Version classiqueVersion mobile

Società delle tecnologie esponenziali e General Data Protection Regulation

 | 
Simone Bonavita

Pubblicità comportamentale, GDPR e rischi di discriminazione

Francesco Banterle

Texte intégral

Premessa

  • 1 Uno studio della società di advertising ValueClick ha stimato che gli annunci personalizzati sulla (...)

1In una economia sempre più dato-centrica è ormai difficile immaginare una pubblicità non collegata a interessi personali, consumi e tracce lasciate nel web. Si tratta della cd. pubblicità comportamentale ed è un fenomeno di rilevanza centrale, atteso che l’ecosistema di internet si regge ormai in gran parte sugli introiti pubblicitari. Conseguentemente, la possibilità di utilizzare i dati degli utenti per massimizzare i ricavi, attraverso l’offerta di annunci pubblicitari in grado di attrarre maggiore attenzione, diventa una questione di dominanza – se non sopravvivenza – del mercato digitale.1

2La pubblicità comportamentale si basa sulla personalizzazione dei contenuti, attraverso l’analisi delle informazioni personali degli utenti, e sulla previsione di attitudini comportamentali. Andando ad identificare gli utenti, essa comporta un trattamento di dati personali soggetto alla disciplina privacy, che in Europa sta vedendo il suo rinascimento grazie al nuovo Regolamento Europeo in materia di protezione dei dati personali 2016/679 (“GDPR”).

  • 2 EDPS (2015) Opinion 7/2015 Meeting the challenges of big data. Ufficio delle pubblicazioni dell’Un (...)

3Il fenomeno della pubblicità comportamentale è tuttavia complesso e non privo di rischi, seppur non sempre immediatamente evidenti. Social e smart devices ci portano infatti a disseminare sempre più informazioni, spesso inconsciamente. L’identificabilità dell’individuo da un dato diventa sempre più semplice, anche per via indiretta. Sistemi di intelligenza artificiale permettono di applicare modelli comportamentali ogni giorno più sofisticati per prevedere scelte e dirigere azioni mirate. Aumenta la possibilità di creare profili sempre più intimi e arrivare a comprendere dove gli utenti sono più vulnerabili. Nella pubblicità comportamentale (attraverso l’analisi dei dati) l’utente diventa quindi prodotto di mercato rendendo il problema “privacy” di centrale importanza.2

4Questo lavoro si propone di analizzare come il GDPR interviene sul tema della pubblicità comportamentale e quali novità introduce rispetto alla precedente disciplina europea (in primo luogo la Direttiva 95/46/CE - “Direttiva Privacy”) e al Codice Privacy italiano (dlgs. 196/2003); con particolare attenzione al problema della discriminazione degli individui.

Pubblicità comportamentale e profilazione

  • 3 L’organo consultivo istituito dall’art. 29 della Direttiva Privacy che comprende i rappresentanti (...)
  • 4 WP29 (2010) Opinion 2/2010 on online behavioural advertising. Bruxelles, 00909/10/EN WP171.
  • 5 Nel contesto della pubblicità comportamentale può assumere altresì rilievo il trattamento dei dati (...)

5Il Gruppo di lavoro ex Articolo 29 (WP29)3 ha descritto la pubblicità comportamentale online come l’attività “di tracciamento degli utenti durante la navigazione in rete e, nel tempo, la creazione di profili che vengono successivamente utilizzati per fornire agli utenti contenuti pubblicitari che rispondono ai loro interessi”.4 L’adattamento dei contenuti pubblicitari sulla base dell’analisi delle abitudini degli utenti è il risultato di un trattamento automatizzato dei dati tradizionalmente compreso nel concetto di “profilazione”.5

6Il termine profilazione fa riferimento alla creazione di profili comportamentali / di interessi degli utenti per dirigere azioni mirate. Può comportare una serie di deduzioni statistiche ed è di solito impiegata per analisi predittive delle scelte individuali. Normalmente tale operazione avviene attraverso l’impiego di dati tratti da varie fonti per dedurre parametri comportamentali dell’utente e individuare correlazioni rispetto a cluster comportamentali generali.

  • 6 L’art 37(d) del Codice Privacy ricomprende tra i trattamenti a rischio, oggetto di notificazione a (...)
  • 7 V. per es. Garante Privacy (2005) ‘Fidelity card’ e garanzie per i consumatori. Le regole del Gara (...)

7Sotto un profilo privacy, la profilazione ha conseguenze di rilievo: nella tradizione italiana è stata considerata un’attività di trattamento dati rischiosa,6 nonché una finalità autonoma e specifica che necessita, quindi, di una base giuridica che ne giustifichi la legittimità.7

Pubblicità comportamentale e profilazione nelle direttive privacy e nel GDPR

8La profilazione è stata oggetto di un quadro normativo frammentato. La Direttiva Privacy non contiene una disciplina generale specifica, né una nozione del concetto di profilazione. Essa pone, invece, particolare attenzione ai trattamenti decisionali automatizzati, all’interno dei quali può essere inclusa la profilazione. L’art. 15 stabilisce che ogni interessato ha il diritto a non essere oggetto di decisioni prese esclusivamente sulla base di un trattamento automatizzato dei dati là dove esse possano (i) produrre un effetto giuridico o (ii) avere effetti significativi nei suoi confronti. Possono essere previste eccezioni soltanto là dove il trattamento sia (a) necessario per l’esecuzione di una prestazione contrattuale; o (b) autorizzato dalla legge nazionale. La profilazione, in particolare in relazione alla pubblicità comportamentale, non è stata generalmente ricompresa nell’ambito di tale previsione.

  • 8 WP29 (2010) Opinion 2/2010 on online behavioural advertising, op. cit., p. 7. Bruxelles, 00909/10/ (...)
  • 9 Art. 5(3) Direttiva e-Privacy come modificata dalla Direttiva 2009/136/CE.
  • 10 V. supra nota 5.

9Successivamente, la Direttiva e-Privacy (2002/58/CE) (che si innesta come lex specialis nel quadro della Direttiva Privacy) ha introdotto una serie di regole specifiche per l’utilizzo delle tecnologie di tracciamento online (i cookie) – sulle quali si basa normalmente la profilazione nella pubblicità comportamentale online8 – e imposto il consenso informato dell’utente per il loro utilizzo a fini di profilazione.9 Il Codice Privacy include invece la profilazione tra i trattamenti a rischio per i quali è richiesta la notificazione al Garante Privacy.10

10Il GDPR innova decisamente la disciplina della profilazione, introducendone per la prima volta una definizione legale (Art. 4.1(4)). Essa ha a oggetto la valutazione degli aspetti di un individuo per analizzarne o predirne la situazione economica, la salute, il rendimento professionale, le preferenze, gli interessi, l’affidabilità, il comportamento, l’ubicazione o i movimenti; comporta, quindi, una previsione o un giudizio.

