Bruxelles, 17 aprile — Durante la sua ultima sessione plenaria, l' EDPB ha adottato un parere aseguito di una richiesta di cui all'articolo 64, paragrafo 2, del GDPR da partedelle autorità olandesi, norvegesi e di Amburgo per la protezione dei dati. Il parere riguarda la validità del consenso al trattamento dei dati personali ai fini della pubblicità comportamentale nel contesto di modelli di "consenso o a pagamento" utilizzati da grandi piattaforme online.
Il presidente dell'EDPB Anu Talus ha dichiarato: "Le piattaforme online dovrebbero offrire agli utenti una scelta reale quando utilizzano modelli di "consenso o a pagamento". I modelli che abbiamo oggi di solito richiedono alle persone di dare via tutti i loro dati o di pagare. Di conseguenza, la maggior parte degli utenti acconsente al trattamento al fine di utilizzare un servizio e non comprende tutte le implicazioni delle loro scelte."
Per quanto riguarda i modelli di "consenso o pagamento" attuati da piattaforme online di grandi dimensioni, l'EDPB ritiene che, nella maggior parte dei casi, non sarà possibile per loro soddisfare i requisiti per un consenso valido, se confrontano gli utenti solo con una scelta tra il consenso al trattamento dei dati personali per scopi pubblicitari comportamentali e il pagamento di un corrispettivo.
L'EDPB ritiene che offrire solo un'alternativa a pagamento ai servizi che comportano il trattamento di dati personali a fini di pubblicità comportamentale non dovrebbe costituire la soluzione predefinita per i titolari del trattamento. Nello sviluppo di alternative, le piattaforme online di grandi dimensioni dovrebbero prendere in considerazione la possibilità di fornire alle persone un'"alternativa equivalente" che non comporti il pagamento di una tassa. Se i titolari del trattamento scelgono di addebitare una tassa per l'accesso all'"alternativa equivalente", dovrebbero prendere in considerazione in modo significativo l'offerta di un'alternativa aggiuntiva. Questa libera alternativa dovrebbe essere priva di pubblicità comportamentale, ad esempio con una forma di pubblicità che comporta il trattamento di dati personali inferiori o nulli. Si tratta di un fattore particolarmente importante nella valutazione del consenso valido ai sensi del GDPR.
L'EDPB sottolinea che l'ottenimento del consenso non consente al titolare del trattamento di aderire a tutti i principi di cui all'articolo 5 del GDPR, quali la limitazione delle finalità, la minimizzazione dei dati e l'equità. Inoltre, le piattaforme online di grandi dimensioni dovrebbero considerare anche il rispetto dei principi di necessità e proporzionalità e sono responsabili di dimostrare che il loro trattamento è generalmente in linea con il GDPR.
Per quantoriguarda la necessità che l'autorizzazione sia libera, occorre tener conto dei seguenti criteri: condizionalità, danno, squilibrio di potere e granularità. Ad esempio, l'EDPB sottolinea che qualsiasi commissione addebitata non può far sentire i singoli soggetti obbligati al consenso. I titolari del trattamento dovrebbero valutare, caso per caso, sia l'adeguatezza di una commissione che l'importo appropriato in determinate circostanze. Le piattaforme online digrandi dimensioni dovrebbero inoltre valutare se la decisione di non acconsentire possa portare l'individuo a subire conseguenze negative, quali l'esclusione da un servizio di primo piano, la mancanza di accesso alle reti professionali o il rischio di perdere contenuti o connessioni. L'EDPB osserva che è probabile che si verifichino conseguenze negative quando le piattaforme online di grandi dimensioni utilizzano un modello di "consenso o pagamento" per ottenere il consenso al trattamento.
I titolari del trattamento devono inoltre valutare, caso per caso, se vi sia uno squilibrio di potere tra l'individuo e il titolare del trattamento. I fattori da valutare includono la posizione delle grandi piattaforme online sul mercato, la misura in cui l'individuo si basa sul servizio e il pubblico principale del servizio.
Inoltre, l'EDPB fornisce elementi per valutare i criteri di consenso informato, specifico e inequivocabile di cui le piattaforme online di grandi dimensioni dovrebbero tenere conto nell'attuazione di modelli di "consenso o pagamento"
Il presidente dell'EDPB, Anu Talus, aggiunge: "I titolari del trattamento dovrebbero fare sempre attenzione a evitare di trasformare il diritto fondamentale alla protezione dei dati in una caratteristica di cui le persone devono pagare per godere. Gli individui dovrebbero essere pienamente consapevoli del valore e delle conseguenze delle loro scelte."
Oltre al presente parere di cui all'articolo 64, paragrafo 2, l'EDPB elaborerà anche orientamenti sui modelli di "consenso o pagamento" con un campo di applicazione più ampio e collaborerà con le parti interessate in merito a questi prossimi orientamenti.
Nota dell'editore:
L'EDPB è stato invitato a emettere tale parere ai sensi dell'articolo 64, paragrafo 2, del RGPD per affrontare la validità del consenso nell'ambito dei modelli di "consenso o a pagamento" utilizzati dalle grandi piattaforme online, quando si chiede il consenso al trattamento di dati personali a fini di pubblicità comportamentale, anche alla luce della sentenza Bundeskartellamt della Corte di giustizia dell'Unione europea (C-252/21).
Il comunicato stampa qui pubblicato è stato tradotto automaticamente dall'inglese. L'EDPB non garantisce l'esattezza della traduzione. Si prega di fare riferimento al testo ufficiale nella sua versione inglese in caso di dubbi.