La monetizzazione dei dati personali è un tema oggetto di un fervente dibattito da diversi anni che continua ad essere di stretta attualità. In questi giorni è balzata all’attenzione della collettività l’iniziativa di alcuni dei maggiori editori italiani che hanno subordinato l’accesso ai siti internet delle loro testate giornalistiche a una scelta dell’utente da compiere su un cookie wall: accettare i cookie di profilazione, e quindi navigare gratuitamente tra i contenuti liberi del sito, oppure rifiutare la profilazione e sottoscrivere un abbonamento.
I visitatori si sono trovati scritto, nero su bianco, che i dati raccolti dai cookie di profilazione sarebbero stati ceduti agli inserzionisti e il ricavato utilizzato per remunerare l’attività giornalistica della redazione, rendendo evidente il valore intrinseco del dato personale raccolto dall’editore.
Molti si sono interrogati sulla legittimità di tale iniziativa e l’Autorità Garante per la protezione dei dati personali ha aperto un’istruttoria per verificarne la conformità pur dichiarando che, in linea di principio, la normativa europea non esclude che il titolare di un sito web possa subordinare l’accesso al servizio a una scelta tra l’accettazione dei cookie di profilazione o il pagamento di una somma di denaro.
In attesa degli esiti delle istruttorie aperte dal Garante privacy, proviamo a ricostruire lo stato dell’arte in materia di cookie wall e monetizzazione dei dati personali.
Guida definitiva ai cookie: cosa si può fare, cosa no e come mettersi in regola
Indice degli argomenti
I cookie e il mercato dell’advertising digitale
Per comprendere il modo in cui il tema dei cookie sia connesso al dibattito sulla monetizzazione dei dati personali è necessario ricostruire brevemente l’evoluzione dell’advertising digitale.
Come sono cambiate le inserzioni
Nei primi anni di sviluppo del web, molti siti internet hanno valorizzato il traffico sui propri canali consentendo agli inserzionisti di acquistare spazi all’interno delle pagine web (banner, pop-up) per inserire immagini pubblicitarie, in modo analogo alle inserzioni pubblicitarie sui quotidiani.
Se in una prima fase, tali inserzioni erano generiche proprio come avveniva sui quotidiani, successivamente è diventato possibile tenere traccia delle preferenze degli utenti e dei visitatori e fare in modo che gli spazi messi a disposizione dai gestori dei siti non fossero occupati da un singolo inserzionista, ma che quello spazio potesse essere messo a disposizione di un numero indefinito di inserzionisti.
Ciascuno dei quali mostrava il proprio annuncio a coloro che avevano interessi in linea con il contenuto delle inserzioni, aumentando la possibilità che quella inserzione mirata (o targettizzata, in quanto diretta a un segmento, target, ben definito di pubblico) si concretizzasse in una conversione, ovvero in una vendita.
Si è sviluppato un mercato che, utilizzando il sistema delle aste, consente di vendere un certo numero di spazi agli inserzionisti con il prezzo che varia a seconda del bacino di utenti, dell’area geografica di riferimento e di una serie di parametri che sono diventati sempre più sofisticati con lo sviluppo delle tecnologie di tracciamento.
L’efficacia della personalizzazione
Le inserzioni personalizzate si sono rivelate più efficaci rispetto alla pubblicità generalizzata e pertanto l’acquisto di spazi per la pubblicità mirata ha un costo superiore che viene ripartito tra i vari soggetti della filiera e il gestore del sito internet che offre lo spazio.
Il ricavo per il gestore del sito varia in considerazione del tipo di inserzione, dalle visualizzazioni, dai click sul banner e dalle conversioni (gli acquisti che si concretizzano).
Da questa premessa è chiaro che siti internet di grande affluenza come quelli delle testate giornalistiche si sono trovati a poter contare su una serie di proventi che hanno compensato il calo delle vendite del canale cartaceo e sostenuto un settore altrimenti in crisi.
Ma come sono disciplinati i cookie a livello normativo?
