Paga o accetta i cookie: la privacy digitale e la metamorfosi del consenso informato tra sanzioni europee e tutele del consumatore

Nel mese di aprile 2025, la Commissione Europea ha irrogato una sanzione finanziaria di 200 milioni di euro nei confronti di Meta per la violazione dell’Articolo 5, paragrafo 2, del Digital Markets Act (DMA). La decisione ha sanzionato l’adozione di meccanismi di interruzione pubblicitaria non saltabili (ad breaks) integrati nelle versioni a fruizione non retribuita delle piattaforme digitali, volti a degradare intenzionalmente l’esperienza d’uso per spingere l’utenza ad accettare il tracciamento integrale dei dati personali. Questo intervento regolatorio ha evidenziato la portata di un fenomeno che coinvolge quotidianamente milioni di cittadini nell’Unione Europea: la comparsa di interfacce bloccanti, note come cookie wall, che subordinano la consultazione di quotidiani online, la fruizione di reti sociali e l’accesso a servizi informativi alla scelta binaria tra prestare il proprio consenso alla profilazione comportamentale oppure sottoscrivere un abbonamento monetario a canone mensile.

Tale architettura, definita nella prassi giuridica ed economica come modello “Consent or Pay” (o “Pay or Okay”), pone la persona fisica di fronte a una rilevante asimmetria negoziale ed esistenziale. Il dilemma quotidiano tra cedere i propri attributi identitari, le abitudini di navigazione e la geo-localizzazione ai circuiti del Real-Time Bidding (RTB) o sostenere un esborso economico periodico altera la natura stessa dei diritti fondamentali. La protezione dei dati personali, garantita dall’Articolo 8 della Carta dei Diritti Fondamentali dell’Unione Europea e dall’Articolo 16 del Trattato sul Funzionamento dell’Unione Europea (TFUE), rischia di subire una progressiva monetizzazione che trasforma la riservatezza da valore indisponibile della persona a bene di consumo accessibile per censo. Il quadro normativo delineato dal Regolamento (UE) 2016/679 (GDPR), affiancato dalle direttive sulla tutela del consumatore e dalle pronunce delle Autorità di controllo europee, impone un’analisi sistematica volta a stabilire se ed entro quali limiti l’accesso all’informazione e ai servizi della società dell’informazione possa essere legittimamente monetizzato mediante la rinuncia alla privacy.

Parte 1: Come funziona il modello “Consent or Pay”

L’architettura tecnologica ed economica del modello “Consent or Pay” si fonda su un meccanismo di condizionamento preventivo dell’accesso. Quando un utente naviga verso un dominio web o un’applicazione che adotta tale sistema, si attiva un’interfaccia bloccante che impedisce la fruizione dei contenuti o la visualizzazione delle funzionalità fino al compimento di una scelta formale. Le due opzioni prospettate al lettore o al fruitore del servizio rispondono a logiche giuridiche ed economiche diametralmente opposte, le quali incidono in modo profondo sul trattamento delle informazioni personali.

L’opzione fondata sul consenso alla profilazione comporta la contestuale attivazione di identificatori attivi e passivi di prima e di terza parte. Attraverso l’installazione di cookie di profilazione, pixel di tracciamento e tecniche avanzate di device fingerprinting, il titolare del trattamento e centinaia di partner terzi acquisiscono la capacità di tracciare le azioni dell’utente tra molteplici siti web e applicazioni. Le informazioni estratte — che comprendono lo storico delle pagine visitate, gli argomenti di interesse, i tempi di permanenza, l’ubicazione geografica e la tipologia di dispositivo utilizzato — vengono elaborate da algoritmi predittivi per creare profili comportamentali dinamici. Tali profili vengono successivamente immessi nelle piattaforme tecnologiche di Real-Time Bidding (RTB), dove gli spazi pubblicitari della pagina vengono messi all’asta in pochi millisecondi e venduti all’inserzionista che offre la tariffa più elevata per mostrare un annuncio mirato. In questo schema, la fruizione del servizio appare finanziariamente gratuita, ma viene in realtà compensata attraverso una monetizzazione indiretta fondata sull’estrazione e sullo sfruttamento economico dei dati personali e dell’attenzione dell’interessato.

