ePrivacy e GDPR: quale impatto su Marketing e mondo Media?

Nel panorama digitale odierno, la raccolta e l'elaborazione dei dati personali sono diventate pratiche essenziali per molte strategie di Marketing, basti pensare ai cookie di tracciamento. Tuttavia, questa intensificazione della raccolta dati ha sollevato preoccupazioni significative in merito alla tutela della privacy degli utenti. In risposta a queste preoccupazioni GDPR, entrato in vigore nel 2018, ha introdotto un quadro normativo rigoroso, imponendo alle aziende di rivedere profondamente le proprie pratiche di Marketing per garantire la conformità al nuovo regolamento e tutelare i diritti degli individui.

In questo contesto, quali sono le principali implicazioni del GDPR e delle altre normative sulla privacy? Scopriamolo in questo articolo, realizzato dall’Osservatorio Internet Media della POLIMI School of Management.

Gli effetti del GDPR sulle attività di Marketing online

Il GDPR (acronimo di General Data Protection Regulation), o Regolamento generale sulla protezione dei dati, è diventato pienamente efficace il 25 maggio 2018. Il Regolamento nasce da precise esigenze di armonizzazione e semplificazione delle norme inerenti alla raccolta e al trattamento dei dati personali nell’ambito dell’Unione Europea, anche con riferimento alla loro circolazione fuori dal perimetro della Unione Europea stessa.

GDPR il legislatore ha voluto venire incontro all’esigenza, soprattutto delle aziende private, di poter utilizzare tecnologie sempre più sofisticate che in tutti i settori di mercato (e quindi anche in quello dei media) comportano la raccolta e il trattamento di un sempre maggior numero di informazioni che possono essere usate per moltissimi motivi, fra cui, soprattutto, il Marketing e la clusterizzazione.

Il nuovo quadro giuridico così delineatosi ha avuto un impatto considerevole sul mondo media, toccando temi fondamentali quali, per fare alcuni esempi, la profilazione a scopo di marketing, il diritto all’oblio e i cookies.

Profilazione e GDPR

L’attività di profilazione è una di quelle su cui il GDPR si sofferma maggiormente, definendola all’art. 4 come:

«qualsiasi forma di trattamento automatizzato di dati personali consistente nell'utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l'affidabilità, il comportamento, l'ubicazione o gli spostamenti di detta persona fisica».

Attenendosi al dettato del GDPR è, dunque, possibile affermare che si ha profilazione quando:

• il trattamento è automatizzato;
• il trattamento è effettuato su dati personali;
• il trattamento persegue l’obiettivo di valutare, per analizzare o prevedere, determinati aspetti o comportamenti di persone fisiche.

GDPR, Privacy e Media: i principali problemi per la profilazione

Le attività finalizzate alla profilazione per scopi commerciali o di Marketing rientrano tra quelle che richiedono maggior cautela, essendo spesso pervasive dell’esperienza digitale dell’interessato. Presupposto essenziale per un corretto trattamento è che ogni titolare che intenda effettuare un’attività di profilazione si ponga, anteriormente al trattamento medesimo, alcune domande. Tra le più importanti:

• Quali tipologie di interessati saranno oggetto di trattamento da parte del Media? In quali aree geografiche risiedono (per verificare se il media deve preoccuparsi di normative non nazionali o afferenti alla UE)?
• Quali dati verranno trattati dal Media e quali finalità vogliono essere perseguite?
• Quali tecnologie saranno utilizzate e come sono distribuite le infrastrutture e le componenti software?
• Come impostare in ottica by designil trattamento?
• Quali basi giuridiche possono essere utilizzate?
• Quale livello di sicurezza deve essere garantito dal Media (e dai fornitori)? Occorre effettuare una valutazione di impatto?
• Quali diritti devo garantire all’interessato e come devo permettere all’interessato stesso di esercitarli?

Sono domande a cui ogni Media, con riferimento a qualunque canale di contatto con gli interessati, deve porsi e che assumono particolare rilevanza quando il titolare raccoglie i dati di milioni, se non addirittura centinaia di milioni, di interessati.

Diritto all'oblio e GDPR

Con particolare riferimento ai diritti degli interessati, un cambiamento introdotto dalla normativa è costituito dal diritto all’oblio , un principio giuridico che riconosce a ogni individuo il diritto di veder cancellate o rese inaccessibili le informazioni personali che lo riguardano, soprattutto quando queste sono obsolete, inesatte o non più pertinenti rispetto alla situazione attuale.

Il diritto all'oblio è stato voluto dal legislatore con presumibile specifico riferimento proprio al mondo dei Social Network. Tuttavia, in una realtà caratterizzata da una pervasività delle modalità di raccolta e tracciamento dati, dalla proliferazione e spesso dall’incontrollabile moltiplicazione delle informazioni che ogni individuo genera attraverso l’utilizzo delle tecnologie, garantire l’eliminazione dei dati è qualcosa tecnologicamente molto difficile da attuare.

