Il Pay or Ok delle piattaforme online prevede che l’utente possa scegliere se essere profilato con annunci personalizzati o pagare una quota mensile per non vedere pubblicità. Per evitare l’invalidità del consenso, l’European Data Protection Board suggerisce una terza via
Il tema della legittimità del modello di business Pay or Ok è stato sollevato dalle Autorità della protezione dei dati olandese, norvegese e tedesca che hanno chiesto all’European Data Protection Board (Edpb) di pronunciarsi in merito alla sua adozione da parte delle grandi piattaforme. Quelle cioè che vengono definite “large online platforms (LOPs) in virtù dell’elevato numero di utenti, della loro posizione rilevante sul mercato e che trattano dati personali su larga scala. L’obiettivo delle Autorità nazionali è quello di garantire un’uniforme applicazione delle regole su tutto il territorio dell’Unione Europea.
Le ragioni di liceità del modello Pay or Ok
In cosa consiste il modello Pay or Ok? Il sistema prevede la possibilità per l’utente di scegliere se essere profilato con annunci personalizzati o pagare una quota mensile per non vedere pubblicità e continuare a usufruire dei servizi offerti dalla piattaforma online. In generale, il modello tenta di rispondere alla questione della liceità legata alla profilazione degli utenti, per la quale non si può usare la base giuridica del legittimo interesse o quella del contratto, ma solo quella del consenso, secondo quanto previsto dal Gdpr, il regolamento generale sulla protezione dei dati. Secondo alcuni Garanti europei, però, questa modalità non rende libero il consenso dell’utente perché, dovendo scegliere tra profilazione e pagamento di una fee mensile, quasi sempre la scelta ricadrà sulla profilazione. Si tratterebbe, quindi, di una costrizione ma, secondo il Gdpr, se il consenso non è libero non è valido.
Una terza strada: la pubblicità generica
L’Edpb non vieta il Pay or Ok ma elenca una serie di motivazioni e circostanze con l’uso di espressioni quali “nella maggior parte dei casi” o “è probabile”, che fanno intendere l’esigenza di una valutazione specifica, caso per caso, che tenga in considerazione vari elementi.
Proprio per questa ragione, si sottolinea l’importanza del principio di responsabilizzazione (“accountability”) che impone all’azienda (“controller”) di fare valutazioni volte a bilanciare i propri interessi commerciali e i diritti dell’utente, con prove da riportare alle autorità garanti.
La proposta dell’Edpb è di trovare una terza strada per evitare il sistema binario (consenso alla profilazione o pagamento): offrire gratuitamente all’utente la possibilità di indicare i propri interessi per ottenere una pubblicità generica, evitando l’invasività della profilazione o la richiesta di una fee per non essere profilati. Questa opzione alternativa permetterebbe di superare la presunzione di invalidità del consenso in caso di chiaro sbilanciamento di poteri tra le parti.
Consenso e Gdpr
Per l’Edpb ottenere il consenso non solleva il titolare del trattamento dei dati dalla responsabilità di rispettare tutti i principi dell’articolo 5 del Gdpr, tra i quali la limitazione delle finalità, la minimizzazione dei dati stessi, la correttezza, la necessità e la proporzionalità.
Per quanto riguarda la libertà del consenso, è essenziale valutare i criteri di condizionalità secondo cui qualsiasi tariffa addebitata non deve costringere gli individui a dare il proprio consenso, di pregiudizio che prevede una valutazione delle Autorità sull’adeguatezza di un tariffa con importo appropriato a seconda delle circostanze specifiche, di squilibrio di potere relativo a eventuali conseguenze negative per l’utente che non presta il consenso andando incontro a effetti negativi quali l’esclusione da servizi importanti, l’impossibilità ad accedere a reti professionali, la perdita di contenuti o connessioni.
In caso di revoca del consenso, l’Edpb suggerisce di considerare attentamente la frequenza con cui è necessario aggiornarlo.
