Team Privacy
1. Introduzione
Così come il colpevole torna sempre sul luogo del delitto, anche la nostra rubrica non fa eccezione e, richiamata dagli eventi, affronta nuovamente la ben nota tematica relativa ai modelli di limitazione di accesso ai contenuti digitali conosciuti come “pay or ok” o “pay or consent”.
Il 22 aprile 2025, la Commissione Europea, con la Decisione della Commissione Europea C/2025/3466, ha comminato una prima multa di 200 milioni di euro a Meta Platforms Ireland Ltd. per aver, nel novembre 2023, posto gli utenti europei di Facebook e Instagram dinnanzi alla scelta tra acconsentire alla profilazione dei propri dati personali o pagare un abbonamento mensile, al fine di poter usufruire delle piattaforme social.[1]
Di lì a pochi giorni, precisamente il 29 aprile u.s., in Italia il Garante per la protezione dei dati personali (GDPD) ha deciso di avviare una consultazione pubblica volta a valutare la liceità del consenso al trattamento dei dati prestato attraverso il cosiddetto modello “pay or ok”. Un’iniziativa che, si legge nello stesso comunicato a firma del Garante, “si inserisce nel quadro delle istruttorie già avviate dall’Autorità nei confronti di numerosi editori di giornali che utilizzano tale modalità di business ritenuta controversa sul piano della normativa privacy (Gdpr e direttiva e-privacy), anche dall’Edpb, in particolare sulla possibilità di considerare libero il consenso eventualmente prestato dall’utente”. [2]
Invero, nei nostri precedenti interventi dell’ottobre 2023 e gennaio 2024 (ai quali per dovere di completezza rimandiamo), abbiamo avuto modo di delineare le implicazioni, in termini di trattamento e tutela dei dati personali, che l’adozione di tali meccanismi di limitazione all’accesso ai contenuti avrebbero comportato.
Ma v’è di più.
Siamo stati facili profeti (di sventura verrebbe da dire) per aver preconizzato, da una parte, le conseguenze nefaste che una raccolta del consenso al trattamento del dato personale formulato sotto forma di scelta dicotomica (paga o lasciati profilare) avrebbe comportato alla luce delle disposizioni del GDPR e, dall’altra parte, per aver messo in discussione l’effettiva legittimità e lungimiranza del business model tarato su questa prassi.
Ciò detto, anche in questo caso, per fare un passo avanti ed affrontare le tematiche di stretta attualità, occorre volgere, in primo luogo, lo sguardo al passato e tornare su alcuni concetti fondamentali.Il modello commerciale noto come “pay or ok” ha sollevato nel corso degli ultimi anni questioni giuridiche di notevole rilievo. Ricordiamo che il modello consiste, in estrema sintesi, nell’offrire agli utenti due opzioni distinte per l’accesso ai servizi digitali: (i) accettare il trattamento dei dati personali a fini pubblicitari (“OK”) oppure (ii) pagare un corrispettivo economico per usufruire di un servizio privo di pubblicità e profilazione (“Pay”). Per quanto la scelta adottata dall’utente possa sembrare, in prima battuta, una manifestazione della sua libertà contrattuale, appare sin troppo evidente un sistema così concepito si possa prestare a molteplici problematiche sul piano dell’espressione del libero consenso e del trattamento dei dati personali più in generale.
Il quadro normativo di riferimento, in Italia e in Europa, è costituito dal Regolamento UE 2016/679 (GDPR), pilastro della protezione dei dati personali, e dal più recente Regolamento UE 2022/1925 (Digital Markets Act – DMA), entrato in vigore nel marzo 2024 con l’obiettivo di rendere i mercati digitali più equi e aperti e regolamentare i servizi delle grandi piattaforme online, i c.d. “gatekeeper”. Scorrendo proprio i “Considerando” del DMA troviamo enucleate, tra le finalità del Regolamento, quella di preservare una concorrenza equa, rendendo contendibili i servizi di piattaforma di base ed offrendo una tutela agli utenti finali rendendoli in grado di scegliere liberamente di seguire tali pratiche di trattamento dei dati e accesso con registrazione offrendo un’alternativa meno personalizzata ma equivalente, e senza subordinare l’utilizzo del servizio di piattaforma di base o di talune sue funzionalità al consenso dell’utente finale (Considerando n. 36).
Il modello di business, adottato da Meta sin dal Novembre 2023[3] e in parte variamente mutuato dalle altre piattaforme, calibrato esclusivamente sull’ottenimento del consenso a un’ampia gamma di dati personali, si innesta nel contesto normativo testè descritto e sembra, comunque, essere giunto a uno snodo cruciale, se non esistenziale, in conseguenza della Decisione della Commissione Europea C/2025/3466.
