È ormai necessaria una riforma della pubblicità in ambito digitale, poiché l’attuale sistema di raccolta di dati personali, profilazione e monitoraggio risulta insostenibile. Sia per i consumatori che per gli editori che per gli inserzionisti.
Lo si evince da un recente studio commissionato e pubblicato dalla Commissione Europea, intitolato “Verso un ecosistema pubblicitario digitale più trasparente, equilibrato e sostenibile: studio sull’impatto dei recenti sviluppi della pubblicità digitale sulla privacy, gli editori e gli inserzionisti”.
Uno studio multidisciplinare che ha coinvolto ricerche sul campo, raccolta di dati, interviste a stakeholder, riflessioni di esperti.
I risultati sono critici e chiedono un intervento politico per forzare il mutamento di una situazione che non pare toccata sensibilmente dalle normative esistenti e conseguente applicazione.
Indice degli argomenti
Problemi di rapporti economici B2B e ambientali
Secondo il documento, la pubblicità online basata sulla raccolta di dati personali può compromettere i diritti dei cittadini europei e avere conseguenze negative persino per la sicurezza, la democrazia e l’ambiente. Il report affronta il tema da diverse angolazioni, non da ultimo economiche ed ambientali.
Ne menzioniamo un esempio, che sposta l’usuale soggetto tutelato dall’utente/interessato alle imprese (inserzionisti ed editori) nonché la società in generale: le estese attività di monitoraggio e profilazione degli utenti – come praticate dai big player del settore – non sarebbero supportate da prove indipendenti quanto alla loro efficacia, del tutto auto-verificata e dichiarata da parte del “banco” dei big player. E potrebbero persino essere inutili, contribuendo a frodi pubblicitarie (ad fraud) e generando – nella loro attività online con annesso dispendio energetico – emissioni di carbonio ingiustificate. È lo stesso business model a essere sotto accusa.
Si intuisce da questo semplice riferimento quanto il report sia corposo e sfaccettato. Di seguito ci occupiamo unicamente di accennare ai profili normativi circa il trattamento dei dati personali, rimandando il lettore al report completo per ogni ulteriore approfondimento.
Trasparenza degli intermediari sui dati personali
Nel documento si espone come – secondo gli inserzionisti e gli editori (publisher) – gli intermediari con cui lavorano (per acquistare e vendere pubblicità) non siano trasparenti nei loro confronti. In particolare quanto a come raccolgono, condividono ed elaborano i dati personali del pubblico. Sono noti gli eccessi di queste prassi, disaminate dal report con vari esempi e che disegnano un quadro di identificazione e profilazione onnipervadente.
Tuttavia, i dettagli sia su come avvengano tali prassi e ancor più a quali risultati effettivi portino, resta opaco e ben poco approfondito, noto solamente agli stessi fornitori che se ne avvantaggiano.
Con queste conseguenze:
- si impedisce una comprensione obiettiva dei costi e dei benefici dell’utilizzo dei dati personali degli utenti, con annessa profilazione, rispetto agli inserzionisti; ciò pesa soprattutto rispetto a possibili alternative meno intrusive verso la privacy; oltretutto molti inserzionisti ed editori intervistati per il report si sono dichiarati “frustrati dal fatto che alcune di queste pratiche abbiano un impatto sulla loro reputazione in quanto non vogliono essere associati a pratiche di dati invasive della privacy o non etiche”;
- allo stesso tempo, gli stessi inserzionisti ed editori percepiscono che sul mercato attuale non esiste una vera alternativa per la pubblicità digitale; nonostante le citate preoccupazioni, continueranno a investire in strumenti pubblicitari finché saranno ancora disponibili sul mercato; altresì preso atto che “né l’entrata in vigore del GDPR né alcuni dei casi di sua applicazione hanno ancora avuto un impatto su questo modello pubblicitario nella pratica”.
Effetti dell’applicazione del GDPR
Il GDPR contiene disposizioni in teoria utili per contrastare gli eccessi del settore pubblicitario, come il diritto di opporsi al trattamento per fini di marketing diretto. La domanda chiave è: tutto ciò ha portato e può portare a risultati concreti utili?
Il report cita diversi casi di enforcement da parte di autorità di controllo in tutta Europa. Tra i tanti esempi citati, ricordiamo la più volte discussa decisione dell’autorità belga verso il framework TCF 2.0 di IAB Europe, tuttora in via di esecuzione. Secondo gli studi, ci sarebbero poche prove che l’enforcement “abbia portato a cambiamenti significativi nella struttura e nel funzionamento dell’ecosistema della pubblicità digitale, per quanto riguarda i dati personali”.
