La recente mossa di Meta Platforms, l’azienda che offre il servizio di social media Facebook, di introdurre un abbonamento a pagamento (12,99 euro/mese) al servizio, così eliminando le pubblicità, ha sollevato una serie di critiche e di dubbi. I principali, ovviamente, si incentrano sulla privacy, un diritto fondamentale del cittadino che viene monetizzato e si declassa a mera merce. È questo il problema? Ci siamo incamminati realmente verso un declassamento dei diritti dei cittadini? Soprattutto, l’alternativa tra un Facebook a pagamento e uno basato sulla profilazione degli utenti, è realmente conforme alle norme del regolamento europeo in materia di protezione dei dati personali?

La profilazione degli utenti come remunerazione del servizio

Facebook è un servizio di social media normalmente gratuito, che basa la remunerazione dei suoi servizi sulla fornitura di pubblicità personalizzata. Con l’introduzione del regolamento europeo in materia di protezione dei dati personali, progressivamente l’attenzione si è appuntata sui trattamenti dei dati personali dei cittadini europei operati dalle grandi piattaforme online. In particolare, con riferimento ai servizi “gratuiti”, si è evidenziato che in realtà non sarebbero proprio gratuiti perché l’utente del servizio “paga” con i propri dati personali.

Nel corso della navigazione online le grandi piattaforme, tramite una serie di tecniche, riescono a tracciare il comportamento online, in modo tale da compilare un vero e proprio profilo personale dell’utente. Tale profilo è legato all’utente, non sempre a un nome fisico, quanto generalmente a un dispositivo. Infatti, tramite i cookie e altri strumenti di tracciamento che vengono, appunto, depositati sui dispositivi degli utenti, la piattaforma è in grado di identificare non tanto l’utente quanto il dispositivo di navigazione rispetto agli altri navigatori online. Considerato che oggi gran parte degli utenti usufruisce di Internet e dei servizi online tramite smartphone e tablet, e che tali dispositivi sono generalmente utilizzati da una sola persona, l’individuazione del dispositivo di fatto comporta l’individuazione di una persona singola. Precisiamo nuovamente che tale individuazione non sempre comporta l’identificazione fisica, in quanto non sempre è possibile ricavare il nome dell’utente, a meno che questi non sia loggato nel servizio, come ad esempio Facebook. Aggiungiamo, inoltre, che spesso non è affatto rilevante che la piattaforma sappia il nome dell’utente, si tratta di un’informazione in realtà poco rilevante, ciò che conta davvero è che sia possibile differenziarlo rispetto agli altri (in genere anche per categorie, segmentazione) e collegargli dei comportamenti specifici (es.: acquisti, interessi, ecc...).

Questi profili virtuali, ovviamente, servono per poter inviare agli utenti le pubblicità personalizzate, che sono poi l’elemento su cui si basa il modello di business delle piattaforme online. Quindi più correttamente non sono servizi gratuiti bensì effettivamente servizi forniti a fronte di un corrispettivo che consiste nei dati personali utilizzati per l’invio della pubblicità personalizzata.

In questo quadro le autorità europee si sono poste il problema se la base giuridica del trattamento dei dati a fini di profilazione sia quella corretta.

Facebook (e non solo) è conforme al regolamento europeo sulla protezione dei dati personali (GDPR)?

Quale base giuridica per la profilazione?

La problematica ha investito immediatamente le piattaforme online, ma anche tutti i siti che fanno affidamento sulla pubblicità per ottenere una remunerazione. Tra questi non dobbiamo dimenticare che ci sono anche i siti dei giornali online.
Con riferimento specifico alla piattaforma Facebook, questa con l’introduzione del regolamento europeo ha modificato la base giuridica per il trattamento dei dati individuandola, in relazione alla pubblicità personalizzata, nell’adempimento contrattuale oppure nel consenso degli utenti. Agli occhi degli utenti appariva il consenso in quanto esso veniva chiesto all’accesso, mentre in realtà poi nelle informazioni sembrava fosse l’adempimento contrattuale, per “fornire, personalizzare e migliorare i Prodotti Facebook”, con una sovrapposizione delle due basi giuridiche.

