Alcune disposizioni del GDPR stabiliscono regole specifiche per il trattamento di dati personali riferiti a minori di età, in particolare l’articolo 8, paragrafo 1:
Qualora si applichi l’articolo 6, paragrafo 1, lettera a), per quanto riguarda l’offerta diretta di servizi della società dell’informazione ai minori, il trattamento di dati personali del minore è lecito ove il minore abbia almeno 16 anni. Ove il minore abbia un’età inferiore ai 16 anni, tale trattamento è lecito soltanto se e nella misura in cui tale consenso è prestato o autorizzato dal titolare della responsabilità genitoriale.
Analizziamo più nel dettaglio questa clausola:
Se ritieni che tali condizioni valgano nel tuo caso, dovresti assolutamente implementare un ulteriore passaggio nel tuo servizio online: verificare l’età dei tuoi utenti. A questo scopo, sarà sufficiente una finestra pop-up con la domanda “Quanti anni hai?” o “In che anno sei nato?”.
L’articolo 8 ti offre due possibilità: o raccogli il consenso direttamente dai genitori dell’interessato, oppure fai in modo che i genitori “autorizzino” il suo consenso. Il trattamento dei dati personali non può essere effettuato prima che una di queste due opzioni sia stata attuata.
Ma come fare per sapere chi sono i genitori, e avere il loro consenso? Non esiste una risposta chiara a questa domanda. I commentatori hanno indicato vari metodi per verificare l’identità e raccogliere il consenso, tra cui:
Tutti questi metodi comportano un pesante onere per tutte le parti interessate. Pertanto, alcuni commentatori hanno sottolineato che il ben noto metodo del “double-opt-in” potrebbe essere utile anche a questo scopo.
Una ragazzo di 14 anni vuole iscriversi a una newsletter. Dopo aver dichiarato di aver compiuto 14 anni, deve fornire a) il proprio indirizzo e-mail, al quale eventualmente verranno inviate le newsletter e b) l’indirizzo e-mail dei genitori. Dopo l’iscrizione, sia l’interessato che i genitori ricevono un’e-mail automatica che chiede di confermare l’iscrizione e conferma che i genitori acconsentono al trattamento dei dati personali del figlio.
Naturalmente, si potrebbe sostenere che a un adolescente smaliziato basterebbe meno di un minuto per creare dei falsi indirizzi di posta elettronica per i suoi genitori. Ma in un certo senso, lo stesso ragionamento si applica a qualsiasi altra procedura di autenticazione: alla fine, è responsabilità dei genitori prevenire tali abusi da parte dei loro figli.
Come regola d’oro, si dovrebbe sempre scegliere il metodo di autenticazione in base al rischio potenziale derivante dal trattamento dei dati personali. Nell’esempio della newsletter, dove il rischio è molto basso, la procedura del doppio accesso potrebbe essere considerata sufficiente.
Dall’altra parte, potrebbe essere molto più rischioso raccogliere il consenso dell’interessato per rendere alcuni dei suoi dati personali pubblicamente disponibili su internet: in questo caso dovresti optare per un metodo di autenticazione più complesso ma più sicuro, come la richiesta di presentazione del passaporto o di altri documenti d’identità.
