Si possono mercificare i dati personali? Il tema emerge forte in queste ore: alcuni quotidiani online, come ad esempio, La Repubblica, hanno adottato un cookie policy per cui i contenuti editoriali sono accessibili solo a due condizioni: la sottoscrizione di un abbonamento o il consenso dell’utente all’utilizzo dei cookies di profilazione.
La notizia è tale solo per modo di dire: Gedi Digital aveva già inviato un’email con la modifica dei termini di utilizzo dei propri siti.
Il cookie wall
Detto questo, quando si parla di editoria, in Italia, la polemica scoppia in un attimo: per questo, quando sulla home page del sito de La Repubblica si vede comparire, da un giorno all’altro, un banner a tutto schermo che pone all’utente una scelta secca, è subito scandalo.
Cookie wall dei giornali, scoppia il caso: al lavoro il Garante privacy
Ecco il testo: “Ti segnaliamo che l’accesso ai nostri contenuti senza abbonamento è soggetto al consenso per l’utilizzo dei cookie (per ulteriori dettagli, ti invitiamo a visionare la cookie policy). Se accetti i cookie potremo erogarti pubblicità personalizzata e, attraverso questi ricavi, supportare il lavoro della nostra redazione che si impegna a fornirti ogni giorno una informazione di qualità. Se, invece, vuoi rifiutare il consenso ai cookie o personalizzare le tue scelte, con la sola eccezione dei cookie tecnici, devi acquistare uno dei nostri abbonamenti”.
Nell’epoca del tutto e subito e (apparentemente) gratis, un’alternativa secca di questo tipo fa gridare qualcuno all’estorsione.
Per queste ragioni, verosimilmente, il Garante per il trattamento dei dati personali ha aperto un’istruttoria, il cui esito farà, verosimilmente, giurisprudenza, non necessariamente solo a livello italiano.
Questo per due ragioni, soprattutto: la questione non è banale per le modalità con cui la Gedi Digital srl si è mossa – ne parleremo a breve – e perché la “mercificazione” dei dati è pane quotidiano di ciascuno di noi, a partire dal momento in cui ci iscriviamo ad una qualunque newsletter o aderiamo ad una promozione che preveda l’iscrizione alla newsletter (la fidelity card di qualunque store).
Su cosa dovrebbe vertere l’istruttoria del Garante su cookie wall
Una prima analisi dell’operazione profilazione per contenuto del Gruppo Gedi: su cosa dovrebbe vertere l’istruttoria del Garante
Scandalo o no, non si può dire che si tratti di una sorpresa o di un fatto inaspettato: la Gedi Digital srl aveva inviato, il 15 ottobre 2022, un’emali con le nuove condizioni generali di contratto.
Per quanto siano email che nessuno legge (a parte addetti ai lavori come il sottoscritto), il cambio di policy è stato correttamente notificato.
Quando TikTok ha annunciato di voler adottare l’interesse legittimo come base giuridica per profilare i propri utenti, il Garante è intervenuto in via cautelare ed urgente prima che il social operasse in quel modo.
Qui non è successo, e non si può dire che il Garante italiano sia inerte o ignavo, anzi.
La nuova policy, all’articolo 2.1., è estremamente chiara ed esplicita su cosa farà la gedi Digital srl: “L’accesso ad alcuni contenuti e servizi presenti sui Siti del Gruppo GEDI è gratuito. Negli altri casi, GEDI Digital potrà richiedere all’utente di accedere ai contenuti e ai servizi dei Siti con una delle seguenti modalità: i) attivando un’offerta a pagamento, che sarà disciplinata dalle relative Condizioni Particolari; ii) prestando il consenso all’utilizzo di cookie di tracciamento, con le modalità e per le finalità descritte nella cookie policy. Resta inteso che prestando il consenso all’utilizzo dei cookie ai sensi del precedente punto (ii), l’utente potrà accedere ai contenuti non a pagamento del Sito e ai relativi servizi, fatte salve eventuali offerte; ulteriori servizi sono accessibili solo mediante l’attivazione di un’offerta con corrispettivo in denaro ai sensi del precedente punto”.
Nel banner che apre la home page del sito de La Repubblica, c’è, correttamente, il richiamo alla cookie policy.
Nell’informativa si rinvengono tutti i soggetti coinvolti nelle operazioni di gestione dei cookies, essenziali, analitici o di profilazione (per semplicità: solo gli ultimi necessitano di consenso espresso dell’utente).
Sotto il profilo strettamente formale, ogni passaggio legale è stato rispettato in maniera rigorosa: ora sarà il Garante a dire se quello che è stato scritto corrisponde all’operatività effettiva.
