La non validità (in termini di GDPR) del modello binario “consent or pay”

Introdurre un modello a pagamento per consentire all’utente di una piattaforma di scegliere se autorizzare o meno il trattamento dei propri dati (per la profilazione pubblicitaria) è lecito, ma questa soluzione non può essere subordinata a una possibilità di scelta binaria. In sintesi: serve anche (almeno) una terza opzione messa a disposizione degli iscritti. Possiamo sintetizzare così il parere dello European Data Protection Board – EDPB, il Comitato europeo per la Protezione dei Dati – in merito al modello “consent or pay” introdotto nel novembre scorso su Meta per le piattaforme social Facebook e Instagram.

LEGGI ANCHE > Il Garante Privacy europeo boccia il modello “Consent or Pay” di Meta

L’organismo indipendente in seno all’Unione Europea, che ha il compito di valutare la corretta applicazione delle norme previste dal Regolamento UE sulla protezione dei dati personali (GDPR), conferma quanto già evidenziato alla fine di marzo dalla Commissione UE che aveva deciso di aprire un’indagine per valutare se il modello “consent or pay” di Meta rispettasse quanto previsto dal Digital Markets Act, la legge sui mercati digitali. Anche in quel caso, il tema al centro del dibattito era quello dell’assenza di una terza possibilità di scelta per l’utente:

«La Commissione teme che la scelta binaria imposta dal modello “paga o acconsenti” di Meta possa non fornire una vera alternativa nel caso in cui gli utenti non acconsentano, non raggiungendo così l’obiettivo di impedire l’accumulo di dati personali da parte dei guardiani». 

In questo caso, si fa riferimento all’articolo 5 del DMA, ovvero quello riferito agli obblighi che i cosiddetti “gatekeeper” – designati dalla stessa Commissione Europea – devono rispettare. L’EDPB, invece, fa riferimento sempre all’articolo 5, ma del GDPR, quello relativo ai ” b”.

Consent or pay di Meta, i motivi della bocciatura dell’EDPB

Andando a leggere il testo integrale pubblicato dallo European Data Protection Board nella serata di mercoledì 17 aprile 2024, vengono messe in evidenza numerose criticità nella scelta arbitraria fatta da Meta di consentire all’utente di consentire una profilazione pubblicitaria (basata sui propri dati, anche di navigazione) o non farlo, ma solo dietro pagamento di un abbonamento.

«L’offerta di (solo) un’alternativa a pagamento al servizio che include il trattamento a fini di pubblicità comportamentale non dovrebbe essere la soluzione predefinita per i responsabili del trattamento. Quando sviluppano l’alternativa alla versione del servizio con pubblicità comportamentale, le grandi piattaforme online dovrebbero prendere in considerazione la possibilità di fornire agli interessati una “alternativa equivalente” che non comporti il pagamento di una tariffa».

Dunque, il modello binario è bocciato. Secondo l’EDPB, infatti, il responsabile del trattamento dei dati – Meta, in questo caso – può inserire questa modalità (a pagamento), ma introducendo una terza soluzione che non preveda un abbonamento:

«I responsabili del trattamento dovrebbero considerare anche la possibilità di offrire un’ulteriore alternativa, gratuita, senza pubblicità comportamentale, ad esempio con una forma di pubblicità che comporti il trattamento di una quantità minore (o nulla) di dati personali». 

Stando a questa ricostruzione, basata sui contenuti del GDPR, il modello binario “pay or consent” di Meta non rispetta quanto previsto dal GDPR e, di fatto, è arrivata una sostanziale bocciatura della soluzione introdotta dall’azienda di Menlo Park nell’autunno scorso.

Il concetto di “alternativa equivalente”

Serve una terza strada. La stessa di cui ha parlato, qualche settimana fa, anche la Commissione europea all’apertura dell’indagine nei confronti di Meta ai sensi del Digital Markets Act. Non è un caso che si faccia riferimento al concetto di “alternativa equivalente” al pagamento di un abbonamento, che l’EDPB definisce così:

«Per quanto riguarda l’imposizione di un costo per l’accesso alla versione “alternativa equivalente” del servizio, l’EDPB ricorda che i dati personali non possono essere considerati alla stregua di un bene commerciabile e i responsabili del trattamento dovrebbero tenere presente la necessità di evitare che il diritto fondamentale alla protezione dei dati si trasformi in una caratteristica che gli interessati devono pagare per poterne usufruire. I responsabili del trattamento devono valutare, caso per caso, sia l’opportunità di un compenso, sia l’importo adeguato alle circostanze, tenendo conto delle possibili alternative alla pubblicità comportamentale che comportano il trattamento di una minore quantità di dati personali, nonché della posizione degli interessati».

Dunque, i dati non sono un bene commerciale e gli interessati (gli utenti) non dovrebbero versare alcun contributo economico per usufruirne. La soluzione è la terza via che, ovviamente, non conviene a Meta: consentire a chiunque di scegliere se dare il consenso, ma non dietro pagamento. Una versione in abbonamento è consentita, ma non deve essere vincolante a questa possibilità di scelta.