Il modello di Meta “pay or okay” ovvero “paga (l’abbonamento) o dai l’ok alla pubblicità personalizzata” non è affatto ok. A stabilirlo è l’EDPB con la recente opinion 8/2024.
L’EDPB, in questo parere, si è trovata ad analizzare più da vicino il sistema — congeniato da Meta — del “Pay or okay”, ritornando sulla spinosa tematica del consenso.
Indice degli argomenti
Il metodo “pay or okay” non funziona da valido consenso
Il quesito, in sostanza, è questo: può ritenersi valido davvero il consenso richiesto attraverso questo meccanismo?
Secondo l’EDPB, il fatto che i grandi portali online prevedano solo le due ipotesi di prestare il consenso al trattamento dei dati personali per fini di pubblicità comportamentale, o pagare un abbonamento senza prevedere anche per gli utenti una terza via alternativa ed equivalente, ma soprattutto gratuita, non funziona né può funzionare facendo venir meno i requisiti di validità del consenso richiesti dal GDPR.
Di qui, l’esortazione dell’EDPB a che le grandi piattaforme europee ipotizzino una terza scelta che non richieda né abbonamenti né comporti profilazione.
Ad esempio, come vedremo più oltre, prevedendo un accesso con pubblicità senza trattamento di dati personali o, comunque, un trattamento meno invasivo.
Come commenta su Linkedin Adrea Lisi, noto avvocato del digitale, “di certo adesso c’è una stretta strada interpretativa da seguire per sviluppare quei servizi digitali che si nutrono di dati, tanto che a volte lo stesso servizio richiesto è la profilazione che ci riguarda”.
“Quanto Spotify o Facebook possono funzionare senza la profilazione che caratterizza le nostre identità digitali che si esprimono on line in ogni nostra più intima sfaccettatura?”.
“Ma se la profilazione è integrata nella sua essenza con il servizio, non è detto che lo sia effettivamente la sua commercializzazione…”. “La strada del “consent or pay” effettivamente era apparsa perigliosa sin dall’inizio, ma si era resa necessaria perché forse il dibattito interpretativo si era avviluppato su presupposti controversi”, dice Lisi.
L’EDPB sottolinea ancora che l’acquisizione di un consenso valido conformemente al GDPR non esonera affatto i titolari del trattamento dal rispetto dei principi sanciti all’art. 5 del GDPR, e nella fattispecie quelli di necessità e proporzionalità.
Naturalmente, l’EDPB ribadisce a chiare lettere i noti requisiti del consenso (compiutamente informato, specifico e granulare in relazione ai trattamenti a cui si riferisce), fornendo anche dei chiarimenti circa la revoca del consenso nonché la sua “gestione”, invitando i titolari del trattamento a stabilire ogni quanto tempo i consensi debbano essere aggiornati. Ma vediamo in dettaglio.
La questione centrale dei modelli di “consenso o pagamento”
La questione centrale dei modelli di “consent or pay”, secondo l’EDPB, risiede negli effetti che questo modus operandi determina e quindi nelle conseguenze negative sugli utenti/interessati.
In altri termini, si viene a creare uno “squilibrio di potere” tra l’individuo e il titolare del trattamento, attesa la posizione (dominante) delle grandi piattaforme online sul mercato.
I modelli di “consenso o pagamento” che sono attuati dalle grandi piattaforme online, all’evidenza non rispettano i requisiti di un valido consenso. Come è possibile, infatti, che gli utenti siano liberi di esprimere un consenso se vengono messi di fronte a una sola scelta tra il consenso al trattamento dei dati personali a fini di pubblicità comportamentale e il pagamento di una commissione.
Di qui, l’insistenza del Board nel dover offrire un’alternativa terza e gratuita, priva “di pubblicità comportamentale” (profilazione).
Pertanto, secondo l’EDPB il fulcro è questo: se il modello “Pay or Okay soddisfi il requisito legale secondo cui il consenso deve essere fornito liberamente e i desideri genuini degli utenti devono essere rispettati”.
Il metodo/modello “Paga o va bene” evidentemente interferisce con una scelta genuina e libera da parte degli utenti/interessati.
Il parere dell’EDPB e i noti requisiti del consenso
L’EDPB nel formulare questa opinion ripercorre le principali caratteristiche e condizioni del consenso affinché sia valido. Esso deve essere necessariamente “libero” affinché sia valido, e il metodo del “pay or okay” determina il rilascio di un consenso tutt’altro che libero.