2. Il modello “pay or ok” dinnanzi i limiti del GDPR e la tutela del mercato del DMA
Il modello “pay or ok”, come anticipato, nasce dall’esigenza delle piattaforme digitali di “monetizzare” i propri servizi, comminando una pubblicità comportamentale (basata sulla profilazione degli utenti) in alternativa a un’opzione di pagamento diretto che possa escludere tale pratica.
Il nucleo della questione riguarda, evidentemente, la reale libertà di scelta che l’utente possiede nel contesto di un mercato digitale sempre più dominato dai gatekeeper, che gestiscono infrastrutture essenziali per la comunicazione e l’interazione sociale online; fino a che punto può considerarsi effettivamente “libero” il consenso prestato dall’utente posto dinnanzi all’alternativa tra pagare un prezzo sproporzionato per un servizio digitale (ricevuto magari sino a quel momento gratuitamente) o “consegnare” tutti i propri dati personali alla piattaforma con il precipuo fine di “vedersi offrire” marketing profilato?
L’articolo 7 del GDPR dispone che il consenso al trattamento dei dati personali da parte dell’interessato deve essere “libero, specifico, informato e inequivocabile”.
La Corte di Giustizia dell’Unione Europea (CGUE) ha ormai adottato un’interpretazione consolidata della libera espressione del consenso, riconosciuta come tale soltanto se “attiva” (quindi non implicita o basata su inazione), scevra da ogni coercizione, subordinata ad una chiara, preventiva ed esaustiva informazione[4], anche in ottemperanza a quanto previsto dal Considerando 32 del Reg. 2016/679.[5]
Al contempo, e in parallelo, si deve ricordare che il DMA impone (attraverso il menzionato Considerando n. 36) alle piattaforme di offrire agli utenti un’alternativa “equivalente” che non richieda il consenso per finalità pubblicitarie. L’obiettivo è quello di prevenire abusi di posizione dominante e garantire la pluralità delle scelte, evitando che la profilazione diventi il “Cavallo di Troia” per pratiche commerciali sleali o coercitive.
Non è, quindi, affatto peregrino interrogarsi se, alla luce della giurisprudenza euro unitaria, possa considerarsi libero quel consenso prestato dall’utente avverso un pagamento che può configurarsi come una penalizzazione eccessiva, o in taluni casi come un ostacolo economico discriminatorio, soprattutto per fasce vulnerabili della popolazione.
3. La sanzione della Commissione Europea a Meta
Come anticipato, il 22 aprile 2025 la Commissione Europea ha sanzionato Meta Platforms Ireland Ltd. con una multa di 200 milioni di euro, ravvisando nella modalità di accesso ai servizi offerta a decorrere dal novembre 2023 e in uso sino al mese di novembre 2024, una violazione del DMA.
L’accesso ai servizi proposto allora da META prevedeva, infatti, una scelta tra:
(a) l’opzione con annunci pubblicitari: l’utente avrebbe potuto fruire gratuitamente delle piattaforme social, soltanto dopo aver acconsentito alla profilazione dei propri dati personali e, di conseguenza, a ricevere pubblicità personalizzata; oppure
(b) l’opzione abbonamento: l’utilizzo delle piattaforme in assenza di annunci pubblicitari consentito soltanto a seguito del pagamento di un abbonamento.
Nella decisione, la Commissione ha sottolineato che il servizio a pagamento non fosse realmente “equivalente” a quello basato sulla profilazione, evidenziando due criticità principali:
- il modello non presenta agli utenti finali delle piattaforme di social network di Meta la scelta specifica di un’alternativa meno personalizzata ma equivalente; e
- la configurazione di questo modello non consente agli utenti finali di prestare liberamente il proprio consenso alla combinazione dei loro dati personali ai fini della pubblicità personalizzata[6]
Tali elementi hanno condotto la Commissione a ritenere che la scelta imposta da Meta non rispettasse il principio di libertà del consenso, né le prescrizioni del DMA, configurando un abuso della posizione di gatekeeper alla luce della quale è stato possibile statuire come
- Il modello pubblicitario «consenso o pagamento» di Meta non presenti agli utenti finali delle piattaforme di social network di Meta la «scelta specifica» di un’alternativa meno personalizzata, ma equivalente, all’opzione con annunci pubblicitari, in quanto entrambe le opzioni presentano condizioni di accesso diverse. Inoltre, Meta avrebbe potuto ragionevolmente aspettarsi, e sapeva, che il suo modello pubblicitario «consenso o pagamento» avrebbe indotto la maggior parte dei suoi utenti finali a optare per l’opzione gratuita con annunci pubblicitari a causa di tale mancanza di equivalenza.
