code Act”, noto anche come “the Act”).

Questa legislazione, modellata sull'Age-Appropriate Design Code del Regno Unito, mira a rafforzare le protezioni online per i bambini di età pari o inferiore a 17 anni, richiedendo alle aziende che forniscono servizi, prodotti o funzionalità online accessibili ai minori di rispettare una serie di disposizioni specifiche.

Il contesto legislativo fornito dal California Consumer Privacy Act (CCPA) definisce chiaramente il concetto di "azienda", quest’ultimo soggetto alle disposizioni della legge AB-2273.

Questo atto legislativo si inserisce nel contesto più ampio delle iniziative volte a proteggere la privacy e la sicurezza online dei giovani, riconoscendo la necessità di adattare le normative alle sfide presentate dalla rapida evoluzione del panorama digitale.

Il CCPA è entrato in vigore il 1º gennaio 2020 ed è stato uno dei primi tentativi significativi negli Stati Uniti di creare una legislazione sulla privacy dei consumatori simile al Regolamento Generale sulla Protezione dei Dati (GDPR) dell'Unione Europea.

In aggiunta, il procuratore generale della California può richiedere un'ingiunzione o può multare le aziende che violano la legge sulla privacy dei consumatori.

La multa può arrivare fino a $7.500 per ogni violazione intenzionale e le aziende hanno un periodo di 90 giorni per correggere le violazioni, prima di essere soggette a tali sanzioni.

Le disposizioni della legge AB-2273 pongono l'accento sulla necessità che le piattaforme digitali progettino e gestiscano i propri servizi in modo appropriato per l'età degli utenti più giovani.

Questo include l'adozione di misure per limitare la raccolta e l'uso dei dati personali dei minori, nonché per assicurare che i contenuti e le funzionalità offerte siano adeguati e sicuri per la fascia d'età interessata.

L'adozione di normative simili è un passo significativo verso la modernizzazione delle protezioni online per i minori e potrebbe servire da modello per altri stati e giurisdizioni interessate a rafforzare la tutela dei giovani utenti digitali.

Oltre alla California, altri paesi stanno sviluppando codici di condotta simili, come i Paesi Bassi (il Codice dei diritti dei bambini è stato redatto dall'Università di Leiden e dall'organizzazione Waag ed è stato commissionato dal Ministero degli Interni e delle Relazioni con il Regno), la Svezia (è un'iniziativa lodevole quella di tre autorità governative che, riconoscendo l'importanza di proteggere i diritti e la privacy dei bambini e dei giovani, hanno scelto di unire le proprie competenze per produrre una guida congiunta) e l'Irlanda (rilevanti sono le linee guida dal titolo “Children Front and Centre: Fundamentals for a Child-Oriented Approach to Data Processing”).

2. Il Minnesota Age-Appropriate Design Code Act

Il disegno di legge del “Minnesota Age-Appropriate Design Code”, in questo contesto, rappresenta, pertanto, un'opportunità significativa per il Minnesota di emergere come un leader nazionale nel garantire la sicurezza e la privacy dei bambini online.

Il concetto di “age-appropriate design” si riferisce al processo di progettazione di servizi, prodotti o piattaforme digitali in modo tale da adattarsi alle esigenze ed alle capacità di sviluppo delle diverse fasce d'età, in particolare dei bambini e degli adolescenti.

A titolo indicativo, l'ICO (Information Commissioner's Office) evidenzia le seguenti fasce d'età:

• 0 – 5: alfabetizzazione precoce e pre-alfabetizzata;

• 6 – 9: anni di scuola primaria di base;

• 10-12: anni di transizione;

• 13-15: prima adolescenza;

• 16-17 anni: avvicinarsi all'età adulta;

Il concetto di “progettazione appropriata all'età” considera il potenziale rischio che determinate funzionalità o caratteristiche dei prodotti possano causare danni ai bambini.

Ad esempio, funzionalità come la chat privata o la geolocalizzazione potrebbero esporre i bambini “a potenziali predatori o comportamenti dannosi”.

