Consultazione pubblica n. 272 del 29/04/2025

Consultazione pubblica sul modello "Pay or Ok"

Il Garante per la protezione dei dati personali avvia una consultazione pubblica di 60 giorni sui modelli di business noti come "Pay or Ok", "Consent or Pay" o forme analoghe, sempre più diffusi tra siti web e piattaforme digitali. L'iniziativa è rivolta a raccogliere contributi utili a valutare la compatibilità di tali modelli con la disciplina vigente in materia di protezione dei dati personali, con particolare riguardo alla validità del consenso e all'effettiva libertà di scelta degli interessati.

Contesto normativo e riferimenti considerati

Nel preambolo l'Autorità richiama il GDPR, la direttiva ePrivacy, il Codice privacy come modificato dal d.lgs. 101/2018, il d.lgs. 69/2012 e la direttiva (UE) 2019/770, oltre a vari atti interpretativi e di indirizzo del WP29 e dell'EDPB sul consenso, sulla trasparenza e sui cookie. Sono inoltre menzionati il parere congiunto EDPB-EDPS n. 2/2022 sul Data Act, la lettera EDPB del 13 dicembre 2023 e il parere EDPB n. 08/2024 sul valid consent nei modelli consent or pay delle grandi piattaforme online. È richiamata anche la decisione sanzionatoria della Commissione europea del 23 aprile 2025 nei confronti di Meta, adottata ai sensi del Digital Market Act, nonché le Linee guida del Garante su cookie e altri strumenti di tracciamento del 10 giugno 2021.

Fenomeno oggetto di attenzione

L'Autorità rileva che negli ultimi mesi numerosi titolari di siti web, soprattutto ma non solo editori, hanno introdotto banner che impongono una scelta tra prestare il consenso a cookie e altri strumenti di tracciamento per finalità di profilazione oppure sottoscrivere un abbonamento a pagamento. Il modello viene descritto come un sistema che può assumere la forma di cookie wall o di paywall, con impatto significativo sulle condizioni di accesso ai contenuti o ai servizi offerti. Il fenomeno è ritenuto ormai di portata sistemica, con ricadute su diritti e aspettative di un numero molto elevato di interessati.

Profili problematici evidenziati dal Garante

Il provvedimento sottolinea che tali modelli sollevano questioni rilevanti in materia di protezione dei dati personali, in particolare sotto il profilo della libertà del consenso, della specificità e della trasparenza dell'informativa. Il Garante richiama anche il tema della correttezza del trattamento, della libertà di impresa e della sostenibilità dei modelli economici digitali, osservando che possono emergere squilibri tra utenti e fornitori, specie in presenza di vulnerabilità economica. Viene inoltre evidenziata la necessità di valutare se il sistema consenta un controllo effettivo sui dati personali e una prevedibilità adeguata delle conseguenze della scelta dell'utente.

Quesiti posti alla consultazione

La consultazione è strutturata intorno a tre questioni principali:

• la compatibilità, con la disciplina sul consenso, di un unico consenso aggregato quale alternativa necessaria al pagamento, anche quando esso comporti la condivisione automatica dei dati con numerosi soggetti per finalità di profilazione;
• l'esistenza di alternative alla mera dicotomia pagamento/consenso che risultino meno invasive per la privacy, con possibili opzioni equivalenti o analoghe ma meno pervasivamente basate sui dati personali;
• le soluzioni idonee a garantire che l'interessato comprenda in modo pieno e prevedibile gli effetti della prestazione del consenso, anche in termini di accesso a una determinata quantità e qualità di contenuti o servizi.

Destinatari, modalità e effetti della consultazione

Il Garante invita imprese, consumatori, esperti, associazioni, professionisti, accademia e cittadini a inviare osservazioni, commenti, informazioni e proposte entro 60 giorni dalla pubblicazione dell'avviso in Gazzetta Ufficiale. I contributi possono essere trasmessi all'indirizzo postale del Garante oppure via email o PEC, con specifica indicazione dell'oggetto della consultazione. Le osservazioni non costituiscono vincolo per le successive determinazioni dell'Autorità, che potrà anche convocare alcuni partecipanti per incontri di approfondimento. La deliberazione sarà pubblicata sul sito istituzionale e in Gazzetta Ufficiale.