In ogni caso Facebook imponeva già all’epoca (siamo nel 2018) l’accettazione della profilazione per poter usufruire dei servizi del social. Rimandando all’articolo di approfondimento sul punto, qui ci limitiamo a ricordare che il consenso deve essere “libero” e non coartato, cosa che avverrebbe nel momento in cui la piattaforma ti obbliga ad accettare a pena di esclusione dal servizio. Analogo problema si pone anche per l’adempimento contrattuale, visto che per l'esecuzione dei servizio di social network non è strettamente necessaria la profilazione. Questa semmai è necessaria per la sopravvivenza economica del servizio stesso.

Un elemento fondamentale da considerare per una corretta valutazione è lo squilibrio esistente tra le parti. Questo vale a differenziare le piattaforme del web rispetto ai tanti siti piccoli e generalmente monogestiti che incorporano pubblicità personalizzate. Ma anche qui dobbiamo rimarcare che lo squilibrio sussiste anche con riferimento ai siti editoriali, i giornali online. Ancora una volta il destino delle piattaforme sembra intrecciarsi con quello dei giornali online.

Con riferimento ai servizi di social media non ve ne sono molti (nell’ordine delle decine), ma è anche vero che un utente una volta creatosi il proprio “grafo sociale” coi suoi contatti è incentivato a rimanere nella piattaforma (effetto lock-in) anche in presenza di imposizioni progressive relative al tracciamento dei suoi dati. Per i giornali, invece, c'è da dire che essi sono serventi rispetto al diritto di informazione dei cittadini, essenziale per potersi fare un’opinione e quindi esercitare correttamente la sovranità popolare.

Di seguito è stata esplorata anche l’opzione dei legittimi interessi del titolare del trattamento come base giuridica. Ma qui ci si è trovati immediatamente di fronte ad un problema. Gli editori si servono di piattaforme terze per la raccolta dei dati pubblicitari, e tali piattaforme non hanno un rapporto diretto con gli utenti del sito del giornale. Per cui gli utenti non si aspettano generalmente questo tipo di trattamento. Problema che non sussiste, invece, per le piattaforme online quando l’utente si trova sui suoi server (es. su Facebook). Per cui il problema si riproporrebbe ogni qualvolta la raccolta dei dati avviene sui siti partner del circuito pubblicitario, ad esempio quelli che aderiscono a Google Adsense. Inoltre, in caso di utilizzo della base giuridica dei legittimi interessi occorre fornire all’utente la possibilità di opporsi a tale tipo di trattamento. Infatti tutt’oggi si trovano siti (anche editoriali) che presentano banner di raccolta del consenso con caselle già pre-impostate per i legittimi interessi che l'utente dovrebbe deselezionare una per una con una attività defatigante e francamente difficile da considerare conforme alle norme. Inoltre la sovrapposizione delle due basi giuridiche (il consenso se me lo concedi se no i legittimi interessi) finisce per essere ingannevole creando confusione tra le due basi giuridiche. Anche questo è difficile da considerare conforme alle norme che pretendono che il titolare scelga una base giuridica per i suoi trattamenti. Infatti, il 27 ottobre 2023 l’European Data Protection Board (EDPB) ha imposto a Facebook di chiedere il consenso per la pubblicità personalizzata, e ci si è attestati sull'impossibilità di utilizzare i legittimi interessi per la profilazione degli utenti.

Per questi motivi le piattaforme del web, ma non solo, si sono poste il problema di dover individuare la corretta base giuridica per il trattamento dei dati personali a fini di profilazione, e quindi di invio di pubblicità personalizzata. In questo quadro si sono mossi per primi gli editori, inaugurando l’era del cosiddetto “pay or okay”. Cioè hanno proposto agli utenti di scegliere: o si fanno profilare, e quindi accettano che i loro dati siano utilizzati (tra l’altro non dal solo sito ma dall’intero circuito pubblicitario al quale l’editore aderisce) da tutti i partner, oppure devono pagare un abbonamento. Molti giornali hanno inserito questo meccanismo che in sostanza chiude il giornale dietro il cosiddetto “cookie wall” o “tracking wall”.

