Modifica della politica di meta sulla pubblicità personalizzata

Il modello “Pay or consent”

Prima di dare conto e di specificare quali sono le nuove opzioni sulla pubblicità personalizzata che Meta Platforms, Inc. (“Meta”) mette a disposizione degli utenti per l'utilizzo delle piattaforme Facebook e Instagram, è opportuno offrire una panoramica sul modello cd. “pay or consent”.

Il modello “pay or consent” (“paga o acconsenti”) presenta complesse implicazioni interpretative, in particolare in relazione al Regolamento UE 2016/679 (GDPR) ma non solo. Come si vedrà nel paragrafo dedicato, dubbi sulla conformità del modello sono stati sollevati anche avuto riguardo al Regolamento UE 2022/1925 (cd. Digital Market Act, DMA). Lo schema negoziale del “pay or consent” offre agli utenti due alternative per accedere a contenuti o servizi online ossia:

 - il pagamento di un corrispettivo per il servizio senza il trattamento di dati personali dell'utente per finalità di marketing e profilazione;

- l'utilizzo gratuito del servizio a fronte del rilascio del consenso dell'utente al trattamento dei propri dati personali per finalità di marketing e profilazione.

La base di legittimità del modello troverebbe il suo fondamento nell' art. 6 par. 1 lett. a) del GDPR, a rigore del quale il trattamento è lecito se “l'interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità”. Il consenso è “valido” se ai sensi dell'articolo 4, punto 11 GDPR, è “liberamente prestato, specifico, informato e inequivocabile”.

Il modello “pay or consent” ha sollevato dubbi in particolare sulla effettiva libertà di manifestazione del consenso da parte degli utenti/interessati: in sostanza gli utenti/interessati, posti di fronte alla scelta tra pagare o cedere i propri dati personali, potrebbero davvero rilasciare un consenso libero o sentirsi costretti a cedere l'utilizzo dei dati per finalità di marketing e profilazione anche quando preferirebbero non farlo?

La sentenza CGUE nella causa c-252/21

Per quanto di interesse nella presente disamina  -  nella causa C-252/21  tra Meta Platforms Inc. (prima Facebook Inc.) da un lato, e il Bundeskartellamt (Autorità federale tedesca garante della concorrenza) dall'altro, in merito alla decisione di quest'ultimo di vietare a tali società di procedere al trattamento di taluni dati personali previsto dalle condizioni generali di utilizzo del social network Facebook -  la Corte di Giustizia dell'Unione Europea (CGUE) è stata chiamata a chiarire se gli articoli  6, paragrafo 1, primo comma, lettera a), e 9, paragrafo 2, lettera a), del GDPR debbano essere interpretati nel senso che: il consenso prestato da un utente a un operatore di social network, che detiene una posizione dominante sul mercato, possa considerarsi conforme ai requisiti di validità di cui all'articolo 4, punto 11 GDPR, in particolare per quanto riguarda l'effettiva libertà di manifestazione del consenso medesimo.

Come noto ai sensi dell'articolo 4, punto 11, GDPR, il consenso della persona interessata deve corrispondere a una “qualsiasi manifestazione di volontà, libera, specifica, informata e inequivocabile”, tale da implicare il suo assenso, mediante dichiarazione o azione positiva, al trattamento dei dati personali che lo riguardano. Tale definizione trova ulteriore specificazione nei considerando 42 e 43 GDPR, che evidenziano come il consenso non possa ritenersi liberamente prestato laddove l'interessato non sia in grado di operare una scelta effettivamente libera o si trovi nell'impossibilità di revocare il consenso senza subire pregiudizi. Inoltre, il considerando 43 precisa che, in presenza di un evidente squilibrio tra l'interessato e il Titolare del trattamento, si deve presumere che il consenso non sia stato prestato liberamente.

In tale contesto, la CGUE ha rilevato che la posizione dominante sul mercato detenuta dal Titolare   del trattamento – nel caso specifico, l'operatore di un social network online Meta – non è ostativa alla positiva validità del consenso degli utenti ai sensi dell'articolo 4, punto 11, del GDPR. Tuttavia, la posizione dominante dell'operatore costituisce un elemento significativo nella valutazione della libertà del consenso, poiché potrebbe influire sulla capacità degli utenti di negare o revocare il loro consenso senza subire conseguenze negative. In altre parole, potrebbe essere concreto il rischio che l'utente sia indotto ad accettare condizioni non strettamente necessarie all'esecuzione del contratto. La CGUE ha inoltre sottolineato che, in conformità con l'articolo 7, paragrafo 4, GDPR, il consenso non può considerarsi liberamente prestato qualora l'accesso al servizio sia condizionato all'accettazione di trattamenti di dati non necessari all'esecuzione del contratto. Ne consegue che gli utenti devono essere posti in condizione di rifiutare il consenso per trattamenti specifici non essenziali, senza dover rinunciare integralmente al servizio, e che, ove opportuno, l'operatore potrebbe proporre un'alternativa equivalente priva di tali trattamenti, eventualmente a fronte di un corrispettivo.

Il parere 8/2024 dell’ European Data Protection Board

Investito della caso ed anche sulla scorta della citata sentenza della CGUE (Bundeskartellamt, C-252/21), l’European Data Protection Board (EDPB) con il Parere 8/2024, si è espresso sulle condizioni in cui le piattaforme online di grandi dimensioni (Facebook e Instagram ad esempio) potrebbero utilizzare il  modello “ pay or consent” conformemente ai principi di cui al GDPR, in particolare quelli relativi alle condizioni di rilascio di un valido consenso per il modello in questione. Come anzidetto, il modello consentirebbe agli utenti la scelta tra l’acconsentire al trattamento dei propri dati personali per finalità di pubblicità comportamentale oppure l’accesso al servizio pagando un corrispettivo a fronte dell’esclusione di tale trattamento.