Lo si desumerebbe dal fatto che “il volume e la natura del trattamento dei dati personali nella pubblicità digitale non sono cambiati in modo significativo” da quando i reclami relativi a questi casi sono stati presentati tra il 2016 e il 2020.
Le ragioni? Eccole:
- i reclami basati sul GDPR tenderebbero a concentrarsi su intermediari o grandi piattaforme che guadagnano soprattutto dal trattamento di dati personali a scopo pubblicitario; va da sé che rappresenta per tutti gli operatori un incentivo a resistere ai vari “attacchi legali”, invece di mutare il proprio business model; inoltre le tempistiche di intervento delle autorità (amministrative o giudiziarie) sarebbero troppo estese per arrivare ad avere pronunce definitive utili (il mercato è già mutato arrivati a una sentenza della Corte di Giustizia, ragionando in ambito europeo) – applicato dal 2018, il GDPR non avrebbe tuttora una base interpretativa consolidata (specie giudiziaria) per arginare i tanti dubbi nella sua applicazione; ciò permette di sostenere interpretazioni “di comodo” a supporto di certi business model (si cita ad es. la portata ancora indefinita dell’ambito di applicazione materiale del GDPR, vedi l’art. 2.2);
- di fatto, gli inserzionisti e gli editori si sentono dipendenti dai big player (principale bersaglio dei citati reclami) quanto al digital advertising; nonostante le preoccupazioni sulla legalità, si continuerà a investire in certe prassi e strumenti “finché rimarranno disponibili sul mercato”;
- nel mercato attuale “il valore ‘percepito’ dell’utilizzo dei dati personali è estremamente elevato”, quindi solo normative con divieti chiari potrebbero mutare lo stato di cose; tanto più alcuni soggetti dell’ecosistema (come gli inserzionisti) da una parte si sentono relativamente a basso rischio quanto a ripercussioni legali, dall’altra si ha la percezione che “così fan tutti”;
- anche le autorità di controllo privacy sarebbero parte del problema, non combattendo a sufficienza i big player, con un enforcement a volte troppo lieve; si cita ad es. il caso dell’associazione irlandese ICCL che ha intentato una causa contro il DPC (l’autorità di controllo irlandese), accusata di inerzia verso il digital advertising di Google e Meta;
- le stesse autorità di controllo, intervistate, hanno sottolineato la complessità e la mancanza di trasparenza dell’ecosistema del digital advertising: tali da richiedere risorse e conoscenze tecniche di un certo tipo e livello per valutare efficacemente la conformità normativa, spesso aliene alla disponibilità delle autorità; un esempio è quello della complicata supply chain del settore, la quale mette in crisi la stessa identificazione dei ruoli privacy come quello di “contitolarità” – è arduo comprendere esattamente chi e in che misura determini fini e mezzi di trattamento, congiuntamente ad altri della catena; va da sé che gli ostacoli allo stesso inquadramento soggettivo sono rilevanti per poter contestare violazioni;
- non facilita il cambiamento l’atteggiamento dei big player del settore (“prendere o lasciare”) quando gli altri attori del settore cercano di negoziare su modalità e ambiti di responsabilità giuridica; se le piattaforme determinano e impongono tutto come monoliti, la chiarezza del quadro latita, allora gli operatori difficilmente cercano o possono valutare le alternative;
- nelle interviste svolte gli editori hanno espresso preoccupazione per il fatto che il loro rapporto diretto con gli utenti – sono l’ultimo anello della catena – comporta che sono tenuti a ottenere il consenso per tutti i trattamenti dei dati effettuati dagli intermediari supply chain della pubblicità digitale, sebbene sia un dato di fatto la limitata trasparenza su quali dati queste società raccolgono e su come li elaborino; in tal senso, preferirebbero avere maggiori certezze, se fosse possibile adottare la base giuridica del legittimo interesse con maggiore certezza ed evitare l’eccessivo affidamento sul consenso (sebbene non si veda come ciò potrebbe aiutare per la lamentata mancanza di trasparenza degli intermediari); altro supporto potrebbe arrivare dal riconoscere un ruolo di meri responsabili del trattamento agli intermediari, senza la complessità della contitolarità (proposta che però si scontra con le potenziali attività poste in essere, a livello decisionale, da parte degli intermediari);
- visto il manifesto squilibrio tra grandi piattaforme e utente, sarebbe da ripensare il ruolo del consenso come base giuridica, nonché valutare se sia opportuno o proporzionato vietare il tracciamento a fini pubblicitari tout court da parte di tali soggetti.