I noti requisiti del consenso sono:
- la granularità e quando viene presentato un modello “consenso o pagamento”, è difficile pensare che l’utente/interessato sia libero di scegliere;
- la specificità, cioè un consenso dato per uno o più scopi specifici, rappresentando un’indicazione di volontà inequivocabile e nello stile di “pay or okay” è particolarmente importante che i titolari del trattamento progettino attentamente, in piena aderenza al principio di privacy by design, il modo in cui gli interessati sono invitati a fornire il loro consenso. Né tanto meno gli utenti dovrebbero essere assoggettati “a modelli di progettazione ingannevoli”;
- il dover essere”informato“, consentendo agli utenti/interessati di comprendere in modo chiaro e completo “il valore, la portata e le conseguenze delle loro possibili scelte, tenendo conto della complessità delle attività di trattamento legate alla pubblicità comportamentale”.
L’EDPB fornisce anche dei chiarimenti, come anticipato, sulla revoca del consenso, suggerendo di valutare attentamente la frequenza con cui occorra “rinfrescare” il consenso.
Gestione del consenso da “rinfrescare” e pubblicità comportamentale
Il GDPR, per il vero, non stabilisce un limite di tempo preciso per quanto riguarda la frequenza di aggiornamento del consenso o per quanto tempo il consenso possa essere considerato “espressione della volontà dell’interessato”.
Ciò, tuttavia, non significa che il consenso possa essere tenuto a vita, e mai gestito, quindi occorre “rinverdirlo”. Certo, il criterio principe è la valutazione del case by case e comanda sempre il contesto.
Il Board per “sopperire” a questa (apparente) mancanza, in queste linee guida fornisce dei criteri in tal senso, richiamandosi all’art. 5, par. 2, del DMA (Digital Markets Act).
Al riguardo, infatti, è bene sapere che nel contesto della cd “pubblicità comportamentale”, attesa l’intrusività del relativo trattamento, secondo l’EDPB, un anno è un periodo di tempo appropriato entro cui il consenso può ritenersi valido, ma poi va “rinfrescato”, in pratica richiesto.
Le conseguenze di un consenso mal raccolto
Le conseguenze di un consenso raccolto in mondo non consono possono così riassumersi:
- in un danno per l’interessato quale conseguenza del mancato consenso o della revoca del consenso, inficiando la libertà di scelta del medesimo. Non solo, in caso di mancato pagamento del corrispettivo per negare il consenso, il rischio è che siano esclusi dal servizio in caso di mancato consenso. Ricordiamo tutti su Facebook/Meta la nota che ci chiedeva, qualche mese fa, acconsenti o altrimenti non potrai più utilizzare il social network;
- uno squilibrio di potere tra l’utente/interessato e le grandi piattaforme online/big tech e quindi l’esistenza degli effetti di lock-in o di rete, la misura in cui l’interessato faccia affidamento sul servizio e il pubblico target o predominante del servizio. In questi casi, l’EDPB rammenta che “il consenso può essere utilizzato solo in circostanze eccezionali”.
E tanto basta.
Pubblicità comportamentale e pagamento: serve una terza opzione gratis
L’EDPB insiste poi nel Parere in questione, dicendo proprio che “l’offerta di (solo) un’alternativa a pagamento al servizio che include il trattamento a fini di pubblicità comportamentale non dovrebbe essere la soluzione predefinita”.
Le grandi piattaforme online sono quindi tenute a prendere in considerazione la possibilità di fornire agli interessati una valida “alternativa equivalente” che non comporti alcun pagamento.
Del resto, l’imposizione di tariffe impedisce agli utenti/interessati di compiere una scelta libera ed effettiva, come invece dev’essere, e ciò è senz’altro possibile senza l’uso o l’abuso della profilazione (pubblicità comportamentale).
La sentenza del Bundeskartellamt
L’EDPB a sostegno di questa Opinion richiama la sentenza del Bundeskartellamt, laddove la CGUE afferma testualmente che “agli utenti che rifiutano di dare il proprio consenso a determinati trattamenti deve essere offerta un’alternativa equivalente non accompagnata da tali trattamenti”. E poi aggiunge: “per alternativa equivalente si intende una versione alternativa del servizio offerto […] che non implica il consenso al trattamento dei dati personali a fini di pubblicità comportamentale”.
Al riguardo, il Board intende precisare che tale alternativa deve essere “realmente equivalente”. Nel senso che non si deve essere in grado di trattare dati personali per quel tipo di finalità.
L’EDPB richiama ancora la sentenza del Bundeskartellamt della CGUE nella misura in cui “agli utenti che rifiutano di dare il consenso a determinati trattamenti deve essere offerta, se necessario dietro pagamento di un adeguato compenso, un’alternativa equivalente non accompagnata da tale trattamento”, precisando come la CGUE si riferisca a una versione alternativa del servizio, ma che non implichi il consenso al trattamento dei dati personali a fini di pubblicità comportamentale.
