Paywall: un modello fuori controllo

Lo schema “paywall” è ritornato all’attenzione nazionale, ad esito della consultazione pubblica sul tema avviata dal Garante per la protezione dei dati personali.

L’argomento tuttavia si presta, a parere di chi scrive, a una lettura giuridica del tutto diversa da quella finora seguita e fondata in maniera esclusiva sul consenso dell’utente. Ma in che senso la lettura giuridica dovrebbe essere diversa e perché la questione è rilevante?

Partiamo dall’inizio.

Innanzitutto che cos’è un paywall?

Un paywall consiste nell’offrire all’utente un contenuto online dietro corrispettivo, presentando tuttavia un’alternativa al pagamento diretto, quella di accettare l’installazione di cookie sul proprio dispositivo.

La definizione coglie tuttavia solo un elemento del complessivo meccanismo giuridico: il consenso all’installazione (e alla successiva lettura) di cookie, ma non il punto principale, che resta, incredibilmente, nell’ombra, ossia i trattamenti (molteplici e invasivi) di dati personali permessi attraverso i cookie.

In termini più tecnici, la definizione copre solo la parte di applicazione della direttiva cd. ePrivacy (direttiva 2002/58), ma non anche quella di applicazione del GDPR.

UIteriore nota tecnica: la natura di lex specialis della direttiva ne autorizza la prevalenza sul GDPR esclusivamente nelle aree di effettiva sovrapposizione, ma non certo oltre le stesse! Non dunque in relazione ai trattamenti di dati personali, rispetto ai quali i cookie costituiscono solo lo strumento tecnico.

Per contestualizzare meglio ciò di cui parliamo: il paywall è in genere inteso come una variante del modello “cookiewall” (o “muro di cookie”), ossia di quello schema in cui l’utente può accedere a un contenuto solo consentendo all’installazione di cookie. Manca nel cookiewall, soluzione tutto sommato ingenua, la possibilità di fruire del contenuto semplicemente pagando non in dati ma in denaro. Il paywall è più scaltro.

Ora, mentre sull’illiceità del cookiewall non sussistono dubbi, la variante più sofisticata, il “paywall” appunto, che il lettore troverà indicato anche come “pay or OK” (ossia: paga oppure accetta il trattamento), ha finora, inaspettatamente, goduto invece di maggiore fortuna.

Verosimilmente, ciò è dovuto all’iniziale adozione dello strumento da gruppi societari assai robusti, soprattutto in ambito editoriale, in grado di mobilitare risorse di vario genere nel presidio dei propri paywall. Questo conferma un tratto essenziale, che non può sfuggire al giurista: il sottostante significato economico dell’operazione (ci torneremo a breve).

Il meccanismo, lasciato pressoché intatto da numerose Autorità di controllo, si è quindi espanso, cosa prevedibile, come una specie vegetale infestante, con il risultato che oggi un’ampia parte di siti web lo utilizzano disinvoltamente. Ma è lecito? Ecco spiegato il contesto della consultazione pubblica del Garante e il rilievo, anche molto concreto, dell’argomento.

Ai non addetti ai lavori, l’alternativa di evitare un pagamento in denaro prestando un consenso all’installazione di cookie può apparire un compromesso accettabile e non particolarmente lesivo della sfera personale. Eppure, ciò spesso avviene perché non si percepisce la vera portata dell’argomento.

Ci si ferma alla punta dell’iceberg, alla prima apparenza, ossia ai cookie, ma il grosso del tema, vale a dire le profilazioni massive, resta di primo acchito sommerso, o semplicemente non approfondito.

Dunque approfondiamolo. Il punto chiave da tenere presente, per una lettura corretta, è che i cookie (brevi file di testo scaricati sul dispositivo dell’utente) sono solo uno strumento. Ogni strumento, per definizione, permette una serie di attività.

L’elemento centrale sono allora proprio le attività. Nella specie, possono risultare particolarmente penetranti nella sfera giuridica e rilevano, come già notato, ai fini del GDPR. E’ è su queste ultime che occorre concentrarsi, prospettarsi invece la questione limitandola solo all’installazione / lettura di cookie risulta riduttivo e fuorviante.

