ePrivacy e GDPR: quale impatto su Marketing e mondo Media?

Il Regolamento generale sulla protezione dei dati, noto anche come GDPR (acronimo di General Data Protection Regulation) e diventato pienamente efficace il 25 maggio 2018, nasce da precise esigenze di armonizzazione e semplificazione delle norme inerenti alla raccolta e al trattamento dei dati personali nell’ambito dell’Unione Europea anche con riferimento alla loro circolazione fuori dal perimetro della Unione Europea stessa.

Gli effetti del GDPR sulle attività di marketing online

Inoltre, con il GDPR il legislatore ha voluto venire incontro all’esigenza soprattutto delle aziende private di poter utilizzare tecnologie sempre più sofisticate che, in tutti i settori di mercato e quindi anche in quello dei media, comportano la raccolta e il trattamento di un sempre maggior numero di informazioni che possono essere usate per moltissimi motivi, fra cui, soprattutto, il marketing e la clusterizzazione.

Il Regolamento ePrivacy, una volta pubblicato ed entrato in vigor, si applicherà invece al medesimo oggetto della vigente direttiva ePrivacy, che verrà sostituita integralmente, anche se il suo ambito di applicazione verrà esteso alle cosiddette Over The Top Company. In particolare, verranno disciplinate le attività di marketing, l'e-Commerce, i call center e la pubblicità online e quindi anche questa normativa avrà un impatto rilevante sui media europei e mondiali, perlomeno con riferimento a quelli che si rivolgono anche al mercato europeo.

Il nuovo quadro giuridico così delineatosi ha avuto un impatto considerevole sul mondo media, toccando temi fondamentali quali, per fare alcuni esempi, la profilazione a scopo di marketing, il diritto all’oblio e i cookies.

Profilazione e GDPR

L’attività di profilazione è una di quelle su cui il GDPR si sofferma maggiormente, definendola all’art. 4 come:

«qualsiasi forma di trattamento automatizzato di dati personali consistente nell'utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l'affidabilità, il comportamento, l'ubicazione o gli spostamenti di detta persona fisica».

Attenendosi al dettato del GDPR è, dunque, possibile affermare che si ha profilazione quando:

• il trattamento è automatizzato;
• il trattamento è effettuato su dati personali;
• il trattamento persegue l’obiettivo di valutare, per analizzare o prevedere, determinati aspetti o comportamenti di persone fisiche.

Media e Privacy: i principali problemi per la profilazione

Poiché le attività finalizzate alla profilazione per scopi commerciali o di marketing rientrano tra quelle che richiedono maggior cautela, essendo spesso pervasive dell’esperienza digitale dell’interessato, presupposto essenziale per un corretto trattamento è che ogni titolare che intenda effettuare un’attività di profilazione si ponga, anteriormente al trattamento medesimo, alcune domande. Tra le più importanti:

• Quali tipologie di interessati saranno oggetto di trattamento da parte del media e in quali aree geografiche risiedono (per verificare se il media deve preoccuparsi di normative non nazionali o afferenti alla UE)?
• Quali dati verranno trattati dal media e quali finalità vogliono essere perseguite?
• Quali tecnologie saranno utilizzate e come sono distribuite le infrastrutture e le componenti software?
• Come impostare in ottica by design il trattamento?
• Quali basi giuridiche possono essere utilizzate?
• Quale livello di sicurezza deve essere garantito dal media (e dai fornitori)? Occorre effettuare una valutazione di impatto?
• Quali diritti devo garantire all’interessato e come devo permettere all’interessato stesso di esercitarli?

Sono domande a cui ogni media, con riferimento a qualunque canale di contatto con gli interessati, deve porsi e che assumono particolare rilevanza quando il titolare raccoglie i dati di milioni, se non addirittura centinaia di milioni, di interessati.

Vuoi approfondire i rischi, le linee guida sulle sanzioni e le nuove prospettive riguardanti le certificazioni GDPR?

Diritto all'oblio e GDPR

Con particolare riferimento ai diritti degli interessati, un cambiamento introdotto dalla normativa è costituito dal diritto all’oblio, voluto dal legislatore con presumibile specifico riferimento proprio al mondo dei social network. In una realtà caratterizzata da una pervasività delle modalità di raccolta e tracciamento dati, dalla proliferazione e spesso dall’incontrollabile moltiplicazione delle informazioni che ogni individuo genera attraverso l’utilizzo delle tecnologie, garantire l’eliminazione dei dati è qualcosa tecnologicamente molto difficile da attuare.