  • 11 Ciò in quanto non si profilerebbe per il solo gusto di profilare, ma nell’ambito di altre finalità (...)

11La profilazione è considerata una “forma”, o una “tecnica” (v. Considerando 24), di trattamento, almeno in parte, automatizzato. Apparentemente, quindi, non si tratterebbe più di una finalità (necessariamente) autonoma, quanto di una modalità di trattamento associata ad un’altra finalità, quale il direct marketing.11 Il GDPR prevede, infatti, il diritto di opposizione dell’interessato in particolare verso la profilazione connessa ad attività di marketing (Art. 21(2)). In altri casi, tuttavia, il GDPR sembra lasciare intendere che la profilazione possa comunque assumere rilievo come finalità del trattamento (v. per es. il Considerando 38, che si riferisce alla specifica finalità “di creazione di profili di personalità o di utente”). Questa possibilità va probabilmente ricondotta al caso in cui la creazione di un profilo abbia una funzione e una valenza autonoma, ad esempio per la creazione e cessione a terzi di profili utenti nell’ambito di operazioni di analitica oppure per personalizzare la customer experience (indipendentemente dal marketing diretto).

  • 12 Sul punto mi permetto di rinviare a Banterle, F. (2016) Brevi cenni sulla titolarità dei dati comp (...)

12Il GDPR ribadisce inoltre alcuni principi generali che incidono senz’altro sulle attività di profilazione quali la minimizzazione dei dati, la qualità dei dati e la limitazione della conservazione (Art. 5); unitamente a un’eccezione applicabile al trattamento di dati a fini statistici.12

  • 13 Il WP29 sostiene che l’Art. 22 non sancisce solo il diritto dell’interessato a non essere oggetto (...)
  • 14 Il GDPR non definisce il concetto di consenso esplicito che è tuttavia possibile ricollegare a una (...)

13Oltre a essere soggetta al regime generale per il trattamento dei dati (Considerando 72), la profilazione assume rilevanza particolare come una delle principali tipologie di trattamento decisionale automatizzato (soggetto alla disciplina speciale già prevista dalla Direttiva Privacy). In particolare, l’Art. 22 del GDPR riprende lo schema dell’Art. 15 della Direttiva e include la “profilazione” tra le operazioni di trattamento che comportano un processo decisionale totalmente automatizzato al quale l’interessato ha diritto a non essere assoggettato se esso è in grado di (a) produrre un effetto giuridico o (b) avere effetti significativi analoghi nei suoi confronti.13 A questo proposito, il GDPR introduce il consenso dell’interessato come nuova base giuridica (o eccezione) per giustificare tale trattamento. E, tuttavia, atteso l’alto livello di rischio, impone il consenso “esplicito”.14 Altre basi giuridiche, per es. il legittimo interesse, non possono essere invocate. In sostanza dunque la profilazione e i trattamenti decisionali automatizzati sopra descritti sono posti sul medesimo livello del trattamento delle categorie di dati particolari ex Art. 9 GDPR, per cui è richiesto parimenti il consenso esplicito. In aggiunta, il GDPR introduce nuovi diritti per gli interessati, tra cui il diritto a ricevere chiarimenti sul trattamento decisionale automatizzato (Art. 13.2(f)), come la logica utilizzata, e il diritto di richiedere l’intervento umano (Art. 22.3).

Quando la pubblicità personalizzata comporta una attività di profilazione

14Non è sempre agevole determinare quando il marketing personalizzato comporti un’attività di profilazione e se qualsiasi tipo di personalizzazione dia adito a una forma di profilazione.

  • 15 WP29 (2010) Opinion 2/2010 on online behavioural advertising, op. cit., p. 5. Bruxelles, 00909/10/ (...)

15Il WP29 aveva distinto e analizzato una serie di attività nell’ambito delle tecniche di marketing:15

  • La pubblicità contestuale: la selezione di contenuti pubblicitari come conseguenza dei contenuti visualizzati in quel momento dall’interessato. Per esempio, per i motori di ricerca, il contenuto dedotto (a) dalle parole chiave della ricerca effettuata, o (b) dall’indirizzo IP dell’utente se connesso alla sua ubicazione geografica.
  • La pubblicità segmentata: la selezione di contenuti pubblicitari in base a caratteristiche note dell’interessato (età, sesso, posizione, ecc.), e fornite dallo stesso durante la registrazione o l’autenticazione a un sito.
  • La pubblicità comportamentale: la selezione di contenuti pubblicitari sulla base degli interessi degli utenti derivati o dedotti dal loro comportamento.

16Nei primi due casi non si realizzerebbe una attività di profilazione vera e propria, in quanto la personalizzazione degli annunci pubblicitari ricorre a delle “istantanee” di ciò che gli interessati visualizzano o fanno su un particolare sito oppure a caratteristiche note degli stessi. Al contrario, la pubblicità comportamentale offre potenzialmente un’immagine molto dettagliata dell’interessato, con informazioni sulle pagine web visitate, la durata, l’ordine di visualizzazione, ecc. Rappresenta, quindi, l’esito di un’attività di profilazione.

  • 16 Garante Privacy, Registro dei provvedimenti n. 306 del 13 luglio 2016.
  • 17 Council of Europe (2010) The protection of individuals with regard to automatic processing of pers (...)

17Per meglio comprendere quale sia la “soglia” minima della profilazione nella pubblicità personalizzata, vale la pena richiamare una recente decisione del Garante Privacy,16 il quale ha affermato che la pubblicità mirata configura un’attività di profilazione quando la segmentazione del pubblico si basa su dati generici (come sesso, età, ubicazione), unitamente alla cronologia di acquisto dei prodotti offerti dal titolare del trattamento, al fine di applicare correlazioni sulla base di cluster generali. Tale orientamento troverebbe conferma anche nella Raccomandazione del Consiglio d’Europa sulla profilazione e i trattamenti automatizzati,17 che aveva escluso dalla nozione di profilazione le attività di trattamento che non comportano deduzioni e/o correlazioni.

