Che cos'è un data broker e cosa dice il Garante privacy

Ricevi messaggi promozionali da aziende che non conosci e ti chiedi come abbiano ottenuto il tuo contatto? Spesso il percorso passa da società che raccolgono, acquistano o noleggiano elenchi di dati. In inglese si chiamano data broker. Questa guida parte da un punto di onestà: sul sito del Garante per la protezione dei dati personali non abbiamo trovato una scheda per i consumatori dedicata ai data broker. Ci siamo quindi basati su due documenti ufficiali, entrambi tecnici: un provvedimento sanzionatorio e un comunicato sul web scraping.

Che cosa sono questi due documenti

Il primo è il provvedimento prescrittivo e sanzionatorio del 23 febbraio 2023 nei confronti di Ediscom S.p.A., una società che effettua campagne promozionali via SMS e e-mail. Il Garante lo ha pubblicato per intero, ed è un testo lungo e formale, scritto per giuristi più che per il grande pubblico.

Il secondo è un comunicato stampa del 30 maggio 2024, con cui il Garante ha pubblicato indicazioni per difendere i dati personali dal web scraping. Anche questo è rivolto soprattutto a chi pubblica dati online.

Nessuno dei due è una guida pratica per chi vuole togliere i propri dati. Dicono però come l'autorità guarda a chi gestisce grandi liste di contatti.

Il caso Ediscom: come funzionava la società

Dal provvedimento risulta che il 22 e 23 novembre 2021, sulla base di alcuni reclami, sono stati svolti accertamenti ispettivi presso la società. La società si serviva di un database con i dati di 21 milioni di persone. Il database era composto da dati raccolti direttamente, tramite propri portali con notizie, ricette o concorsi a premi, e da dati forniti da terzi.

Tra i dati forniti da terzi, il Garante descrive due situazioni. In una, la società acquistava intere liste raccolte online da soggetti che gestivano portali dedicati a concorsi a premi o alla ricerca di offerte. Nell'altra, soggetti terzi che volevano monetizzare i propri database li mettevano a disposizione per veicolare messaggi promozionali di clienti della società.

In quasi tutti i casi esaminati dei reclamanti, i dati erano stati forniti da un partner con sede in Germania. La società ha dichiarato che quel partner, agendo come intermediario (data broker), aveva veicolato liste formate da altri soggetti con sede fuori dall'Unione europea.

Che cosa ha stabilito il Garante

Un punto centrale riguarda il ruolo della società. Ediscom sosteneva di essere un semplice intermediario. Il Garante non ha accolto questa tesi: la qualificazione di mero intermediario non è sufficiente a escludere che la società abbia trattato i dati come titolare del trattamento. Il provvedimento spiega che non è la materiale apprensione dei dati a determinare il ruolo svolto, e che la società non può essere considerata un mero intermediario commerciale, perché ha comunque un ruolo nel trattamento.

Per il Garante, quando una società acquisisce dati, a qualsiasi titolo, da inserire nel proprio database, può agire come contitolare. Può essere responsabile del trattamento quando esegue attività solo per conto dei committenti.

Ne sono derivate conseguenze concrete per le persone. Secondo il provvedimento, l'errata qualificazione ha fatto sì che la società non registrasse le revoche del consenso o le opposizioni provenienti da persone i cui dati erano stati acquisiti da database in gestione. Così sono stati inviati messaggi promozionali a persone che si erano opposte direttamente. Il Garante ha anche scritto che non è ammissibile una catena di soggetti in cui ciascuno si ritiene privo di responsabilità, perché diventa impossibile rispondere alle richieste degli interessati e documentare un consenso idoneo.

La sanzione

Il Garante ha ordinato alla società di pagare una sanzione amministrativa pecuniaria, il cui importo è indicato nel provvedimento. Ha inoltre rivolto due ammonimenti, tra cui uno relativo ai rapporti contrattuali non accompagnati da una chiara definizione dei ruoli nel trattamento, e ha imposto divieti di trattamento in assenza di una base giuridica adeguata o di un consenso documentato.

Il Garante ha tenuto conto anche di elementi a favore della società, come il fatto di aver prestato attenzione ai diritti degli interessati e di aver risposto ai reclamanti prima dell'intervento dell'autorità.

Il comunicato sul web scraping

Il comunicato definisce il web scraping come la raccolta indiscriminata di dati personali su internet, effettuata da terzi, con lo scopo di addestrare modelli di intelligenza artificiale generativa. Il Garante precisa che le sue indicazioni sono rivolte ai soggetti pubblici e privati che pubblicano dati online come titolari del trattamento.

Tra le misure concrete suggerite ci sono: aree riservate accessibili solo previa registrazione, clausole anti-scraping nei termini di servizio, monitoraggio del traffico verso le pagine web per individuare flussi anomali di dati e interventi specifici sui bot, per esempio sul file robots.txt. Sono misure non obbligatorie, che ogni titolare deve valutare in base al principio di accountability.

Che cosa significa per te

I due documenti non contengono una procedura per le persone che vogliono togliere i propri dati da un data broker, e non indicano contatti o moduli. Mostrano però due cose. La prima è che un'azienda che compra o gestisce liste di contatti per fini promozionali non può sottrarsi alle regole dichiarandosi intermediario. La seconda è che la raccolta di dati pubblicati online è un tema che il Garante segue con attenzione.

Per i passi pratici, per esempio come chiedere l'accesso o la cancellazione dei propri dati, serve rivolgersi alle altre pagine del Garante sull'esercizio dei diritti.

Per vedere dove compaiono i tuoi dati

Remove Me offre un'analisi gratuita, senza bisogno di creare un account: dopo aver inserito i tuoi dati, il servizio cerca nei risultati web visibili pubblicamente, nei data breach noti (Have I Been Pwned) e in un registro di data broker, poi mostra un report. Il report si sblocca con un codice a 6 cifre inviato via e-mail. Remove Me non invia ancora richieste di cancellazione per conto tuo.