Abbonamento o cookie: profili di legittimità ai fini GDPR

In Austria è stato presentato un reclamo al Garante della Privacy dopo che il quotidiano viennese Der Standard ha messo i propri lettori online di fronte alla scelta tra pagare un abbonamento o accettare in blocco tutti i cookie di marketing e di profilazione del sito (soluzione anche conosciuta come “Pay or Ok”).

La strada percorsa da Der Standard è comune a diverse altre testate europee, tra le quali, anche alcune italiane.

La motivazione del quotidiano è presto detta: il giornalismo ha dei costi, e se questi non sono sostenuti tramite sottoscrizione di abbonamento da parte dei lettori, allora dobbiamo sostenerci con la pubblicità.

Tuttavia, la questione potrebbe risultare un po’ più complessa di così, come è stato condiviso dal Garante della Privacy austriaco. Quest’ultimo ha infatti parzialmente accolto la posizione del ricorrente, quanto meno con riferimento al fatto che ormai, per giurisprudenza costante, i cookie di marketing e di profilazione debbono essere approvati uno per uno dall’utente, che deve essere prima messo in condizione di comprenderne correttamente le caratteristiche e finalità. Quello che importa è che chi naviga sul sito sia in grado conoscere adeguatamente l’utilizzo che verrà fatto dei suoi dati prima di prestare il consenso all’attivazione del singolo cookie.

Come spiegato dal Garante italiano nelle Linee Guida sui cookie e i sistemi di tracciamento (10 giugno 2021), i cookie sono stringhe di testo che i siti web visitati dall’utente, ovvero siti web diversi (c.d. di “terze parti”) posizionano ed archiviano all’interno del dispositivo (computer, smartphone, tablet) utilizzato dall’utente per navigare sul sito.

La natura dei cookie

I cookie possono essere di varia natura: da una parte, possono servire a misurare, tracciare e garantire la funzionalità di un sito (i c.d. cookie analitici o funzionali) fornendo utilità che possono andare anche vantaggio del visitatore del sito; dall’altra parte, tuttavia, i cookie possono memorizzare varie informazioni sul navigatore (nome, indirizzo IP, indirizzo mai,, ecc.), per permettere a chi li crea e li utilizza di incrociare dati relativi ad una persona (per esempio, tenendo traccia degli articoli selezionati nei carrelli in occasione di acquisti online), fino a ricavarne profilazioni sulla base delle quali costruire delle azioni di marketing mirate o permettere che lo facciano ulteriori attori commerciali, appunto le terze parti  (si pensi ad altre società dello stesso gruppo di appartenenza, o altre società specializzate nella realizzazione di campagne marketing).

Sempre il Garante italiano, con le Linee guida, aveva già precisato che il consenso al trattamento dei dati deve corrispondere ad un atto con cui l’interessato manifesta la propria libera intenzione, specifica, informata e inequivocabile per singolo cookie (per esempio, un flag per autorizzare o meno il consenso ad ogni singolo trattamento dei dati corrispondente ad ogni cookie elencato dal sito).

Sulla base di questo ragionamento non possono essere ritenuti legittimi i c.d. “cookie wall”, intendendosi per tali quei meccanismi forzati con i quali l’utente viene obbligato ad accettare tutti i cookie o a rinunciare a visitare il sito (fenomeno altrimenti descritto come “take it or leave it”.).

La granularità dei consensi

Si tratta proprio, almeno in parte, della posizione assunta dal Garante austriaco, che ha ordinato a Der Standard di adottare un modello di sottoscrizione che tenga conto della possibilità di acconsentire ai cookie sulla base della regola della necessaria granularità dei consensi, anche al fine di assicurare la massima trasparenza, sia sull’utilizzo dei dati del’utente raccolti con i cookie presenti sul sito, sia sugli eventuali ulteriori destinatari di tali dati. In sostanza: è stato ordinato a Der Standard di pubblicare dei parametri trasparenti che rendano chiare le relazioni tra il costo dell’abbonamento e il costo dei singoli consensi ai vari tipi di cookie che si andrebbero a richiedere in alternativa.

L’operazione non appare semplice.

Per questo motivo è probabile che Der Standard e il ricorrente proseguano la contesa davanti al Tribunale Amministrativo federale austriaco.

Sicuramente, il caso è degno di attenzione, considerato che il ricorrente è difeso dal centro NOYB (acronimo di NOne of Your Business), fondato dall’attivista e avvocato Max Schrems, che ha già spuntato una battaglia contro Facebook davanti alla Corte di Giustizia Europea, provocando l’annullamento degli accordi tra USA e UE per il trasferimento di dati tra le due aree a causa del mancato rispetto effettivo, da parte degli USA, del GDPR.  Schrems ha già fatto sapere che intenzionato ad andare sino in fondo anche a questa vicenda e sicuramente il suo coinvolgimento non potrà che fare da cassa di risonanza alla questione, nonché all’attenzione da parte dei magistrati.

L’attività del Garante Privacy

Peraltro, lo scorso inverno il Garante italiano ha comunicato che sta effettuando una propria attività istruttoria a casa nostra, per valutare la liceità delle iniziative simili a quelle di Der Standard, operate da alcune testate giornalistiche online italiane che, pure, subordinano l’accesso ai loro contenuti alla sottoscrizione di un abbonamento oppure, in alternativa, all’accettazione di tutti i cookie presenti sul sito.

In particolare, l’Autorità ha informato il pubblico di avere richiesto ai maggiori gruppi editoriali nazionali di ricevere informazioni in grado di chiarire, in particolare, le modalità di funzionamento del meccanismo e di fornire tutti gli elementi utili a dimostrare che la normativa in materia di protezione dei dati personali sia stata rispettata, innanzitutto con riguardo alla correttezza e alla trasparenza dei trattamenti e al fondamentale requisito della libertà del consenso.

Come riportato dal comunicato stampa del Garante, sotto la lente dell’Autorità sarebbero anche le valutazioni di impatto eventualmente effettuate dai gruppi editoriali, come pure le analisi e i criteri adottati per la determinazione del prezzo dell’abbonamento alternativo al servizio disponibile mediante prestazione del consenso.

Poiché il comportamento sotto osservazione si estende a molti quotidiani europei, ed essendo già sorta la questione in Italia e in Austria, la soluzione potrebbe essere discussa e condivisa a livello UE.