L’Europa ha costruito un sistema normativo tra i più avanzati al mondo per proteggere i dati personali, eppure l’utente sembra non avere strumenti effettivi per impedire che le proprie informazioni circolino nell’ecosistema digitale. Con i chatbot il problema si aggrava: non condividiamo soltanto dati di navigazione, ma pensieri, dubbi, informazioni sulla salute, situazione economica e questioni professionali. Secondo un’analisi condotta da IMDEA Networks sull’utilizzo dei dati personali da parte dei nove chatbot più diffusi, tutti contattano un’azienda pubblicitaria o di tracciamento e spifferano dettagli personali sugli utenti.

Viene quindi da chiedersi: la protezione della privacy può funzionare se la responsabilità di difendersi ricade quasi interamente sul singolo utente? E perché le regole non funzionano? Quali interventi concreti potrebbero cambiare la situazione? Le risposte in questa intervista a Giuseppe Proietti, avvocato esperto di diritto dei mercati digitali (nella foto).

Da anni l’Europa si è dotata del GDPR, di regole sui cookie e di strumenti per consentire agli utenti di controllare i propri dati. Eppure la sensazione è che difendere la propria privacy sia quasi impossibile. Siamo di fronte a un fallimento dell’applicazione delle norme o a un limite strutturale della legislazione europea? Insomma, il diritto alla privacy è solo teorico?

«Direi che si tratta di una combinazione di fattori. Il GDPR (n.d.r. Regolamento UE 2016/679) ha fissato principi, in alcuni casi criticabili, ma solidi – liceità, trasparenza, minimizzazione, protezione dei dati fin dalla progettazione e per impostazione predefinita – che restano attuali anche davanti all’intelligenza artificiale generativa.

Il problema emerge semmai sul piano dell’effettività. Il modello costruito intorno all’autodeterminazione informativa presuppone un interessato in grado di leggere, comprendere e scegliere; ma, nell’ecosistema digitale di oggi, questo presupposto appare sempre più fragile, perché i flussi di dati sono invisibili, tecnicamente complessi e distribuiti lungo una catena di soggetti che l’utente spesso nemmeno conosce.

Con i chatbot il salto si può definire in un certo senso “qualitativo”. Non si tratta più soltanto di dati di navigazione, ma di contenuti che hanno la natura di vere e proprie confidenze: sintomi, preoccupazioni economiche, questioni familiari o professionali. È un patrimonio informativo che, se associato a identificativi persistenti, potrebbe consentire profilazioni di una profondità inedita, con il rischio di far emergere categorie particolari di dati ai sensi dell’art. 9 GDPR anche per via inferenziale, come la Corte di giustizia ha già riconosciuto con riferimento ai dati di navigazione nel caso Meta Platforms (C-252/21).

A questo si aggiunge un limite che definirei strutturale, non tanto del GDPR in sé, quanto della normativa europea nel suo complesso. Le regole sul tracciamento si trovano nella direttiva ePrivacy del 2002, recepita in modo non uniforme dagli Stati membri (in Italia, n.d.r. art. 122 del Codice privacy); accanto a essa operano il GDPR, il Digital Services Act, il Digital Markets Act e l’AI Act. Ciascun tassello ha una logica propria, autorità di controllo diverse e definizioni non sempre allineate. Il risultato è un dedalo nel quale faticano a orientarsi anche gli operatori del settore e nel quale l’utente finisce per restare, di fatto, l’ultimo presidio.

Non direi quindi che la privacy sia un diritto solo teorico. Direi piuttosto che rischia di diventarlo, se non si interviene sulla coerenza e organicità del sistema, oltreché sui meccanismi che dovrebbero renderlo effettivo».

Ogni giorno ci troviamo davanti a informative interminabili, banner sui cookie e condizioni d’uso che nessuno può realisticamente leggere e valutare. Per utilizzare un servizio, di fatto, siamo spesso costretti ad accettare condizioni che non comprendiamo e sulle quali non abbiamo alcun potere negoziale. Il GDPR prevede che il consenso sia libero, specifico e informato, invece diventa una finzione giuridica. Perché non si interviene contro pratiche che svuotano il consenso della sua sostanza?