Limiti della Direttiva ePrivacy per la pubblicità digitale
La Direttiva 2002/58, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche è tuttora vigente e ripresa nel nostro Codice per la protezione dei dati personali. Si tratta di un complemento fondamentale al GDPR per la tutela della privacy.
Rappresenta un altro strumento esaminato nel report europeo per comprendere l’efficacia contro gli accessi del digital advertising, basti pensare alla “guerra” contro gli utilizzi disinvolti dei cookie (e annessi banner, informative, ecc.). I casi sono ormai numerosi, in vari Paesi europei, spesso alimentati da reclami presentati dalla NOYB di Max Schrems.
Non da meno la contestazione delle basi giuridiche invocate: si pensi al caso di TikTok in Italia in cui il Garante ha bloccato la titolare cinese per il minacciato spostamento di una base di trattamento dal consenso al legittimo interesse.
Quindi il bilancio per l’applicazione della Direttiva ePrivacy non è affatto negativo. Tuttavia lo studio ricorda che il mercato si sta spostando dall’uso di cookie e tracciamenti come intesi finora, diminuendo l’uso di dati di terzi (a favore della raccolta di dati di prima parte ad es. tramite account). Rischia pertanto di scontare una minor efficacia in futuro e nel nuovo ecosistema che si sta delineando.
Qui dovrebbe intervenire il suo “aggiornamento” con la proposta di Regolamento ePrivacy, la quale però rischia di scontare la sua pesante derivazione dalla Direttiva e dall’ambiente non aggiornato in cui andrà a operare.
Le prassi invasive ed eccessive del digital advertising sono schematizzate nella seguente tabella dello studio, ove di paragonano le alternative possibili e gli effetti per i dati personali.
Difatti, l’ecosistema dell’advertising si sta allontanando dalla dipendenza dai dati di terze parti, raccolti dagli intermediari, a fronte di gatekeeper come Google e Apple per limitare il tracciamento di terze parti. I modelli alternativi (ad es. Privacy Sandbox, esaminato nello studio) offre comunque l’opportunità – per i gatekeeper – di sfruttare il loro controllo di servizi essenziali o dei punti di accesso (come browser e sistemi operativi).
Altri soggetti dell’ecosistema, di caratura inferiore, ritengono di non essere in grado di competere con queste pratiche, perché hanno la capacità di raccogliere dati solo all’interno dei siti e delle app in cui distribuiscono contenuti.
Non possiamo dilungarci qui sulle alternative al modello corrente (come l’uso di dati di prima parte e il contextual advertising) rimandando alla lettura dello studio e di precedenti contributi per approfondimenti.
Come evoluzione della Direttiva dovrebbe giungere da anni la citata proposta di Regolamento ePrivacy (pluri-rimandato, oggetto di una vera guerra tra stakeholder e che non si sa se vedrà mai la luce), ad es. quanto alla possibilità di esprimere o meno consensi tramite le impostazioni tecniche del browser. Ipotesi osteggiata dagli editori e dagli inserzionisti, sulla base del fatto che ciò renderà più difficile per loro raccogliere dati di prima parte dai propri utenti in modo trasparente, rispetto alle grandi piattaforme come Google.
Il contributo del Digital Services Act
Il recente DSA – Digital Services Act (Reg. 2022/2065) è un’ulteriore norma che disciplina aspetti rilevanti per lo studio in parola. Diretto a rinnovare la disciplina della responsabilità dei provider così come a introdurre una serie di doveri di diligenza nelle varie condotte degli stessi provider.
In particolare, gli articoli dai 26 al 39 impattano sulla dovuta trasparenza dei parametri di targeting, senza però consentire agli utenti di controllarli o modificarli. L’art. 26 impone alle piattaforme di rendere “informazioni rilevanti direttamente e facilmente accessibili dalla pubblicità relative ai parametri utilizzati per determinare il destinatario al quale viene presentata la pubblicità e, laddove applicabile, alle modalità di modifica di detti parametri”. Si arresta dunque a una tutela informativa.