  • 18 Si veda la prima versione (3 ottobre 2017) delle già citate Guidelines on Automated individual dec (...)

18Nell’ambito del GDPR, il WP29 aveva dapprima adottato un’interpretazione a maglie larghe del concetto di profilazione. In particolare, aveva sostenuto che anche la semplice valutazione o classificazione di individui sulla base di caratteristiche come l’età, il sesso, e l’altezza, potrebbe essere considerata un’attività di profilazione; indipendentemente da qualsiasi finalità predittiva.18

19Questa posizione non è condivisibile. La semplice creazione di una lista di clienti appartenenti a un certo range di età, o residenti in una data area geografica, sulla base di caratteristiche già note, sembrerebbe un’operazione di base che non comporta elementi valutativi o di analisi comportamentale. Sarebbe invece più ragionevole rifarsi ai criteri sopra indicati. Vale a dire che una operazione di profilazione richiede l’analisi di più elementi che permettano di generare un profilo di interessi e/o applicare correlazioni e parametri deduttivi.

  • 19 Ibid., versione rivista del 6 febbraio 2018, p. 7.

20E in effetti, più di recente, anche il WP29 ha rivisto la sua posizione e convenuto che la semplice classificazione degli individui sulla base di caratteristiche conosciute (per es. età, sesso, etc.) non è di per sé sufficiente a configurare una forma di profilazione. Ciò che rileva è lo scopo della classificazione: l’uso dei dati deve comportare una previsione o un giudizio sull’interessato.19

Il requisito dell’effetto significativo nei confronti dell’interessato per la profilazione a rischio

  • 20 Il trattamento è totalmente automatizzato anche in presenza dell’intervento umano (per es. se l’op (...)

21La disciplina speciale sui trattamenti automatizzati tracciata dal GDPR è applicabile alla profilazione quando essa sia parte di un procedimento decisionale totalmente automatizzato e in grado di produrre un effetto significativo (o giuridico) nei confronti di un individuo. In sostanza si può parlare: (i) di una profilazione generale, indipendentemente da un processo decisionale; (ii) di una profilazione parte di un processo decisionale ma non totalmente automatizzata; (iii) di una profilazione parte di un processo decisionale totalmente automatizzato, che non ha un effetto significativo sull’interessato; (iv) che ha un effetto significativo sull’interessato. Le prime tre ipotesi sono regolate in maniera analoga e soggette alla disciplina generale; la quarta ipotesi è soggetta alla disciplina speciale e più rigida. Occorre, poi, considerare che la pubblicità comportamentale viene effettuata sempre più in maniera totalmente automatizzata;20 e ben può quindi ricadere in ciascuna delle ipotesi sopra indicate.

22Non è sempre agevole determinare quando un’attività di profilazione possa avere un impatto significativo sull’individuo, specialmente nell’ambito della pubblicità comportamentale. A questo proposito, il Considerando 71 del GDPR indica quali rischi connessi alla profilazione nell’ambito dei trattamenti decisionali automatizzati, inesattezze, errori, violazione di diritti o interessi degli interessati e, soprattutto, il rischio di effetti discriminatori nei loro confronti.

  • 21 WP29 (2017) Guidelines on Automated individual decision-making and Profiling for the purposes of R (...)

23Pur riconoscendo la difficoltà nel delineare una soglia di “significatività”, il WP29 ha chiarito che per essere “significativo” l’impatto deve essere equivalente o di importanza analoga alla produzione di un effetto giuridico e incidere, quindi, sui diritti dell’interessato. Deve trattarsi di un effetto importante, non banale e “degno di attenzione”. Vale a dire che la decisione deve essere in grado di influenzare le circostanze, il comportamento o le scelte dell’interessato. Ma, in ultima istanza, l’impatto è significativo se nelle conseguenze più estreme può portare all’esclusione o alla discriminazione dell’interessato.21

  • 22 L’unica differenza di rilievo è che l’art. 22 GDPR si riferisce a una decisione basata “unicamente (...)

24Ulteriori indicazioni possono essere tratte dalla disciplina del cd. data protection impact assessment (“DPIA”) che il GDPR detta per le attività di trattamento a rischio. L’Art. 35.3(a) GDPR impone l’esecuzione di un DPIA in particolare nel caso di “una valutazione sistematica e globale di aspetti personali relativi a persone fisiche, basata su un trattamento automatizzato, compresa la profilazione, e sulla quale si fondano decisioni che hanno effetti giuridici o incidono in modo analogo significativamente su dette persone fisiche”. Si tratta sostanzialmente della medesima fattispecie regolata dall’Art. 22 GDPR.22

  • 23 WP29 (2017) Guidelines on Data Protection Impact Assessment (DPIA) and determining whether process (...)

25A questo proposito, il WP29 ha stilato alcuni esempi di situazioni tipiche più o meno rischiose a seconda della invasività della profilazione;23 unitamente a una serie di elementi che innalzerebbero il livello di rischio, quali:

  • l’uso di una nuova tecnologia;
  • la durata del trattamento;24
  • l’entità dei dati trattati e il trattamento di dati su larga scala;
  • il raffronto e la combinazione di banche di dati differenti.

26Le categorie di rischi sopra accennate porterebbero dunque a distinguere tra un livello di profilazione “strong” e “soft”, soggetti a regimi differenti in virtù del grado di invasività. E, tuttavia, anche nell’affrontare la disciplina del DPIA, il WP29 ammonisce da ultimo che un ulteriore elemento di rischio riguarda la possibilità di discriminazione degli individui.

Il rischio di discriminazione nella pubblicità comportamentale

27Un rischio di discriminazione parrebbe un’ipotesi piuttosto remota se calata nell’ambito della pubblicità comportamentale. Ciò nonostante, se pur normalmente la pubblicità comportamentale non abbia un effetto sugli individui, tale evenienza non deve essere esclusa.

  • 25 Cfr. Castelluccia, C. e Narayanan, A. (2012) Privacy considerations of online behavioural tracking, (...)
  • 26 Cfr. Datta, A., Tschantz, M. C., & Datta, A. (2015) Automated Experiments on Ad Privacy Settings A (...)
  • 27 Sul punto cfr. Datta, A., Makagon, J., Mulligan, D. K., Tschantz, M. C., & Datta, A. (2018) Discrim (...)

28Un effetto discriminatorio potrebbe infatti verificarsi per la particolare configurazione dell’algoritmo di profilazione che attui anzitutto una diversificazione in termini di prezzi, per esempio sulla base di status sociali o di presunti interessi; e mostri importi particolarmente alti fino a escludere determinati soggetti dall’acquisto di un dato bene o servizio.25 Un effetto analogo potrebbe poi verificarsi per la differenziazione dell’offerta di prodotti o delle relative condizioni di acquisto in virtù di una distinzione tra profili geografici o sociali, e soprattutto per la situazione economica individuale.26 Oppure per la differenziazione di contenuti pubblicitari suggeriti (per es. annunci di lavoro, prodotti o servizi, etc.) operata sulla base di caratteristiche etniche, religiose, di genere o di orientamento sessuale.27

29Vi sono quindi varie ipotesi di rischio: tali operazioni di profilazione possono minare la libertà di accesso all’informazione e, di conseguenza, la libertà di scelta di prodotti o servizi (lasciando l’interessato “rinchiuso” nel profilo all’interno del quale è stato classificato); possono portare al rifiuto di beni o servizi, a predizioni errate, oltre che a una discriminazione in sé ingiustificata. Il rischio aumenta poi esponenzialmente là dove la profilazione abbia a oggetto categorie di dati particolari, quali i dati sullo stato di salute (per es. in caso di dipendenze o di situazioni di debolezza, v. anche infra), sulle preferenze sessuali, o sulle convinzioni religiose o politiche.

  • 28 WP29 (2017) Guidelines Guidelines on Automated individual decision-making and Profiling for the pu (...)

30Sotto altro profilo, un rischio ulteriore potrebbe poi essere connesso alla provocazione di uno stato di disagio o allo sfruttamento di una situazione di difficoltà. Per esempio, nel caso di una profilazione particolarmente invasiva e contraria alle aspettative e agli interessi degli individui interessati; oppure in virtù delle modalità con le quali la pubblicità viene trasmessa; o ancora in relazione alla particolare vulnerabilità dei soggetti cui l’annuncio pubblicitario è indirizzato. Infatti, un trattamento innocuo per alcuni potrebbe non esserlo per altri gruppi sociali o per soggetti particolarmente deboli. A questo proposito il WP29 cita l’esempio di un individuo in difficoltà finanziaria cui viene regolarmente mostrato un messaggio pubblicitario di scommesse online.28

  • 29 ICO (2017) Feedback request – profiling and automated decision-making, v1.0 [Online] Consultabile (...)
  • 30 Reczek, R. W., Summers, C. A., & Smith (2016) An Audience of One: Behaviorally Targeted Ads as Imp (...)

31L’ICO (l’autorità di protezione dei dati personali inglese) ha peraltro messo in guardia in merito alle potenziali conseguenze psicologiche che forme invasive di profilazione possono comportare.29 Alcuni studi dimostrerebbero infatti che la pubblicità comportamentale è in grado di avere un impatto significativo sulla auto-percezione degli individui. E sarebbe proprio tale effetto a migliorare sostanzialmente l’efficacia persuasiva e attrattiva delle campagne di marketing personalizzate.30

  • 31 Reczek, R. W., Summers, C. A., & Smith (2016) Targeted ads don’t just make you more likely to buy (...)
  • 32 Ibid.
  • 33 Reczek, R. W., Summers, C. A., & Smith, R. W. (2016) An Audience of One: Behaviorally Targeted Ads (...)
  • 34 ScienceDaily (2016), Targeted online ads can actually change how you view yourself [Online] Consul (...)
  • 35 Aguirre, E., Mahr, D., Grewal, D., de Ruyter, K., & Wetzels (2015) Unraveling the personalization (...)
  • 36 ICO, cit., p. 4.

32A questo proposito, l’esposizione agli effetti psicologici della pubblicità comportamentale aumenterebbe con la crescente consapevolezza da parte degli individui della personalizzazione degli annunci pubblicitari sulla base dei propri interessi. In sostanza, quando gli utenti diventano coscienti di essere profilati, possono in qualche modo ritenere che l’annuncio si basi su una analisi corretta del proprio status. In questa ipotesi si è sostenuto che la pubblicità comportamentale inciderebbe sull’auto-percezione degli individui. Per esempio, se l’annuncio pubblicitario basato sulla browsing history mostrasse gusti culinari sofisticati, gli utenti accetterebbero spesso questo giudizio, vedendosi quali consumatori complessi e mostrando, alla fine, maggiore interesse per prodotti enogastronomici più elaborati.31 L’influenza sull’auto-percezione individuale determinata dalla pubblicità comportamentale andrebbe oltre la mera propensione all’acquisto. Per esempio la ricezione di annunci su prodotti senza impatto ambientale potrebbe portare gli utenti a sentirsi più “green”, rendendoli poi maggiormente propensi ad acquistare prodotti ecosostenibili.32 Si è quindi sostenuto che la pubblicità comportamentale spingerebbe i consumatori a modificare l’auto-percezione di sé per adeguarsi alla condotta sociale insita nell’annuncio pubblicitario33 (“you become more like what the ads say you are”).34 Non è da escludere, però, che le conseguenze psicologiche presentino conseguenze altrettanto negative, andando ben oltre il rischio di un disagio causato da una generale percezione di vulnerabilità e monitoraggio.35 Come ipotizzato dall’ICO per esempio, di fronte a una generale consapevolezza di ricevere annunci personalizzati, un annuncio relativo a programmi dietetici o ad abbonamenti per palestre potrebbe spingere l’utente a migliorare il proprio fisico, così come potrebbe portarlo a pensare di essere in sovrappeso provocando una generale situazione di sottostima.36

33Logicamente, il limite all’efficacia della pubblicità profilata risiedere nell’accuratezza dei dati: solo una profilazione corretta che incontri gli interessi effettivi (o le debolezze) degli utenti permettere di ottenere un effetto psicologico significativo sulla loro auto-percezione.

  • 37 Matza, S. C., Kosinskib, M., Navec, G., & Stillwell, D. (2017) Psychological targeting as an effec (...)

34In sintesi, sarebbe allora possibile distinguere tra effetti negativi sul piano psicologico dell’interessato immediati o indiretti. Da un lato un annuncio pubblicitario profilato può agire direttamente sulla situazione di vulnerabilità dell’interessato per proporre contenuti più efficaci.37 Dall’altro, esso può influenzare l’auto-percezione dell’individuo provocando, in un secondo momento, le condizioni ideali a renderlo più propenso all’acquisto del contenuto pubblicizzato.

Pubblicità comportamentale e accountability

  • 38 Pariser, E. (2011) The Filter Bubble: What the Internet is Hiding from You. Londra: Penguin aPress

35Si potrebbe cedere alla tentazione di ritenere che ogni tipo di segmentazione degli utenti che porta all’offerta di contenuti diversificati comporti una discriminazione (quantomeno in termini di impedimento arbitrario della visione di certi contenuti).38 Tale posizione sarebbe, però, eccessiva. Non è in discussione che la profilazione operi una diversificazione nel trattamento degli interessati, ma non può ritenersi sempre presente una finalità, o semplicemente una conseguenza, discriminatoria. Si tratta, piuttosto, di una dinamica ormai inarrestabile che può, però, presentare effetti positivi limitandosi a mostrare contenuti di maggiore interesse per l’interessato.

36Ciò nondimeno, il rischio di discriminazione e di risvolti psicologici negativi non deve essere sottostimato. In linea con lo spirito di accountability e di auto-valutazione che caratterizza il GDPR, occorre quindi prestare particolare attenzione, attraverso un’analisi interna, ai possibili effetti che certe campagne di marketing profilato possono comportare. Un’analisi dei rischi deve considerare le tipologie di prodotti pubblicizzati, le modalità di sponsorizzazione, le tipologie di segmentazione dei destinatari finali, le eventuali correlazioni, il coinvolgimento di categorie di utenti deboli o comunque più a rischio, la scala più o meno larga di destinatari, l’arco temporale della profilazione, la possibilità di errori o falsi positivi (senza contare l’eventuale coinvolgimento di minori). In sostanza, si rende necessario valutare l’intrusività della profilazione alla luce di tutte le circostanze del caso. Si tratta di un esercizio non semplice, che tuttavia diviene indispensabile a fronte della maggiore disponibilità di dati dovuta all’evoluzione delle tecniche di profilazione.

37All’interno dell’analisi dei rischi assume poi rilevanza centrale l’adozione di misure di sicurezza. In particolare, il GDPR richiede l’utilizzo di procedure matematiche o statistiche appropriate e di misure che sorveglino le inesattezze dei dati e consentano la minimizzazione del rischio di errori (Considerando 71). Occorre inoltre dare rilievo centrale alla trasparenza (la consapevolezza della profilazione accresce la capacità di reazione dei consumatori) e a forme di controllo per gli utenti.

38Se l’analisi preliminare dei rischi ha esito positivo ed emerge il rischio di un effetto significativo nei confronti dell’interessato il GDPR prevede formalità più rigide quali l’esecuzione di un DPIA e l’applicabilità della speciale disciplina dei processi decisionali automatizzati: obblighi informativi più ampi; il consenso esplicito dell’interessato; l’adozione di misure di salvaguardia aggiuntive. Con conseguenze di rilievo.

  • 39 Cfr. per es. Garante Privacy, Individuazione delle modalità semplificate per l’informativa e l’acq (...)
  • 40 Commissione Europea (2017) Proposal for a regulation concerning the respect for private life and t (...)

39In ambiente online il consenso esplicito richiederebbe una dichiarazione attiva (opt-in) anche per l’uso dei cookie di profilazione. In precedenza, i Garanti Privacy europei avevano esentato i cookie di profilazione da forme di consenso esplicito (ammettendo forme di consenso semplificate).39 In maniera non dissimile, il Considerando 32 del GDPR ammette come forma di consenso “espresso” (non “esplicito”) la selezione delle impostazioni del browser. E tale norma appare evidentemente riferirsi all’uso di cookie di profilazione, confermando l’atteggiamento più permissivo tenuto dalle autorità europee. L’uso di cookie di profilazione è tuttavia regolato dalla Direttiva e-Privacy, destinata a essere sostituita dal Regolamento ePrivacy.40 Occorrerà attendere la versione finale di quest’ultimo per comprenderne il regime applicabile. E, tuttavia, anche se il settaggio del browser venisse considerato un consenso “espresso”, esso non configurerebbe un consenso “esplicito” in grado di giustificare una profilazione particolarmente rischiosa.

Oltre il consenso. Pubblicità comportamentale e legittimo interesse: un canone di bilanciamento effettivo e trasparenza

  • 41 La Direttiva Privacy prevedeva la possibilità utilizzare il legittimo interesse come base giuridic (...)

40La pubblicità comportamentale “soft” soggetta alla disciplina generale sulla profilazione può basarsi sui presupposti di legittimità normalmente disponibili: vale a dire il consenso “espresso” oppure il legittimo interesse. La possibilità di basare la profilazione sul legittimo interesse nelle attività di marketing è specificamente confermata dall’art. 21 GDPR che attribuisce agli interessati il diritto di opporsi a tale trattamento.41

  • 42 WP29 (2014) Opinion 06/2014 on the notion of legitimate interests of the data controller under Art (...)
  • 43 Ibid.

41Il WP29 aveva già chiarito le modalità di esercizio del legittimo interesse in relazione a profilazione e marketing nell’ambito della Direttiva Privacy42 e il limite di non poter invocare tale base giuridica per giustificare pratiche di pubblicità comportamentale “eccessive”;43 tali modalità sono state sostanzialmente confermate nelle linee guida sulla profilazione nel GDPR.

  • 44 Un recente studio americano condotto dalla società di analytics Adlucent ha stimato che il 71% deg (...)
  • 45 CIPL (2017) CIPL Examples of Legitimate Interest Grounds for Processing of Personal Data [Online] (...)

42La sussistenza di un legittimo interesse nel correlare annunci pubblicitari agli interessi degli utenti è infatti evidente se si considera che tale pratica rappresenta il futuro della pubblicità; che senza personalizzazione molti annunci perderebbero il loro appeal; che senza monetizzazione pubblicitaria la gran parte dei servizi non potrebbe più essere offerta gratuitamente; e che parte degli utenti è favorevole a tale personalizzazione.44 Richiedere che la pubblicità comportamentale venga sempre soggetta al consenso degli utenti potrebbe ingessare il mercato digitale; specialmente a confronto con altri paesi nei quali la profilazione non si presenta oggetto di una rigida regolamentazione.45

  • 46 Ibid.; Clifford, D. (2014) EU Data Protection Law and Targeted Advertising: Consent and the Cookie (...)
  • 47 WP29 (2014) Opinion 06/2014 on the notion of legitimate interests of the data controller under Art (...)