L’opzione fondata sul pagamento monetario, al contrario, sostituisce la monetizzazione indiretta dei dati con la corresponsione diretta di un canone di abbonamento. Scegliendo la via retribuita, l’utente esclude il trattamento dei propri dati personali per finalità di pubblicità comportamentale e tracciamento cross-site. Occorre tuttavia evidenziare che il pagamento dell’abbonamento non determina la cessazione assoluta di qualsiasi attività di elaborazione dei dati: il titolare del trattamento continua infatti a raccogliere ed elaborare le informazioni strettamente necessarie per erogare la prestazione contrattuale, gestire le transazioni finanziarie, garantire la sicurezza informatica della rete e adempiere agli obblighi fiscali previsti dalla legge, operando sulla base giuridica dell’esecuzione del contratto ex Articolo 6, paragrafo 1, lettera b), del GDPR.

Accanto a queste due modalità tradizionali, la dottrina e le autorità di regolamentazione individuano una “terza via” basata sulla pubblicità contestuale. Tale modello consente la fruizione gratuita del servizio senza richiedere il tracciamento storico dell’utente, poiché gli annunci pubblicitari vengono selezionati esclusivamente sulla base del contenuto della pagina consultata in quel determinato istante.

Al fine di offrire una sintesi analitica dei diversi modelli operativi presenti nel mercato digitale europeo, la seguente tabella descrive i parametri giuridici, tecnologici ed economici che li caratterizzano:

Parte 2: Il consenso è davvero libero? Cosa dicono le autorità

La legittimità del modello “Consent or Pay” trova il suo nodo ermeneutico primario nell’esegesi dell’Articolo 4, punto 11, e dell’Articolo 7 del Regolamento (UE) 2016/679 (GDPR). Affinché il consenso espresso dall’interessato possa costituire una valida base giuridica del trattamento ai sensi dell’Articolo 6, paragrafo 1, lettera a), esso deve configurarsi come una manifestazione di volontà libera, specifica, informata e inequivocabile. L’attenzione delle Autorità di protezione dei dati personali si è focalizzata in particolare sul requisito della libertà del consenso, valutato alla luce dell’Articolo 7, paragrafo 4, del GDPR, il quale sancisce il principio di non condizionalità. Tale disposizione impone di considerare con estremo rigore la circostanza in cui l’esecuzione di un contratto o la prestazione di un servizio sia subordinata al consenso al trattamento di dati personali non strettamente necessari all’esecuzione del contratto stesso.

Poiché le attività di profilazione e tracciamento comportamentale non risultano oggettivamente indispensabili per erogare i servizi essenziali di una piattaforma di rete sociale o per consentire la lettura di un articolo di giornale, l’imposizione del consenso quale requisito per accedere al servizio a titolo gratuito genera una presunzione di invalidità per vizio di condizionalità. Un consenso rilasciato dall’utente per evitare il blocco dell’accesso o per sfuggire all’imposizione di una barriera economica sproporzionata non può considerarsi spontaneo qualora il rifiuto comporti un pregiudizio (detriment). Il concetto di pregiudizio non comprende unicamente l’impatto finanziario diretto, ma si estende alle forme di isolamento sociale, lavorativo e relazionale, alla perdita di reti comunicative consolidate e al degrado della capacità di fruire del pluralismo informativo.

Un punto di svolta nell’interpretazione sistematica della materia è giunto con l’adozione del Parere 08/2024 del 17 aprile 2024 da parte del Comitato Europeo per la Protezione dei Dati (EDPB). Nel pronunciarsi sulla validità del consenso nei modelli “Consent or Pay” implementati dalle Grandi Piattaforme Online (Large Online Platforms – LOPs), l’EDPB ha concluso che, nella gran parte dei casi, tali soggetti non sono in grado di raccogliere un consenso valido qualora pongano gli utenti di fronte all’esclusiva alternativa tra la profilazione comportamentale e il pagamento di una tariffa monetaria. L’EDPB ha articolato la propria analisi su quattro pilastri fondamentali:

1. L’Asimmetria di Potere (Power Imbalance): La disparità contrattuale tra la grande piattaforma e il singolo cittadino si rivela particolarmente marcata quando la prima occupa una posizione dominante sul mercato o quando il servizio offerto riveste un ruolo determinante per la vita sociale e professionale dell’utente. In tali contesti, l’autodeterminazione dell’interessato risulta svuotata di contenuto effettivo.
2. L’Assenza di Pregiudizio (Detriment): La scelta di negare il consenso non deve comportare conseguenze negative per l’utente. L’imposizione di un costo d’abbonamento sproporzionato o punitivo costituisce un fattore di coercizione indiretta che infizia la spontaneità dell’adesione.
3. La Granularità del Consenso: L’architettura dell’interfaccia deve permettere all’utente di prestare o negare l’assenso in modo distinto per le diverse finalità di trattamento e per le differenti terze parti, evitando il condizionamento dell’erogazione del servizio all’accettazione di un pacchetto indistinto di tracciatori.
4. La Necessità di un’Alternativa Equivalente Gratuita (Equivalent Alternative): L’EDPB raccomanda caldamente l’implementazione di una “terza via” priva di addebito finanziario e priva di tracciamento per finalità pubblicitarie comportamentali, basata su forme di pubblicità contestuale. Qualora il titolare decida di mantenere un’opzione a pagamento, l’importo richiesto deve essere eccezionalmente contenuto e rigorosamente giustificato dai costi effettivi di erogazione, così da non neutralizzare la libertà di scelta.