In questo quadro Facebook, quindi, nel momento in cui introduce la scelta, cioè o accetti la profilazione oppure devi pagare un abbonamento, non fa altro che utilizzare lo stesso meccanismo già applicato adesso da molti dei giornali online.

Anche i giornali hanno lo stesso problema

La discussione in tema ha avuto una dimensione internazionale. Il nuovo meccanismo di “pay or okay” non è solo appannaggio dei giornali italiani, ma è una scelta a livello di circuito pubblicitario al quale aderiscono sostanzialmente quasi tutti gli editori europei.

Ad esempio nel 2021 era già attuato in Austria dal “Der Standard”. I primi reclami da parte della sempiterna NOYB di Max Schrems sono stati sostanzialmente ignorati dall’autorità locale per la protezione dei dati personali, e ciò ha alimentato una rapida diffusione dei cookie paywall in Austria e Germania, e poi in tutta l’Unione europea.

Con un provvedimento del marzo 2023 l’autorità austriaca ha confermato l'ammissibilità del “pay or okay”. Ciò che emerge dal provvedimento è che se Der Standard guadagna solo pochi centesimi in pubblicità, diversamente l’abbonamento costava 96 euro l’anno, con profitti fino a 100 volte superiori. Già all’epoca, quindi, si pose il problema della “monetizzazione” del diritto fondamentale alla protezione dei dati personali, ma con riferimento agli editori. Max Schrems disse: “se permettiamo che i diritti fondamentali costino da 10 a 100 volte di più dell'accettazione del trattamento dei dati, tanto vale abolire del tutto i nostri diritti”.

In tema si sono succedute decisioni dei Garanti, in particolare dalla Germania, che però sostanzialmente non hanno inciso più di tanto, permettendo comunque a questo modello di business di espandersi, anche se dovendo effettuare degli aggiusti in corso d’opera sulla base delle osservazioni delle autorità. Ad esempio il Garante della Bassa Sassonia sempre nel 2021 si è limitato a criticare le impostazioni di raccolta del consenso. Ovvio, quindi, che tale modello sia approdato anche in Italia con il giornale La Repubblica a fare da apripista.

Con un provvedimento del 2022 lo stesso Garante italiano ha confermato l’ammissibilità di questo modello di business. “la normativa europea sulla protezione dei dati personali non esclude in linea di principio che il titolare di un sito subordini l’accesso ai contenuti, da parte degli utenti, al consenso prestato dai medesimi per finalità di profilazione (attraverso cookie o altri strumenti di tracciamento) o, in alternativa, al pagamento di una somma di denaro”. Insomma, l’impressione è che i Garanti europei abbiano un approccio morbido all’iniziativa dei giornali online, mantenendola però sotto osservazione. Lo stesso CNIL francese ha avviato un percorso più diplomatico che sanzionatorio.

In questo complesso quadro non possiamo non menzionare due interventi di peso. Da un lato la Cassazione, con la sentenza 17278 del 2018, ha ammesso che il gestore di un sito può legittimamente condizionare la fornitura del servizio al trattamento dei dati per finalità pubblicitarie, ovviamente con le solite considerazioni sulla libertà del consenso e la trasparenza. La Cassazione però, giova ricordarlo, nel caso specifico si occupava di un servizio fungibile, cioè uno al quale l’utente possa rinunciare senza gravoso sacrificio.

Soprattutto la direttiva UE 2019/770, e il relativo decreto legislativo di recepimento n. 173/2021, hanno sdoganato, modificando il codice del consumo, i contratti coi quali un'impresa fornisce un servizio digitale al consumatore e il consumatore fornisce o si obbliga a fornire dati personali al professionista. Si deve trattare di una consegna di dati direttamente finalizzata al pagamento del servizio non funzionale all’uso del servizio, cioè non contano i dati forniti per la fornitura del servizio. Insomma ormai è lo stesso ordinamento europeo che ha sdoganato la “monetizzazione” dei dati personali, ormai diventati la valuta con cui pagare i servizi digitali.