Le linee guida dell'ICO raccomandano alle piattaforme di valutare se sono necessari ulteriori controlli quando un utente si avvicina ai 13 anni e di nuovo quando raggiunge la maggiore età, al fine di garantire che possano accedere solo a parti del servizio adatte alla loro età e maturità.

Il GDPR (Regolamento Generale sulla Protezione dei Dati) e la DPA 2018 (Data Protection Act 2018) stabiliscono che, se si fa affidamento sul consenso come base giuridica per il trattamento dei dati personali per qualsiasi aspetto di un servizio online, è necessario ottenere l'autorizzazione dei genitori per i minori di 13 anni.

Questa disposizione ha implicazioni pratiche significative per gli operatori dei servizi online che si rivolgono ad utenti minori.

Il rispetto degli standard delineati nel codice sulla progettazione appropriata all'età dovrebbe consentire di adempiere a questi requisiti del GDPR in modo proporzionato. L'allegato C del codice fornisce ulteriori dettagli su come questo può essere realizzato nella pratica.

Ma come possiamo assicurarci di soddisfare questo standard?

Per garantire una progettazione adeguata all'età, è essenziale conoscere l'età o la fascia di età delle persone che accedono al servizio. Questo è fondamentale poiché, secondo il Codice, se non si può determinare chi sia un bambino, diventa impossibile proteggerlo in modo efficace.

Il Codice promuove un approccio basato sul rischio per stabilire l'età degli utenti.

Questo significa che maggiore è il rischio che il trattamento dei dati possa comportare per un bambino, maggiore deve essere la certezza dell'età di quest'ultimo.

Esistono diverse tecniche di verifica dell'età che consentono di stabilire la probabilità che un individuo appartenga a una determinata fascia di età, senza dover rivelare la sua identità completa. L'ICO propone quattro approcci principali, che possono essere utilizzati singolarmente o combinati:

• Autodichiarazione: l'utente fornisce direttamente la propria età, ad esempio durante la registrazione a una newsletter. Tuttavia, l'ICO ha chiarito che questo metodo da solo potrebbe non essere sufficiente per servizi ad alto rischio;

• Stima dell'età: si utilizza l’IA per stimare l'età o la fascia di età di una persona. Il suo utilizzo potrebbe offrire un maggior grado di certezza sull'età degli utenti, soprattutto se viene utilizzata in modo continuativo e su larga scala. Tuttavia, se si sceglie di adottare questo approccio, è essenziale rispettare alcune importanti linee guida, ovvero è fondamentale informare gli utenti in modo chiaro e trasparente che verrà utilizzata l’IA per stimare la loro età, è necessario raccogliere solo la quantità minima di dati personali necessari per tale scopo e ciò significa limitare la raccolta di informazioni solo a quelle strettamente necessarie per l'analisi dell'età dell'utente. È importante garantire che tali dati siano utilizzati esclusivamente per la verifica dell'età e non siano soggetti ad ulteriori elaborazioni o utilizzati per altre finalità senza il consenso degli utenti.

• Servizi di verifica dell'età di terze parti: un genitore o tutore legale conferma l'età di un bambino attraverso un account online, ovvero l'utente può scegliere di utilizzare un servizio di terze parti per fornire una garanzia dell'età dei propri utenti.

L'ICO ha introdotto anche il concetto di “waterfall technique (tecnica a cascata)”, che combina diversi metodi di verifica dell'età.

Ad esempio, la stima dell'età facciale potrebbe essere il metodo principale, con un secondo metodo di verifica utilizzato se necessario.

Sulla base di tali considerazioni, questo progetto di legge lo pone all'avanguardia nel riconoscere l'importanza di progettare servizi digitali che siano sicuri e rispettosi della privacy dei minori.

Il Minnesota, mediante tale approvazione, ha dimostrato un impegno concreto nel garantire che i minori siano al sicuro mentre navigano sul web, un ambiente, questo, che presenta sempre più rischi e sfide in termini di privacy e sicurezza.

