Quella dei cookie walls è una pratica ambigua, che solleva non poche questioni dal punto di vista del rispetto della privacy e del consenso informato, tanto da attirare l’attenzione delle autorità di controllo, tra cui il Garante Privacy italiano.
In un quadro normativo in continua evoluzione, dove il GDPR ha introdotto nuove regole per la protezione dei dati personali online e le legislazioni nazionali cercano di adeguarsi, il fenomeno si trova al centro di vivaci dibattiti e confronti anche a livello europeo.
Cookie walls: un fenomeno ambiguo
Il fenomeno dei cookie walls (letteralmente, “muri di cookie”) consiste nell’applicazione di un banner (o altro strumento idoneo a bloccare la piena visibilità della pagina web), all’interno del quale l’utente viene messo di fronte ad una scelta, solitamente divisa tra l’accettazione completa dei cookie – in maniera generalizzata e quindi allargata ad ogni tipo di cookie utilizzato – o il rifiuto della cookie policy, con conseguente disattivazione della navigazione. Stiamo parlando, è evidente, di una pratica connessa appunto alla navigazione web ed alla gestione del consenso da parte dei portali che usufruiscono di cookie diversi da quelli cosiddetti “necessari”.
Senza entrare nel merito di differenziazioni oramai assodate tra i lettori avvezzi alla materia, si ricorderà che il cookie necessario rappresenta uno strumento appunto vitale per poter permettere allo stesso utente una navigazione fluida e sicura, di talché la sua presenza non deve essere accettata ma solo conosciuta. Chiaro, quindi, che l’utilizzo di un cookie wall, ossia di un banner contenente una richiesta di consenso, possa essere contemplato soltanto nella misura in cui la cookie policy del portale di riferimento abbia in essere non soltanto strumenti necessari alla mera navigazione, ma funzionali ad altri tipi di trattamento.
Quotidiani online: accettare o abbonarsi
Un’ulteriore premessa deve poi essere avanzata per quanto concerne la recentissima evoluzione di alcuni cookie walls, ora non più offerenti una “semplice” opzione tra l’accettazione dei cookie o l’interruzione della navigazione ma addirittura strutturati, nel caso di diniego al consenso, verso il pagamento di un abbonamento. Nel momento in cui si sta scrivendo questo articolo alcune delle maggiori testate giornalistiche italiane, per il proprio sito web, presentano una formula di accettazione dei cookie o rifiuto con abbonamento, comunemente noto come “paywall” (ed al lettore che magari abbia già accettato tali policy basterà svuotare la cache del browser o navigare in modalità incognito per una rapida prova empirica).
La giustificazione avanzata solitamente dai gestori per questa modalità di consenso fortemente condizionata è che l’utilizzo della pubblicità profilata (appunto possibile solo tramite l’utilizzo di cookie di profilazione) sia necessaria per garantire lo standard di qualità dei contenuti web presenti sui portali, di talché l’utente, per poter navigare gratuitamente, debba permettere l’erogazione di pubblicità personalizzata (e quindi accettare la profilazione). Va anche sottolineato, per un quadro il più possibile completo, che tale proposta risulti non perfettamente allineata alla quantità dei contenuti: molte testate giornalistiche, pur avanzando questo ragionamento, continuano ad offrire solo una parte dei propri contenuti a coloro che accettano i cookie senza abbonamento, con il risultato finale che la sola accettazione dei cookie non è comunque sufficiente alla lettura di tutti gli articoli proposti.
Cookie walls e paywalls, l’intervento del Garante privacy
Ad ottobre scorso il Garante privacy italiano ha comunicato, con una breve nota, l’avvio di un’attività istruttoria in merito al doppio fenomeno del cookie wall e del paywall (per coerenza qui definito “doppio”, ma allo stato dei fatti consistente nella stragrande maggioranza dei casi in una modalità di richiesta del consenso unica), per la quale non è ancora emersa una presa di posizione definitiva. Nell’attesa dell’autorevole parere dell’Autorità, è comunque possibile delineare alcuni profili interpretativi circa la legittimità di queste pratiche, nonché la loro rispondenza al dettato normativo del GDPR e delle leggi correlate.
