Una storia natalizia sulla legge europea per la privacy

In Germania le tradizioni natalizie sono una cosa seria. È qui che a metà Ottocento fu inventato il calendario dell’Avvento, quello che ha un piccolo regalo per ogni giorno dal primo al 24 dicembre, ed è ancora in atto una disputa con l’Estonia e la Lettonia per decidere dove sia stato eretto il primo albero di Natale (gli esperti non sono concordi, in ogni caso il canto natalizio O Tannenbaum dedicato all’abete di Natale è stato composto in Germania nel Settecento e da allora tradotto in moltissime lingue, compreso l’estone). 

Quest’anno, però, in un piccolo paese bavarese vicino a Norimberga, Roth, una tradizione natalizia vecchia di anni ha rischiato di essere mandata all’aria dalle nuove misure europee sulla privacy, aggiornate a maggio scorso con l’entrata in vigore del Regolamento generale sulla protezione dei dati (GDPR), la nuova legge sul trattamento dei dati personali.

Verso la fine di novembre a Roth ogni anno viene inaugurato il mercatino di Natale e nella piazza principale del paese viene allestito un abete su cui fino al 2016 i bambini appendevano le letterine di Natale con i loro desideri. Ogni anno venivano appese tra le 3mila e le 4mila lettere. Già nel 2017, mentre il GDPR era ancora in discussione, il consiglio comunale aveva deciso di sospendere la tradizione perché oltre ai desideri le letterine contenevano dati sensibili di minorenni. I bambini, infatti, insieme ai loro desideri dovevano scrivere anche l’indirizzo di casa e il loro nome completo. Inoltre, così appesi all’albero, i dati erano visibili a tutti quelli che passavano dalla piazza di Roth.

In realtà non è esattamente colpa del GDPR se la tradizione era stata interrotta. È vero che secondo le nuove leggi i genitori devono dare il loro esplicito consenso per la divulgazione dei dati sensibili dei loro figli, se hanno meno di 16 anni. Ma la legge riguarda solo i servizi online, come si legge all’articolo 8. La decisione del comune di Roth del 2017 fu forse presa per eccesso di cautela (nelle fasi iniziali del dibattito sul GDPR, infatti, si era parlato anche di estenderla ai servizi non online).

Con una battuta, una portavoce della Commissione Europea ha detto a Politico che è giusto che «Babbo Natale abbia l’indirizzo di ogni famiglia per poter consegnare il regalo indicato nella letterina che ha ricevuto – a condizione che i genitori abbiano dato il loro consenso». I dati personali dei cittadini europei erano regolati con un’esplicita direttiva del 1995, e già da allora prevedevano che qualsiasi condivisione di dati personali – come l’indirizzo di casa – doveva richiedere un consenso esplicito dei possessori, cioè dei genitori. «Il GDPR non ha cambiato niente» ha tenuto a sottolineare la portavoce. La tradizione di Roth, insomma, era già da tempo fuori dai parametri delle leggi europee per la privacy.

Alla fine, però, il Natale è stato salvato anche questa volta: una stazione radio locale Antenne Bayer, d’accordo con il comune, ha preparato una letterina da stampare sul suo sito in cui i bambini possono chiedere quello che desiderano per Natale: in fondo, c’è una dichiarazione di tre righe con cui i genitori accettano di dare il consenso per la gestione dei dati. Sulla nuova letterina inoltre non compare l’indirizzo di casa dei bambini, ma solo il loro numero di telefono.