È d’uopo precisare che, sotto il profilo della gerarchia delle fonti e dell’efficacia degli atti, la rilevanza giuridica dei pareri EDPB è stata oggetto di puntualizzazione da parte della giustizia dell’Unione. Con l’Ordinanza del 29 aprile 2025 nella Causa R-319/24 (Meta Platforms Ireland v European Data Protection Board), il Tribunale dell’Unione Europea ha dichiarato inammissibile il ricorso di Meta, rilevando che i pareri consultivi formulati dall’EDPB ai sensi dell’Articolo 64 del GDPR difettano di efficacia direttamente vincolante nei confronti dei soggetti privati. Il Tribunale ha chiarito che spetta unicamente alle Autorità di controllo nazionali adottare decisioni amministrative vincolanti, rimanendo peraltro ferme le prescrizioni ermeneutiche di cui tali pareri sono portatori per gli organi di vigilanza.

Sul piano nazionale italiano, il Garante per la Protezione dei Dati Personali ha avviato una complessa attività istruttoria fin dal mese di ottobre 2022, inviando formali richieste di informazioni ai principali gruppi editoriali e testate giornalistiche online che avevano introdotto cookie wall con opzione di abbonamento. Il Garante ha preliminarmente riconosciuto che il quadro normativo europeo non preclude in modo assoluto la possibilità di coordinare l’accesso ai contenuti con una controprestazione economica o con la prestazione del consenso. Tuttavia, l’Autorità italiana ha evidenziato la necessità di verificare la piena conformità delle interfacce grafiche ai principi di trasparenza e correttezza, imponendo agli editori la predisposizione di analitiche Valutazioni di Impatto sulla Protezione dei Dati (DPIA) ai sensi dell’Articolo 35 del GDPR e il rispetto delle proprie Linee guida cookie del 10 giugno 2021 (Doc Web 9677876).

Per definire un quadro regolatorio certo e duraturo, nel mese di maggio 2025 il Garante Privacy italiano ha avviato una consultazione pubblica (Doc Web 10126652) avente ad oggetto l’implementazione dei modelli “Pay or OK” nell’editoria digitale. L’iniziativa mira a individuare parametri equilibrati capaci di bilanciare la sostenibilità economica delle imprese editoriali indipendenti e la tutela della pluralità dell’informazione con la protezione dei diritti di riservatezza dei lettori.

Dal punto di vista della giurisprudenza sovranazionale, la Corte di Giustizia dell’Unione Europea (CGUE), con la storica sentenza del 4 luglio 2023 nella Causa C-252/21 (Bundeskartellamt), aveva stabilito che le piattaforme dominanti non possono ricorrere all’esecuzione del contratto o al legittimo interesse per fondare la profilazione pubblicitaria. L’inciso della Corte secondo cui agli utenti deve essere offerta un’alternativa equivalente “se necessario a fronte di un congruo pagamento” (if necessary for an appropriate fee) è stato tuttavia rigettato nella sua interpretazione estensiva dalle istituzioni europee. L’entrata in piena operatività del Digital Markets Act (DMA – Regolamento UE 2022/1925) ha infatti imposto ai soggetti qualificati come “gatekeeper” il divieto tassativo di combinare dati personali per finalità pubblicitarie senza un consenso che soddisfi integralmente le condizioni rigorose del GDPR.

L’azione congiunta delle autorità europee ha trovato ulteriore forza nel diritto della tutela dei consumatori. La rete di cooperazione per la tutela dei consumatori (CPC Network), coordinata dalla Commissione Europea e sostenuta dalle associazioni europee tra cui il BEUC (European Consumer Organisation) e le rappresentanze nazionali, ha contestato ai gestori delle piattaforme l’impiego di pratiche commerciali scorrette e aggressive ai sensi della Direttiva 2005/29/CE. In particolare, sono stati censurati l’uso di dark patterns (architetture di interfaccia ingannevoli volte a condizionare la scelta dell’utente), la qualificazione ingannevole della versione basata sul tracciamento come “gratuita” e l’omissione di informazioni chiare circa il reale utilizzo dei dati riservati.

