Il modello Pay or OK è conforme al GDPR? Analisi critica tra EDPB, ePrivacy e DMA

Il cuore del problema: il modello Pay or OK alla prova della libertà del consenso

Il modello Pay or OK si fonda su un’argomentazione semplice: “Se non vuoi essere tracciato, puoi pagare. La scelta è tua”.

In realtà, questo approccio introduce un cambiamento più profondo: la scelta dell’utente non riguarda solo il consenso, ma il tipo di corrispettivo che deve offrire — denaro, dati o posizione sociale all’interno della piattaforma.

Il GDPR, tuttavia, non si limita a richiedere la presenza di un’alternativa qualsiasi. La logica del consenso si regge su alcuni pilastri:

• il consenso deve essere libero, specifico, informato e inequivocabile (art. 4(11));
• la revoca deve essere facile quanto il conferimento e non deve comportare conseguenze negative sproporzionate (art. 7(3) e 7(4));
• la Direttiva ePrivacy impone il consenso per cookie e tecnologie analoghe non strettamente necessarie al servizio richiesto dall’utente.

Il punto centrale è che la presenza di un abbonamento non basta a dimostrare l’assenza di pressione o condizionamento.

Bisogna verificare come il rifiuto del consenso incida sull’esperienza complessiva dell’utente, e se il modello generi conseguenze che limitano in concreto la libertà di scelta:

• perdita di funzionalità di community, badge, programmi fedeltà;
• minore visibilità nei feed o nei ranking algoritmici;
• esclusione dall’accesso anticipato a funzioni (beta test) o da meccanismi di gamification.

In altri termini, il rifiuto del consenso può tradursi in un malus sociale, non solo economico. Questo è un fattore cruciale per valutare la reale libertà della scelta.

Quando la scelta non è davvero una scelta: rifiuto, revoca e malus sociali ai sensi dell’art. 7 GDPR

Se ci si limita al momento iniziale del clic, il modello pay or okay sembra, almeno formalmente, offrire una scelta: l’utente può accettare o rifiutare la pubblicità comportamentale. Il nodo emerge quando si guarda più da vicino al contenuto concreto delle opzioni messe sul tavolo, alle conseguenze immediate del rifiuto e a ciò che accade se, in un secondo momento, l’utente decide di revocare il consenso.

Sul rifiuto iniziale, l’art. 7(4) impone di verificare se la previsione contrattuale non introduca “svantaggi sproporzionati” per chi non presta il consenso. Ed è qui che il pay or okay mostra la sua natura ambivalente.

Un conto è chiedere un corrispettivo ragionevole per un servizio premium; altra cosa è legare il rifiuto del consenso a un abbonamento economicamente gravoso e, per di più, privo di reali benefici aggiuntivi rispetto alla versione gratuita, oppure a una degradazione artificiale del servizio — tempi di caricamento più lunghi, funzionalità limitate, esperienza d’uso volutamente più scomoda –, o ancora a una forma di marginalizzazione sociale, fatta di minore visibilità, esclusione da certe aree della community o perdita di status all’interno della piattaforma.

Si pensi a un utente che vuole solo leggere un articolo: se rifiuta il consenso e l’unica alternativa è un abbonamento da 7,99 €, la proporzionalità dell’art. 7(4) vacilla immediatamente.

La stessa dinamica si ripete, amplificata, al momento della revoca. Nella pratica, molti modelli pay or okay prevedono che l’utente che revoca il consenso debba immediatamente:

• iniziare a pagare l’abbonamento; oppure
• rinunciare al servizio.

Se a questo si aggiunge che, nel frattempo, l’utente ha investito tempo, relazioni e contenuti sulla piattaforma, il risultato è un contesto in cui la revoca è formalmente possibile ma sostanzialmente disincentivata.

In termini di art. 7(3) e 7(4) del GDPR, un modello che lega sistematicamente la revoca a una scelta immediata tra “pagare o uscire” — senza transizione, né alternativa gratuita credibile — fatica a superare il test della libertà e della proporzionalità.

