• comparative law
• contract law
• contratto
• data protection
• dati personali
• GDPR
• personal data
• privacy
• protezione dei dati personali
• riservatezza
• social media

Riassunto
Il presente lavoro si prefigge di esaminare la questione della tutela dei dati personali nell’ambito dei cosiddetti “social media”, ovvero i nuovi mezzi di comunicazione messi a disposizione da Internet che ricomprendono motori di ricerca, social network e piattaforme di condivisione di contenuti digitali (foto e video).
La tutela dei dati personali è diritto fondamentale alla luce dell’art. 8 CDFUE e costituisce, in un certo senso, il punto d’arrivo a livello informazionale dello sviluppo del più risalente diritto alla privacy, diritto che continua a costituire la componente personalistica più rilevante della tutela dei dati.
Una prima parte dello scritto è pertanto dedicata all’inquadramento del diritto alla privacy e a quello alla tutela dei dati personali in ragione della loro evoluzione giurisprudenziale e legislativa negli Stati Uniti e nell’Unione Europea, ordinamenti che differiscono notoriamente per la prospettiva scelta quando si ha che fare con privacy e data protection: settoriale, legata alla tipologia dei soggetti interessati quella nordamericana; organica ed onnicomprensiva quella europea, come il Regolamento n. 2016/679 ha mostrato ulteriormente negli ultimi anni. L’approccio comparatistico è essenziale per poter comprendere non solo lo sviluppo dei due diritti sopra richiamati, ma anche il modo in cui questi vengono declinati sui social media, gestiti da social media companies in prevalenza statunitensi.
Ugualmente importante è proseguire l’indagine con la definizione dei dati personali e della privacy stessa, sottolineando, in particolare rispetto a quest’ultima, come si tratti di beni dotati di una imprescindibile dimensione collettiva. Una dimensione non totalmente ignorata dalla dottrina, ma troppo spesso dimenticata non solo dagli studiosi, ma anche dai legislatori, fino all’occasione sostanzialmente mancata del GDPR, che non ha aggiunto niente di estremamente rilevante sul punto rispetto alle precedenti normative. Al trattamento dei dati sui social media vengono collegate esternalità negative quali, per l’appunto, la riduzione della privacy non solo a livello individuale, ma anche collettivo.
La parte più rilevante dell’indagine si concentra sugli aspetti contrattualistici della questione. Ampio spazio è dedicato all’inquadramento di quegli atti di autonomia negoziale che sono alla base del trattamento dei dati personali sui social media: i click-wrap contracts, ovvero “contratti” standard predisposti unilateralmente dai gestori dei vari siti affinché vengano sottoscritti dagli utenti con il semplice cliccare su una casella o un’icona al loro comparire sullo schermo del dispositivo elettronico. Si tratta di atti che preludono ad attività (l’iscrizione e la permanenza sui social media) che comportano un certo vulnus alla riservatezza degli utenti. Un vulnus che deve essere controbilanciato da tutta una serie di obblighi (diffusamente descritti nel GDPR) che ricadono in capo ai gestori dei social media nel momento in cui, mettendo mano alla loro costruzione digitale, assumono automaticamente la qualità di titolari del trattamento dei dati forniti dai loro utenti. La sicurezza con cui alcuni autori si sono approcciati alla materia, dando quasi per scontato che tali contratti “siano e non possano non essere” tali viene messa in discussione, in ragione degli elementi di discrasia che i suddetti presunti contratti presentano rispetto alla dottrina tradizionale non solo di civil law, ma anche di common law.

Abstract
This work aims to examine the issue of personal data protection in the context of the so called “social media”, i.e., the new means of communication provided by the Internet that include search engines, social network and sharing platforms for digital contents (photos and videos).
Data protection is a fundamental right according to art. 8, CFRUE, and somehow represents, at an informational level, the end point of the developing of the more ancient right to privacy, a right which continues to be the most important individual-related element of data protection.
The first part of this work is dedicated to an overview of the developing of the right to privacy and of the data protection right, having regard to their jurisprudential and legislative evolution in the United States and in the European Union. As is well known, these two legal systems differ in the way they conceive the right to privacy and the right to data protection; in fact, the North American system is sectorial and linked to the various types of involved parties, while the European system is comprehensive, as the General Data Protection Regulation n. 2016/679 has shown in these last years. A comparative approach is essential to understand not only how the two above indicated rights have been developing, but also how they have been shaped by social media, which are managed by social media companies, most of which are set in the United States.
An important issue of this study consists in defining the meaning of personal data and of privacy itself, by underlying – especially for what concerns privacy - how they can be thought of as goods provided with an indispensable collective dimension. This dimension is not new to doctrine, but is too often forgotten not only by scholars, but also by legislators (as we can see considering the GDPR, which did not add anything new to the previous legislation). Negative externalities are linked to social media data processing such as the reduction of privacy not only from an individual, but also from a collective point of view.
The most relevant part of this survey focuses on the contractual aspects of the subject. Ample space is dedicated to the analysis of those legal acts which are at the basis of social media data processing: the click-wrap contracts, standard boilerplates which are unilaterally shaped by web sites mangers so that users can subscribe to them by simply clicking on a digital box or icon (which appears on the screen of any electronic device). These acts lead to some activities (registration and permanence on social media) which imply a certain vulnus to users’ privacy. This vulnus must be counterbalanced by the series of duties (widely described by GDPR) allocated to social media managers when they undertake the role of data processing controllers as soon as they give birth to their digital creation and users give them their personal data. The determination showed by some scholars who almost take for granted that those "are and cannot but be” contracts is called into question, because of the discrepancies that those presumed contracts show compared to the traditional contract doctrine, not only for what concerns civil law, but also according to common law.