Attraverso un blog post, Meta ha annunciato di voler adottare il “consenso” come nuova base giuridica della pubblicità targetizzata, superando quindi l’impostazione che – fino ad oggi – affermava che il “legittimo interesse” fosse il fondamento più corretto per giustificare il trattamento dei dati per tali finalità.
Meta sarebbe quindi pronta a offrire agli utenti europei una scelta netta – “sì o no” al trattamento dei loro dati (o a quanto si legge dal post di “alcuni dati”) per ricevere pubblicità mirate.
La proposta di modifica arriva in risposta a una sanzione di 390 milioni di euro inflitta dall’Irish Data Protection Commission (DPC) proprio a causa della base giuridica scelta da Meta per i propri annunci personalizzati e alle pressioni esercitate dalle autorità garanti europee. Da ultima, l’autorità norvegese che – proprio lo scorso mese – ha imposto a Meta un divieto di tre mesi alla pubblicità comportamentale a meno che non ottenga il consenso degli utenti.
La vicenda prende le mosse dal reclamo presentato alla DPC nel 2018 da noyb – associazione non profit capitanata da Max Schrems – in cui Meta veniva accusata di utilizzare un meccanismo di “consenso forzato” e non libero come richiesto dal GDPR per tracciare e targetizzare gli utenti delle sue piattaforme con annunci personalizzati. Alle accuse, Meta aveva ribattuto sostenendo che il trattamento fosse in realtà fondato sull’esecuzione contrattuale (non il consenso), in quanto necessario ad adempiere al contratto che gli utenti avevano concluso con Meta accedendo a Facebook o Instagram, nel quale si prevedeva tra le altre cose la fornitura di annunci personalizzati.
A tre anni dall’inizio del procedimento, noyb aveva fatto trapelare una prima bozza di decisione della DPC da cui si evinceva la posizione dell’autorità irlandese particolarmente favorevole all’interpretazione di Meta , che aveva però sollevato pesanti obiezioni da parte di altre autorità garanti europee. Sul punto era stato quindi necessario l’intervento dell’EDPB, che aveva messo la parola fine ai contrasti tra le autorità adottando una decisione congiunta nella quale, cassando la posizione della DPC, affermava che Meta non avrebbe potuto utilizzare i dati personali per personalizzare annunci sulla base di un presunto contratto con l’utente.
La decisione vincolante dell’EDPB aveva costretto la DPC a rivedere le sue posizioni nella decisione finale pubblicata a gennaio 2023, nella quale – oltre a sanzionare Meta per 390 milioni di euro – veniva stabilito che il gigante tech non fosse legittimato a utilizzare la base giuridica del “contratto” per giustificare trattamenti di dati a fini pubblicitari e dava alla società tre mesi di tempo per adeguarsi. In risposta all’ordine di adeguamento, Meta aveva annunciato che avrebbe modificato la base giuridica a fondamento della pubblicità targetizzata optando per il legittimo interesse come nuova base giuridica, tentando quindi di svincolarsi dall’obbligo di raccogliere un consenso libero e specifico degli utenti.
La nuova posizione di Meta non ha però avuto vita lunga. A luglio 2023, infatti, la CGUE ha pubblicato un’importante sentenza che – pur deliberando su una diversa controversia – raggiungeva la dirompente conclusione che “la pubblicità personalizzata con cui il social network online Facebook finanzia la propria attività non può giustificare, quale interesse legittimo perseguito da Meta Platforms Ireland, il trattamento dei dati in questione, in assenza del consenso dell’interessato”.
Eliminata la possibilità di utilizzare il contratto o il legittimo interesse per legittimare le proprie attività pubblicitarie, con l’impegno pubblico preso pochi giorni fa Meta sembra capitolare alla necessità di raccogliere un consenso espresso da parte degli utenti per poter continuare le sua attività di tracciamento e personalizzazione.
Il post non indica una data certa dalla quale Meta intende implementare la modifica, né rappresenta una decisione vincolante. Tuttavia, è un segnale significativo per tutti gli operatori del settore, che fino ad oggi guardavano al gigante Meta e al suo business model come un punto di riferimento per la prassi di mercato.
L’ostinazione di noyb e delle autorità europee che, dopo cinque lunghi anni, sembra aver messo all’angolo Meta è in linea con la generale stretta adottata a livello europeo nei confronti della pubblicità comportamentale personalizzata, sotto diversi fronti. La linea dura è stata infatti tenuta anche dal legislatore europeo che ha introdotto sia nel Digital Markets Act, sia nel Digital Services Act condizioni e obblighi più stringenti rispetto alla possibilità per i provider di effettuare forme di pubblicità basate sul tracciamento degli utenti.
L’esistenza di business model basati su forme di targetizzazione massiva degli utenti è incerta e prossima a una possibile rivoluzione. Si attende ora la prossima mossa di Meta per valutare quale sarà l’impatto concreto che questa decisione avrà sul futuro del settore.
Sullo stesso argomento si rinvia anche agli articoli La sanzione privacy di 390 milioni di euro contro Meta sulla pubblicità personalizzata potrebbe cambiare Internet? e EDPB: Vietata a Meta la pubblicità personalizzata sulla base giuridica privacy dell’esecuzione del contratto di questa rivista.
