Con parere 17/04/2024 (Opinion 08/2024), l’European Data Protection Board (EDPB) ha bocciato i modelli “consent or pay” applicati dalle grandi piattaforme online, affermando che molto difficilmente potrebbe essere considerato valido il consenso al trattamento dei dati personali prestato dall’utente che viene messo di fronte alla scelta “acconsenti o paga”.
I modelli “consent or pay” e la pubblicità comportamentale
Le Autorità Garanti della Privacy Olandese, Tedesca e Norvegese, hanno chiesto all’EDPB di pronunciarsi sulla legittimità dell’opzione “consent or pay”, imposta agli utenti dalle grandi piattaforme online.
Si tratta della pratica per cui il titolare del trattamento, ossia la piattaforma, impone all’utente di scegliere tra due opzioni per poter usufruire del servizio:
- acconsentire al trattamento dei propri dati personali per una o più finalità, oppure
- pagare una fee per avere accesso al servizio senza fornire i propri dati personali.
Nel caso affrontato dall’EDPB, viene in rilievo soprattutto il consenso che l’utente presta – più o meno consapevolmente – ai fini di pubblicità comportamentale, ossia quella pubblicità basata sull’osservazione del comportamento dell’utente.
Questo tipo di osservazione avviene principalmente attraverso l’uso di cookies (o altre tecnologie di trattamento simili) e comporta l’esecuzione di numerose attività da parte della piattaforma, come il monitoraggio delle attività compiute dagli utenti durante la navigazione, la raccolta di dati personali e la loro analisi a fini di profilazione, la condivisione dei dati personali con terzi terze parti (come gli inserzionisti), anche al fine di proporre agli utenti pubblicità personalizzate in base al loro profilo e di analizzare la loro interazione con gli annunci pubblicitari proposti.
Per questo motivo, la pubblicità comportamentale è considerata come una forma particolarmente invasiva di pubblicità e, in quanto tale, resta soggetta alle specifiche cautele imposte dal GDPR.
Il parere dell’EDPB
Secondo l’EDPB, le piattaforme online dovrebbero offrire agli utenti una scelta reale, mentre gli attuali modelli “consent or pay” si limitano a chiedere agli utenti di consegnare una grande quantità dei propri dati personali, oppure di pagare.
Pertanto, conclude l’EDPB, la maggior parte degli utenti acconsente al trattamento dei propri dati al solo fine di utilizzare un servizio e senza alcuna consapevolezza delle conseguenze della scelta effettuata, soprattutto quando il consenso riguarda la pubblicità comportamentale. Questo comporta anche l’invalidità del consenso prestato dall’utente.
Al riguardo, l’EDPB ricorda che, in base al GDPR, il consenso al trattamento dei dati personali può essere considerato valido solo quando è prestato dall’interessato in modo libero, informato, specifico e inequivocabile. Ad esempio, l’EDPB sottolinea che l’addebito di una fee può far sentire i singoli soggetti obbligati a prestare il consenso. Allo stesso modo, l’utente potrebbe non esprimere un consenso libero se teme di subire delle conseguenze negative non prestando il consenso (come l’esclusione da un determinato servizio, l’impossibilità di accedere a reti professionali o il rischio di perdere contenuti o contatti).
Per queste ragioni, l’EDPB ritiene che, nella maggior parte dei modelli “consent or pay”, non sia possibile ottenere un consenso valido solo offrendo la scelta tra il consenso al trattamento e il pagamento di un corrispettivo, mentre andrebbero previste delle “alternativa equivalenti”, ossia che non comportino il pagamento di una tassa.
Infine, l’EDPB ha precisato che:
“I dati personali non possono essere trattati come un bene commerciabile e i titolari del trattamento dovrebbero fare sempre attenzione a evitare di trasformare il diritto fondamentale alla protezione dei dati in un privilegio da pagare per poterne godere“.
Ilaria Feriti