Opinion 8/2024 del Comitato europeo per la protezione dei dati personali sul modello "Pay or Consent".

Con la Opinion 08/2024 on Valid Consent in the Context of Consent or Pay Models Implemented by Large Online Platforms, il Comitato europeo per la protezione dei dati personali si è finalmente espresso sulla validità dei meccanismi “pay or consent”. Va detto che in linea di principio l’EDPB non vieta né ritiene illecito il meccanismo, ma lo sottopone a prevedibili quanto stringenti requisiti di conformità: (1)l'offerta di (solo) un'alternativa a pagamento al servizio che include il trattamento a fini di pubblicità comportamentale non è ammessa; (2) dovrebbe essere offerta anche una ulteriore alternativa non a pagamento (come anche previsto nei Principi sui Cookies della Commissione UE), senza pubblicità comportamentale, ad esempio con una forma di pubblicità che comporti il trattamento di una quantità minore (o nulla) di dati personali.; (3) qualsiasi tariffa imposta non può essere tale da inibire effettivamente gli interessati dal compiere una libera scelta o da determinare pregiudizio, come quando gli interessati non consenzienti non pagano un corrispettivo e rischiano quindi di essere esclusi da servizi importanti o decisivi per la partecipazione alla vita sociale; (4) i titolari del trattamento devono valutare, caso per caso, una serie di fattori, quali: se esiste uno squilibrio di potere con l’interessato; la posizione della grande piattaforma online nel mercato; l'esistenza di effetti di lock-in o di rete; la misura in cui l'interessato fa affidamento sul servizio; il pubblico principale del servizio; se il consenso è richiesto per accedere a beni o servizi, se il trattamento non sia necessario per l'adempimento del contratto; (5) i titolari del trattamento devono valutare una versione alternativa del servizio offerto che non implica il consenso al trattamento dei dati personali a fini di pubblicità comportamentale; (6) quando viene presentato un modello "consenso o pagamento", l'interessato deve essere libero di scegliere quale finalità di trattamento accettare (il consenso deve essere specifico e granulare), piuttosto che trovarsi di fronte a una richiesta di consenso che raggruppa diverse finalità. IL consenso va poi riconfermato ad intervalli di tempo.