43Ciò non significa trascurare il diritto fondamentale al corretto trattamento dei propri dati; al contrario, il consenso degli utenti non rappresenta sempre una salvaguardia.46 Nella pubblicità comportamentale i requisiti per l’applicazione del legittimo interesse si presentano invece come una valida alternativa. Il GDPR (art. 6(f)) prevede che l’applicazione del legittimo interesse sia soggetta a un cd. balancing test: l’interesse del titolare del trattamento non deve infatti prevalere sugli interessi e le libertà fondamentali dell’interessato. Questo test deve tenere in considerazione l’invasività del trattamento; il rapporto tra le parti; le aspettative dell’interessato; e le possibili misure protettive al fine di limitare un’ingerenza eccessiva nella sfera di riservatezza di quest’ultimo.47

44Nell’ambito della pubblicità comportamentale, tale bilanciamento di interessi deve tenere in adeguata considerazione l’impatto che la pubblicità comportamentale può avere sull’interessato; e ciò sulla scorta dei criteri sopra accennati (supra 2.c), ivi compresi rischi di discriminazione. Là dove un rischio appaia possibile, il titolare dovrà mettere in atto le misure di salvaguardia già citate. Tra gli strumenti di bilanciamento sarà importante considerare soprattutto la trasparenza; il monitoraggio della correttezza degli algoritmi; la pseudonimizzazione; l’anonimizzazione nella cessione di dati a terzi; il controllo granulare offerto agli interessati.

45La scelta di ricorrere al legittimo interesse comporta quindi oneri significativi per il titolare, che dovrà essere in grado di dimostrare di aver considerato tutti i rischi del caso, adottando misure atte a scongiurarli. In questo senso rappresenta quindi un modello virtuoso che, se ben attuato, costituisce una valida alternativa al consenso, che comporta per gli advertiser la sfida di essere privacy by design nello sviluppo dei futuri sistemi di pubblicità.

Bibliographie

Aguirre, E., Mahr, D., Grewal, D., de Ruyter, K. & Wetzels (2015) Unraveling the personalization paradox: The effect of information collection and trust-building strategies on online advertisement effectiveness. Journal of Retailing 91(1), 34-49.

Article 29 Working Party (2010) Opinion 2/2010 on online behavioural advertising, Bruxelles, 00909/10/EN WP171.
- (2011) Opinion 15/2011 on the definition of consent. Bruxelles, 01197/11/EN WP187.
- (2014), Opinion 06/2014 on the notion of legitimate interests of the data controller under Article 7 of Directive 95/46/EC. Bruxelles, 844/14/EN WP217.
- (2017) Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679. Bruxelles, 17/EN WP251.
- (2017) Guidelines on Consent under Regulation 2016/679. Bruxelles, 17/EN WP259.
- (2017) Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679. Bruxelles, 17/EN WP 248 rev.01.

Bonavita, S. (2008) Privacy e profilazione dei clienti nel settore della grande distribuzione. Ciberspazio & diritto 9 (4), 371-381.

Castelluccia, C. e Narayanan, A. (2012) Privacy considerations of online behavioural tracking, ENISA [Online] Consultabile su www.enisa.europa.eu [ultimo accesso 28//12/2017]

Centre for Information Policy Leadership (2017) CIPL Examples of Legitimate Interest Grounds for Processing of Personal Data [Online] Consultabile su /www.informationpolicycentre.com [ultimo accesso: 5/12/2017].

Clifford, D. (2014) EU Data Protection Law and Targeted Advertising: Consent and the Cookie Monster - Tracking the crumbs of online user behaviour. JIPITEC 5, 194, par. 1.

Council of Europe (2010) The protection of individuals with regard to automatic processing of personal data in the context of profiling. Recommendation CM/Rec (2010)13 and explanatory memorandum [Online] Consultabile su https://www.coe.int/t/dghl/standardsetting/cdcj/CDCJ [ultimo accesso: 27/12/2017].

European Data Protection Supervisor (2015) Opinion 7/2015 Meeting the challenges of big data. Ufficio delle pubblicazioni dell’Unione europea.

ICO (2017), Feedback request – profiling and automated decision-making, v1.0 [Online] Consultabile su https://ico.org.uk/media/2013894/ico-feedback-request-profiling-and-automated-decision-making.pdf [ultimo accesso: 28/12/2017].

Matza, S. C., Kosinskib, M., Navec, G., & Stillwell, D. (2017) Psychological targeting as an effective approach to digital mass persuasion. PNAS vol. 114(48).

Pariser, E. (2011) The Filter Bubble: What the Internet is Hiding from You. Londra: Penguin Press.

Reczek, R., Summers, C., & Smith, R. (2016) An Audience of One: Behaviorally Targeted Ads as Implied Social Labels. Journal of Consumer Research, vol. 43(1), 156–178.
- (2016) Targeted ads don’t just make you more likely to buy – they can change how you think about yourself. Harvard Business Review [Online] Consultabile su https://hbr.org/2016/04/targeted-ads-dont-just-make-you-more-likely-to-buy-they-can-change-how-you-think-about-yourself [ultimo accesso: 27/12/2017].

UK Office of fair trading (2010) Online Targeting of Advertising and Prices A market study [Online] Consultabile su oft.gov.uk [ultimo accesso: 15/12/2017].

Zuiderveen Borgesius, F. (2016) Singling out people without knowing their names – Behavioural targeting, pseudonymous data, and the new Data Protection Regulation. Computer Law & Security Review 32(2), 256-271.

Notes

1 Uno studio della società di advertising ValueClick ha stimato che gli annunci personalizzati sulla base di una analisi comportamentale avrebbero un’efficacia maggiore degli annunci standard in un rapporto che va dal 110% all’840%. Cfr. UK Office of fair trading (2010) Online Targeting of Advertising and Prices A market study [Online] Consultabile su oft.gov.uk [ultimo accesso: 15/12/2017].

2 EDPS (2015) Opinion 7/2015 Meeting the challenges of big data. Ufficio delle pubblicazioni dell’Unione europea, 8. Cfr. Zuiderveen Borgesius, F. (2016) Singling out people without knowing their names – Behavioural targeting, pseudonymous data, and the new Data Protection Regulation. Computer Law & Security Review, 32(2), 256-271.

3 L’organo consultivo istituito dall’art. 29 della Direttiva Privacy che comprende i rappresentanti delle autorità di protezione dei dati personali degli Stati Membri.