Cosa ci dice lo studio “Genuine Choices in Pay or Okay”: la frattura tra preferenze e comportamenti reali

Lo studio di Naderer, commissionato da noyb, è una delle prime evidenze empiriche sistematiche su questi modelli. I suoi risultati principali, pur con i limiti di un esperimento ipotetico, sono difficili da ignorare.

Disegno dell’esperimento:

• 509 partecipanti, 16–65 anni, campione austriaco bilanciato per genere ed età;
• tre contesti: portale di news, social network, sito generico;
• due configurazioni di banner:
• modello binario: abbonamento a pagamento senza tracking vs accesso gratuito con tracking e ads personalizzate;
• modello triadico: abbonamento senza tracking vs accesso gratuito con tracking vs accesso gratuito con sola pubblicità non comportamentale.

Prima della scelta, veniva chiesto agli utenti cosa pensassero in generale della pubblicità personalizzata.

Risultati:

• Intenzioni vs scelte: circa il 73% degli intervistati si dichiarava contrario alla pubblicità comportamentale; nel modello binario, circa l’88% sceglieva comunque l’opzione “gratis + tracking”;
• effetto della terza opzione: quando era disponibile l’accesso gratuito con pubblicità non comportamentale, la quota di utenti che sceglievano il tracking crollava quasi del tutto, mentre l’abbonamento restava minoritario ma non nullo.

Questi risultati non rendono automaticamente illecito ogni modello binario, ma mostrano un punto essenziale: la struttura delle opzioni influenza le scelte più del reale desiderio dell’utente.

Inoltre, rende difficile sostenere che la sola presenza di un abbonamento a pagamento garantisca un consenso genuinamente libero.

La componente di willingness to pay (disponibilità a pagare) — attorno ai 2/2,5 euro al mese per chi accetta in astratto di pagare per non essere tracciato — è affetta da hypothetical bias e non indica un “prezzo equo” normativo. Indica, tuttavia, un forte divario rispetto ad abbonamenti nell’ordine dei 5–8 euro al mese pensati esclusivamente per evitare l’advertising comportamentale.

Più che fissare un listino GDPR, lo studio offre un segnale: le scelte degli utenti sono estremamente sensibili al modo in cui le opzioni vengono strutturate e al livello di pressione economica collegata al rifiuto del consenso.

Il perimetro giuridico: GDPR, ePrivacy, Digital Market Act (DMA) e l’orientamento dell’EDPB

Per comprendere dove si colloca il pay or okay è necessario incrociare almeno tre piani: GDPR/ePrivacy, DMA e l’orientamento dell’EDPB.

GDPR ed ePrivacy: consenso, necessità e revoca

Sul fronte GDPR ed ePrivacy, alcuni punti sono consolidati.

Il consenso rappresenta la base giuridica “naturale” per il ricorso a cookie non necessari, per il tracking e per la pubblicità comportamentale, mentre il rifiuto e la revoca non possono tradursi in conseguenze negative sproporzionate, pena lo svuotamento della loro effettiva libertà.

Inoltre, la Direttiva ePrivacy richiede un consenso valido per qualsiasi tecnologia di memorizzazione o accesso a informazioni sul terminale che non sia strettamente necessaria all’erogazione del servizio richiesto.

Nel GDPR, non è l’utilità del trattamento a determinarne la necessità, ma la sua indispensabilità per la prestazione principale.

Il tentativo — diffuso — di fondare il trattamento per advertising personalizzato sull’art. 6(1)(b) (“necessità contrattuale”) si scontra con i limiti indicati dall’EDPB: un trattamento può dirsi necessario all’esecuzione del contratto solo quando è oggettivamente indispensabile per una funzionalità centrale del servizio e non semplicemente utile o redditizio.

