Il quadro giuridico
Il regolamento (UE) 2016/679 (RGPD), applicabile dal 25 maggio 2018, regola il trattamento dei dati personali da parte di qualsiasi organizzazione stabilita nell'Unione o che offra servizi a residenti europei, app di incontri comprese: base giuridica necessaria (consenso libero, specifico e informato, o contratto), consenso esplicito per le «categorie particolari» come l'orientamento sessuale, la salute o le convinzioni (articolo 9), diritti di accesso, rettifica, cancellazione («diritto all'oblio»), limitazione, portabilità e opposizione (articoli 15-22), risposta entro un mese, notifica delle violazioni entro 72 ore, e multe fino a 20 milioni di euro o al 4 % del fatturato mondiale; ogni Stato ha un'autorità di controllo (Garante in Italia, CNIL in Francia…) coordinata dal Comitato europeo per la protezione dei dati, con il meccanismo dello sportello unico per le imprese stabilite in uno Stato (Irlanda per Meta, Google, Tinder/Match). L'età del consenso digitale è 16 anni, abbassabile a 13 da ogni Stato (14 in Italia). La Corte di giustizia ha riconosciuto nel 2014 (Google Spain) il diritto alla deindicizzazione dei risultati di ricerca. La direttiva 2002/58 (ePrivacy) regola i cookie; il regolamento sui servizi digitali (DSA, 2022) obbliga le piattaforme a rimuovere i contenuti illeciti segnalati, vieta la pubblicità basata su dati sensibili e quella rivolta ai minori; la direttiva 2024/1385 obbliga gli Stati a punire la diffusione non consensuale di immagini intime, deepfake compresi, entro giugno 2027. La Svizzera ha adottato una nuova legge sulla protezione dei dati (nLPD, 2023), riconosciuta adeguata dall'Unione; San Marino ha una legge del 2018 allineata al RGPD. Grindr è stata multata di 6,5 milioni di euro in Norvegia (2021) per aver condiviso dati sull'orientamento sessuale con inserzionisti.
I punti chiave
| Norma | RGPD (2016/679) applicabile dal 2018 nei 27 Stati e a ogni impresa che si rivolge a residenti europei |
|---|---|
| Diritti | Accesso, rettifica, cancellazione, limitazione, portabilità, opposizione; risposta entro un mese; deindicizzazione (Google Spain, 2014) |
| Dati sensibili | Orientamento sessuale, salute, convinzioni: consenso esplicito (articolo 9); pubblicità basata su di essi vietata (DSA) |
| Sanzioni | Fino a 20 milioni di euro o al 4 % del fatturato mondiale; autorità nazionali e sportello unico |
| Minori | Consenso digitale a 16 anni, abbassabile a 13 (14 in Italia); pubblicità ai minori vietata (DSA) |
| Immagini intime | Diffusione non consensuale, deepfake compresi, da punire in tutti gli Stati entro giugno 2027 (direttiva 2024/1385) |
| Cifre | Più di 5 miliardi di euro di multe RGPD dal 2018; Meta (1,2 miliardi, 2023) e Amazon (746 milioni) le maggiori |
In pratica
- Esercitare i diritti direttamente presso l'app (modulo o e-mail del responsabile della protezione dei dati), con risposta obbligatoria entro un mese; senza risposta o con rifiuto, reclamo gratuito all'autorità del paese di residenza, che tratta o trasmette all'autorità capofila.
- Chiedere l'accesso ai dati (articolo 15) rivela quello che l'app conserva: profilo, messaggi, posizioni, «punteggi» interni; chiedere la cancellazione alla chiusura dell'account e verificare che i dati non siano conservati oltre il dichiarato.
- Per le immagini intime diffuse senza consenso, notificare alla piattaforma (obbligata dalla DSA ad agire), denunciare alla polizia e, in Italia, usare la segnalazione preventiva al Garante.
- L'orientamento sessuale è un dato sensibile: un'app non può condividerlo con inserzionisti senza consenso esplicito, e le multe a Grindr lo confermano.
- La deindicizzazione dei risultati di ricerca con il proprio nome si chiede a Google o Bing tramite modulo, con ricorso all'autorità nazionale.
Costi e copertura
Esercizio dei diritti e reclami alle autorità gratuiti; azioni giudiziarie con avvocato; associazioni (noyb) conducono azioni collettive.
Cambiamenti recenti
La direttiva 2024/1385 obbliga a punire la diffusione di immagini intime e i deepfake entro il 2027; la Commissione ha proposto nel 2025 di semplificare il RGPD per le PMI senza toccare i diritti; il Quadro per la privacy dei dati UE-USA (2023) resta impugnato; le autorità hanno sanzionato nel 2024-2025 app di incontri per conservazione eccessiva e pubblicità basata su dati sensibili.
A chi rivolgersi
- Comitato europeo per la protezione dei dati (edpb.europa.eu): elenco delle autorità nazionali.
- Autorità del paese di residenza (Garante, IFPDT, Autorità Garante sammarinese).
- noyb (noyb.eu): azioni collettive per i diritti digitali.
- Portale La tua Europa: diritti dei cittadini sui propri dati.
Da sapere
Il RGPD dà diritti reali e gratuiti: chiedere i propri dati a un'app di incontri rivela in genere più di quanto si immaginasse, e la cancellazione è esigibile. Ma i diritti non impediscono la prima diffusione di una foto intima: la sola protezione resta non inviare immagini identificabili a chi non si conosce.
Fonti e link ufficiali
- Regolamento (UE) 2016/679 — RGPD — EUR-Lex
- Regolamento (UE) 2022/2065 — legge sui servizi digitali — EUR-Lex
- Comitato europeo per la protezione dei dati — membri — autorità nazionali
Link verificati verso fonti ufficiali o di riferimento. Si aprono in una nuova scheda.