4 WP29 (2010) Opinion 2/2010 on online behavioural advertising. Bruxelles, 00909/10/EN WP171.

5 Nel contesto della pubblicità comportamentale può assumere altresì rilievo il trattamento dei dati a scopo di direct marketing, e quindi l’esistenza di una valida base giuridica per l’invio di messaggi pubblicitari (che possono essere personalizzati). Tale profilo non sarà tuttavia trattato, se non incidentalmente, in questo lavoro.

6 L’art 37(d) del Codice Privacy ricomprende tra i trattamenti a rischio, oggetto di notificazione al Garante, quelli di “dati trattati con l’ausilio di strumenti elettronici volti a definire il profilo o la personalità dell’interessato, o ad analizzare abitudini o scelte di consumo, ovvero a monitorare l’utilizzo di servizi di comunicazione elettronica con esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli utenti”. La Direttiva Privacy prevedeva l’onere di notificazione per i trattamenti automatizzati. Il Codice Privacy invece restringe il campo di applicazione della notifica e adotta un concetto “suo” di profilazione.

7 V. per es. Garante Privacy (2005) ‘Fidelity card’ e garanzie per i consumatori. Le regole del Garante per i programmi di fidelizzazione, doc. web n. 1103045, al paragrafo 4.

8 WP29 (2010) Opinion 2/2010 on online behavioural advertising, op. cit., p. 7. Bruxelles, 00909/10/EN WP171.

9 Art. 5(3) Direttiva e-Privacy come modificata dalla Direttiva 2009/136/CE.

10 V. supra nota 5.

11 Ciò in quanto non si profilerebbe per il solo gusto di profilare, ma nell’ambito di altre finalità, quale il marketing diretto. Cfr. l’intervento del Garante Privacy al convegno UPA: Bianchi, C. (2018) GDPR, comunicazione e attività di marketing: cosa cambia davvero in Italia. Istruzioni per l’uso [Online] Consultabile su http://bko.upa.it/static/upload/2-i/2-intervento-bianchi-clerici---22.03.18-upa.pdf [ultimo accesso 10 aprile 2018].

12 Sul punto mi permetto di rinviare a Banterle, F. (2016) Brevi cenni sulla titolarità dei dati comportamentali nei big data tra privacy e proprietà intellettuale. AIDA, pp. 579 ss.

13 Il WP29 sostiene che l’Art. 22 non sancisce solo il diritto dell’interessato a non essere oggetto di una decisione interamente automatizzata che possa avere effetti significativi; in realtà esso conterrebbe un vero e proprio divieto, rispetto al quale vengono poi previste talune eccezioni come il consenso esplicito. Cfr. WP29 (2017) Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679. Bruxelles, 17/EN WP 251, p. 9. Questa lettura appare eccessivamente rigida e non sembra aderire alla lettera del GDPR che non formula il principio come divieto bensì come garanzia/diritto per l’individuo. L’Art. 22 GDPR sembrerebbe infatti ammettere la possibilità di assoggettare l’individuo a decisioni automatizzate; nel caso in cui esse possano avere un impatto significativo allora l’individuo ha diritto a non essere assoggettato a tale decisione automatizzata. Se si vuole fare un parallelo, per le categorie di dati particolari - in relazione alle quali sono previste garanzie simili (consenso esplicito) - il GDPR dispone esplicitamente un divieto al loro trattamento.

14 Il GDPR non definisce il concetto di consenso esplicito che è tuttavia possibile ricollegare a una dichiarazione affermativa attiva e specifica dell’interessato di fronte alla proposta di accettare o rifiutare un particolare trattamento. Cfr. WP29 (2011) Opinion 15/2011 on the definition of consent. Bruxelles, 01197/11/EN WP187, p. 25.

15 WP29 (2010) Opinion 2/2010 on online behavioural advertising, op. cit., p. 5. Bruxelles, 00909/10/EN WP171.

16 Garante Privacy, Registro dei provvedimenti n. 306 del 13 luglio 2016.

17 Council of Europe (2010) The protection of individuals with regard to automatic processing of personal data in the context of profiling. Recommendation CM/Rec (2010)13 and explanatory memorandum.

18 Si veda la prima versione (3 ottobre 2017) delle già citate Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679, op. cit., pp. 6 e ss., poi sostituita dalla versione rivista del 6 febbraio 2018.

19 Ibid., versione rivista del 6 febbraio 2018, p. 7.

20 Il trattamento è totalmente automatizzato anche in presenza dell’intervento umano (per es. se l’operatore imposta una serie di parametri) se tuttavia la decisione è presa in maniera automatizzata dal sistema utilizzato. Si considera invece il trattamento solo in parte automatizzato se l’operatore interviene all’interno del procedimento decisionale (per es. per confermare o controllare o comunque influenzare i risultati).

21 WP29 (2017) Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679. Bruxelles, op. cit., p. 10.

22 L’unica differenza di rilievo è che l’art. 22 GDPR si riferisce a una decisione basata “unicamente” su un trattamento automatizzato.

23 WP29 (2017) Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679. Bruxelles, 17/EN WP 248 rev.01. Un esempio di attività di profilazione che non comporta un effetto significativo sull’interessato è un portale e-commerce che pubblica annunci pubblicitari per ricambi per veicoli vintage e che si basa su una profilazione limitata fondata sulle abitudini di acquisto precedentemente registrate su alcune sezioni del sito. Un trattamento che presenta livelli di rischio elevati è invece la raccolta di dati da profili social pubblici per la generazione di profili utente volti alla creazione di liste di contatti. È quindi il caso dell’uso di strumenti di social capturing per la profilazione di utenti e la combinazione di dati su larga scala.

24 A questo proposito, per esempio, vale la pena richiamare la giurisprudenza del Garante Privacy in tema di profilazione che aveva posto particolare attenzione sulla estensione temporale della profilazione come elemento di invasività e quindi di rischio. Il provvedimento generale del 2005 in tema di programmi di fidelizzazione aveva infatti identificato i tempi massimi di conservazione dei dati di profilazione dei clienti e il loro successivo impiego per attività di marketing rispettivamente in uno e due anni (Garante Privacy, 24 febbraio 2005 ‘Fidelity card’ e garanzie per i consumatori. Le regole del Garante per i programmi di fidelizzazione, cit. Cfr., Bonavita, S. (2008) Privacy e profilazione dei clienti nel settore della grande distribuzione. Ciberspazio & diritto, 9 (4), pp. 371-381). La conservazione dei dati di profilazione per periodi più estesi comporta un rischio elevato e richiedeva nella disciplina del Codice Privacy il prior check del Garante (ora sostituita dal requisito del DPIA).

