Era da un po’ che Mark Zuckerberg non riceverà brutte, pessime, notizie per il suo fiore all’occhiello, l’unica app rimasta al numero uno di una classifica: WhatsApp.
E’ stato sostanzialmente un grande 2022 per la messaggistica istantanea californiana, certamente migliore dell’anno precedente, capace di mitigare tutti quei problemi di privacy e sicurezza di un 2021 horribilis.
Ma il 2023 riporta in auge il lato oscuro di WhatsApp. Al netto di ricorsi, Meta rischia una multa da multa de 5,5 milioni di euro in terra irlandese. Il motivo? Ci sono sempre di mezzo i dati personali. Come confermato oggi dal DPC irlandese, il Comitato europeo per la protezione dei dati (EDPB) ha deciso che Meta non può obbligare gli utenti di WhatsApp ad accettare l’utilizzo dei propri dati per “miglioramenti del servizio” e “sicurezza”.
Come si è conclusa l’inchiesta
La questione centrale dell’utilizzo dei dati per “finalità di pubblicità comportamentale, per finalità di marketing, nonché per la fornitura di metriche a terzi e lo scambio di dati con società affiliate” non è stata trattata dal DPC irlandese – nonostante un vincolo decisione dell’EDPB secondo cui tali questioni devono essere esaminate. La decisione arriva 4,5 anni dopo che i reclami originali sono stati presentati da noyb, sull’aggiramento del GDPR da parte di Meta tramite una clausola nei termini e condizioni.
La Commissione per la protezione dei dati ha annunciato la conclusione di un’inchiesta sul trattamento effettuato da WhatsApp Ireland Limited in relazione alla fornitura del suo servizio WhatsApp, in cui viene espressamente sanzionato con una cifra abbastanza rilevante. Non solo. WhatsApp Ireland è stata inoltre invitata a rendere conformi le proprie operazioni di trattamento dei dati entro un periodo di sei mesi. WhatsApp Ireland ha considerato che, accettando i termini di servizio aggiornati, è stato stipulato un contratto tra WhatsApp Ireland e l’utente. Ha inoltre ritenuto che il trattamento dei dati degli utenti in relazione alla fornitura del suo servizio fosse necessario per l’esecuzione di tale contratto, per includere la fornitura del miglioramento del servizio e delle caratteristiche di sicurezza, in modo che tali operazioni di trattamento fossero lecite con riferimento a Art. 6, comma 1, lett. b).
A seguito di un’indagine approfondita, il DPC ha preparato un progetto di decisione e lo ha presentato alle autorità di regolamentazione pari nell’UE/SEE, note anche come Autorità di vigilanza interessate (“CSA”) ai sensi dell’articolo 60 del GDPR. La decisione del DPC naturalmente non include il riferimento a nuove indagini su tutte le operazioni di trattamento dei dati di WhatsApp che sono state dirette dall’EDPB nella sua determinazione vincolante.