Editoria in crisi e cookie walls
Un primo punto di riflessione è dato dalla necessità dei portali di informazione di poter monetizzare in maniera più incisiva la propria produzione intellettuale, nonché di poter proteggere i propri contenuti all’interno di un sistema che effettivamente manca di strumenti adeguati per soddisfare tali esigenze.
Come noto, la velocità con la quale vengono veicolate le informazioni ed i contenuti digitali è nettamente superiore alla capacità, da parte dei soggetti che ne detengono i diritti intellettuali e di riproduzione, di proteggere gli stessi contenuti dalla loro diffusione indiscriminata, con un conseguente danno per mancato guadagno e perdita di chance.
Ancora, il mercato stesso dell’informazione, con la rivoluzione digitale, ha comportato una rapida e quasi infermabile crisi per l’editoria cosiddetta classica, che stenta nel trovare soluzioni capaci di offrire contenuti immediati e digitali ma al tempo stesso ben remunerati rispetto ai costi necessari per poterli produrre.
Gli interventi normativi di livello europeo
Questa crisi è stata evidenziata, ed in parte mitigata, da alcuni interventi normativi di livello europeo, che hanno cercato per l’appunto di proteggere il settore, sempre però bilanciando la legittima necessità di profitto degli editori con la fondamentale libertà di accesso dell’utente ai contenuti di informazione. La Direttiva UE 2019/790, per esempio, presenta disposizioni aggiornate in materia di tutela del diritto d’autore per le pubblicazioni giornalistiche on-line prevedendo un sistema, a favore degli editori dei giornali, il cui utilizzo dei contenuti da parte dei prestatori di servizi delle società dell’informazione, delle società di monitoraggio media e rassegne stampa è soggetto ad autorizzazioni e del riconoscimento di un’equa remunerazione per l’utilizzo dei contenuti da loro prodotti.
Non dimentichiamo poi il potere concesso all’Agcom, la quale può irrogare sanzioni nei confronti dei soggetti trasgressori del diritto d’autore. Nel complesso, però, tali interventi sono considerati parziali e insufficienti dagli operatori dell’informazione, complice anche la capacità dei soggetti privati – tramite la semplice diffusione social – di erodere e scemare grandemente sia il valore dei contenuti dei portali web, sia la “cliccabilità” degli stessi.
D’altra parte, però, pur riconoscendo alcune esigenze di tutela del diritto d’autore e, soprattutto, tutela delle modalità di monetizzazione delle realtà editoriali digitali, tali istanze non possono prescindere da un’applicazione in linea con la normativa riguardante la protezione dei dati personali, soprattutto in considerazione del peso specifico di alcuni trattamenti (come appunto la profilazione, il tracciamento ed in generale l’utilizzo commerciale di dati su larga scala).
Cookie di profilazione: il nodo del consenso
Andando più nello specifico, si deve segnalare che la totalità dei casi di cookie walls nasconde una policy orientata all’utilizzo dei cookie di profilazione, che consistono in strumenti di tracciamento delle attività dell’utente, con lo scopo di generare pubblicità specifica per il fruitore. Quale che sia, comunque, il risultato del trattamento scaturente da un cookie di profilazione, è ormai assodato che qualsiasi utilizzo di cookie non tecnici, in assenza di prove contrarie, rappresenti uno strumento non necessario per la mera fruizione del portale web di riferimento.
La conseguenza di questo assunto, alla luce dell’articolo 122 del Codice privacy e dell’articolo 6 del GDPR è che l’installazione di un cookie non tecnico sia legittima solo in presenza del libero consenso dell’interessato. Ancora, richiamando l’articolo 7.4 del GDPR (nel valutare se il consenso sia stato liberamente prestato, si tiene nella massima considerazione l’eventualità, tra le altre, che l’esecuzione di un contratto, compresa la prestazione di un servizio, sia condizionata alla prestazione del consenso al trattamento di dati personali non necessario all’esecuzione di tale contratto) risulta evidente che il consenso non può definirsi libero nel momento in cui l’esecuzione del contratto, che in questo caso è la semplice fruizione del sito web, sia vincolato all’accettazione di un trattamento che non è necessario per il contratto stesso – appunto, i cookie di profilazione.
