La Corte di appello belga ha decretato che il Transparency and Consent Framework (TCF), l’inquadramento che viene adoperato da innumerevoli portali per profilare i dati degli utenti, non è compatibile con le leggi europee. In sostanza, la decisione giuridica sancisce ufficialmente che gran parte del mondo inserzionistico della Rete naviga nell’illegalità, violando sistematicamente la sicurezza e i diritti dei soggetti tutelati dal Regolamento generale sulla protezione dei dati (GDPR).
La pronuncia rappresenta l’esito di una battaglia legale durata sette anni, iniziata con l’introduzione stessa del GDPR nel 2018. Un primo, rilevante traguardo era già stato raggiunto nel 2022, quando – a seguito delle segnalazioni di numerose organizzazioni non governative, tra cui l’Irish Council for Civil Liberties (Irlanda), la Panoptykon Foundation (Polonia), Stichting Bits of Freedom (Paesi Bassi), la Ligue des Droits Humains (Belgio), nonché dei ricercatori Dott. Jef Ausloos e Dott. Pierre Dewitte – il Garante per la protezione dei dati del Belgio aveva riconosciuto che il sistema TCF “rappresenta un rischio significativo nei confronti dei diritti fondamentali e della libertà dei soggetti, in particolare quando sono coinvolti dati personali su grande scala, attività di profilazione, predizione di comportamente e la conseguente sorveglianza dei soggetti stessi”.
Il peso di questo chiarimento normativo può non apparire subito evidente. Tuttavia, colossi come Microsoft, Google, Amazon, X e, più in generale, circa l’80% delle entrate generate dalla pubblicità basata su offerte in tempo reale (RTB) poggiano sul TCF. Una fetta rilevante dell’ecosistema pubblicitario online si fonda infatti su un sistema d’asta che dipende strettamente dai dati raccolti tramite il TCF, il quale a sua volta si regge su quelle classiche finestre informative in cui i siti web chiedono agli utenti il consenso al trattamento dei dati. La Corte belga ha di fatto stabilito che quei nebulosi popup non bastano a legittimare le successive violazioni del GDPR.
Interactive Advertising Bureau (IAB), l’azienda pubblicitaria statunitense che aveva proposto il TCF come standard di riferimento, gioisce del fatto che i giudici le abbiano riconosciuto solamente una “responsabilità limitata” e rimarca che siano già pronte delle eventuali modifiche al TCF, le quali promettono di risolvere gli elementi critici sollevati nel 2022 dal Garante dei dati.
Le conseguenze concrete di questa presa di posizione restano, al momento, imprevedibili. Quasi l’80% dei ricavi di Google proviene dalla pubblicità, una dipendenza strutturale che accomuna molte realtà aziendali che vivono — o sopravvivono — grazie al web. L’eventuale smantellamento forzato del TCF rischia di innescare un terremoto tecnico-finanziario dalle ricadute profonde, compromettendo anche i delicati equilibri diplomatici con gli Stati Uniti, patria delle Big Tech più potenti e combattive. Più realistico immaginare una soluzione graduale: un percorso condiviso tra i regolatori europei e IAB per riformare il sistema TCF, correggendone le criticità senza ricorrere però a misure radicali e destabilizzanti.
Nel contesto italiano, la decisione belga arriva in un momento cruciale. All’inizio del mese, il Garante per la protezione dei dati personali ha avviato una consultazione pubblica sul modello “pay or ok”, il sistema adottato da molte testate giornalistiche per imporre agli utenti la scelta tra sottoscrivere un abbonamento o acconsentire al trattamento dei propri dati per poter accedere ai contenuti. Il riconoscimento dell’illegalità del TCF rappresenta un elemento rilevante a sostegno di chi si oppone a questa discutibile pratica commerciale e potrebbe spingere il Garante italiano ad adottare posizioni che impatteranno su tutta l’Unione Europea.
