Lo scorso 22 giugno l’Art. 29 Working Party, l’organismo che raggruppa a livello europeo i rappresentanti delle Autorità per la protezione dei dati personali degli Stati Membri, ha pubblicato l’opinione n. 2/2010 sulla pubblicità comportamentale su Internet.
L’interpretazione della normativa comunitaria prospettata dal Working Party rischia di radicalizzare lo scontro tra “regolatori” e operatori del settore, ponendo gravi ostacoli giuridici allo sviluppo della pubblicità online in Europa
L’opinione del Working Party fa seguito alle modifiche apportate alla Direttiva e-Privacy (2002/58/CE) dalla Direttiva 2009/136/CE.
Il nuovo testo della Direttiva e-Privacy, appare poco chiaro e per certi aspetti contraddittorio.
Da un parte, infatti, il legislatore comunitario stabilisce la necessità di acquisire il preventivo consenso informato degli utenti prima dell’installazione di un cookie (si veda l’art. 5.3), salvo che l’installazione dello stesso sia necessaria per fornire un servizio della società dell’informazione richiesto espressamente.
Dall’altra parte, però, si fa ambiguamente riferimento al “diritto di rifiuto” (si veda il 66° considerando) e si afferma che il consenso dell’utente possa essere validamente espresso mediante l’uso delle opportune impostazioni del browser o di un’altra applicazione, nel rispetto della Direttiva 95/46/CE, da cui deriva il Codice della Privacy.
Nel dibattito si inserisce la posizione del Working Party, che ha sostanzialmente negato la possibilità di effettuare trattamenti di dati personali a scopo di profilazione in regime di opt-out.
Secondo il gruppo delle Autorità nazionali, l’utilizzo di cookie al fine di veicolare pubblicità comportamentale agli utenti sarebbe possibile soltanto ottenendo il previo consenso espresso e informato degli stessi.
Il consenso deve essere precedente all’installazione del cookie nel terminale degli utenti, i quali devono ricevere un’idonea informativa privacy prima della richiesta di consenso. Il consenso, inoltre, deve essere in qualsiasi momento revocabile e, anche se espresso, non può intendersi riferito a un periodo di tempo illimitato.
Unica apertura agli operatori è che il consenso possa essere acquisito una sola volta per un trattamento effettuato da un determinato advertising network, senza cioè che vi sia bisogno di raccogliere uno specifico consenso per ciascun sito aderente a tale network.
Il Working Party ritiene che i meccanismi di opt-out utilizzati da alcuni operatori non siano idonei a soddisfare i requisiti di legittimità previsti dalla normativa europea.
Neanche il consenso espresso tramite le impostazioni del browser può generalmente considerasi valido. Ciò anche nei casi in cui l’informativa privacy dell’editore o dell’advertising network renda edotto l’utente su come impostare il browser in modo tale da rifiutare i cookie.
Soltanto in alcuni casi limitati e meramente teorici tale forma di consenso potrebbe essere ritenuta accettabile: i browser dovrebbero essere impostati by default per rifiutare i cookie di terze parti e dovrebbero richiedere un’azione positiva da parte dell’utente per accettare ciascun singolo cookie proveniente da un determinato advertising network.
In altri termini, secondo il Working Party, il legislatore comunitario, formulando il considerando n. 66 della Direttiva 2009/136/CE, si sarebbe limitato ad ammettere la possibilità di esprimere il consenso tramite impostazioni del browser senza però derogare in alcun modo al generale principio dell’opt-in.
Non solo non sarebbe ammissibile prescindere dal consenso espresso dell’utente ma, a giudizio del gruppo europeo, esso sarebbe necessario indipendentemente dal fatto che le informazioni ottenute tramite cookie possano considerarsi “dati personali” o meno ai sensi della normativa applicabile
La necessità di ottenere il previo consenso degli utenti è una misura che rischia di pregiudicare la fruizione di Internet degli utenti.
La navigazione sarebbe infatti continuamente interrotta da pop-up o deviata su landing page contenenti informative privacy e richieste di consenso.
Occorre inoltre considerare che, in virtù dell'alto rischio di cancellazione accidentale dei cookie di opt-in, anche gli utenti consenzienti rischiano di essere trattati ogni volta come nuovi utenti e di dover riformulare la propria scelta circa la gestione dei cookie.