Il DSA prevede persino lo sviluppo di un codice di condotta sul digital advertising: nessuno sa come e quando si svilupperà questa previsione, di fatto in mano alla Commissione Europea e agli operatori. In astratto, potrebbe rivelarsi di poco conto così come divenire uno strumento importante nel contrasto alle prassi più deleterie, specie quanto alla condivisione di dati personali tra più soggetti e sulla monetizzazione dei dati stessi.
Parimenti, l’art. 25 DSA vieta di manipolare le interfacce online in modo che si distorca o comprometta la capacità degli utenti destinatari di prendere decisioni libere e informate (c.d. dark pattern). Tuttavia, questa disposizione potrebbe non essere applicabile a strumenti che offrono alle persone la possibilità di scegliere come i loro dati personali vengono utilizzati per la pubblicità digitale (difatti in tali casi si applicherebbero le altre discipline come il GDPR e la Direttiva ePrivacy, non il DSA).
Non scordiamo che molte disposizioni del DSA si applicano solo alle piattaforme online molto grandi e ai motori di ricerca online molto grandi, non a tutta la pubblicità mostrata da piccoli siti web.
È anche vero che il DSA detta varie norme sul divieto di pubblicità profilata con dati particolari o verso minori, cosa che secondo lo studio è lodevole ma già anticipata dalle stesse grandi piattaforme. Alcuni lamentano che il DSA “si concentra sulla caratterizzazione dei tipi di annunci che non possono essere presentati sulla piattaforma, piuttosto che sul vietare il trattamento dei dati personali o specificare chi è responsabile della profilazione”. Così come il perimetro applicativo del DSA riguarderebbe l’advertising presentato sull’interfaccia di una piattaforma online o ai destinatari della stessa.
Ciò significa che la pubblicità basata sulla profilazione potrebbe ancora essere mirata ai minori o basata su dati particolari, su siti e app che non sono considerati “piattaforme online” ai sensi del DSA. Ad es. nel caso di siti di news e contenuti come i programmatic ads forniti dagli intermediari. Si dovrà monitorare quale interpretazione del perimetro del DSA si consoliderà in futuro, in tal senso.
Di seguito si possono leggere gli schemi presenti nello studio, prima nel raffronto tra il concetto di dati particolari del GDPR (art. 9) e la rispettiva “interpretazione” data nelle condizioni di servizio di Google e Meta. In generale vi è una certa sovrapposizione, è anche vero che nei termini contrattuali le piattaforme tendono ad attribuire significati e perimetri a volte difformi da quelli normativi.
Conclusioni e soluzioni
Secondo il report, la corsa al ribasso ha indebolito la capacità degli inserzionisti e degli editori di comunicare direttamente con i propri clienti e ha portato a una crisi di responsabilità nella pubblicità digitale. Il quadro normativo dell’UE comprende misure per affrontare alcuni problemi, ma presenta ancora lacune che potrebbero rendere difficile risolverli.
Lo studio conclude come sia necessario migliorare la trasparenza e il riparto di responsabilità nell’ecosistema della pubblicità digitale in tre aree: spesa pubblicitaria, rapporti B2B e normativa applicabile. Gli operatori del settore potrebbero alleviare i problemi di privacy in vari modi, nello studio si menziona come esempio “la creazione di un’interfaccia unica in cui gli utenti possono indicare le loro preferenze per la raccolta e il targeting dei dati pubblicitari”.
Questa interfaccia potrebbe consentire, in maniera centralizzata, di creare un profilo pubblicitario digitale (avatar) e attivare o disattivare gli annunci mirati. Tale approccio, secondo i ricercatori, potrebbe persino migliorare la fiducia degli utenti nella pubblicità digitale e ridurne l’invasività. Potrebbe ridurre la parcellizzazione e flusso indiscriminato dei dati tra tanti stakeholder, potendo riattribuire un maggiore controllo agli interessati.
Cosa davvero accadrà non è facile prevederlo, lo studio in parte è un monito per invocare un intervento attivo di tutte le parti interessate. Che l’attuale assetto del mercato non sia sostenibile, per le tante ragioni esplorate nel report, è largamente condiviso.
Meno chiaro è come sbloccare la situazione, quali alternative si potranno sviluppare. Vedremo se e come la politica, anzitutto potrà decidere di effettuare ulteriori interventi normativi, per agevolare la transizione a nuovi ecosistemi che possano lasciarsi alle spalle gli eccessi correnti.
Non sarà facile, la sfida è solo cominciata.
