Introduzione
Lo scorso 17 aprile, il Comitato europeo per la protezione dei dati (“EDPB”) ha emesso l’atteso parere 8/2024, richiesto dalle autorità olandesi, norvegesi e tedesche (Amburgo), in merito all’ammissibilità del modello “pay or consent” - utilizzato dalle grandi piattaforme - nonché in merito alla validità del consenso espresso dall’utente al trattamento dei suoi dati personali per scopi di pubblicità mirata.
Che cosa si intende con modello “pay or consent”?
Il modello “pay or consent” (ovvero “paga o acconsenti”) permette all’utente, che intende usufruire di un contenuto o di un servizio online, di scegliere tra due opzioni: (1) pagare un corrispettivo in denaro per accedere al servizio, senza che i suoi dati personali vengano trattati per scopi di pubblicità mirata; (2) oppure accedere “gratuitamente” a tale servizio, acconsentendo al trattamento dei suoi dati personali per scopi di pubblicità mirata. In quest’ultimo caso, quindi, la piattaforma online monitora il comportamento dell’utente, grazie all’utilizzo di cookie o di tecnologie simili, al fine di mostrargli annunci pubblicitari personalizzati in base alle sue preferenze e ai suoi interessi.
Perché l’EDPB si è pronunciata sull’ammissibilità di tale modello?
Negli ultimi anni la Corte di Giustizia dell’UE (causa C-252/21) e diverse Autorità nazionali per la protezione dei dati, si sono espresse sulla questione fornendo criteri e requisiti da soddisfare in modo da essere conformi alla normativa. Le autorità richiedenti, nonostante ritenessero validi gli orientamenti espressi, sostenevano che fosse necessario adottare un approccio comune al modello “pay or consent” impiegato dalle grandi piattaforme, in particolare Meta, e hanno pertanto richiesto all’EDPB di pronunciarsi sulla questione.
Il parere dell’EDPB
L’EDPB ha, innanzitutto, ricordato che il trattamento dei dati personali deve rispettare i principi stabiliti dall’art. 5 del GDPR, in particolare quelli di necessità e di proporzionalità, nonché i principi di limitazione delle finalità e di minimizzazione dei dati. In aggiunta a tali principi, il consenso quale base giuridica, può considerarsi validamente prestato se è libero, specifico ed informato. Infatti, il consenso si ritiene fornito liberamente, se il soggetto interessato ha la libertà di scegliere, nonché di rifiutare o di revocare il consenso senza ritrovarsi per questo svantaggiato. Di conseguenza, il consenso espresso da un utente che si trova dinanzi ad una scelta binaria tra il trattamento dei suoi dati personali per fini di pubblicità mirata e il pagamento di una tariffa, non può ritenersi liberamente prestato. Inoltre, il consenso non può considerarsi liberamente fornito se esiste un evidente squilibrio di potere tra il soggetto interessato e l’organizzazione. Invero, il modello “pay or consent” è utilizzato da piattaforme di grandi dimensioni che si trovano in una posizione di maggiore potere, tale da poter costringere l’utente a prendere una decisione che altrimenti non avrebbe preso, pur di evitare ripercussioni finanziarie.
Invece, per quanto concerne l’alternativa a pagamento, sebbene da un lato non vi sia l’obbligo per le grandi piattaforme online di offrire servizi gratuiti, dall’altra si ricorda che, il diritto alla protezione dei dati è un diritto fondamentale riconosciuto dalla Carta dei diritti fondamentali dell’Unione europea, che non dovrebbe essere trasformato in un diritto accessibile solo dietro il pagamento di un corrispettivo. Alla luce di ciò, le piattaforme devono valutare caso per caso se sia appropriato richiedere un compenso e quale sia l’importo adeguato, tenendo in considerazione le alternative alla pubblicità mirata, sulla base dei requisiti stabiliti dal GDPR e dei criteri di validità del consenso.
Dal momento che il modello “pay or consent” potrebbe comportare un pregiudizio all’utente che, non scegliendo tra nessuna delle due opzioni alternative proposte, può essere escluso dal servizio, - soprattutto se questo è essenziale per la partecipazione alla vita sociale o alla rete professionale - l’EDPB invita le piattaforme online ad offrire ai propri utenti una terza valida alternativa al servizio. “L’alternativa equivalente” proposta dovrebbe essere gratuita e non dovrebbe comportare il trattamento dei dati per scopi di pubblicità mirata. A tal fine, l’EDPB fornisce alcuni esempi di servizio che comportano il trattamento di una minore quantità (o nulla) di dati personali per fini pubblicitari, come la pubblicità generale o la pubblicità basata su argomenti di interesse selezionati dall’utente. L’offerta di una alternativa equivalente da parte della piattaforma, costituirebbe, infatti, un fattore rilevante nella valutazione dei criteri di validità del consenso, poiché inciderebbe sulla libertà di scelta degli utenti.
Conclusioni
In conclusione, l’EDPB ritiene che, nella maggior parte dei casi, le grandi piattaforme online non saranno in grado di soddisfare i requisiti per un consenso valido, se mettono gli utenti dinanzi ad una scelta binaria tra il consenso al trattamento dei suoi dati personali per scopi pubblicitari e il pagamento di una tariffa. L’EDPB ricorda, infatti, che i dati non possono essere considerati alla stregua di un bene commerciabile e, per questo motivo, dovrebbe essere offerta un’ulteriore alternativa, che non comporti il pagamento di un corrispettivo e che non comporti il trattamento dei dati per pubblicità mirata. Infine, sottolinea che, l’acquisizione di un valido consenso, non esonera comunque le piattaforme dal rispetto di tutti i principi stabiliti dall’art. 5 del GDPR.
Autore: Beatrice Olivo
Contatto: Avv. Eduardo Guarente e.guarente@bergsmore.com