Le linee guida Cookie e altri strumenti di tracciamento

Riguardo alla profilazione, un discorso a parte può essere fatto per i cookie che, naturalmente, vengono usati da tutti i Media online. Già a partire dal 2017 diverse società tecnologiche hanno iniziato ad autoregolamentarsi in materia, limitando il tracciamento dei dati. La prima è stata Apple nel 2017, seguita da Mozilla nel 2018 e da Microsoft nel 2019, per poi arrivare a Google, la cui ultima decisione, a metà 2024, è stata in realtà quella di non procedere con l’eliminazione dei cookie.

Parallelamente, sono state portate avanti diverse azioni da parte degli enti regolatori per garantire la protezione dei dati degli utenti, dal già citato GDPR fino alle più recenti Linee guida cookie e altri strumenti di tracciamento, emesse dal Garante privacy a giugno 2021 ed entrate in vigore a gennaio 2022. Tali normative sono finalizzate a limitare il tracciamento e la monetizzazione delle informazioni personali, aspetti che risultano quindi molto importante per i consumatori.

Tuttavia, le linee guida hanno avuto un impatto significativo sulla mole di dati a disposizione nella filiera pubblicitaria per la targetizzazione degli utenti e quindi sul business pubblicitario degli editori online. Per far fronte alla diminuzione dei dati e alla conseguente perdita di ricavi pubblicitari, gli editori stanno adottando alcune soluzioni con l’obiettivo di spingere il consumatore a fornire il proprio consenso in caso di fruizione dei contenuti editoriali.

La prima iniziativa riguarda l’introduzione di un banner permanente riguardante i cookie, che non vieta la navigazione, ma che interferisce con la user experience. La seconda possibilità, adottata da alcune grandi testate, è il cookie paywall, attraverso cui viene proposto all’utente la sottoscrizione a un abbonamento a basso costo nel caso in cui egli decida di non prestare il consenso per scopi pubblicitari. Con questa alternativa, quindi, l’accesso gratuito al sito diventa subordinato al rilascio del consenso. A oggi la liceità di questa pratica è ancora in discussione e al momento non c’è Autorità che abbia risolto il tema della data monetization.

Se la priorità delle normative deve essere la tutela della privacy del consumatore, allo stesso modo è importante trovare pratiche e soluzioni concrete che possano garantire la sostenibilità del business dell’.

La gestione dei Cookies secondo il Regolamento ePrivacy

Il Regolamento ePrivacy è una normativa europea che si pone l’obiettivo di disciplinare il trattamento dei dati personali e la privacy nel contesto delle comunicazioni elettroniche. Una volta pubblicato ed entrato in vigore, il Regolamento ePrivacy si applicherà al medesimo oggetto della vigente Direttiva ePrivacy. Quest’ultima, diversamente dal Regolamento, non è attualmente vincolante per gli Stati membri, ed è stata concepita prima dell’introduzione del GDPR, motivo per cui non è completamente in linea con le disposizioni.

La Direttiva verrà, quindi, sostituita integralmente da Regolamento, anche se il suo ambito di applicazione verrà esteso alle cosiddette Over The Top Company. Nel Regolamento ePrivacy verranno disciplinate le attività di Marketing, l' i call center e la pubblicità online e quindi anche questa normativa avrà un impatto rilevante sui Media europei e mondiali, perlomeno con riferimento a quelli che si rivolgono anche al mercato europeo.

I cookie saranno, dunque, oggetto di normazione da parte del Regolamento e-Privacy, che normerà il principio per cui i metodi utilizzati per ottenere il consenso al tracciamento degli stessi dovranno essere il più possibile trasparenti e user-friendly, evitando in questo modo che gli utenti finali siano sommersi da richieste di consenso tramite i famigerati cookie banner.

Per quanto è dato sapere a oggi:

• sarà necessario applicare sui Media online una policy chiara e dettagliata sull’utilizzo dei cookies, specialmente quelli di terze parti;
• i cookies non dovranno operare fino all’accettazione di tale policy;

Il Regolamento e-Privacy prevede, però, anche delle eccezioni all’obbligo di ottenere il consenso all’utilizzo delle capacità di trattamento e conservazione dell’apparecchiatura terminale o all’accesso alle informazioni in essa già conservate.

Il consenso, in particolare, non dovrebbe essere richiesto per le situazioni che comportino un’intrusione minore nella vita privata dell’interessato, includendo, ad esempio, la conservazione dei cookie per la durata di un’unica sessione su un sito web allo scopo di tenere traccia di quanto inserito dall’utente finale su diverse pagine o, ancora, i cookie necessari per l'analisi dei siti web. In quest’ultimo caso, tuttavia, la proposta di regolamento indica solo i cookies di prima parte e non è ancora chiaro se i servizi esterni come Google Analytics possano beneficiare di tale esenzione.

Insomma, un quadro giuridico ancora in grande evoluzione nel quale, a fronte di regole molto complesse da seguire (con importanti rischi sanzionatori), i media possono trovare molti margini di semplificazione, giungendo, quindi, a effettuare i trattamenti ritenuti necessari senza oneri eccessivi.