25 Cfr. Castelluccia, C. e Narayanan, A. (2012) Privacy considerations of online behavioural tracking, ENISA [Online] Consultabile su www.enisa.europa.eu [ultimo accesso 28//12/2017], p. 13. Electronic Frontier Foundation et al. (2009) Online Behavioral Tracking and Targeting Concerns and Solutions from the Perspective of: Center for Digital Democracy [et al.] [Online] Consultabile su https://www.eff.org/files/onlineprivacylegprimersept09.pdf [ultimo accesso: 20/12/2017], p. 4. Braghieri, L. (2017) Targeted Advertising and Price Discrimination in Intermediated Online Markets [Online] Consultabile su https://ssrn.com/abstract=3072692 [ultimo accesso: 28/12/2017].

26 Cfr. Datta, A., Tschantz, M. C., & Datta, A. (2015) Automated Experiments on Ad Privacy Settings A Tale of Opacity, Choice, and Discrimination. Proceedings on Privacy Enhancing Technologies, pp. 92–112. Angwin, J., Parris, T. J. (2016) Facebook Lets Advertisers Exclude Users by Race [Online] Consultabile su propublica.org [ultimo accesso: 20/12/2107].

27 Sul punto cfr. Datta, A., Makagon, J., Mulligan, D. K., Tschantz, M. C., & Datta, A. (2018) Discrimination in Online Advertising A Multidisciplinary Inquiry. Proceedings of Machine Learning Research, 81:1-15. Kim, P. T. (2016) Data-driven discrimination at work. Wm. & Mary L. Rev., 58:857. Sweeney, L. (2013) Discrimination in online ad delivery. ACM, 56(5):44-54.

28 WP29 (2017) Guidelines Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679, op. cit., p. 11.

29 ICO (2017) Feedback request – profiling and automated decision-making, v1.0 [Online] Consultabile su https://ico.org.uk/media/2013894/ico-feedback-request-profiling-and-automated-decision-making.pdf [ultimo accesso: 28/12/2017], p. 4.

30 Reczek, R. W., Summers, C. A., & Smith (2016) An Audience of One: Behaviorally Targeted Ads as Implied Social Labels. Journal of Consumer Research, vol. 43,1, pp. 156–178. ID. (2016) Targeted ads don’t just make you more likely to buy – they can change how you think about yourself. Harvard Business Review [Online] Consultabile su https://hbr.org/2016/04/targeted-ads-dont-just-make-you-more-likely-to-buy-they-can-change-how-you-think-about-yourself [Ultimo accesso: 27/12/2017]. Cfr. Bem, D. (1972) Self-Perception: An Alternative Interpretation of Cognitive Dissonance Phenomena. Psychological Review, 74, 183–200.

31 Reczek, R. W., Summers, C. A., & Smith (2016) Targeted ads don’t just make you more likely to buy – they can change how you think about yourself, op. cit.

32 Ibid.

33 Reczek, R. W., Summers, C. A., & Smith, R. W. (2016) An Audience of One: Behaviorally Targeted Ads as Implied Social Labels, op. cit.

34 ScienceDaily (2016), Targeted online ads can actually change how you view yourself [Online] Consultabile su https://www.sciencedaily.com/ [ultimo accesso: 27/12/2017].

35 Aguirre, E., Mahr, D., Grewal, D., de Ruyter, K., & Wetzels (2015) Unraveling the personalization paradox: The effect of information collection and trust-building strategies on online advertisement effectiveness. Journal of Retailing, 91(1), 34-49.

36 ICO, cit., p. 4.

37 Matza, S. C., Kosinskib, M., Navec, G., & Stillwell, D. (2017) Psychological targeting as an effective approach to digital mass persuasion. PNAS, vol. 114(48).

38 Pariser, E. (2011) The Filter Bubble: What the Internet is Hiding from You. Londra: Penguin aPress.

39 Cfr. per es. Garante Privacy, Individuazione delle modalità semplificate per l’informativa e l’acquisizione del consenso per l’uso dei cookie, Registro dei provvedimenti n. 229 dell’8 maggio 2014. ICO, Guidance on the rules on use of cookies and similar technologies, v.3 (Maggio 2012).

40 Commissione Europea (2017) Proposal for a regulation concerning the respect for private life and the protection of personal data in electronic communications and repealing Directive 2002/58/EC, Brussels, COM (2017) 10 final.

41 La Direttiva Privacy prevedeva la possibilità utilizzare il legittimo interesse come base giuridica. Il legislatore Italiano ha tuttavia preferito restringere tale possibilità e sottoporre qualsiasi decisione sull’applicabilità del legittimo interesse al vaglio del Garante Privacy. In questo senso dunque il GDPR introduce una novità per il sistema italiano.

42 WP29 (2014) Opinion 06/2014 on the notion of legitimate interests of the data controller under Article 7 of Directive 95/46/EC. Bruxelles, 844/14/EN WP217, p. 30: “i responsabili del trattamento possono avere un interesse legittimo a conoscere le preferenze dei loro clienti per poter personalizzare meglio le loro offerte e, in definitiva, offrire prodotti e servizi in grado di soddisfare meglio le esigenze e i desideri dei clienti”.

43 Ibid.

44 Un recente studio americano condotto dalla società di analytics Adlucent ha stimato che il 71% degli utenti sarebbe favorevole alla personalizzazione dei contenuti: Adlucent (2016), 71% of Consumers Prefer Personalized Ads [Online] Consultabile su www.adlucent.com [ultimo accesso 27/12/2017].

45 CIPL (2017) CIPL Examples of Legitimate Interest Grounds for Processing of Personal Data [Online] Consultabile su www.informationpolicycentre.com [ultimo accesso: 5/12/2017], p. 11.

46 Ibid.; Clifford, D. (2014) EU Data Protection Law and Targeted Advertising: Consent and the Cookie Monster - Tracking the crumbs of online user behaviour. JIPITEC 5, p. 203, sottolinea che gli utenti non sono sempre in grado di comprendere le problematiche e le tecnicità della profilazione.

47 WP29 (2014) Opinion 06/2014 on the notion of legitimate interests of the data controller under Article 7 of Directive 95/46/EC, op. cit.

Auteur

Dottore di ricerca in diritto industriale - Università degli studi di Milano

© Ledizioni, 2018

Conditions d’utilisation : http://www.openedition.org/6540

Acheter

Volume papier

amazon.fr
Rechercher dans OpenEdition Search

Vous allez être redirigé vers OpenEdition Search