L’approccio restrittivo adottato dal Working Party e il netto disfavore manifestato nei confronti dei trattamenti in regime di opt-out realizzano inoltre un effetto del tutto paradossale. I titolari del trattamento, infatti, avendo la necessità di procedere all’identificazione dell’utente al fine di provare e documentare l’espressione del consenso, saranno in grado di costruire profili non più basati su mere presunzioni o statistiche, come oggi avviene, ma riferiti a utenti precisamente identificati, con effetti assai più deleteri per la privacy degli stessi.
Il dibattito che ruota attorno al tema della pubblicità comportamentale e l’approccio del legislatore risultano viziati da una errata percezione dal potenziale di lesività della profilazione su Internet.
Infatti all’industria interessa poter costruire un profilo e non identificare il soggetto cui tale profilo appartiene.
A condizionare il dibattito vi è poi un altro tipo di pregiudizio, che riguarda il ruolo giocato dalla pubblicità comportale. Non bisogna infatti dimenticare che i ricavi generati dalla pubblicità comportamentale su Internet hanno reso possibile lo sviluppo di un'importante offerta editoriale del tutto gratuita. Imporre agli operatori del settore obblighi irragionevoli e tecnicamente non implementabili rischia pertanto non solo di non rafforzare la tutela della privacy degli utenti ma anche di pregiudicare la possibilità per gli stessi di accedere a una miriade di servizi gratuiti, inclusa l’editoria online. Peraltro, per effetto degli ostacoli giuridici di cui si è discusso, gli operatori del settore si trovano ad agire sul mercato, in una situazione di svantaggio competitivo rispetto a soggetti operanti in giurisdizioni extra UE.
Sarebbe pertanto auspicabile che il legislatore europeo invertisse con decisione la rotta, obbligando gli operatori a minimizzare i trattamenti effettuati e ad adottare tecnologie sempre più sofisticate per anonimizzare i dati trattati, o autorizzando gli stessi a operare in regime di opt-out purché entro limiti ben determinati e in un quadro di garanzie rafforzate per gli utenti finali, magari da definirsi in sede di autoregolamentazione.
L’ordinamento giuridico, piuttosto che negare il ricorso alla tecniche di profilazione, dovrebbe infatti preoccuparsi di “sterilizzare” all’origine i rischi ad esse connessi. Nel frattempo, però, in attesa della normativa nazionale di recepimento, ci troviamo nel mezzo di un limbo fatto di incertezza giuridica, che espone gli operatori a gravi rischi di non-compliance e mette a dura prova il corso positivo che sta caratterizzando il mercato della pubblicità online.
L’interpretazione della normativa comunitaria prospettata dal Working Party rischia di radicalizzare lo scontro tra “regolatori” e operatori del settore, ponendo gravi ostacoli giuridici allo sviluppo della pubblicità online in Europa
L’opinione del Working Party fa seguito alle modifiche apportate alla Direttiva e-Privacy (2002/58/CE) dalla Direttiva 2009/136/CE.
Il nuovo testo della Direttiva e-Privacy, appare poco chiaro e per certi aspetti contraddittorio.
Da un parte, infatti, il legislatore comunitario stabilisce la necessità di acquisire il preventivo consenso informato degli utenti prima dell’installazione di un cookie (si veda l’art. 5.3), salvo che l’installazione dello stesso sia necessaria per fornire un servizio della società dell’informazione richiesto espressamente.
Dall’altra parte, però, si fa ambiguamente riferimento al “diritto di rifiuto” (si veda il 66° considerando) e si afferma che il consenso dell’utente possa essere validamente espresso mediante l’uso delle opportune impostazioni del browser o di un’altra applicazione, nel rispetto della Direttiva 95/46/CE, da cui deriva il Codice della Privacy.
Nel dibattito si inserisce la posizione del Working Party, che ha sostanzialmente negato la possibilità di effettuare trattamenti di dati personali a scopo di profilazione in regime di opt-out.
Secondo il gruppo delle Autorità nazionali, l’utilizzo di cookie al fine di veicolare pubblicità comportamentale agli utenti sarebbe possibile soltanto ottenendo il previo consenso espresso e informato degli stessi.
Il consenso deve essere precedente all’installazione del cookie nel terminale degli utenti, i quali devono ricevere un’idonea informativa privacy prima della richiesta di consenso. Il consenso, inoltre, deve essere in qualsiasi momento revocabile e, anche se espresso, non può intendersi riferito a un periodo di tempo illimitato.
Unica apertura agli operatori è che il consenso possa essere acquisito una sola volta per un trattamento effettuato da un determinato advertising network, senza cioè che vi sia bisogno di raccogliere uno specifico consenso per ciascun sito aderente a tale network.
Il Working Party ritiene che i meccanismi di opt-out utilizzati da alcuni operatori non siano idonei a soddisfare i requisiti di legittimità previsti dalla normativa europea.
