Siamo tutti minori in Internet

Le direttive europee sulla data protection non sono state pensate per i minori. Tutt’altro.

Basate come sono sul principio del consenso informato, si reggono infatti sulle regole tipiche del contratto, il che implica che le parti siano capaci e libere di agire e dunque maggiorenni, ovvero debitamente rappresentate.

Se non che, il luogo in cui si raccoglie, comunica e diffonde il maggior numero di informazioni personali è internet ed internet è frequentatissimo dai minorenni.

Secondo analisi statistiche pubblicate dalla Commissione europea il 75% dei minori usa internet, di questi un terzo circa si connette attraverso dispositivi mobili e nove anni è l’età media in cui i minori iniziano ad usare internet autonomamente.

L’incremento della presenza dei minori in rete è strettamente correlato allo sviluppo del web 2.0 nonché alle innovazioni tecnologiche dell’era digitale che hanno determinato una inaspettata e variegata proliferazione di servizi online, tra cui i social network (Facebook in primis) giocano un ruolo fondamentale.

Ecco allora che, in questa particolare fase storica caratterizzata dal tentativo dei policy makers europei di regolamentare tutto (forse perché sfiduciati dalla capacità del libero mercato di autoregolamentarsi, forse perché in affannosa ricerca di brandelli di potere), crescono le iniziative volte a rinforzare la protezione dei minori su Internet.

La via più immediata per raggiungere il risultato viene generalmente individuata nella predisposizione di specifiche norme per i minori in materia di data protection.

In questo solco si pongono le novità introdotte dalla proposta di regolamento generale sulla protezione dei dati, la quale, al considerando (29), afferma il principio generale secondo cui i minori necessitano di una specifica protezione “in quanto possono essere meno consapevoli dei rischi, delle conseguenze, delle misure di protezione e dei loro diritti in relazione al trattamento di dati personali”. Disposizioni specifiche per i minori si rintracciano, tra le altre, all’art.11(2), il quale prescrive che l’informativa rivolta a minori debba essere formulata con linguaggio semplice, chiaro e adeguato ad un soggetto di minore età e all’art.17(1), il quale presta una particolare attenzione al diritto all’oblio in relazione a dati personali resi pubblici quando i soggetti erano ancora minorenni.

A fronte di tali accorgimenti, e pur preservando il rispetto delle legislazioni nazionali in tema di età in cui si matura la capacità di agire civile (18, in Italia) e l’imputabilità penale (14, in Italia), il regolamento stabilisce che il consenso al trattamento di dati personali, per quanto riguarda l’offerta diretta di servizi della società dell’informazione, può essere validamente ed autonomamente (ovvero senza autorizzazione del genitore/tutore) prestato dai minori di età superiore ad anni 13, in tal modo allineandosi ai Safe Harbour Privacy Principles.

Dunque, lo stesso regolamento da un lato ci dice che il minore va tutelato in maniera particolare perché non ancora pienamente formato sotto il profilo della sua maturità psico-fisica, dall’altro, contestualmente, abbassa a 13 anni l’età minima idonea a prestare un valido consenso al trattamento di dati personali per aderire a servizi online.

Il controsenso è di lampante evidenza.

Parimenti contraddittoria la recente opinion dell’EDPS sulla Comunicazione della Commissione sulla European Strategy for a Better Internet for Children.

L’EDPS individua, tra i mezzi specifici per aumentare la sicurezza online dei minori, il rafforzamento del diritto all’oblio, ma nella consapevolezza che si tratta di un diritto che allo stato (oltre a non avere valore di legge) pare oggettivamente di difficile applicazione, si sottolinea come esso non rappresenti una soluzione che possa sostituire azioni preventive come campagne di sensibilizzazione sui rischi relativi alla comunicazione in o poco consapevole di dati personali da parte dei minori senza il consenso dei genitori.

Apparentemente più condivisibile, secondo l’EDPS, la proposta della Commissione di introdurre  impostazioni privacy automatiche funzionali all’età dei fruitori dei servizi, in coerenza col principio della privacy by design.

Il problema di base è che queste impostazioni funzionano solo nella misura in cui sia possibile effettuare un controllo, dotato di sufficiente certezza, sull’età effettiva del soggetto che carica i dati. Tra i diversi approcci, il metodo meno invasivo di verifica dell’età è sicuramente l’informazione volontaria, ma, ovviamente, è anche quello meno affidabile. Altri metodi, come la piena identificazione dell’interessato o quelli progettati per desumere l’età dal comportamento online, sebbene più efficaci, implicano un livello di raccolta e trattamento di dati sproporzionato in relazione al fatto che, trattandosi di minori, i dati elaborati dovrebbero essere ridotti al minimo necessario. Questi sistemi si risolvono quindi in una contraddizione in termini in quanto per tutelare maggiormente i minori da un trattamento improprio e/o illecito di dati si finirebbe col fare un abuso dei loro stessi dati.