Le linee guida cookie e altri strumenti di tracciamento

Un discorso a parte può essere fatto per i cookie che, naturalmente, vengono usati da tutti i media online. Già a partire dal 2017 diverse società tecnologiche hanno iniziato ad autoregolamentarsi in materia, limitando il tracciamento dei dati. La prima è stata Apple nel 2017, seguita da Mozilla nel 2018 e da Microsoft nel 2019, per poi arrivare a Google, la cui eliminazione dei cookie è prevista per il 2024. Parallelamente sono state portate avanti diverse azioni da parte degli enti regolatori per garantire la protezione dei dati degli utenti, dal già citato GDPR fino alle più recenti “Linee guida cookie e altri strumenti di tracciamento”, emesse dal Garante privacy a giugno 2021 ed entrate in vigore a gennaio 2022. Tali normative sono finalizzate a limitare il tracciamento e la monetizzazione delle informazioni personali, aspetti che risultano quindi molto importante per i consumatori.

Tuttavia, le linee guida hanno avuto un impatto significativo sulla mole di dati a disposizione nella filiera pubblicitaria per la targettizzazione degli utenti e quindi sul business pubblicitario degli editori online. Per far fronte alla diminuzione dei dati e alla conseguente perdita di ricavi pubblicitari, gli editori stanno adottando alcune soluzioni con l’obiettivo di spingere il consumatore a fornire il proprio consenso in caso di fruizione dei contenuti editoriali. La prima iniziativa riguarda l’introduzione di un banner permanente riguardante i cookie, che non vieta la navigazione, ma che interferisce con la user experience. La seconda possibilità, adottata da alcune grandi testate, è il cookie paywall, attraverso cui viene proposto all’utente la sottoscrizione a un abbonamento a basso costo nel caso in cui egli decida di non prestare il consenso per scopi pubblicitari. Con questa alternativa, quindi, l’accesso gratuito al sito diventa subordinato al rilascio del consenso. A oggi la liceità di questa pratica è ancora in discussione e al momento non c’è Autorità che abbia risolto il tema della data monetization.

Se la priorità delle normative deve essere la tutela della privacy del consumatore, allo stesso modo è importante trovare pratiche e soluzioni concrete che possano garantire la sostenibilità del business dell’editoria online.

La gestione dei Cookies secondo il Regolamento ePrivacy

I cookie saranno inoltre oggetto di normazione da parte del Regolamento e-Privacy, che normerà il principio per cui i metodi utilizzati per ottenere il consenso al tracciamento degli stessi dovranno essere il più possibile trasparenti e user-friendly, evitando in questo modo che gli utenti finali siano sommersi da richieste di consenso tramite i famigerati cookie banner.

Per quanto è dato sapere a oggi:

• sarà necessario applicare sui media online una policy chiara e dettagliata sull’utilizzo dei cookies, specialmente quelli di terze parti;
• i cookies non dovranno operare fino all’accettazione di tale policy;
• sarà necessaria la raccolta di un consenso informato ed esplicito tramite un meccanismo di opt-in;
• indispensabile sarà la registrazione di tale consenso, al fine di darne eventuale prova all’autorità competente;
• occorrerà rendere possibile la revoca, con indicazione della procedura per esercitarla.

Il Regolamento e-Privacy prevede allo stato, però, anche delle eccezioni all’obbligo di ottenere il consenso all’utilizzo delle capacità di trattamento e conservazione dell’apparecchiatura terminale o all’accesso alle informazioni in essa già conservate.

Il consenso, in particolare, non dovrebbe essere richiesto per le situazioni che comportino un’intrusione minore nella vita privata dell’interessato, includendo, ad esempio, la conservazione dei cookies per la durata di un’unica sessione su un sito web allo scopo di tenere traccia di quanto inserito dall’utente finale su diverse pagine o, ancora, i cookies necessari per l'analisi dei siti web. In quest’ultimo caso, tuttavia, la proposta di regolamento indica solo i cookies di prima parte e non è ancora chiaro se i servizi esterni come Google Analytics possano beneficiare di tale esenzione.

Insomma, un quadro giuridico ancora in grande evoluzione nel quale, a fronte di regole molto complesse da seguire (con importanti rischi sanzionatori), i media possono trovare molti margini di semplificazione, giungendo, quindi, a effettuare i trattamenti ritenuti necessari senza oneri eccessivi.

Vuoi le soluzioni alternative ai cookie per la profilazione e il tracciamento dell’utente?