La trasformazione della riservatezza in una controprestazione patrimoniale solleva profonde preoccupazioni di ordine socio-economico. Quando la tutela della sfera privata diventa subordinata al pagamento di un canone monetario, si genera una stratificazione sociale della privacy:

• I cittadini dotati di adeguate risorse finanziarie riescono ad acquistare la propria immunità dalla profilazione e dalla sorveglianza digitale.
• Le fasce sociali economicamente vulnerabili o a basso reddito si trovano costrette a cedere i propri dati personali ed a subire un tracciamento sistematico pur di non rimanere escluse dalla vita relazionale, dai servizi essenziali e dal dibattito pubblico online.

La privacy cessa così di operare come diritto fondamentale della persona e degrada a “bene di lusso”, in aperta violazione dei principi costituzionali dell’ordinamento europeo.

Parte 3: Guida pratica per il consumatore (FAQ)

Q1: Se rifiuto di pagare, sono costretto ad accettare tutti i cookie di tracciamento?

Nelle architetture conformi al quadro normativo europeo, il rifiuto di sottoscrivere un abbonamento a pagamento non deve tradursi nell’accettazione automatica e indifferenziata di ogni tipologia di marcatore digitale. Il principio di granularità del consenso sancito dal GDPR e ribadito dalle Linee guida del Garante Privacy impone che l’utente sia messo in condizione di modulare le proprie preferenze.

Qualora l’interfaccia presenti un tasto per l’accettazione del tracciamento in alternativa al pagamento, il titolare del trattamento è comunque tenuto a mettere a disposizione dell’utente un pannello di gestione delle preferenze. Attraverso tale pannello, il cittadino conserva il diritto di prestare l’assenso per talune finalità specifiche (ad esempio la misurazione statistica dell’audience con dati aggregati) negando contestualmente il consenso per la profilazione comportamentale avanzata e per la cessione delle informazioni a soggetti terzi. L’imposizione di un blocco che costringa ad accettare incondizionatamente centinaia di fornitori di tracciamento rappresenta una condotta contraria ai principi di correttezza e minimizzazione dei dati.

Q2: È legale che un sito mi blocchi la visione se non pago o non accetto i cookie?

La legittimità del blocco dell’accesso tramite cookie wall o paywall varia in misura determinante a seconda della natura del soggetto operante e della presenza di alternative di fruizione.

Per le Grandi Piattaforme Online (LOPs) e i soggetti qualificati come “gatekeeper” ai sensi del Digital Markets Act (come Meta o Google), la Commissione Europea e l’EDPB hanno chiarito che l’imposizione di un blocco binario coercitivo è da ritenersi presuntivamente illegittima. Tali attori dominanti sono tenuti a garantire un’alternativa gratuita priva di profilazione comportamentale, fondata sulla pubblicità contestuale.

Per gli editori di stampa indipendenti e le testate giornalistiche, il quadro appare più articolato. Il Garante Privacy italiano e le autorità europee riconoscono l’esigenza di tutelare la sostenibilità economica della produzione editoriale e il pluralismo dell’informazione. Un editore può limitare la consultazione gratuita a fronte del rifiuto del tracciamento, a condizione che l’abbonamento alternativo presenti un prezzo equo e non punitivo, e che l’informativa fornita al lettore sia pienamente trasparente circa i costi e le modalità di trattamento. Qualora il costo dell’abbonamento sia fissato ad un livello palesemente sproporzionato rispetto al valore economico del tracciamento, la condotta configura un condizionamento indebito che invalida il consenso.

Q3: I miei dati personali valgono quanto il prezzo dell’abbonamento richiesto?

Dal punto di vista economico, sussiste una sensibile divaricazione tra il valore di mercato dei dati di profilazione del singolo utente e il prezzo dei canoni di abbonamento correntemente richiesti dalle piattaforme digitali.

Nel settore della pubblicità digitale, la monetizzazione dei dati personali viene misurata attraverso parametri finanziari quali l’eCPM (effective Cost Per Mille), che indica il ricavo medio ottenuto dall’editore per ogni mille visualizzazioni pubblicitarie. La stima del valore economico generato dal tracciamento comportamentale di un singolo utente su una piattaforma di rete sociale o su un quotidiano online oscilla mediamente tra pochi centesimi e un paio di euro al mese.