Senza contare che i sistemi di analisi comportamentale implicano un elevato rischio di false identificazioni, in particolare quando si tratta di minori che crescendo presentano un ampio spettro di maturità.

L’EDPS, infine, sottolinea come siano da accogliere con favore iniziative volte a far sì che si attuino misure per impedire che i minori siano esposti a pubblicità inappropriate o ad attività di profilazione. È notorio, infatti, come la raccolta di dati per scopi di pubblicità può esporre i minori al pericolo di essere fortemente influenzati dalle pubblicità stesse.

Il WP29, nella sua opinion 2/2010 sull’online behavioural advertising, aveva sostenuto che non dovrebbe esser consentito fare marketing “targhizzato” specificamente sui minori, né i dati dei minori dovrebbero essere raccolti al fine di proporre loro pubblicità. Il Parlamento Europeo ha condiviso la stessa impostazione.

Se non che, in termini strettamente legali, la questione non implica implementazioni della normativa sulla data protection, in quanto si astrattamente si risolverebbe con l’applicazione delle norme in tema di consenso e capacità di agire: ogni trattamento di dati a fini di profilazione dovrebbe essere considerato legittimo solo in presenza di un valido e libero consenso reso da persona maggiorenne, ovvero da un minorenne debitamente rappresentato.

Ma è un cane che si morde la coda: si torna sempre all’impossibilità di verificare la sussistenza della capacità di agire su internet!

Quel che stupisce è che nessun policy maker si sia preoccupato dell’indebita raccolta di dati di minorenni da parte delle autorità pubbliche.

Forse i minori non sono da proteggere rispetto alla creazione di database di massa di dati biometrici? Tristemente famoso il caso della Gran Bretagna, ove ai bambini venivano prese le impronte digitali a scuola, senza il consenso dei genitori.

Tutte queste considerazioni conducono ad una domanda: davvero una tutela maggiore dei minori in internet può essere ragionevolmente perseguita attraverso un maggior livello di protezione dei dati personali dei minori?

Nonostante le suggestive proposte sopra illustrate si presentino come principi egregi, è infatti fuor di dubbio che difficilmente potranno essere realizzate nella pratica attraverso strumenti legali.

È lecito pertanto porre in dubbio sin anche il fatto che sia corretto cercare una soluzione prettamente normativa al problema.

L’uso di internet e dei variegati servizi che esso offre da parte dei minorenni non è solo sintomatico del fatto che, in quanto nativi digitali, sono più predisposti, capaci e sintonici con la tecnologia, ma pone delle sfide per il futuro della nostra società che debbono essere considerate assai seriamente.

Internet, rectius l’accesso ad internet, offre ai giovani di oggi tantissime opportunità di  informazione, comunicazione e conoscenza, opportunità che le passate generazioni non hanno avuto il privilegio di poterne disporre.

Per contro, è altresì vero ed innegabile che queste nuove vie di conoscenza ed interazione umana comportano dei rischi, specie laddove l’accesso sia indiscriminato a qualsiasi genere di informazione (illecite, ma anche nocive, nel senso di non adatte all’età dei fruitori, e.g. immagini violente, razziste, sessuali).

Occorre pertanto trovare il punto di equilibrio tra diritto del minore di accesso ad internet (per consentirgli di esplorare, conoscere, studiare, giocare, esprimere opinioni, comunicare) ed il suo diritto ad essere protetto.

L’approccio non può che essere multidisciplinare in quanto, come visto, nessuna protezione può essere attuata solo con strumenti legali. Questi ultimi sono senz’altro utili e necessari per combattere i contenuti illeciti, come pedopornografia, grooming, sexting e cyber harrassment, ma lo sono molto meno per combattere i contenuti nocivi in quanto difficilmente un provider può sapere a priori, salvo nell’ipotesi di siti dedicati, se il servizio sarà fruito anche da minorenni.

Peraltro, va detto che neanche i siti dedicati sono di per sé più sicuri: si pensi, infatti, alle tecniche di pubblicità subliminare (e.g. Disney channel) o al pericolosissimo rischio di accesso nella comunità, che si considera chiusa e quindi protetta, di minorenni fake.

Internet non è sicuro, esattamente come non è sicuro nessun luogo nel mondo reale. I minori vi possono fare brutti incontri, trovare ostacoli o avere problemi esattamente come accade nel mondo reale.

Occorre dunque proteggerli, ma nel senso di fornire loro i mezzi per poter apprendere, discernere e decidere responsabilmente, esattamente come nel mondo reale. Un’educazione specifica (informatica, ma anche civica) sul funzionamento del web e la vigilanza costante da parte degli adulti, sia a livello familiare che scolastico, sono gli strumenti più corretti per affrontare il problema.

E poi, diciamocelo, non è che noi adulti, nativi analogici ed autodidatti del web, siamo più scaltri dei ragazzini in rete.

In fondo, siamo tutti minori sul web.