Lo sviluppo del web e l’affinamento delle tecniche di profilazione ha portato il legislatore europeo nel 2002 a disciplinare il tema.
La direttiva 2002/58/CE, meglio nota come direttiva e-Privacy o cookie-law, ha disposto che l’accesso a informazioni presenti sul dispositivo dell’utente o la memorizzazione di informazioni sul dispositivo (tra cui l’installazione dei cookie nel browser) dovevano essere sottoposte al consenso dell’utente, salvo che tale accesso o installazione non fosse strettamente necessaria per l’erogazione del servizio.
I cookie wall
Le soluzioni tecniche che sono state adottate al momento dell’introduzione della direttiva ePrivacy per acquisire il consenso dell’utente sono state le più svariate e oggetto di esame da parte delle Autorità di protezione dei dati personali che hanno ribadito la necessità che il consenso dato dall’utente deve essere informato, attuale, revocabile, ma soprattutto libero. In altre parole, il gestore del sito internet non deve utilizzare tecniche ingannevoli per indurre gli interessati a prestare il consenso.
Il cookie wall è apparso come una soluzione tecnica in grado di alterare la genuinità e la libertà del consenso, in quanto è una schermata di blocco che non permette la navigazione sul sito internet finché l’interessato non compie una scelta.
Tale interpretazione è stata confermata dalle linee guida sul consenso emanate dell’European Data Protection Board (EDPB) 5/2020 che ribadiscono: “Affinché il consenso sia prestato liberamente, l’accesso ai servizi e alle funzionalità non deve essere subordinato al consenso dell’utente alla memorizzazione di informazioni o all’ottenimento dell’accesso a informazioni già memorizzate nell’apparecchiatura terminale dell’utente (i cosiddetti “cookie wall”)”.
La disposizione viene accompagnata dall’esempio di un sito su cui compare un cookie wall che non permette la navigazione finché l’utente non accetta i cookie e viene sottolineata la necessità di offrire agli interessati una scelta effettiva.
Le linee guida sui cookie emanate dall’Autorità Garante hanno recepito le indicazioni dell’EDPB e precisato che vi è «l’ipotesi da verificare caso per caso nella quale il titolare del sito offra all’interessato la possibilità di accedere ad un contenuto o a un servizio equivalenti senza prestare il proprio consenso all’installazione e all’uso di cookie o altri strumenti di tracciamento.»
La sottoscrizione di un abbonamento, quindi il pagamento di un prezzo, è un servizio equivalente al rifiuto del consenso? La risposta a questa domanda dipende dalla posizione che si assume nel dibattito sulla monetizzazione dei dati personali.
Data protection: quali prassi adottare per la protezione e il controllo dei dati
Il dibattito sulla monetizzazione dei dati personali
La monetizzazione dei dati può essere definita come la trasformazione del dato personale in un corrispettivo economico per l’accesso a un bene o a un servizio digitale. In altre parole, è possibile consentire il trattamento dei propri dati personali a un terzo in cambio della fornitura di un servizio gratuito?
Perché sia un corrispettivo è necessario che i dati oggetto della controprestazione siano diversi rispetto a quelli necessari per la fornitura del servizio. È possibile cedere i dati delle interazioni, dei like, delle preferenze, del proprio comportamento, in cambio dell’accesso a un servizio digitale che, altrimenti, necessiterebbe di un pagamento monetario?
Due interpretazioni per due risposte
Su queste domande si confrontano da anni due orientamenti. Il primo orientamento, più conservativo, considera la protezione dei dati personali come un diritto assoluto e, pertanto, indisponibile. Si ricollega alle previsioni dall’articolo 8 della Carta Europea dei Diritti dell’Uomo (CEDU) che amplia il diritto alla riservatezza della vita privata e familiare disciplinato dall’articolo 7 CEDU e lo estende alle relazioni sociali tra cui il mercato.
Di questo orientamento, l’European Data Protection Supervisor è un illustrissimo esponente che, pur riconoscendo i vantaggi che l’accesso gratuito ai servizi digitali ha comportato in termini di digitalizzazione della società, ritiene che si debba evitare l’utilizzo del termine controprestazione proprio perché la protezione dei dati personali è un diritto assoluto e indisponibile.