Destini incrociati

In conclusione, quindi, siamo in presenza di un servizio fornito dai giornali online secondo due modalità: una a pagamento, e una, sostanzialmente equivalente, fornita scambiandola con i dati dell’utente. Non si comprende, quindi, perché la questione dovrebbe essere diversa nel momento in cui lo stesso meccanismo viene introdotto da Facebook.

Con riferimento ai giornali online si è fatta una considerazione strettamente monetaria, in quanto il giornale lucrerebbe eccessivamente dal diritto alla protezione dei dati, data l’enorme differenza di ricavi rispetto alla pubblicità. È pur vero, di contro, che all’attualità i profitti pubblicitari dei giornali sono in calo proprio per la concorrenza della grandi piattaforme del web, e quei scarsi guadagni non sono più in grado di sorreggere i giornali. La crisi dei giornali potrebbe, invece, essere risolta proprio ammettendo questo meccanismo di remunerazione alternativo. Considerando che la dipendenza dalla pubblicità incentiva i contenuti virali e di bassa qualità, sganciarsi dalla pubblicità potrebbe, alla lunga, migliorare la qualità dei giornali e nel contempo ridurre anche lo strapotere delle grandi piattaforme. Infatti dobbiamo considerare che le piattaforme, assumendo su di sé la gran parte del traffico pubblicitario, e quindi anche quello che remunera i giornali, di fatto costringono i giornali ad adattarsi alle loro metriche, finendo per essere dipendenti in tutto e per tutto dalle piattaforme. Insomma il rischio è che siano le piattaforme a decidere quale giornale vive e quale muore, con evidenti ricadute negative sulla stessa società.

Ma in questo discorso diventa piuttosto difficile sganciare Facebook dai giornali nel momento in cui il modello di business diventa lo stesso. Se per i giornali questo modello è ammissibile, perché non dovrebbe esserlo anche per Facebook? Quali sarebbero le differenze per imporre una regolamentazione differente? Che i giornali forniscono un servizio importante per la democrazia, per l’informazione dei cittadini, a differenza di Facebook?

A parte il fatto che ormai gran parte delle comunicazioni avvengono tramite i servizi digitali, quindi è difficile sostenere che Facebook e i servizi similari non abbiano un impatto importante per la società, questo però è un argomento pericoloso per i giornali. Se il servizio fornito dai giornali è importante per la democrazia, proprio per questo non dovrebbe essere chiuso dietro a un paywall.

Fermo restando che la decisione rimane delle competenti autorità, appare sempre più ovvio, ad una accurata analisi, che la strada del “pay or okay” è una strada non solo percorribile ma già percorsa abbondantemente. Rimangono da fare solo alcune considerazioni. Secondo i Garanti europei occorre verificare nel concreto che non si privino gli utenti di una scelta reale, e per fare ciò il prezzo dell’abbonamento deve essere ragionevole. È proprio questo il punto che ha criticato NOYB per i giornali austriaci e tedeschi. L’editore, e quindi anche Facebook, deve essere in grado di giustificare la ragionevole natura del corrispettivo monetario.

E, infine, il consenso deve essere sempre limitato alla finalità. Il consenso non deve essere esteso alle finalità non omogenee, come ad esempio la finalità di personalizzazione dei contenuti editoriali che è diversa da quella di creare un profilo personalizzato. Insomma occorre sempre un consenso granulare e non onnicomprensivo.

Sicuramente rimangono sul tavolo molte considerazioni etiche, sicuramente occorre continuare a discutere della progressiva trasformazione dei dati in valuta di scambio, e sorvegliare le applicazioni al fine di evitare che i diritti fondamentali dei cittadini vengano svuotati di qualsiasi contenuto e divengano appannaggio dei soli che si possono permettere di pagare. Ma bisogna essere onesti e dire che la monetizzazione dei diritti è partita già da tempo e non si è avviata certo con Facebook.

Immagine in anteprima: Bing Image Creator con tecnologia Dall-E