Del resto, circa l’imposizione di un costo per l’accesso alla versione “alternativa equivalente” del servizio non andrebbe affatto bene dal momento che, come ricorda l’EDPB, i dati personali non sono paragonabili a “un bene commerciabile” né tanto meno merce di scambio.
È appena il caso di ricordare, infatti, che il diritto alla protezione dei dati è sancito, tra l’altro, dall’art. 8 della Carta dei diritti fondamentali ed è un diritto che si applica a tutti, indipendentemente dalla retribuzione o dallo status finanziario.
La cosiddetta “alternativa equivalente”
Ancora, l’EDPB tiene a precisare che detta “alternativa equivalente” non deve comportare alcun trattamento ai fini della pubblicità comportamentale e fornisce degli esempi come una versione del servizio con una forma diversa di pubblicità che comporti il trattamento di una quantità minore (o nulla) di dati personali. Si pensi alla pubblicità contestuale o generale o pubblicità basata su argomenti selezionati dall’interessato da un elenco di argomenti di interesse.
Il tutto è legato al “principio di minimizzazione” dei dati: vanno trattati solo i dati personali strettamente necessari (art. 5 GDPR).
Il fatto poi che ci siano servizi gratuiti all’interno di piattaforme come Meta, per gli utenti/interessati aumenta la libertà di scelta dei medesimi e quindi, lato big tech, la prova del consenso “liberamente prestato”.
Secondo l’EDPB, infatti, la presenza o meno di una valida alternativa equivalente gratuita senza pubblicità comportamentale rappresenta un fattore particolarmente importante da considerare onde (poter) valutare se gli interessati abbiano o meno compiuto una scelta reale. Ergo, la validità del consenso.
È interessante notare, inoltre, come l’EDPB nel descrivere il criterio di “equivalenza” nell’accezione dello “stesso valore”, punta in due direzioni:
- se la versione alternativa fosse di qualità inferiore o meno ricca di funzionalità rispetto alla versione con pubblicità comportamentale, agli utenti non sarebbe presentata una vera scelta;
- la possibilità di includere “funzionalità aggiuntive” nella versione alternativa va valutata con cautela, dal momento che dev’essere mantenuta una “reale equivalenza” tra le varie versioni (pay or free).
Le conclusioni dell’EDPB
L’EDPB arriva a concludere che, nella maggior parte dei casi, le grandi piattaforme online “non saranno in grado di soddisfare i requisiti per un consenso valido” se metteranno gli utenti di fronte “a una scelta binaria tra il consenso al trattamento dei dati personali per scopi di pubblicità comportamentale e il pagamento di una tariffa”.
Ne consegue dunque che, sulla base della richiesta di parere da parte delle Autorità di controllo olandesi, norvegesi e tedesche (Amburgo) e alla luce di tutte le considerazioni sovra esposte, l’EDPB conclude affermando che: “il consenso raccolto dalle grandi piattaforme online nel contesto di modelli “pay or consent” relativi alla pubblicità comportamentale, può essere considerato valido solo nella misura in cui tali piattaforme possono dimostrare, in linea con il principio di responsabilità, che tutti i requisiti per un consenso valido sono soddisfatti”. Diversamente, no.
Consenso sì, ma accountability anche e in primis
Dalla disamina complessiva di questa Opinion, notiamo come l’EDPB sottolinei che l’ottenimento del consenso non esonera comunque dall’adesione a tutti i principi (ex art. 5 GDPR) come la limitazione delle finalità, la minimizzazione dei dati e correttezza oltre a necessità e proporzionalità.
Poi che il consenso deve essere richiesto con tutti i sacri crismi in perfetta linea con quanto richiesto dal GDPR, ma non di meno è importante che le big tech rispettino il sacro fuoco dell’accountability dovendo esse dimostrare l’intero impianto congeniato, e a chi più di loro interessa i dati personali dei milioni di utenti iscritti, volendone sempre di più?
Parere dell’EDPB: quali ripercussioni su Meta
Il parere dell’EDPB sui modelli di “pay or okay” avrà evidenti ripercussioni su Meta. Ricorderemo tutti della sequenza di messaggi che ci erano arrivati sul nostro account di Facebook.
Ecco che l’EDPB, intervenendo sul punto, ha fornito l’unica interpretazione logica possibile del termine “libero consenso” nell’analizzare il sistema “Pay or Okay” di Meta, ribadendo, in poche parole che “la privacy non può essere un servizio premium” come ha ben scritto l’avvocato Enrico Pelino, arrivando anche noi a concludere che il sistema “pay or okay” è la fine del consenso “liberamente prestato”.
Forse senza forse, ha ragione Schrems – noto esperto in materia – nell’affermare che “Meta non ha più opzioni nell’UE”.
Stiamo a vedere.