Neanche il consenso espresso tramite le impostazioni del browser può generalmente considerasi valido. Ciò anche nei casi in cui l’informativa privacy dell’editore o dell’advertising network renda edotto l’utente su come impostare il browser in modo tale da rifiutare i cookie.
Soltanto in alcuni casi limitati e meramente teorici tale forma di consenso potrebbe essere ritenuta accettabile: i browser dovrebbero essere impostati by default per rifiutare i cookie di terze parti e dovrebbero richiedere un’azione positiva da parte dell’utente per accettare ciascun singolo cookie proveniente da un determinato advertising network.
In altri termini, secondo il Working Party, il legislatore comunitario, formulando il considerando n. 66 della Direttiva 2009/136/CE, si sarebbe limitato ad ammettere la possibilità di esprimere il consenso tramite impostazioni del browser senza però derogare in alcun modo al generale principio dell’opt-in.
Non solo non sarebbe ammissibile prescindere dal consenso espresso dell’utente ma, a giudizio del gruppo europeo, esso sarebbe necessario indipendentemente dal fatto che le informazioni ottenute tramite cookie possano considerarsi “dati personali” o meno ai sensi della normativa applicabile
La necessità di ottenere il previo consenso degli utenti è una misura che rischia di pregiudicare la fruizione di Internet degli utenti.
La navigazione sarebbe infatti continuamente interrotta da pop-up o deviata su landing page contenenti informative privacy e richieste di consenso.
Occorre inoltre considerare che, in virtù dell'alto rischio di cancellazione accidentale dei cookie di opt-in, anche gli utenti consenzienti rischiano di essere trattati ogni volta come nuovi utenti e di dover riformulare la propria scelta circa la gestione dei cookie.
L’approccio restrittivo adottato dal Working Party e il netto disfavore manifestato nei confronti dei trattamenti in regime di opt-out realizzano inoltre un effetto del tutto paradossale. I titolari del trattamento, infatti, avendo la necessità di procedere all’identificazione dell’utente al fine di provare e documentare l’espressione del consenso, saranno in grado di costruire profili non più basati su mere presunzioni o statistiche, come oggi avviene, ma riferiti a utenti precisamente identificati, con effetti assai più deleteri per la privacy degli stessi.
Il dibattito che ruota attorno al tema della pubblicità comportamentale e l’approccio del legislatore risultano viziati da una errata percezione dal potenziale di lesività della profilazione su Internet.
Infatti all’industria interessa poter costruire un profilo e non identificare il soggetto cui tale profilo appartiene.
A condizionare il dibattito vi è poi un altro tipo di pregiudizio, che riguarda il ruolo giocato dalla pubblicità comportale. Non bisogna infatti dimenticare che i ricavi generati dalla pubblicità comportamentale su Internet hanno reso possibile lo sviluppo di un'importante offerta editoriale del tutto gratuita. Imporre agli operatori del settore obblighi irragionevoli e tecnicamente non implementabili rischia pertanto non solo di non rafforzare la tutela della privacy degli utenti ma anche di pregiudicare la possibilità per gli stessi di accedere a una miriade di servizi gratuiti, inclusa l’editoria online. Peraltro, per effetto degli ostacoli giuridici di cui si è discusso, gli operatori del settore si trovano ad agire sul mercato, in una situazione di svantaggio competitivo rispetto a soggetti operanti in giurisdizioni extra UE.
Sarebbe pertanto auspicabile che il legislatore europeo invertisse con decisione la rotta, obbligando gli operatori a minimizzare i trattamenti effettuati e ad adottare tecnologie sempre più sofisticate per anonimizzare i dati trattati, o autorizzando gli stessi a operare in regime di opt-out purché entro limiti ben determinati e in un quadro di garanzie rafforzate per gli utenti finali, magari da definirsi in sede di autoregolamentazione.
L’ordinamento giuridico, piuttosto che negare il ricorso alla tecniche di profilazione, dovrebbe infatti preoccuparsi di “sterilizzare” all’origine i rischi ad esse connessi. Nel frattempo, però, in attesa della normativa nazionale di recepimento, ci troviamo nel mezzo di un limbo fatto di incertezza giuridica, che espone gli operatori a gravi rischi di non-compliance e mette a dura prova il corso positivo che sta caratterizzando il mercato della pubblicità online.
Giangiacomo Olivi e Marco Leone
Studio Legale DLA Piper
Studio Legale DLA Piper
Ulteriori approfondimenti su Beltel, ottobre 2010
