Il modello pay or consent è sotto pressione regolatoria: il consenso ex art. 7 GDPR presenta criticità strutturali quando l’alternativa è un paywall. Gli avvocati che assistono editori digitali o piattaforme devono valutare oggi se il consenso sia ancora la base giuridica corretta o se il legittimo interesse ex art. 6(1)(f) GDPR offra maggiore solidità. Dal Privacy Symposium di Venezia 2026 emerge anche l’ipotesi di una deroga europea settoriale per i media, che potrebbe ridisegnare il quadro entro cui operano i clienti editoriali.
Punti chiave
- Punto 1 — Il consenso GDPR ex art. 7 è contestato come base valida nei modelli pay or consent per quattro criticità strutturali.
- Punto 2 — Il legittimo interesse ex art. 6(1)(f) GDPR emerge come alternativa praticabile per alcune categorie di trattamento.
- Punto 3 — Una proposta di deroga europea per i media potrebbe cambiare le regole del gioco entro il 2027.
Se assisti un editore online, un’app di news o una piattaforma che monetizza tramite profilazione pubblicitaria, devi rivalutare adesso la base giuridica su cui poggia il suo sistema di raccolta consensi. Il modello pay or consent — paga oppure acconsenti al tracciamento — è tornato al centro del dibattito regolatorio europeo e le conclusioni non sono rassicuranti per chi ha costruito l’intera architettura GDPR sul consenso.
Il Privacy Symposium di Venezia 2026 ha rilanciato il dibattito con forza: quattro criticità rendono il consenso ex art. 7 GDPR strutturalmente inadeguato nel contesto digitale, e sono emerse proposte concrete sulle basi giuridiche alternative e su una possibile deroga europea per il settore media. L’analisi completa è su Agenda Digitale.
Il contesto normativo
Il nodo giuridico centrale è l’art. 7 GDPR, che impone un consenso libero, specifico, informato e inequivocabile. Quando l’alternativa al consenso è un paywall, la libertà del consenso stesso diventa discutibile: l’utente che non può permettersi l’abbonamento non ha una reale scelta. Il Garante europeo della protezione dei dati (EDPB) ha affrontato il tema nelle Linee guida 05/2020 sul consenso, ribadendo che il condizionamento economico può inficiare la validità del consenso. Sul versante europeo, il Tribunale UE e la Corte di Giustizia hanno già indicato nella sentenza C-252/21 (Meta/Bundeskartellamt, luglio 2023) che il consenso forzato da posizione dominante può violare sia il GDPR sia il diritto della concorrenza. In Italia, il Garante Privacy ha sanzionato più volte modelli di raccolta consensi ritenuti non conformi all’art. 7, con provvedimenti che richiamano anche l’art. 23 del Codice Privacy (d.lgs. 196/2003 e s.m.i.).
Cosa cambia per lo studio
- Revisione della base giuridica: per i clienti editori, verifica se il legittimo interesse ex art. 6(1)(f) GDPR possa sostituire o affiancare il consenso per alcune categorie di trattamento, in particolare l’analisi dell’audience non profilante.
- Balancing test documentato: se si opta per il legittimo interesse, predisponi un bilanciamento scritto tra l’interesse del titolare e i diritti dell’interessato — documento che il Garante può richiedere in sede ispettiva.
- Adeguamento delle informative: le privacy policy che citano solo il consenso come base giuridica per tutto il trattamento pubblicitario vanno aggiornate per riflettere un’architettura giuridica più articolata.
- Monitoraggio della proposta di deroga europea: se la Commissione UE avanzasse una deroga settoriale per i media, i contratti di compliance in corso potrebbero richiedere rinegoziazione. Inserisci clausole di revisione nei mandati pluriennali.
- Valutazione del rischio sanzionatorio: le sanzioni GDPR arrivano fino al 4% del fatturato mondiale annuo (art. 83(5) GDPR). Per un editore con ricavi da advertising, il rischio va quantificato nel risk assessment e comunicato al cliente.
Attenzione a
Il primo errore frequente è trattare il pay or consent come un problema solo dei grandi player. Anche una testata locale con 50.000 utenti mensili che usa cookie di profilazione di terze parti è esposta, perché il Garante italiano ha dimostrato di intervenire anche su soggetti di dimensioni medie. Non aspettare un’ispezione per avviare la revisione della cookie policy.
Il secondo rischio è affidarsi a soluzioni tecniche standard — come le consent management platform preconfigurate — senza una revisione giuridica specifica. La piattaforma gestisce la raccolta del consenso, ma non valida automaticamente la base giuridica scelta dal titolare né la coerenza tra informativa e trattamento effettivo. Quella responsabilità rimane in capo al legale che ha firmato la compliance.
Domande frequenti
Il modello pay or consent è legale in Italia secondo il GDPR?
Non esiste un divieto esplicito, ma la validità dipende dalla concreta libertà di scelta dell’utente. Se il costo dell’abbonamento è sproporzionato rispetto al servizio, il consenso rischia di non essere considerato libero ai sensi dell’art. 7 GDPR. Il Garante italiano e l’EDPB hanno entrambi segnalato questo profilo critico, e la giurisprudenza UE (C-252/21) rafforza il dubbio per i soggetti in posizione dominante.
Quale base giuridica GDPR usare al posto del consenso per la pubblicità online?
Il legittimo interesse ex art. 6(1)(f) GDPR è la principale alternativa discussa, ma richiede un balancing test documentato. Per la pubblicità comportamentale basata su profilazione invasiva, il margine è stretto: l’EDPB tende a escludere il legittimo interesse per trattamenti ad alto impatto. Va valutato caso per caso in base alla tipologia di dati trattati e alla natura del servizio.
Cosa rischia un editore online se il consenso GDPR non è valido?
Sanzioni fino al 4% del fatturato mondiale annuo ai sensi dell’art. 83(5) GDPR, più eventuali ordini di blocco del trattamento. In Italia il Garante può anche disporre la sospensione del flusso dati verso terze parti (ad esempio DMP e DSP pubblicitarie), con impatto diretto sui ricavi da advertising. Il rischio reputazionale si aggiunge a quello economico.
Fonte di riferimento: AgendaDigitale