I sostenitori di tale orientamento temono i rischi di sorveglianza degli interessati, l’asimmetria informativa tra l’utente e il fornitore del servizio digitale, la perdita del controllo dell’interessato sui propri dati e più in generale il rischio che la tutela della riservatezza venga subordinata alla capacità economica dell’individuo.
Il secondo orientamento, invece, sottolinea il diritto alla libera autodeterminazione dell’individuo evidenziando che il dato personale incorpora un elemento negoziale rimesso alla volontà dell’interessato. Tale orientamento riconosce l’importanza del diritto alla protezione dei dati personali, e al tempo stesso, riporta l’attenzione sulla centralità dell’individuo e la valorizzazione delle sue scelte alla luce del proprio assetto valoriale.
La Direttiva 770
Abbiamo un riscontro di questo orientamento nella Direttiva 770 sulla fornitura dei servizi digitali che, pur disponendo che non è possibile considerare i dati personali al pari di una merce, statuisce che è necessario garantire ai consumatori i rimedi contrattuali previsti dalla normativa consumeristica in termini di conformità del prodotto, informazione al consumatore, responsabilità del produttore anche ai modelli commerciali diffusi sul mercato caratterizzati dalla fornitura di contenuti o servizi digitali senza un corrispettivo economico.
Che cosa dice
Viene sottolineato che “La presente direttiva dovrebbe applicarsi ai contratti in cui il consumatore fornisce, o si impegna a fornire, dati personali all’operatore economico. Ad esempio, la presente direttiva dovrebbe applicarsi nel caso in cui il nome e l’indirizzo e-mail forniti da un consumatore al momento della creazione di un account sui social media siano utilizzati per scopi diversi dalla mera fornitura di contenuti digitali o servizi digitali o non conformi agli obblighi di legge.
La presente direttiva dovrebbe altresì applicarsi nel caso in cui il consumatore acconsenta a che il materiale che caricherà e che contiene dati personali, come fotografie o post, sia trattato a fini commerciali dall’operatore economico”.
Il caso Meta Platforms vs. Antitrust tedesca
La rilevanza del dato personale per la fornitura del servizio digitale è anche al centro del contenzioso davanti la Corte di Giustizia tra Meta Platforms e l’Autorità Antitrust tedesca proprio sul tema dell’utilizzo dei dati raccolti attraverso i pixel per personalizzare l’esperienza dell’utente nel suo feed e quindi proporre solo inserzioni in linea con gli interessi degli utenti della piattaforma.
La pronuncia della Cassazione
Sulla prestazione del consenso al trattamento dei dati come controprestazione per l’iscrizione ad un servizio (in quel caso una newsletter informativa), si è pronunciata la Cassazione nel 2018 evidenziando che: “Non può allora essere condiviso l’argomento svolto dal giudice di merito secondo cui, dando credito alla tesi sostenuta dal Garante, si finirebbe per «delineare una sorta di obbligo tout court, per il gestore del portale, di offrire comunque le proprie prestazioni, a prescindere dalla prestazione del consenso al trattamento dei dati personali da parte dell’utente».
E, in buona sostanza, per obbligare così il gestore del portale a rinunciare al tornaconto economico dell’operazione che egli compie, proveniente dall’attività pubblicitaria realizzata tramite l’impiego dei dati personali acquisiti.
Nulla, infatti, impedisce al gestore del sito – beninteso, si ripete, in un caso come quello in questione, concernente un servizio né infungibile, né irrinunciabile -, di negare il servizio offerto a chi non si presti a ricevere messaggi promozionali, mentre ciò che gli è interdetto è utilizzare i dati personali per somministrare o far somministrare informazioni pubblicitarie a colui che non abbia effettivamente manifestato la volontà di riceverli.
Insomma, l’ordinamento non vieta lo scambio di dati personali, me esige tuttavia che tale scambio sia frutto di un consenso pieno ed in nessun modo coartato”.