L’alternativa andrebbe correttamente prospettata come segue: vuoi pagare per questo contenuto oppure accetti di farti profilare da centinaia e centinaia di terzi soggetti? A uno scenario del genere, su cui occorre sensibilizzare, allude appunto l’immagine di copertina scelta per questo articolo.

Facciamo un esempio concreto. Ecco come si presenta il paywall proposto da un noto quotidiano nazionale:

1042 terze parti è un numero abnorme di soggetti a cui permettiamo l’ingresso nelle nostre scelte di navigazione.

Immaginate di essere nel vostro salotto e improvvisamente di invitare 1042 sconosciuti che osservano ciò che fate.

E’ un bel cambiamento di prospettiva, e desidero proporlo al lettore. Lo è anche sul piano strettamente giuridico.

Ora passiamo al resto: solo l’archiviazione e l’accesso al / ai cookie riguardano la direttiva ePrivacy e richiedono, ex lege, il consenso dell’utente (l’utente, non l’interessato). Qui la base giuridica, ossia il consenso, è fissa e predeterminata, ai sensi dell’art. 122 cod. privacy.

Ma tutto il resto, ossia la geolocalizzazione, la pubblicità microprofilata, la valutazione della perfomance, per fermarci alle prime tre, sono tutte finalità di trattamento rilevanti per il GDPR. Non si parla più di utente, ma di interessato (esclusivamente persona fisica), e non è per niente detto che la base debba essere il consenso al trattamento, ossia, sul piano tecnico, l’art. 6.1.a) GDPR.

Sia notato incidentalmente: adottando la base 6.1.a), cioè il consenso “privacy”, sarebbero necessari centinaia di consensi, granulari e calibrabili, in applicazione dell’art. 4.11) GDPR. Ora, avviene che qualsiasi personalizzazione del consenso, ossia qualsiasi determinazione dell’interessato diversa dall’accettazione massiva e in blocco, determina, nella maggior parte dei paywall, l’impossibilità di accedere ai contenuti!

Si riesce appena a immaginare altro contesto in cui i requisiti di legge siano ridotti a semplice orpello privo di significato. Stupisce che tutto ciò sia tollerato, ad oggi.

La lettura tradizionale del paywall è dunque integralmente costruita sul consenso “privacy”, che tuttavia espone la parte debole, l’interessato, a insidiose accettazioni. A parere di chi scrive, invece, è impossibile non ravvisare qui un sinallagma contrattuale, ossia il tipico schema giuridico in cui una parte fornisce all’altra un servizio contro un pagamento.

Che il pagamento avvenga in denaro (“Pay”) o ugualmente in denaro (“or OK”), attraverso una monetizzazione dei dati personali dell’interessato, è, in prospettiva civilistica, esattamente la stessa cosa.

Il fornitore dei contenuti, ossia il titolare del sito web, ottiene in ogni caso un corrispettivo per la sua prestazione. Dunque, la base giuridica a cui ricondurre il trattamento mostre di dati personali è semmai il consenso contrattuale, e perciò l’art. 6.1.b) GDPR.

Prima che i titolari del trattamento esultino, giova notare che la normativa non permette di riempire di qualsiasi contenuto la base giuridica citata e che la stessa registra un notevole limite: la necessità del trattamento, qui evidentemente insoddisfatta, a parere di chi scrive.

L’erronea costruzione in chiave di art. 6.1.a) GDPR anziché di art. 6.1.b) GDPR costituisce probabilmente una prospettiva ereditata proprio dal modello cookiewall, ma impropria nel paywall.

Per un approfondimento più tecnico della sottostante costruzione giuridica, sia permesso rimandare il lettore qui di seguito al contributo trasmesso al Garante l’11 luglio 2025, nei termini di conclusione (60 giorni) della raccolta di contenuti richiesta dal Garante con avviso pubblicato in G.U. 108 del 12 maggio 2025: