Articolo pubblicato su altalex.
Negli ultimi giorni diverse testate giornalistiche on line, siti web e aziende operanti su Internet nel settore televisivo, hanno messo in campo sistemi e filtri, che condizionano l’accesso ai contenuti alla sottoscrizione di un abbonamento (il cosiddetto paywall) o, in alternativa, al rilascio del consenso da parte degli utenti all’installazione di cookie e altri strumenti di tracciamento dei dati personali (il cosiddetto cookie wall). È il caso di Repubblica.
Il Garante privacy ha reso noto di stare esaminando tali iniziative alla luce del quadro normativo attuale, anche al fine di valutare l’adozione di eventuali interventi in materia.
L’evoluzione normativa sull’utilizzo dei cookie.
I cookie sono stringhe di testo che i siti web visitati dagli utenti (cd. Publisher, o “prime parti”) ovvero siti o web server diversi (cd. “terze parti”) posizionano ed archiviano all’interno del dispositivo terminale dell’utente medesimo, perché siano poi ritrasmessi agli stessi siti alla visita successiva.
Sono usati per differenti finalità: esecuzione di autenticazioni informatiche, monitoraggio di sessioni, memorizzazione di informazioni su specifiche configurazioni riguardanti gli utenti che accedono al server, memorizzazione delle preferenze, o per agevolare la fruizione dei contenuti on line, come ad esempio per tenere traccia degli articoli in un carrello degli acquisti o delle informazioni per la compilazione di un modulo informatico ecc.; ma possono essere impiegati anche per profilare l’utente, cioè per “osservarne” i comportamenti, ad esempio al fine di inviare pubblicità mirate, misurare l’efficacia del messaggio pubblicitario e adottare conseguenti strategie commerciali. In questo caso si parla di cookie di profilazione.
I cookie “tecnici” servono a effettuare la navigazione o a fornire un servizio richiesto dall’utente. Non vengono utilizzati per scopi ulteriori e sono normalmente installati direttamente dal titolare del sito web. Senza il ricorso a tali cookie, alcune operazioni non potrebbero essere compiute o sarebbero più complesse e/o meno sicure, come ad esempio le attività di home banking (visualizzazione dell’estratto conto, bonifici, pagamento di bollette, ecc.), per le quali i cookie, che consentono di effettuare e mantenere l’identificazione dell’utente nell’ambito della sessione, risultano indispensabili.
Per i cookie di profilazione invece è necessario che il Titolare chieda il consenso e che l’utente lo fornisca in maniera libera, specifica, informata e inequivocabile. Trattasi di una manifestazione di volontà con la quale l’interessato manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento (art. 4 n. 11 del Regolamento europeo 679/2016 gdpr).
Senza l’utilizzo di cookie tecnici non è possibile fornire, interamente o in parte, i servizi per i quali gli utenti accedono al sito, per questo motivo il consenso è necessario. L’alternativa è non visitare il sito.
Senza l’utilizzo di cookie di profilazione, invece, dovrebbe comunque essere garantito l’accesso al sito.
Il Garante privacy italiano ha regolamentato la materia, da ultimo con le Linee guida cookie e altri strumenti di tracciamento del 10 giugno 2021, entrate in vigore lo scorso mese di gennaio (clicca qui per leggere l’articolo).
Tale documento ha rappresentato una sorta di spartiacque che, se ha avuto il pregio di rendere i visitatori dei siti web più consapevoli, dall’altro ha fatto in modo che sia oggi estremamente semplice negare il consenso all’utilizzo dei cookie di profilazione, a patto che il cookie banner sia correttamente configurato, con conseguenze importanti per i ricavi delle Aziende che vendono spazi pubblicitari.
Il cookie wall utilizzato da Repubblica
Da qualche giorno sul sito web di Repubblica è apparso un banner nel quale si informa l’utente che per proseguire nella visione del sito è necessario accettare i cookie di profilazione o, in alternativa, sottoscrivere un abbonamento a pagamento.
La semplice visualizzazione dell’home page del sito (senza la possibilità di leggere il testo degli articoli) è oggi subordinata all’accettazione dei cookie di profilazione. Fino a pochi giorni fa, invece, per fruire dei medesimi contenuti era possibile accettare solo i cookie tecnici.
Per leggere gli articoli continua ad essere necessario sottoscrivere un abbonamento a pagamento.
L’iniziativa intrapresa da Repubblica rappresenta un tentativo di frenare il calo degli introiti dovuti alla vendita della pubblicità mirata che si è verificato da quando sono entrate in vigore le Linee guida del Garante che hanno imposto l’adozione di cookie banner che in maniera trasparente hanno consentito al (non più ignaro) utente di accettare solo i cookie necessari.
È evidente, infatti, che gli inserzionisti sono disposti a remunerare la pubblicità sui siti web in maniera molto differente se effettuata in maniera generalista o se si è in grado di offrire prodotti calibrati sui gusti degli utenti.
Il decremento degli introiti è stato causato anche dalla maggiore attenzione alla privacy dimostrata da alcune aziende tra cui Apple, che ha di recente introdotto la App Tracking Transparency che consente all’utente di negare il proprio consenso all’ad tracking delle app e la Protezione della privacy delle mail che consenti di nascondere l’indirizzo IP e caricare tutti i contenuti remoti in background in privato rendendo così impossibile monitorare le email.