A fronte di tale valore, i canoni d’abbonamento mensili imposti dai modelli “Consent or Pay” variano frequentemente tra i 3 e i 13 euro al mese. Tale asimmetria evidenzia che la tariffa monetaria non viene calcolata per compensare in modo esatto il mancato ricavo pubblicitario, ma viene volutamente fissata ad un livello elevato al fine di dissuadere l’utente dal diniego del consenso. L’imposizione di un prezzo artificialmente alto funge da leva di coercizione psicologica ed economica, spingendo la stragrande maggioranza della popolazione a selezionare l’opzione “gratuita” basata sul tracciamento integrato.

Q4: Cosa sta facendo l’Unione Europea per fermare questo sistema?

L’Unione Europea sta attuando un’azione sistematica e multilivello basata sull’applicazione coordinata della normativa sulla protezione dei dati, della regolamentazione dei mercati digitali e della tutela del consumatore:

• L’EDPB ha fissato nel Parere 08/2024 gli standard per l’invalidazione del consenso estorto dalle grandi piattaforme, imponendo la strutturazione della “terza via” basata sulla pubblicità contestuale.
• La Commissione Europea, nell’esercizio delle competenze attribuite dal Digital Markets Act, ha avviato procedure di non conformità nei confronti di Meta, giungendo ad irrogare la sanzione di 200 milioni di euro nell’aprile 2025 per la degradazione intenzionale dell’esperienza d’uso mediante interruzioni pubblicitarie forzate. La Commissione ha stabilito stringenti parametri applicativi che vincoleranno le piattaforme a garantire opzioni di scelta eque ed esenti da condizionamenti a partire da gennaio 2026.
• La rete delle Autorità di tutela dei consumatori (CPC Network) e il BEUC hanno attivato formali azioni di contrasto sanzionando l’utilizzo di dark patterns, l’omissione di informazioni precontrattuali e la qualificazione ingannevole della profilazione come servizio “gratuito”.
• Il Garante Privacy Italiano ha aperto una consultazione pubblica nel maggio 2025 (Doc Web 10126652) per definire linee guida vincolanti rivolte all’editoria digitale, volte a stabilire criteri certi per il calcolo dei canoni e la trasparenza dei banners.

Consiglio di Consumity

In un contesto regolatorio in forte evoluzione, la tutela della privacy e dei propri diritti di consumatore digitale richiede la conoscenza degli strumenti tecnici e giuridici immediatamente attivabili. Il dipartimento legale e tecnologico di Consumity suggerisce l’adozione delle seguenti misure pratiche per la gestione del consenso e la difesa della propria identità online:

• Modulazione attiva dei consensi: Di fronte alla comparsa di un cookie wall, è raccomandabile evitare l’interazione d’impulso con il tasto di accettazione globale. È opportuno accedere al pannello di configurazione avanzata per verificare se sia possibile disattivare la profilazione comportamentale mantenendo abilitati esclusivamente i cookie tecnici e i tracciatori statistici anonimizzati.
• Utilizzo di estensioni per la difesa della privacy: Per limitare l’estrazione sistematica delle informazioni personali senza violare le condizioni di accesso, è possibile integrare nel proprio browser di navigazione strumenti tecnologici capaci di bloccare i tracciatori di terza parte, il device fingerprinting e gli elementi di monitoraggio delle reti sociali. L’adozione di browser orientati alla riservatezza e l’attivazione di protocolli standardizzati quali il Global Privacy Control (GPC) consentono di inviare automaticamente ai siti web una manifestazione formale di diniego del tracciamento.
• Esercizio del diritto di revoca del consenso: Si ricorda che, ai sensi dell’Articolo 7, paragrafo 3, del GDPR, l’interessato ha il diritto di revocare il proprio consenso in qualsiasi momento con la medesima facilità con cui lo ha prestato. Qualora si sia accettato il tracciamento in un momento precedente, è sempre possibile accedere all’area riservata del sito o al link di gestione della privacy posto nel piè di pagina per modificare le preferenze espresse.
• Segnalazione degli abusi alle Autorità competenti: Laddove un sito web presentare interfacce ingannevoli (dark patterns), renda impossibile la revoca del consenso, imponga tariffe d’abbonamento palesemente estorsive o utilizzi interruzioni forzate degrading dell’esperienza, il cittadino ha la facoltà di inviare un formale reclamo al Garante per la Protezione dei Dati Personali ai sensi dell’Articolo 77 del GDPR. Qualora la condotta integri una pratica commerciale scorretta o fuorviante, la segnalazione può essere inoltrata contestualmente all’Autorità Garante della Concorrenza e del Mercato (AGCM) e alle associazioni dei consumatori.