Facebook usa i miei dati? Che cosa raccoglie e con quale base giuridica

Sì, Facebook usa i tuoi dati: per far funzionare il servizio e per mostrarti pubblicità mirata, che è la sua fonte di ricavo. Deve però avere una base giuridica valida secondo il GDPR, e le autorità europee hanno già contestato quella scelta da Meta. Puoi vedere che cosa raccoglie, limitarne l'uso e valutare le tue tutele.

Che cosa raccoglie Facebook su di te

L'informativa sulla privacy di Meta descrive diverse categorie di informazioni. In sintesi:

• ciò che inserisci tu: dati del profilo, post, foto, messaggi, commenti, reazioni;
• come usi il servizio: pagine e gruppi che segui, contenuti che guardi e per quanto tempo, ricerche, interazioni con le inserzioni;
• la tua rete: amici, follower, contatti che eventualmente hai caricato dalla rubrica;
• dati tecnici: dispositivo, sistema operativo, indirizzo IP, posizione approssimativa, identificativi del browser e dell'app;
• quello che fai fuori da Facebook: siti e app di terzi che usano gli strumenti di Meta, come il pixel o gli SDK, possono trasmetterle informazioni sulle tue visite e sui tuoi acquisti.

Quest'ultima categoria è quella che sorprende di più, perché riguarda attività che l'utente non associa a Facebook. È anche quella su cui si è concentrata la Corte di giustizia UE.

A che titolo li usa: le basi giuridiche

Per il GDPR ogni trattamento deve poggiare su una delle basi dell'art. 6: consenso, esecuzione di un contratto, obbligo legale, legittimo interesse e poche altre. Rispettare le regole non basta: vale anche il principio di minimizzazione dell'art. 5, per cui si possono trattare solo i dati necessari alla finalità. Sulla pubblicità comportamentale la scelta della base giuridica è stata al centro di un lungo contenzioso:

• Dal 2018 Meta ha sostenuto che la pubblicità personalizzata fosse parte del «contratto» con l'utente. Il 4 gennaio 2023 l'autorità irlandese (DPC), in attuazione di decisioni vincolanti del Comitato europeo per la protezione dei dati, ha stabilito che Meta non poteva basarsi sul contratto per la pubblicità comportamentale e ha inflitto sanzioni per 390 milioni di euro complessivi tra Facebook e Instagram.
• Con la sentenza del 4 luglio 2023 (C-252/21) la Corte di giustizia ha chiarito che la personalizzazione della pubblicità non è, di regola, necessaria all'esecuzione del contratto. Ha aggiunto che la posizione dominante di Meta non rende impossibile un consenso valido, ma è un elemento importante per verificare che sia stato davvero libero.
• Con la sentenza del 4 ottobre 2024 (C-446/21) la Corte ha precisato che la minimizzazione vale qualunque sia la base giuridica: i dati personali non possono essere aggregati, analizzati e trattati a fini pubblicitari senza limiti di tempo e senza distinzione di tipo.

Da queste decisioni nasce il modello attuale, in cui Meta propone agli utenti europei un abbonamento senza pubblicità in alternativa al consenso. Ne parliamo nella pagina dedicata al pay or consent.

Il capitolo italiano: «è gratis»

In Italia la questione è stata affrontata anche dal lato della tutela dei consumatori. Nel novembre 2018 l'Autorità Garante della Concorrenza e del Mercato ha sanzionato Facebook (provv. PS11112), ritenendo tra l'altro ingannevole la presentazione del servizio come gratuito senza informare adeguatamente, al momento della registrazione, che i dati forniti sarebbero stati usati a fini commerciali. Il Consiglio di Stato ha confermato l'accertamento sulla pratica ingannevole con la sentenza n. 2631/2021. È il fondamento della nostra iniziativa risarcitoria sulla monetizzazione dei dati.

Come controllare che cosa usa Meta

• Scarica le tue informazioni dal Centro gestione account: vedrai dati, interessi dedotti e inserzionisti che ti hanno raggiunto.
• Consulta la sezione sulle attività al di fuori delle tecnologie di Meta: puoi vedere quali siti e app hanno trasmesso dati e scollegarli.
• Rivedi le preferenze sulle inserzioni e le autorizzazioni di app e siti collegati.
• Per un quadro completo, invia una richiesta di accesso ex art. 15 GDPR: comprende finalità, categorie di dati, destinatari e fonte. Puoi anche opporti ai trattamenti basati sul legittimo interesse o sul marketing diretto (art. 21) e, se ricevi risposte insufficienti, presentare reclamo al Garante (art. 77).

E il risarcimento?

Che un'autorità abbia accertato una violazione non significa che ogni utente riceva automaticamente un risarcimento. L'art. 82 GDPR richiede tre elementi: violazione, danno effettivo e nesso causale (CGUE, C-300/21). Non serve una soglia minima di gravità, ma il danno va allegato e provato: la Cassazione esclude il danno «in re ipsa» (ord. n. 16402/2021). Per il filone della monetizzazione dei dati non esistono ancora precedenti italiani che abbiano liquidato importi, per cui nessuno può indicare cifre o tempi certi.

Diverso è il caso dello scraping dei profili del 2018-2019, su cui il Centro Tutela Consumatori Utenti di Bolzano ha promosso un'azione di classe gratuita, ammessa dal Tribunale di Milano: un'iniziativa seria e distinta dalla nostra, che chi rientra in quel perimetro può valutare in autonomia.

Il passo successivo

Se usi o hai usato Facebook o Instagram e vuoi capire se la tua posizione ha i presupposti per una richiesta risarcitoria, puoi descrivere la tua situazione nella sezione «Il tuo caso». Facciamo una valutazione gratuita e senza impegno e ti diciamo con franchezza che cosa si potrebbe provare e che cosa no.