Sul punto, il 16 aprile 2024, la Minnesota Kids Code Coalition ha espresso la propria soddisfazione e gratitudine dopo che la Commissione Giustizia e Diritto Civile della Camera ha approvato anche il Minnesota Kids Code (HF 2257). In particolare, la Coalizione ha elogiato il presidente Becker-Finn ed il rappresentante Bahner per il loro ruolo di leadership in questo processo.

Il Minnesota Age-Appropriate Design Code Act raffigura una legislazione che stabilisce requisiti essenziali per gli operatori di servizi digitali nel contesto dell'interazione con minori. Questi parametri, ampiamente articolati, sono progettati per garantire un ambiente online sicuro, eticamente responsabile ed adatto alle fasce d'età dei giovani utenti.

Innanzitutto, s’impone una rigorosa limitazione sulla raccolta ed il trattamento dei dati personali dei minori, vincolando gli operatori a raccogliere informazioni soltanto necessarie per la fruizione del servizio richiesto.

Un aspetto importante è la richiesta di ottenere un consenso esplicito da parte dei genitori o dei tutori legali prima di procedere con la raccolta, l'utilizzo o la divulgazione dei dati personali dei minori, garantendo così un controllo adeguato sulla loro privacy e sicurezza online.

In parallelo, si pone un particolare interesse sulla presentazione di contenuti appropriati per l'età degli utenti target.

Ciò significa che i servizi digitali devono essere progettati e strutturati in modo tale da garantire che sia la forma che il contenuto siano facilmente comprensibili ed adeguati alla fascia d'età dei minori, comprendendo anche l'adeguata gestione degli annunci pubblicitari e delle informazioni.

Si richiede agli operatori di adottare misure robuste per garantire la privacy e la sicurezza dei minori online.

Ciò può comprendere l'implementazione di controlli parentali efficaci, l'utilizzo di crittografia per proteggere i dati sensibili e l'attuazione di altre misure tecniche volte a prevenire la raccolta non autorizzata o l'accesso indebito ai dati personali dei minori.

La trasparenza e la responsabilità sono altresì pilastri fondamentali sanciti dalla legislazione.

In merito al concetto della trasparenza, quest’ultima è fondamentale per l'obbligo di trattamento dei dati personali, ai sensi dell'articolo 5, paragrafo 1, del GDPR.

Il GDPR contiene anche disposizioni più specifiche sulle informazioni che bisogna fornire agli interessati per il trattamento dei loro dati personali.

Questi sono stabiliti all'Articolo 13 (dati personali ottenuti direttamente dall'interessato) e all'Articolo 14 (dati personali non ottenuti direttamente dall'interessato).

Queste disposizioni delineano le informazioni specifiche che devono essere fornite agli interessati, tra cui l'identità ed i dati di contatto del titolare del trattamento, le finalità del trattamento, le basi giuridiche del trattamento, i destinatari o le categorie di destinatari dei dati personali, i trasferimenti internazionali di dati, i periodi di conservazione dei dati ed i diritti degli interessati in merito al trattamento dei loro dati personali.

L'Articolo 12 del GDPR, in particolare, impone che tali informazioni siano fornite in modo chiaro, conciso e comprensibile, specialmente quando i dati personali sono trattati per conto dei bambini. Questo è cruciale per garantire che essi abbiano la capacità di comprendere pienamente come vengono gestiti i loro dati personali e di esercitare i loro diritti in merito alla protezione della loro privacy, in linea con il suddetto principio dell'"interesse superiore del bambino".

Ad un livello più ampio, la trasparenza è anche intrinseca all'elemento di equità, di cui all'Articolo 5, paragrafo 1.

L'equità è uno dei principi fondamentali del GDPR e richiede che il trattamento dei dati personali sia effettuato in modo leale, trasparente e conforme alle leggi ed ai principi fondamentali della protezione dei dati.