- la configurazione del modello pubblicitario «consenso o pagamento» di Meta non garantisce che gli utenti finali acconsentano liberamente, nel rispetto dei requisiti di cui al regolamento (UE) 2016/679, alla combinazione dei loro dati personali ai fini della personalizzazione degli annunci pubblicitari. Ciò è dovuto a un evidente squilibrio di potere tra Meta e gli utenti finali dei suoi servizi senza annunci pubblicitari e al danno che gli utenti finali rischiano di subire quando rifiutano di fornire il consenso[7]
La multa, seppur ingente, rappresenta, invero, soltanto la punta dell’iceberg di un percorso di vigilanza serrata che la Commissione ha annunciato di voler mantenere. È di pochissimi giorni orsono, per l’esattezza del 27 giugno u.s., infatti, l’avviso diramato dall’organo esecutivo europeo che ha preannunciato la possibilità di sanzioni quotidiane fino al 5% del fatturato medio annuo verso Meta, per ogni giorno di mancata conformità alla menzionata decisione[8]. Questa linea dura segnalerebbe un cambio di paradigma nella regolamentazione digitale, volto a garantire una reale libertà di scelta e a evitare che i gatekeeper possano imporre modelli economici coercitivi o poco trasparenti.
Il parere dell’EDPB: la ricerca di un modello conforme
Anche il Comitato Europeo per la Protezione dei Dati (EDPB) si era nel contempo attivato nell’approfondimento della tematica relativa ai profili di compatibilità del modello “pay or ok” con il GDPR, pubblicando un primo parere il 17 aprile 2024, il n. 08/2024[9].
L’organismo consultivo europeo ha ribadito, in tale occasione, che ai fini di un’effettiva valutazione circa la libertà di espressione del consenso debbano sempre tenersi in conto criteri quali
(i) la condizionalità ovvero l’eventualità che ai fini dell’accesso a beni o servizi sia necessario prestare il proprio consenso, anche se il trattamento non è necessario ai fini dell’adempimento del contratto
(ii) il pregiudizio che si deteminerebbe a causa del mancato pagamento di un corrispettivo e/o del mancato consenso, funzionali all’accesso a piattaforme professionali o orientate all’occupazione
(iii) lo squilibrio di potere nel rapporto tra l’interessato e il titolare del trattamento
(iv) la granularità del consenso ovvero la possibilità che l’interessato, di fronte a un modello “consenso o pagamento”, possa essere libero di scegliere quale o quali finalità accettare anziché dover acconsentire a un insieme di finalità.Nel proprio parere l’EDPB ha, quindi, proposto l’introduzione di una terza alternativa “equivalente”. Il Comitato ha suggerito, infatti, la previsione da parte delle piattaforme di un’offerta di servizi digitali gratuita a fronte di una forma diversa di pubblicità che comporta il trattamento di una quantità inferiore di dati personali (o di nessun dato personale), ad esempio la pubblicità contestuale o generale o la pubblicità basata su argomenti selezionati dall’interessato a partire da un elenco di argomenti di interesse. Tale modello consentirebbe agli utenti di accedere gratuitamente al servizio senza veder gravemente compressa la tutela dei propri dati personali, favorendone un bilanciamento più equo con le esigenze di business delle imprese.
Pur non vincolante, il parere dell’EDPB, con ogni evidenza, potrebbe/dovrebbe influenzare le autorità nazionali e contribuire a definire un approccio armonizzato a livello europeo.
5. La posizione del Garante italiano
Dinnanzi ad un quadro decisionale e consultivo sempre più complesso ed a uno strumento di accesso ai dati digitali che è divenuto, per larghissimi settori del mondo virtuale, modello paradigmatico di business, anche il Garante italiano ha deciso di muovere i primi passi.
È così che il 29 aprile 2025 il GDPD, con il provvedimento n. 272[10], pubblicato sulla Gazzetta Ufficiale Serie Generale n. 108 del 12 maggio 2025, ha avviato una consultazione pubblica per raccogliere le osservazioni da parte di stakeholder, accademici, operatori economici e cittadini.
La consultazione aprirà, pertanto, anche in Italia un dibattito su temi chiave, quali:
(i) la fattibilità e la sostenibilità di un modello a tre opzioni (profilazione con consenso, pubblicità contestuale gratuita, abbonamento a pagamento);
(ii) la tutela delle categorie vulnerabili, quali minori e anziani;
(iii) la proporzionalità e la giustificazione economica del costo dell’abbonamento rispetto ai ricavi pubblicitari;
(iv) e non da ultimo quali soluzioni possano ritenersi idonee a garantire all’interessato consapevolezza e piena prevedibilità degli effetti dell’eventuale prestazione del consenso in termini di diritto di accedere a una quantità e qualità date di contenuti editoriali ovvero di altra tipologia di servizi e funzionalità offerti.