Il Garante, verosimilmente, chiederà anche se è stata effettuata una valutazione di impatto e vorrà verificarne la correttezza dei risultati.
La questione centrale, però, resterà di natura strettamente giuridica, e rischia di portare a contenziosi fino alla Corte di Giustizia dell’Unione europea: è un cookie wall (illecito) o un pay wall (assolutamente lecito)?
Cookie wall o servizio a pagamento?
Al di là dei perbenismi di facciata e della valutazione tecnica, la questione è giuridicamente complessa e non può essere esaurita qui; proveremo a tracciare le coordinate logico-giuridiche per dare al lettore qualche elemento in più.
Cosa è il cookie wall? E’ “un meccanismo vincolante (cd. “take it or leave it”), nel quale l’utente venga cioè obbligato, senza alternativa, ad esprimere il proprio consenso alla ricezione di cookie ovvero altri strumenti di tracciamento, pena l’impossibilità di accedere al sito. Sulla stessa riga le linee guida EDPB sui cookie: cookie wall illecito se obbliga, coarta l’utente ad accettare i cookie.
Idem la sentenza 17278/2018 della prima sezione civile della Corte di cassazione: “l’ordinamento (gdpr, ndr) non vieta lo scambio di dati personali, ma esige tuttavia che tale scambio sia frutto di un consenso pieno ed in nessun modo coartato”.
Tale meccanismo, non consentendo di qualificare l’eventuale consenso così ottenuto come conforme alle caratteristiche imposte dal Regolamento, e segnatamente al suo art. 4, punto 11 con particolare riferimento al requisito della “libertà” del consenso, è da ritenersi illecito, salva l’ipotesi da verificare caso per caso nella quale il titolare del sito offra all’interessato la possibilità di accedere ad un contenuto o a un servizio equivalenti senza prestare il proprio consenso all’installazione e all’uso di cookie o altri strumenti di tracciamento.
E ciò alla irrinunciabile condizione della conformità dell’alternativa proposta ai principi del Regolamento codificati al suo art. 5, paragrafo 1, ed innanzitutto a quello di cui alla lettera a), che esige che i dati personali siano trattati in modo lecito, corretto e trasparente (principio di “liceità, correttezza e trasparenza”); in difetto, il cookie wall non potrà essere reputato in linea con la disciplina vigente” (Garante per il trattamento dei dati personali, Linee guida cookie e altri strumenti di tracciamento – 10 giugno 2021, entrate i vigore il 10 gennaio 2022, pagg. 8-9 § 6.1).
Il problema, quindi, si pone in termini di liceità del consenso che, nel Considerando 32 del Regolamento UE 16/679: “se il consenso dell’interessato è richiesto attraverso mezzi elettronici, la richiesta deve essere chiara, concisa e non interferire immotivatamente con il servizio per il quale il consenso è espresso” (Considerando 32, parte finale).
A partire da queste coordinate, è difficile, a parere di chi scrive, qualificare il pay wall come cookie wall.
Un conto è attirare l’utente su piattaforme che offrono servizi apparentemente gratuiti e profilarli – da qui l’esigenza di informative e accettazione con consenso espresso – altro è offrire servizi a pagamento, dando l’alternativa tra pagamento cash o mediante accettazione dei cookies di profilazione.
Se non vi è corrispondenza o sovrapponibilità, il punto sarà comunque valutare la liceità dell’operazione: ma non potrà esserci un’automatica esclusione della liceità del pay wall mediante cookies.
Conclusioni
In che misura possiamo mercificare noi stessi? Il Codice civile spiega chiaramente che non possiamo mettere in commercio parti de nostro corpo ed è stata necessaria un’interpretazione molto estensiva – per non dire direttamente evolutiva – del testo dell’articolo 5 per consentire le prime trasfusioni di sangue e le donazioni di organi tra persone viventi.
La prostituzione è lecita: ne viene punito – giustamente – solo lo sfruttamento.
Per quale ragione non posso farmi profilare in cambio di servizi a pagamento? Molti di noi già prestano il consenso alla profilazione solo per accedere a contenuti gratuiti, pur avendo la possibilità di evitare la profilazione.
Il tema è aperto: chi scrive, per esempio sostiene la necessità di vietare qualunque profilazione per i servizi gratuiti come regola, lasciandola solo per le ipotesi a pagamento.
Solo la contrattualizzazione espressa, chiara ed informata tutela davvero l’utente: l’iniziativa di Gedi e di altri editori, quindi, in qualche misura, apre una voragine al contrario, perché pone il tema della contrattualizzazione espressa, e potrebbe chiedere le porte al far west che c’è tutt’ora.
