Il 13 aprile 2021 il Comitato europeo per la protezione dei dati (EPDB) ha adottato la versione finale (v. 2.0) delle linee guida 8/2020 sul targeting degli utenti dei social media a seguito della conclusione della fase di consultazione pubblica.  Successivamente, il 7 luglio 2021 lo stesso EDPB ha rilasciato una nuova versione 2.1 dello stesso documento, contenente la modifica ai riferimenti alle linee guida EDPB 07/2020 sulle nozioni di titolare e responsabile nel GDPR.

Le linee guida 8/2020 affrontano la questione dei ruoli e delle responsabilità, in tema di protezione dei dati personali, del promotore pubblicitario e del fornitore di servizi di social media, riguardo alle operazioni di pubblicità mirata effettuate utilizzando dati personali degli utenti delle piattaforme social.

Attori

Le campagne pubblicitarie che, direttamente o indirettamente, interessano le piattaforme social possono prevedere il coinvolgimento di una moltitudine di attori che operano nelle diverse fasi dell’ecosistema digitale (detto “adtech”): fornitori di servizi di marketing, intermediari di reti pubblicitarie e di scambi di inserzioni pubblicitarie, fornitori di piattaforme lato domanda e lato offerta, fornitori di gestione dei dati (DMP) e aziende di analisi dei dati.

Tuttavia, il fulcro delle operazioni di pubblicità mirata tramite social interviene fra tre attori principali: 

1. il promotore pubblicitario
2. il fornitore della piattaforma social
3. l’utente di tale piattaforma che rappresenta il bersaglio del messaggio promozionale.

1. Promotore pubblicitario

Il promotore pubblicitario (detto anche “targeter”) è la persona fisica o giuridica che si avvale dei servizi della piattaforma social per effettuare pubblicità mirata, individuando specifici parametri o criteri di selezione degli utenti (o, meglio, scegliendo tra quelli messi a disposizione dal fornitore social) cui indirizzare il messaggio promozionale.

In questo modo, vengono proposti messaggi pubblicitari personalizzati durante l’utilizzo della piattaforma o anche accanto ai contenuti generati dagli utenti. I promotori possono avere i propri siti Web e app, «dove possono integrarsi specifici strumenti o funzionalità aziendali dei social media come plug-in social o login o utilizzando interfacce di programmazione delle applicazioni (API) o kit di sviluppo software (SDK) offerti dai fornitori di social media». 

Queste attività comportano, per lo più, una condivisione di dati personali degli utenti tra promotore e fornitore di social media, su cui entrambi esercitano un potere decisionale riguardo a finalità e mezzi.

2. Fornitore della piattaforma social

Il fornitore di social media mette a disposizione un servizio online che consente all’utenza – per lo più registrata con un proprio account ma talvolta ed entro certi limiti anche non registrata – di pubblicare e condividere informazioni e contenuti specie all’interno di reti o comunità di utenti. Il fornitore di social media determina le funzionalità del servizio, quali dati vengono trattati, per quale finalità, a quali termini e con quali modalità. 

La raccolta di informazioni sugli utenti su larga scala, permette al fornitore di social media di classificarli in base alle caratteristiche socio-demografiche, interessi e preferenze e far sì che queste classificazioni siano messe a disposizione dei promotori per iniziative di pubblicità mirata. Conseguentemente, insieme a trattamenti di dati personali degli utenti della piattaforma di cui il fornitore è titolare autonomo si aggiungono ulteriori trattamenti per i quali il fornitore social condivide con il promotore finalità e mezzi, assumendo il ruolo di contitolare con quest’ultimo. Come nel caso dell’utilizzo dei dati personali degli utenti appartenenti a quelle classificazioni che sono state prescelte dal promotore sulla base di parametri e criteri di propria scelta.

3. Utente social

Dal punto di vista della protezione dei dati personali, l’utente social è sia il cosiddetto “account”, cioè l’utente che si è previamente identificato e registrato alla piattaforma, sia l’utente non registrato. Difatti, alcune piattaforme social sono ad accesso libero in quanto consentono a chiunque, anche senza preventiva registrazione, di usufruirne; sebbene spesso chi non si registra non è in grado di utilizzare a pieno le funzionalità o i servizi offerti. I fornitori di social media possono anche consentire il targeting di individui che non hanno un account, in quanto sono in grado di classificarli in base a interessi, dati sociografici, comportamenti o altri identificatori.

L’utente non registrato, nonostante non sia direttamente identificato, è comunque considerato un soggetto “interessato” ai sensi dell’articolo 4.1 del GDPR, in quanto gli elementi di classificazione lo rendono comunque identificabile indirettamente.