La consultazione avrà il precipuo obiettivo di raccogliere contributi utili a individuare soluzioni tecniche e operative – come modelli alternativi di accesso ai contenuti – in grado di garantire agli utenti il rispetto dei principi di libertà, specificità e consapevolezza del consenso e non dubitiamo che possa far emergere in seno agli operatori italiani una rinnovata attenzione alla gestione del “consenso” quale base giuridica per l’eventuale trattamento dei dati personali.
La raccolta dei contributi si protrarrà sino al 14 luglio 2025, termine a seguito del quale si potranno attendere le prime determinazione da parte del Garante.
6. Verso una “terza via”: modello equilibrato e sostenibile?
Alla luce delle molteplici problematiche giuridiche e delle indicazioni delle Autorità nazionali e sovranazionali, appare sempre più preminente la necessità di superare il modello binario, introducendo una “terza via” che possa garantire libertà effettiva di scelta per l’utente e la sostenibilità economica per i fornitori di servizi digitali.
Il modello “pay or ok” si è rivelato un banco di prova cruciale per il bilanciamento tra innovazione tecnologica, modelli di business digitali e diritti fondamentali. Una soluzione praticabile potrebbe essere, dunque, quella suggerita già dall’EDPB che preveda un modello tripartito di accesso ai servizi digitali ed editoriali.
Questo schema permetterebbe ai fornitori di servizi di risultare maggiormente aderenti al dettato del GDPR, offrendo un’alternativa concreta e non discriminatoria, in linea con il DMA e con le raccomandazioni dell’EDPB: la “terza via” ridurrebbe il rischio di coercizione, aumenterebbe la trasparenza e rafforzerebbe la fiducia degli utenti.
Tuttavia, rimangono alcune criticità da affrontare, non da ultima una definizione precisa e standardizzata di “pubblicità contestuale”, i criteri tecnici per la sua implementazione, e le misure di tutela per le fasce più vulnerabili e prevenzione di discriminazioni di fatto.
Il tema si presenta, seppur a distanza di anni dal suo ingresso nel dibattito giuridico, ancora in piena evoluzione e da parte nostra continueremo a tenervi aggiornati sulle prime, ed ormai prossime, determinazioni del Garante italiano in merito.
[1] https://ec.europa.eu/commission/presscorner/detail/en/ip_25_1085
[2] https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10127405rispetto all’alternativa liquidatoria.
[3] Come ampiamente analizzato nel precedente contributo a nostra firma “Il modello “Pay or Okay” approda su Meta: profilazione dell’utente o pagamento dei servizi?” Meta ha introdotto nel novembre 2023 un meccanismo di accesso per Facebook e Instagram con due possibilità: sottoscrivere un abbonamento mensile a pagamento (inizialmente fissato a 9,99 €/mese, successivamente aumentato a 12,99 €) oppure accettare il trattamento dei dati personali a fini pubblicitari.
[4] Si rimanda in tal senso alla nota sentenza CGUE-Planet 49 causa C-673/17, decisa il 1° ottobre 2019 https://curia.europa.eu/juris/document/document.jsf?docid=218462&doclang=IT
[5] Considerando 32 del Reg. 2016/679 “Consenso dovrebbe essere espresso mediante un atto positivo inequivocabile con il quale l’interessato manifesta l’intenzione libera, specifica, informata e inequivocabile di accettare il trattamento dei dati personali che lo riguardano, ad esempio mediante dichiarazione scritta, anche attraverso mezzi elettronici, o orale. Ciò potrebbe comprendere la selezione di un’apposita casella in un sito web, la scelta di impostazioni tecniche per servizi della società dell’informazione o qualsiasi altra dichiarazione o qualsiasi altro comportamento che indichi chiaramente in tale contesto che l’interessato accetta il trattamento proposto. Non dovrebbe pertanto configurare consenso il silenzio, l’inattività o la preselezione di caselle. Il consenso dovrebbe applicarsi a tutte le attività di trattamento svolte per la stessa o le stesse finalità. Qualora il trattamento abbia più finalità, il consenso dovrebbe essere prestato per tutte queste. Se il consenso dell’interessato è richiesto attraverso mezzi elettronici, la richiesta deve essere chiara, concisa e non interferire immotivatamente con il servizio per il quale il consenso è espresso.
[6] Decisione Commissione Europea C/2025/3466
[7] Decisione Commissione Europea C/2025/3466
[8] https://www.reuters.com/sustainability/boards-policy-regulation/meta-will-only-make-limited-changes-pay-or-consent-model-eu-says-2025-06-27/
[9] https://www.edpb.europa.eu/system/files/2024-11/edpb_opinion_202408_consentorpay_it.pdf
[10] https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10127186