Un sito di dizionari con 1.741 partner di condivisione dati

Il gruppo austriaco per la privacy noyb ha presentato un reclamo GDPR contro dict.cc, il popolare dizionario online, per le modalità di raccolta del consenso per il tracciamento online. Il problema non è che il sito chieda il permesso. È ciò che accade quando un utente cerca di capire davvero a cosa sta acconsentendo.

Secondo i calcoli di noyb, il banner di consenso di dict.cc elenca 1.741 "partner" distinti che possono ricevere o trattare i dati dei visitatori. Per prendere una decisione informata, in teoria un utente dovrebbe leggere l'informativa sulla privacy di ciascuno di quei partner prima di cliccare su "accetta". noyb stima che questa sola operazione richiederebbe circa 172 ore, più di una settimana intera di lettura ininterrotta, solo per valutare una singola visita a un sito di dizionari.

Questo divario tra ciò che la legge richiede e ciò che l'interfaccia permette realmente è il cuore del reclamo e solleva una domanda che va ben oltre un singolo sito: un consenso che richiede giorni per essere valutato correttamente può mai essere considerato informato?

Perché sembra un dark pattern, non un difetto di progettazione

Il principio fondante del GDPR, sancito dall'Articolo 5(1)(a), richiede che i dati personali siano trattati in modo lecito, corretto e trasparente. Il consenso, secondo la legge, è valido solo se è libero, specifico e informato. Il reclamo di noyb sostiene che un banner che elenca oltre mille partner rende di fatto strutturalmente impossibile un consenso informato. Agli utenti restano due opzioni reali: cliccare su "accetta" senza capire a cosa stanno acconsentendo o abbandonare del tutto il sito.

È una dinamica familiare nell'ecosistema del tracciamento online. I banner di consenso con lunghissimi elenchi di partner non sono una complessità accidentale. Funzionano come un attrito, progettato per rendere il rifiuto o la revisione attenta così dispendiosi in termini di tempo che l'accettazione diventa la via di minor resistenza. Il meccanismo richiama quanto i ricercatori hanno riscontrato in altre indagini sul tracciamento, compreso il report su come TikTok ti traccia anche se non hai mai installato l'app attraverso pixel che la maggior parte delle persone non vede mai o ai quali non acconsente in alcun modo significativo. In entrambi i casi, l'architettura tecnica della raccolta dati supera qualsiasi capacità realistica di revisione da parte dell'utente.

La mole dell'elenco di partner di dict.cc rispecchia anche un modello più ampio di come i dati personali fluiscono attraverso gli ecosistemi commerciali una volta avviata la raccolta. Quando decine o centinaia di terze parti vengono contrattualmente inserite in una catena di ad-tech o analytics, il gestore originario del sito perde spesso la visibilità pratica su come quei dati vengano utilizzati a valle, pur rimanendo legalmente responsabile della raccolta iniziale del consenso.

Cosa deve ora decidere l'autorità austriaca

Il reclamo mette l'autorità di protezione dati austriaca in una posizione difficile. Finora le autorità di controllo hanno generalmente accettato che i banner di consenso possano elencare terze parti, poiché il GDPR non vieta esplicitamente ecosistemi pubblicitari complessi. Ma il reclamo di noyb solleva una domanda più precisa: a partire da quale punto un elenco di partner diventa così lungo che il consenso raccolto tramite esso non è più legalmente valido, a prescindere da come il banner sia formulato o progettato?

Se l'autorità darà ragione a noyb, la decisione potrebbe propagarsi in tutto il settore dell'ad-tech, dove lunghi elenchi di partner legati a framework come il Transparency and Consent Framework della IAB sono prassi comune, non una peculiarità di dict.cc. Molti editori si affidano a elenchi di partner altrettanto lunghi per monetizzare il traffico attraverso la pubblicità programmatica. Un provvedimento contro dict.cc potrebbe spingere i siti in tutta Europa a ridurre il numero dei partner, a semplificare i flussi di consenso o a esporsi a reclami analoghi.

Non è la prima volta che le autorità di controllo devono confrontarsi con pratiche sui dati che rispettano tecnicamente le norme sulla trasparenza, vanificandone di fatto lo scopo. I casi relativi a dati di dipendenti e studenti, come il controllo sulle pratiche di tracciamento degli studenti di PowerSchool, mostrano una tensione analoga: il consenso o l'informativa esistono sulla carta, ma la capacità concreta della persona interessata di comprendere o contestare la raccolta dati è minima.

Cosa significa per te

Se hai mai cliccato "Accetta tutto" su un banner cookie senza leggere una parola, non sei il solo e, secondo questo reclamo, non hai nemmeno tutte le colpe. La progettazione di molti banner di consenso presuppone, e probabilmente fa affidamento su, esattamente questo comportamento.

Alcuni accorgimenti pratici possono aiutare:

  • Cerca un'opzione "Rifiuta tutto" o "Gestisci preferenze" prima di cliccare su un banner. Molti siti la nascondono, ma il GDPR ne richiede l'esistenza.
  • Usa strumenti di privacy del browser o estensioni che bloccano i tracciatori di terze parti per impostazione predefinita, riducendo la quantità di dati che raggiungono anche quelle reti di partner.
  • Fai attenzione a quanti "partner" nomina un banner di consenso. Un numero a quattro cifre, come nel caso di dict.cc, è un segnale che l'accordo di condivisione dati del sito è più vicino a un mercato ad-tech che a una semplice configurazione di analytics.
  • Sostieni o segui le azioni di enforcement come i reclami di noyb. La pressione regolatoria è spesso l'unica forza che cambia il modo in cui questi banner vengono costruiti.

In conclusione

Questo reclamo GDPR contro dict.cc non riguarda davvero un sito di dizionari. È un banco di prova per capire se il "consenso" possa sopravvivere al contatto con la scala del moderno ad-tech. Quando accettare un banner cookie richiederebbe più di una settimana di lettura per essere fatto correttamente, il banner ha probabilmente già fallito il suo unico compito: assicurarsi che gli utenti sappiano a cosa stanno acconsentendo. Il modo in cui l'autorità austriaca si pronuncerà potrebbe determinare se flussi di consenso altrettanto gonfiati resteranno la prassi standard o inizieranno a scomparire dal web.