Non possono quindi muoversi grandi obiezioni ad un’interpretazione normativa (e dottrinale) piuttosto lineare nella sua applicazione. L’unica differenza, potrebbe essere quella di considerare il paywall – ossia l’alternativa tra l’installazione dei cookie e il pagamento dell’abbonamento – come una modalità differente e libera di concessione del consenso, considerandosi come standard di trattamento quello a pagamento, ed opzionale perché economicamente analogo quello gratuito, ma con i cookie. Fermo restando che una navigazione esclusivamente a pagamento è perfettamente legittima, l’alternatività proposta mostra il fianco ad una certa fallacia logica.
Il trattamento dei dati personali deve infatti essere ben circoscritto e rappresentato: in questo caso, si suppone esso sia la raccolta dei dati necessari per la fruizione del sito web, tra i quali il necessario pagamento dell’abbonamento (da cui discende, la possibilità di scelta dei cookie). La necessarietà del pagamento, che si ripete è lecita, non può essere “barattata” con una differente scelta di installazione dei cookie di profilazione. Innanzitutto, verrebbe meno il concetto stesso di “necessario”: come potrebbe considerarsi tale un elemento che può essere sostituito da un altro, non sovrapponibile ma al più equipollente in termini economici? Tale equipollenza, inoltre, ha valore solo per il Titolare del trattamento, che considera la profilazione e il pagamento di un tot mensile come economicamente vantaggiosi in egual misura; ma le due cose non combaciano affatto per l’interessato, che deve scegliere se concedere una lunga serie di dati per attività di profilazione automatica o pagare una somma (non si ritiene necessario dover spiegare quanto sia differente per l’utente il peso delle due istanze).
Cookie walls e paywalls in Europa
Per ora, comunque, le Autorità europee non hanno mosso grosse critiche al sistema paywall, addirittura accettando come valida la soluzione di un cookie paywall che presenti una soluzione di pagamento “moderato”, al fine di non limitare la libertà dell’utente. Si tratta, a modesto parere dello scrivente, di un’interpretazione forse non errata, ma quantomeno elastica della normativa privacy vigente: l’espressione del consenso dovrebbe essere cristallina e perfettamente libera, soprattutto scevra da dinamiche di scelta più complesse del “si/no” in merito al singolo e specifico trattamento. La DSB, infatti, ha recentemente espresso preoccupazione circa la capacità di esprimere un consenso pieno in presenza di un sistema “pay or okay” adottato da un media austriaco, sottolineando l’assenza di un’accettazione quantomeno granulare dei cookie (nel caso di mancato pagamento) come deficitaria per un consenso perfettamente legittimo.
Conclusioni
Concludendo questo piccolo excursus sui cookie walls e i paywall, si può arrivare a qualche punto fermo (ed a qualche nodo ancora da sciogliere). Non ci sono più grossi dubbi, sia in dottrina che nei giudizi dei Garanti europei, circa l’invalidità del cookie wall. Quest’ultimo si conferma come strumento incapace di formare un consenso effettivamente libero e rispondente alla normativa GDPR ed ai concetti alla base della legittimità di trattamento. Permangono invece numerosi dubbi sulla liceità dei paywall, che potrebbero essere considerati una vera e propria “evoluzione” rispetto al primo. Chi scrive ha mosso più di una rimostranza su un sistema che non sembra, per i motivi elencati nel corpo dell’articolo, esprimere un consenso cristallino e concentrato sul singolo trattamento. Il panorama europeo è ancora timido, con alcuni pareri a favore di questo sistema (tra cui Francia e Danimarca) ed altri più contrari (la già citata Austria). Rimane, comunque, auspicabile e necessario uno sforzo europeo per dirimere la questione ed arrivare ad una soluzione organica e capace di poter soddisfare le varie istanze in gioco.