L’equilibrio raggiunto dal GDPR
Il GDPR tiene in considerazione i due orientamenti fin dalle premesse e dall’articolo 1 che pone sullo stesso piano il diritto alla protezione dei dati personali e il diritto alla libera circolazione degli stessi statuendo nel paragrafo 3 che la libera circolazione dei dati personali non può essere limitata o vietata per motivi attinenti al diritto alla protezione dei dati personali.
I due diritti sono oggetto di un bilanciamento all’interno del regolamento che trova il suo ago nel principio di proporzionalità. Il considerando 4 del Regolamento afferma chiaramente che il diritto alla protezione dei dati personali non è una prerogativa assoluta, ma va letto alla luce della sua funzione sociale e contemperato con altri diritti fondamentali.
È l’individuo che sceglie
La libera autodeterminazione dell’individuo è uno dei diritti fondamentali a cui viene riconosciuta la giusta enfasi proprio nell’articolo 6 GDPR sulla liceità del trattamento. Non è un caso che le prime basi giuridiche che il legislatore indica a fondamento del trattamento dei dati personali sono il consenso e il contratto, seguiti solo successivamente dalle altre basi giuridiche del trattamento.
L’elenco termina, in ultima istanza, con il legittimo interesse del titolare a sottolineare che, in ogni caso, vi sono interessi meritevoli di fondare il trattamento dei dati personali anche se non risiedono nell’autodeterminazione dell’interessato.
Ma non perde il controllo dei dati
Il regolamento non ignora i rischi paventati dai sostenitori dell’assolutezza e l’indisponibilità del diritto alla protezione dei dati personali, prevede infatti obblighi di protezione in capo al titolare del trattamento, obblighi di informativa che non sono limitati agli articoli 13 e 14 GDPR ma che si estendono all’obbligo di comunicare la violazione dei dati personali nel caso vi siano rischi elevati per i diritti e le libertà degli interessati o la possibilità di chiedere il parere degli interessati nella valutazione di impatto.
L’interessato non perde il controllo dei dati, gli sono riconosciuti una serie di diritti che, in alcuni casi, sono contemperati con altri diritti del titolare del trattamento riconosciuti meritevoli di tutela (si pensi all’esercizio del diritto di limitazione del trattamento o alla cancellazione).
La rilevanza del data sharing nella costruzione del web 3.0
La creazione e lo sviluppo di un mercato unico digitale è uno degli elementi chiave dell’azione politica della Commissione Europea e trova riscontro anche negli ultimi atti adottati e in quelli in corso di adozione da parte delle istituzioni europee.
Si pensi al tema della valorizzazione del patrimonio informativo pubblico e al principio del data altruism introdotto dal Data Governance Act che, pur riconoscendo l’assolutezza del diritto alla tutela del dato personale e la centralità dell’individuo, si preoccupa di sviluppare il mercato legato all’utilizzo e al riutilizzo dei dati riconoscendo espressamente che i dati incorporano un valore.
Come può evolversi il diritto alla privacy
In un mondo sempre più interconnesso e con la prospettiva di un’immersione ancora più profonda dell’individuo offerta dallo sviluppo del Metaverso, il diritto alla protezione dei dati personali sembra spostarsi su aspetti come l’adozione di idonei presidi in grado di assicurare la sicurezza dei dati trattati, la riduzione delle asimmetrie informative (si pensi all’obbligo di notifica previsto nel data governance act per il caso di reidentificazione degli interessati) e di rafforzamento dei poteri di controllo in capo agli interessati.
Il limite invalicabile, che permea e caratterizza l’identità europea e la differenzia da altre esperienze, è il rispetto della dignità umana.
Fino a quel confine, l’intera produzione normativa europea pare orientata a consentire la diffusione e lo sfruttamento delle potenzialità legate alla circolazione dei dati personali, lasciando alle autorità di controllo e agli operatori del diritto il difficile compito di bilanciare, volta per volta, la proporzionalità e la ragionevolezza degli interessi in gioco.
