Sanzione DPC da 11 milioni di euro a Tinder: un download dei dati self-service deve dire cosa lascia fuori

Se il vostro sito o la vostra app permette alle persone di scaricare i propri dati, o li mostra in un portale privacy o in un centro preferenze, verificate che cosa lascia fuori quello strumento. Il 13 novembre 2026 la Data Protection Commission (DPC) irlandese ha annunciato una sanzione di 11 milioni di euro a MTCH Technology Services Limited, la società di Match Group che gestisce Tinder. Lo strumento «Download My Data» di Tinder forniva agli utenti solo una parte dei loro dati personali e non lo diceva.

Sanzione DPC da 11 milioni di euro a Tinder: un download dei dati self-service deve dire cosa lascia fuori

La decisione della DPC

La DPC ha avviato l'indagine di propria iniziativa nel gennaio 2020, in qualità di autorità di controllo capofila per MTCH nell'UE. Ha esaminato il modo in cui Tinder rispondeva agli utenti che chiedevano una copia dei propri dati.

Tinder gestiva queste richieste con uno strumento automatizzato chiamato «Download My Data». La DPC ha accertato che lo strumento non forniva agli utenti tutti i loro dati personali. Alcune categorie di informazioni venivano omesse senza avvisare l'utente, oppure fornite solo in forma riassuntiva. Questo viola l'articolo 15, paragrafo 3, del GDPR, che riconosce a ogni persona il diritto di ottenere una copia dei dati personali che un'azienda tratta su di lei.

Il comunicato della DPC non elenca le categorie mancanti. RTÉ, riportando le dichiarazioni della commissaria Niamh Sweeney, riferisce che parte dell'attività veniva restituita come totali giornalieri, ad esempio il numero di swipe o di match in un dato giorno, e che non erano inclusi dati analitici che potevano comprendere il genere e la posizione.

La decisione ha tre parti:

• Un ammonimento
• Una sanzione di 11 milioni di euro
• Un ordine di rendere il trattamento conforme entro tre mesi

Match Group ha annunciato che presenterà ricorso e afferma che Tinder ha collaborato con la DPC per tutta la durata dell'indagine. La DPC pubblicherà la decisione completa in seguito.

Un download parziale è ammesso, uno che lo tace no

La DPC non ha detto che uno strumento self-service debba restituire tutto. Il vice commissario Graham Doyle ha dichiarato che gli strumenti di accesso automatizzati possono essere un modo utile ed efficiente per dare accesso ai dati personali, e ha aggiunto, in sostanza:

Questi strumenti non devono fornire una copia completa dei dati personali, ma devono essere corretti e trasparenti verso le persone riguardo all'estensione dei dati forniti.

Gli utenti di Tinder non avevano modo di sapere che il file era incompleto. Chi scarica i propri dati e non vede una cronologia delle posizioni dà per scontato che non ne venga conservata alcuna. Non farà una seconda richiesta per dati di cui ignora l'esistenza, e il diritto di accesso si ferma a ciò che lo strumento è in grado di esportare.

Questo coincide con le linee guida dell'EDPB sul diritto di accesso. Uno strumento self-service è un modo ammesso di rispondere a una richiesta e, quando i dati sono molti, l'azienda può fornirli a livelli, purché la persona possa ottenere ogni livello se lo chiede.

Secondo la DPC, decine di migliaia di utenti hanno usato lo strumento nel periodo esaminato.

Come verificare il vostro strumento

Lo stesso test vale per qualsiasi strumento che mostri alle persone i loro dati: un'esportazione dell'account, una pagina «i miei dati», un portale privacy o un centro preferenze.

Elencate tutti i sistemi che contengono dati personali

Un'esportazione viene di solito costruita a partire dal database principale del prodotto. Gli eventi di analytics, i pubblici delle piattaforme pubblicitarie, i ticket di assistenza, le note del CRM, le registrazioni del consenso e gli attributi dedotti, come segmenti o punteggi, si trovano altrove e restano fuori. Confrontate l'esportazione con il vostro registro delle attività di trattamento, non con il database da cui è stata generata.

Dite che cosa copre il download

Se lo strumento restituisce solo una parte dei dati, ditelo nella schermata in cui la persona avvia il download e all'interno del file stesso. Indicate le categorie non incluse.

Offrite un percorso per ottenere il resto

Accanto al download, inserite un link a un modulo per richiedere una copia completa. Chi la chiede con quel modulo presenta una normale richiesta di accesso, e si applica il termine di un mese.

Non sostituite i dati con riepiloghi

Tinder forniva alcuni dati solo in forma riassuntiva. Un conteggio di eventi non è una copia degli eventi. Se conservate i record dettagliati, la persona ha diritto a riceverli.

Rivedete lo strumento quando cambia il prodotto

Una nuova funzione, un nuovo SDK o un nuovo strumento di analytics comporta spesso una nuova categoria di dati personali. Aggiungete l'esportazione alla checklist di rilascio, perché non resti indietro rispetto al prodotto.

I centri preferenze hanno la stessa lacuna

Un centro preferenze fa una promessa simile: ecco che cosa avete accettato. Se mostra la scelta sulla newsletter ma non il consenso agli SMS, le scelte sui cookie fatte nel banner o l'impostazione di personalizzazione dell'app, la persona vede un quadro parziale e non ha motivo di dubitarne.

La soluzione è la stessa. Mostrate tutti i consensi su cui fate affidamento, oppure indicate quali sono gestiti altrove e inserite un link.

Le richieste sui dati in UniConsent

Il Privacy Portal di UniConsent offre ai vostri utenti una pagina, sul vostro dominio, per gestire il consenso e le preferenze di marketing e per presentare richieste di accesso, cancellazione, rettifica e portabilità. Ogni richiesta viene seguita rispetto alla sua scadenza di legge, e ogni passaggio viene registrato con data e ora.

Potete collocare il modulo di richiesta accanto al vostro strumento di download, così un utente che ha bisogno di più di quanto lo strumento fornisce ha un modo chiaro per chiederlo.

Le scelte di consenso fatte nel banner dei cookie, nei vostri moduli e nelle vostre app vengono conservate insieme alla loro cronologia, quindi la parte relativa al consenso di una risposta di accesso è completa. Vedete l'audit trail del consenso.

Registrati e configura un portale privacy per il tuo sito.

Per altre decisioni recenti, consultate la panoramica delle sanzioni GDPR del 2026.

Riferimenti

• Data Protection Commission fines MTCH €11 million following Inquiry into Tinder users' personal data requests - DPC
• Tinder owner fined €11m by Data Protection Commission - RTÉ
• Data Protection Commission fines Tinder owner €11m - Irish Examiner
• Guidelines 01/2022 on data subject rights - Right of access - EDPB