Quando si tratta dei dati personali dei bambini, la trasparenza diventa ancora più critica.

Pertanto, gli operatori devono essere chiari e completi nella comunicazione delle proprie pratiche di raccolta e utilizzo dei dati, rendendo accessibili agli utenti e ai loro genitori o tutori legali tutte le informazioni pertinenti.

Inoltre, è essenziale che gli operatori operino in conformità con gli standard etici e legali relativi alla privacy dei minori, assumendosi la responsabilità delle proprie azioni e mantenendo un elevato grado di integrità nel trattamento dei dati dei giovani utenti.

La proposta legislativa del Minnesota s’inserisce in un contesto più ampio caratterizzato dalla crescente preoccupazione riguardo alla raccolta ed all'uso dei dati personali dei minori da parte delle potenti aziende tecnologiche, nonché ai possibili impatti negativi sul benessere e sulla sicurezza dei giovani utenti.

Tuttavia, l'approccio legislativo proposto ha suscitato un forte dibattito ed opposizione da parte di gruppi commerciali rappresentanti le principali aziende tecnologiche, che sollevano preoccupazioni riguardo alla possibile censura dei contenuti ed ai potenziali conflitti con il Primo Emendamento.

In particolare, si evidenziano le sfide nel bilanciare la necessità di proteggere i minori online con il rispetto per la libertà di espressione e per l'innovazione tecnologica.

La proposta legislativa del Minnesota rappresenta un'evoluzione rispetto ai tentativi precedenti di regolamentare l'uso dei social media da parte dei minori, concentrandosi ora sulla raccolta dei dati e sulle impostazioni predefinite degli utenti.

La sua efficacia e fattibilità, però, potrebbero essere oggetto di controversie e contenziosi legali, come già accaduto in altri contesti statali.

3. Considerazioni sull’impatto dell’ Age-Appropriate Design Code

L'Age-Appropriate Design Code ha un impatto significativo sulle aziende di social media, soprattutto quelle che dipendono dalla pubblicità mirata e dalla profilazione degli utenti per generare entrate.

Il Codice stabilisce che se la pubblicità comportamentale viene utilizzata per finanziare un servizio che non fa parte del servizio principale a cui il bambino desidera accedere, essa dovrebbe essere controllata con un'impostazione sulla privacy.

Ciò implica limitare l'uso dei dati degli utenti per la personalizzazione degli annunci e fornire agli stessi, in particolare ai minori, maggiori controlli sulla loro esperienza pubblicitaria.

Il Codice stabilisce anche che la profilazione dovrebbe essere disattivata per impostazione predefinita e attivata solo se sono in atto misure adeguate per proteggere il bambino da eventuali effetti dannosi.

Questo ha un impatto diretto sulle funzionalità, come i feed di notizie ed i suggerimenti per gli account da seguire, che spesso si basano sulla profilazione degli utenti. La profilazione è menzionata nel Considerando 38 del GDPR come un settore in cui i minori meritano una protezione specifica per quanto riguarda l'uso dei loro dati personali.

Inoltre, l'Articolo 22 del GDPR stabilisce norme specifiche per le decisioni basate esclusivamente sul trattamento automatizzato dei dati personali ‒ compresa la profilazione ‒ che hanno un effetto giuridico o analogamente significativo sull'interessato.

Il principio di liceità, equità e trasparenza dell'Articolo 5, paragrafo 1 del GDPR è altrettanto rilevante in questo contesto, poiché la profilazione può avvenire in modo "invisibile" e potrebbe essere difficile per i minori comprendere come vengono utilizzati i loro dati personali e quali potrebbero essere le conseguenze di tale utilizzo, è essenziale garantire che il trattamento dei dati avvenga in modo equo, trasparente e conforme alla legge.

In aggiunta, alcune delle principali piattaforme di social media, come YouTube e TikTok, hanno già implementato aggiornamenti per conformarsi al Codice. Questi aggiornamenti riguardano le impostazioni predefinite sulla privacy, i limiti pubblicitari ed altre misure volte a proteggere i minori online.

