Scenario illustrativo: persone e organizzazioni sono ipotetiche. Non è un incarico o un risultato attribuito allo studio.
LA RISPOSTA IN BREVE
La soglia italiana dei 14 anni riguarda il consenso nell’offerta diretta di servizi della società dell’informazione. Non rende automaticamente leciti tutti i trattamenti, non risolve la capacità contrattuale e non elimina le tutele specifiche per i minori.
La situazione.
Scenario illustrativo fittizio. Una startup prepara un’app per organizzare gruppi di studio. L’iscrizione chiede anno di nascita, scuola, posizione precisa e foto. Il team decide che tutti gli utenti sopra i quattordici anni potranno accettare una sola casella per servizio, pubblicità e profilazione. Per i tredicenni viene richiesto un indirizzo email dichiarato come quello del genitore, senza altre verifiche. I profili e la scuola frequentata sono pubblici per impostazione iniziale.
PRIMA DI DECIDERE
Tre fatti da mettere a fuoco.
- 01
Bisogna distinguere i trattamenti basati sul consenso da quelli eventualmente sostenuti da un diverso fondamento valido.
- 02
La modalità di verifica dell’età e della responsabilità genitoriale va commisurata a servizio, rischi e tecnologia disponibile.
- 03
Visibilità pubblica, posizione e profilazione aumentano l’esposizione degli adolescenti anche quando l’iscrizione è formalmente accettata.
Valuta insieme questi elementi prima di scegliere le azioni.
Come impostare la valutazione.
L’articolo 8 del GDPR e l’articolo 2-quinquies del Codice privacy regolano un ambito preciso. Sotto la soglia italiana, quando quel trattamento si fonda sul consenso, occorre l’intervento di chi esercita la responsabilità genitoriale, con sforzi ragionevoli di verifica. Una casella con una dichiarazione non dimostra da sola che la procedura sia adeguata al rischio concreto.
Le informazioni devono essere comprensibili per il pubblico effettivo dell’app. Occorre inoltre verificare necessità e proporzionalità di ogni dato: organizzare un gruppo di studio non richiede necessariamente di mostrare a chiunque l’istituto frequentato o una posizione continua. Consenso e condizioni contrattuali vanno tenuti concettualmente distinti, senza aggirare con un nuovo nome le garanzie dovute ai ragazzi.
Cosa fare, in pratica.
- 01
Mappare età prevedibili e funzioni dell’app, includendo contatti fra utenti, pubblicazione dei profili e potenziali utilizzi impropri della posizione.
- 02
Definire un percorso di verifica proporzionato evitando raccolte indiscriminate di documenti: anche verificare l’età comporta un trattamento da minimizzare.
- 03
Scrivere spiegazioni brevi con esempi di chi vede cosa, affiancandole a informazioni complete e facilmente raggiungibili durante l’utilizzo.
- 04
Disattivare inizialmente la diffusione non necessaria e offrire controlli comprensibili su profilo, contatti e condivisione della posizione.
- 05
Separare le scelte facoltative dal servizio e valutare preventivamente i rischi, compresa la necessità di una DPIA, prima di lanciare funzionalità invasive.
L’errore da evitare.
Usare il compimento dei quattordici anni come autorizzazione generale a profilare, pubblicare e comunicare i dati del ragazzo.
Tre verifiche da portare con te.
- Ambito dell’articolo 8 verificato.
- Informazioni e verifiche adatte all’età.
- Visibilità e dati richiesti ridotti al necessario.
La protezione dei minori si costruisce nelle funzioni e nelle impostazioni del prodotto, oltre che nella procedura di consenso.
Fonti e riferimenti.
Collegamenti alle fonti istituzionali utilizzate per il quadro di riferimento. Controlla versione, ambito e regole complementari applicabili.