Tutte queste iniziative mirano ad aumentare la consapevolezza degli utenti i quali, messi in condizione di poter scegliere, mediamente negano il consenso ad ogni attività di profilazione, anche relativa ai cookie.
Il cookie wall e la legittimità della monetizzazione dei dati.
Con il nuovo articolo 135-octies del Codice del consumo, inserito dal d.lgs. 173/2021 (che attua la direttiva UE 2019/770 sui contratti di fornitura di contenuti digitali e di servizi digitali) si è fatto un significativo passo in avanti per la costruzione di un mercato incentrato sul riconoscimento del valore economico del dato personale (clicca qui per leggere l’articolo).
Sulla possibilità di retribuire un servizio mediante l’accettazione di cookie di profilazione, tuttavia, non vi è univocità di vedute.
Se da un lato il Garante privacy europeo considera i cookie wall una violazione del consenso liberamente prestato, non si può dire lo stesso per le Autorità indipendenti nazionali.
Il Garante Privacy francese (anche sulla scorta della bocciatura del divieto sull’utilizzo dei cookie wall operata dal Conseil d’Etat che aveva annullato la disposizione delle linee guida secondo le quali gli utenti che non acconsentivano all’uso dei cookie non potevano accedere a un sito o un’app mobile) è stato costretto a rivedere le sue posizioni raccomandando una valutazione caso per caso.
Il Garante privacy italiano è dello stesso avviso, ritenendo che il meccanismo vincolante (cosiddetto «take it or leaveit») nel quale l’utente viene obbligato, senza alternativa, ad esprimere il proprio consenso alla ricezione di cookie o altri strumenti di tracciamento è da considerarsi illecito. Fatta salva l’ipotesi – da verificare caso per caso in base ai principi del GDPR -nella quale il sito offra all’interessato la possibilità di accedere, senza prestare il proprio consenso all’installazione e all’uso di cookie, ad un contenuto o a un servizio equivalenti.
Secondo le linee guida dello scorso 10 giugno, “Il cookie wall, non consentendo di qualificare l’eventuale consenso così ottenuto come conforme alle caratteristiche imposte dal Regolamento, e segnatamente al suo art. 4, punto 11 con particolare riferimento al requisito della ‘libertà’ del consenso, è da ritenersi illecito, salva l’ipotesi da verificare caso per caso nella quale il titolare del sito offra all’interessato la possibilità di accedere ad un contenuto o a un servizio equivalenti senza prestare il proprio consenso all’installazione e all’uso di cookie o altri strumenti di tracciamento”. “E ciò”, continua l’Autorità, “alla irrinunciabile condizione della conformità dell’alternativa proposta ai principi del Regolamento codificati al suo art. 5, paragrafo 1, ed innanzitutto a quello di cui alla lettera a), che esige che i dati personali siano trattati in modo lecito, corretto e trasparente (principio di “liceità, correttezza e trasparenza”); in difetto, il cookie wall non potrà essere reputato in linea con la disciplina vigente”.
Conclusioni
L’argomento in oggetto è, per sua natura, divisivo. Da un lato vi sono coloro i quali sono favorevoli alla monetizzazione dei dati personali, anche banalmente perché ritengono il servizio offerto dalla profilazione, che spesso si traduce in pubblicità mirata di articoli di interesse, utile e comunque preferibile rispetto al ricevere pubblicità generalista. Dall’altro vi sono quelli che invece fanno appello a principi di equità che si possono riassumere con la altrettanto condivisibile osservazione secondo cui coloro i quali non si potranno permettere di pagare un abbonamento in denaro saranno costretti a cedere i propri dati per ottenere il medesimo servizio.
Tutti sono d’accordo, però, nel ritenere che i servizi dei quali usufruiamo vadano retribuiti.
Al Garante europeo il compito di disciplinare la materia, fornendo indicazioni univoche e valide su tutto il territorio europeo, pena pesanti ripercussioni sulla concorrenza nel caso in cui si lasciasse ai singoli Garanti nazionali il compito di decidere su tale spinoso argomento.
L’iniziativa di Repubblica, che pure muove da condivisibili esigenze di trovare canali di guadagno diversi da quello della carta stampata (“I ricavi ottenuti dalla pubblicità personalizzata ci aiutano a supportare il lavoro della nostra redazione che si impegna a fornirti ogni giorno una informazione di qualità”) appare, per come è stata formulata, non in grado di accontentare né le posizioni di chi è favorevole alla cessione dei propri dati in cambio del servizio (poiché acconsentire alla tracciabilità non equivale a usufruire dei servizi riservati agli abbonati) né di coloro i quali sono contrari, poiché non si può ritenere libero un consenso così prestato “sei libero di rifiutare in qualsiasi momento accedendo a questa informativa, ma in tal caso ti chiederemo di sottoscrivere uno dei nostri abbonamenti” né trasparente poiché di fatto l’utente non conosce nel dettaglio la natura dei “cookie o tecnologie simili” che il Titolare chiede di installare nel banner.
Del resto, se un utente volesse accedere al sito anche solo per esercitare uno dei diritti garantiti dagli artt. 15 – 22 del gdpr o ancor più banalmente per accedere alla propria posizione personale, non potrebbe far altro che sottostare alla scelta se accettare la profilazione o pagare un abbonamento.