«Il consenso in questi settori è un tema oggetto di dibattiti da tempo. Per come è definito dall’art. 4, punto 11, GDPR, dovrebbe essere libero, specifico, informato e inequivocabile. Sul piano dei principi, dunque, la norma è chiara. Ciò che si è verificato nella prassi è una sorta di “proceduralizzazione” del consenso: un adempimento formale, ripetuto decine di volte al giorno, che produce quella che ormai viene comunemente definita consent fatigue. Quando a un utente si chiede di esprimersi su centinaia di partner pubblicitari prima di leggere un articolo, è legittimo domandarsi se quella scelta conservi davvero la sua funzione.

Le autorità, a dire il vero, non sono rimaste ferme. Il Comitato europeo per la protezione dei dati ha adottato linee guida sui design ingannevoli nelle interfacce (n.d.r. Linee guida 03/2022), ha chiarito la portata tecnica della regola sui cookie (Linee guida 2/2023) e si è espresso sui modelli consent or pay delle grandi piattaforme (Parere 08/2024).

Si può poi citare il fatto che il Digital Services Act vieta alle piattaforme online interfacce che ingannano o manipolano gli utenti (art. 25). In Italia, il Garante, con le recenti linee guida sui tracking pixel nelle e-mail, ha ribadito che un tracciamento occulto non può considerarsi lecito.

Il punto, però, è che ogni intervento resta confinato nel proprio perimetro: una regola vale per i cookie, un’altra per le piattaforme, un’altra ancora per le pratiche commerciali scorrette, con autorità competenti diverse e tempi di accertamento lunghi. In un contesto simile le pratiche che svuotano il consenso tendono a spostarsi da un ambito all’altro più rapidamente di quanto riescano a fare le regole. La Commissione ha in programma per la fine del 2026 il Digital Fairness Act, che dovrebbe affrontare proprio i dark pattern e la personalizzazione scorretta: è un passaggio atteso, ma il rischio è aggiungere un ulteriore livello normativo anziché ricomporre quelli esistenti».

L’indagine di IMDEA Networks descrive flussi di informazioni dai chatbot verso operatori pubblicitari e di tracciamento, anche dopo il rifiuto dei cookie non essenziali. Quali violazioni potrebbero configurarsi e chi dovrebbe accertarle?

«Va premesso che gli stessi autori qualificano i risultati come preliminari e che, ad oggi, nessuna autorità ha accertato violazioni: ogni valutazione va quindi formulata in termini ipotetici. Lo studio avrebbe rilevato che tutti contattano almeno un servizio di tracciamento o pubblicità di terze parti e che, secondo quanto riportato, la gran parte dei tracker resta attiva anche dopo il rifiuto dei cookie non essenziali. In alcuni casi sarebbero stati trasmessi titoli delle conversazioni, link permanenti o metadati, insieme a identificativi idonei a ricondurli a una persona.

Se queste circostanze fossero confermate, i profili rilevanti potrebbero essere molteplici. Anzitutto la regola sull’accesso al terminale dell’utente, che richiede il consenso per ogni archiviazione o lettura di informazioni non strettamente necessaria al servizio (n.d.r. art. 5, par. 3, direttiva 2002/58/CE). Poi, sul piano del GDPR, la possibile assenza di un’idonea base giuridica (art. 6), il difetto di trasparenza delle informative (artt. 5, 12 e 13), l’eventuale trattamento di categorie particolari di dati (art. 9), il mancato rispetto dei principi di privacy by design e by default (art. 25) e, per i link accessibili senza adeguati controlli, l’inadeguatezza delle misure di sicurezza (art. 32).

Quanto a chi debba accertarle, qui emerge la frammentazione di cui parlavamo. Per i trattamenti transfrontalieri il GDPR prevede il meccanismo dello sportello unico, che attribuisce la competenza all’autorità capofila dello Stato in cui il fornitore ha lo stabilimento principale; per la parte relativa ai cookie, invece, la disciplina ePrivacy non conosce lo sportello unico e ciascuna autorità nazionale competente può, in linea di principio, agire autonomamente. Due regimi diversi, dunque, per lo stesso flusso di dati».