Il Codice sottolinea l'importanza di proteggere i minori anche su piattaforme d’incontri, considerate ad alto rischio per i bambini, a causa della presenza di contenuti generati dagli utenti “adulti” e dalle chat private.

Sebbene molte piattaforme d’incontri richiedano un'età minima di 18 anni per l'iscrizione, il metodo più comune per verificare l'età è attraverso l'autodichiarazione, dove gli utenti confermano di avere almeno 18 anni, spuntando una casella. Tuttavia, questo metodo è stato criticato, poiché è facile per gli utenti mentire sulla propria età.

In collaborazione con Meta, i.e. Facebook Dating ha adottato un approccio più incisivo in materia. Gli utenti sospettati di avere meno di 18 anni vengono invitati a dimostrare la loro età tramite un video-selfie o il caricamento di un documento d'identità.

Questo non solo offre agli utenti un'opzione alternativa per dimostrare la loro età, ma fornisce anche un livello maggiore di sicurezza rispetto alla semplice autodichiarazione. In questo modo, le piattaforme d’incontri stanno cercando di adottare misure più efficaci per garantire che i minori non possano accedere ai loro servizi e che gli utenti abbiano maggiore fiducia nella verifica dell'età e nella sicurezza delle interazioni online.

Il Codice ha un impatto significativo anche sulle aziende di gioco, considerando l'ampia diffusione dei videogiochi tra bambini.

La sua applicazione richiede agli sviluppatori di identificare con un ragionevole grado di certezza se i giocatori siano minori di 18 anni, con lo scopo di limitare i rischi per le fasce di età appropriate.

Le preoccupazioni riguardo ai pericoli del gioco online per i minori sono state sollevate da varie parti, compresi i gruppi per la privacy ed autorità, come l'FBI. In riferimento a ciò, le autorità federali stanno richiamando l'attenzione dei genitori sui rischi associati ai predatori sessuali.

Questa preoccupazione ha portato all'avvio di una nuova campagna di servizio pubblico dell'FBI di New York, denominata “It's Not a Game”.

Alcune aziende di gioco hanno già adottato misure per limitare funzionalità ad alto rischio, come la chat vocale, che può essere utilizzata dagli adulti per comportamenti inappropriati con i bambini.

L'ICO ha anche pubblicato una guida specifica per i game designer, che include suggerimenti per incoraggiare pause dal gioco prolungato e per disattivare la profilazione comportamentale per impostazione predefinita.

I legislatori nel Minnesota stanno attualmente esaminando la questione della raccolta dei dati dei minori ed il loro utilizzo da parte delle aziende tecnologiche, con un'attenzione particolare rivolta ai social media.

Alcuni gruppi commerciali si oppongono a queste proposte, probabilmente sostenendo che potrebbero limitare la capacità delle aziende di raccogliere dati per fini di marketing ed analisi.

Questa controversia riflette un dibattito più ampio sulla privacy dei dati e sulla regolamentazione delle aziende tecnologiche, che coinvolge spesso un equilibrio delicato tra la protezione della privacy individuale e la libertà d’impresa.

Sembra che nel Minnesota ci sia una discussione attiva su come affrontare queste questioni, con i legislatori che cercano di trovare un equilibrio tra la protezione dei minori online e le esigenze delle aziende tecnologiche.

È importante evidenziare che, oltre a queste misure, le aziende devono continuare a monitorare attentamente l'evoluzione delle pratiche nel settore e ad adattare le loro politiche ed i loro sistemi di progettazione per garantire un ambiente online sicuro ed adatto all'età degli utenti.

La protezione dei minori online è una priorità importante che richiede un impegno costante da parte delle aziende e delle autorità di regolamentazione.

IN COLLABORAZIONE CON

>> Scopri il Corso online specialista privacy di Altalex!
>> Scopri il Corso avanzato online per DPO (Responsabile Protezione Dati) di Altalex!