L’EDPB si sofferma sul concetto centrale di consenso, così come definito dall’articolo 4, punto 11, del GDPR, ribadendo, al pari di quanto osservato dalla CGUE nella sentenza sopra richiamata, che debba equivalere ad una manifestazione di volontà libera, specifica, informata e inequivocabile. Tali connotati, considera l’EDPB, potrebbero venir meno se l’utente si venga a trovare   in una posizione di “debolezza” rispetto al Titolare   del trattamento, ad esempio quando accede a servizi erogati da piattaforme online che detengono una posizione dominante sul mercato. L’EDPB rileva che, nei modelli “pay or consent”, il rischio di uno squilibrio di potere tra le piattaforme e gli utenti è particolarmente elevato, poiché la piattaforma può imporre scelte che di fatto non lasciano agli utenti alcuna alternativa praticabile.

In conclusione, molto sinteticamente per l’EDPB, in linea con la sentenza della CGUE, è essenziale per la validità del consenso la presenza di alternative equivalenti: gli utenti dovrebbero poter rifiutare specifici trattamenti non necessari senza dover rinunciare integralmente al servizio. Le piattaforme, quindi, dovrebbero offrire versioni dei propri servizi che non prevedano pubblicità comportamentale e, ove previsto un corrispettivo, questo non dovrebbe essere tale da pregiudicare la libertà di scelta degli utenti.

Conclusioni preliminari della commissione europea sulla conformità del modello “pay or consent” rispetto al regolamento UE 2022 /1925

Il primo luglio 2024, la Commissione europea ha comunicato a Meta le conclusioni preliminari sulla conformità del modello “pay or consent” rispetto al Regolamento UE 2022/1925 (Digital Markets Act – DMA), decretando che tale modello appare in contrasto con l’articolo 5, paragrafo 2 del DMA medesimo. Come noto, il DMA è stato introdotto per disciplinare il comportamento dei gatekeeper, ossia delle grandi piattaforme digitali che occupano posizioni dominanti nel mercato, al fine di garantire maggiore equità e tutela dei diritti degli utenti.

In altre parole, il DMA impone una serie di obblighi ai gatekeeper per garantire mercati digitali equi e contendibili, tra cui obblighi di interoperabilità, trasparenza (soprattutto riguardo alla pubblicità online e alla profilazione), accesso ai dati e portabilità dei dati, con l’obiettivo di promuovere l’innovazione e tutelare i consumatori.

L’articolo 5, paragrafo 2, del DMA stabilisce, in sostanza, che i gatekeeper dovrebbero ottenere un consenso esplicito degli utenti, ai sensi del GDPR, per “combinare” dati personali provenienti da diverse piattaforme. La Commissione europea ha osservato che, in caso di rifiuto del consenso, debba essere comunque offerta una versione alternativa del servizio che utilizzi meno dati personali, senza costringere gli utenti a rinunciare integralmente alle funzionalità principali.

Secondo la Commissione europea, il modello di Meta viola il DMA perché:

- non offre agli utenti un servizio equivalente che utilizzi un quantitativo inferiore di dati personali rispetto alla versione con pubblicità personalizzata degli annunci degli annunci;

- non consente agli utenti di esercitare liberamente il loro diritto di negare il consenso alla “combinazione” dei loro dati personali.

La Commissione europea concluderà la sua indagine entro 12 mesi dall’apertura del procedimento, avvenuta il 25 marzo 2024.

Le azioni di meta

Sulla base di proprie analisi di business ed in risposta alle richieste dei regolatori europei Meta ha annunciato cambiamenti significativi per l’accesso a Facebook e Instagram, concretizzantesi:

• nella riduzione significativa del prezzo dell’abbonamento senza pubblicità, il prezzo dell’abbonamento mensile è stato ridotto del 40%;
• nell’introduzione di una terza opzione di scelta gratuita, ma meno invasiva e con profilazione solo contestuale di sessione, per l’accesso a Facebook e Instagram. Per sessione di navigazione si intende quella che inizia con una azione sul social network e termina se per 30 minuti alcuna altra azione viene avviata. In sostanza l’inattività protratta per oltre 30 minuti comporta l’avvio di una nuova sessione con profilazione basata su quest’ultima.

Tale opzione si aggiunge alle altre due opzioni giàpreviste: (i) quella gratuita con annunci personalizzati e profilazione completa; (ii) quella a pagamento di una somma mensile senza pubblicità.

La “terza opzione” rappresenta un cambiamento significativo rispetto al precedente modello “pay or consent” di Meta. Resta da vedere se la Commissione europea riterrà questa nuova opzione sufficiente per garantire la conformità di Meta al DMA e al GDPR.

Conclusioni

Le modifiche introdotte da Meta all’accesso alle piattaforme Facebook e Instagram rappresentano un passo significativo nel tentativo di bilanciare le esigenze normative europee con le strategie di business. La riduzione del costo dell’abbonamento senza pubblicità e l’introduzione di una terza opzione gratuita meno invasiva, basata su una profilazione contestuale per sessione, segnano un’evoluzione rispetto al precedente modello “pay or consent”.

Tali cambiamenti testimoniano un impegno di Meta nell’offrire agli utenti maggiore flessibilità e trasparenza, in riscontro alle prescrizioni imposte dalle normative e dalle autorità europee. Tuttavia, resta da verificare se queste soluzioni saranno giudicate sufficienti per garantire la conformità al GDPR e al DMA. Il monitoraggio dei prossimi sviluppi sarà essenziale per comprendere l’impatto effettivo di queste scelte sia sulla tutela dei diritti degli utenti sia sulla sostenibilità del modello proposto.