Quando emergono possibili violazioni che coinvolgono grandi piattaforme internazionali, i procedimenti sono spesso complessi e i risultati poco visibili agli utenti. Nel caso dello studio IMDEA, quali passi concreti possono compiere le autorità nazionali e il Comitato europeo per la protezione dei dati? Esistono ostacoli normativi, organizzativi o politici che rallentano gli interventi? E come si spiega la distanza tra la severità delle sanzioni previste dal GDPR e la percezione di una sostanziale impunità dei grandi operatori digitali?

«Su questi temi ci sono costanti aggiornamenti, essendo in buona parte settori in continuo sviluppo. Mi sembra che l’autorità spagnola (AEPD) ha trasmesso al Comitato europeo per la protezione dei dati una nota informativa sullo studio che citava, chiedendone la diffusione a tutte le autorità nazionali e promuovendone la discussione nella riunione plenaria di giugno, proprio in ragione del meccanismo dello sportello unico. Più di recente, la Commissione europea ha fatto sapere che sta esaminando la questione, pur senza annunciare un’indagine formale.

Sul piano degli strumenti, le autorità nazionali possono avviare istruttorie e richieste di informazioni, attivare la cooperazione con l’autorità capofila e, nei casi di urgenza, adottare misure provvisorie (n.d.r. art. 66 GDPR).

Gli ostacoli, tuttavia, esistono e sono anche normativi dovuti a volte a un difficile coordinamento di normative che prendono le posse anzitutto dalla ripartizione delle competenze tra GDPR, ePrivacy, DSA, DMA e AI Act, non sempre lineare. Senza trascurare il fatto che alcune autorità capofila si trovano a gestire un numero sproporzionato di casi relativi alle grandi piattaforme, con risorse e competenze tecniche non sempre adeguate.

La distanza tra sanzioni previste e la percezione di impunità si può spiegare soprattutto con i tempi che sono previste per certe procedure. Tra l’avvio di un’istruttoria, i contenziosi e la decisione definitiva possono passare anni, mentre le pratiche contestate nel frattempo mutano o cessano».

Si potrebbe imporre alle piattaforme il divieto di trasferire a fini pubblicitari i contenuti delle conversazioni con l’AI, salvo una scelta esplicita e separata dell’utente? Se dovesse indicare tre misure prioritarie che l’Unione europea potrebbe adottare subito, quali sceglierebbe?

«In astratto sì, e non sarebbe del tutto una novità. Il Digital Services Act già vieta alle piattaforme online la pubblicità basata sulla profilazione che utilizza categorie particolari di dati (art. 26, par. 3), e il Digital Markets Act (dedicato alle piattaforme di grandi dimensioni) subordina a un consenso specifico la combinazione dei dati tra i servizi dei gatekeeper (art. 5, par. 2). Estendere una logica analoga ai contenuti delle conversazioni con l’IA – escludendone l’uso a fini pubblicitari salvo una scelta esplicita, separata e revocabile – sarebbe coerente con la natura di quei contenuti, che per molti aspetti si avvicinano più a una corrispondenza privata che a una semplice navigazione.

Quanto alle misure prioritarie ritengo che la “ricomposizione” del quadro normativo verso un “ordinamento” funzionale e semplificato abbia l’urgenza principale. Il Digital Omnibus va in questa direzione, ma resta un intervento di manutenzione. La parte relativa all’IA è già diventata legge (n.d.r. Regolamento UE 2026/1744), mentre quella sui dati è ancora in prima lettura e, nei testi di compromesso del Consiglio, le norme che avrebbero trasferito la disciplina dei cookie nel GDPR e reso vincolanti i segnali di preferenza espressi tramite il browser risultano stralciate. Alcune istituzioni hanno già avvertito che dividere le regole tra strumenti diversi genera incertezza giuridica. Servirebbe un passo ulteriore verso un corpus organico».