“La necessità contrattuale va interpretata in senso restrittivo: il trattamento deve essere oggettivamente indispensabile alla prestazione principale”.

Se il servizio può essere erogato anche attraverso pubblicità non comportamentale oppure mediante un modello di abbonamento classico, senza profilazione pubblicitaria, allora la profilazione non è oggettivamente indispensabile alla prestazione principale.

Ad esempio, se un utente vuole solo leggere un articolo di news, la profilazione cross-site non è necessaria alla prestazione: l’accesso al contenuto può avvenire anche tramite pubblicità contestuale.

In questo scenario, l’uso dell’art. 6(1)(b) per giustificare la profilazione si pone in contrasto con l’impostazione dell’EDPB: il trattamento resta un trattamento addizionale, che richiede un consenso libero.

Digital Market Act e gatekeeper: alternativa equivalente e meno invasiva

Nel DMA, l’art. 5(2) richiede ai gatekeeper di offrire un’alternativa “equivalente e meno invasiva”.

È un concetto chiave: l’alternativa deve garantire lo stesso accesso, senza costringere l’utente ad accettare un livello di profilazione più ampio di quello strettamente necessario.

Le prime valutazioni della Commissione mostrano che un abbonamento costoso non è automaticamente un’alternativa equivalente, specie quando:

• il prezzo è elevato rispetto ai ricavi generati dalla pubblicità;
• non è prevista una terza opzione gratuita con ads non comportamentali;
• l’utente che rifiuta il tracking subisce un gap significativo in termini di accesso e status.

Per i gatekeeper, la domanda regina del DMA non è ‘esiste un’alternativa?’, ma: ‘l’alternativa è davvero equivalente?’.

L’interpretazione di “alternativa equivalente” è ancora in evoluzione, ma la direzione è chiara: per i gatekeeper il corridoio del pay or okay è particolarmente stretto e richiede, nella pratica, qualcosa di più di un semplice abbonamento “take it or leave it”.

In termini DMA significa che l’utente deve poter accedere allo stesso servizio, con le stesse funzionalità essenziali, senza essere obbligato ad accettare un livello di profilazione più esteso del necessario.

A questo punto, il quadro europeo mostra un elemento di costante: più cresce il potere della piattaforma, più si restringe lo spazio per un pay or OK realmente libero.

Terza opzione gratuita, “senza tracking” e sostenibilità: tra onere tecnico e onere probatorio

Alla luce dello studio Naderer e delle posizioni EDPB, la disponibilità di una terza opzione gratuita senza advertising comportamentale rappresenta spesso un elemento decisivo di genuinità della scelta. Ma richiede alcune precisazioni.

Cosa significa davvero “senza tracking”

“Pubblicità non personalizzata” non significa “assenza di trattamento dei dati”.

Anche in presenza di un’opzione gratuita senza profilazione è possibile che si verifichi una misurazione aggregata delle campagne, che il contenuto visualizzato dall’utente venga utilizzato per un minimo di targeting contestuale e che alcuni dati tecnici — inclusi, entro limiti stretti, elementi di fingerprinting — siano trattati per esigenze di sicurezza e antifrode.

La chiave è la separazione:

• i dati tecnici strettamente necessari per sicurezza e integrità del servizio devono restare confinati a tali finalità (art. 6(1)(c) o (f));
• non devono essere memorizzati a lungo né combinati in modo da creare identificatori stabili riutilizzabili per profilazione o advertising;
• devono esistere controlli tecnici e organizzativi che impediscano la “linkability” tra i log di sicurezza e i sistemi di advertising.

Senza questa separazione, parlare di opzione “senza tracking” rischia di ridursi a un’etichetta, non a una modifica sostanziale del trattamento.

Sostenibilità economica: caveat sì, esimente no

L’obiezione più forte contro la terza opzione gratuita riguarda la sostenibilità.

La pubblicità contestuale è spesso percepita come meno efficiente, più vulnerabile a fenomeni di frode pubblicitaria e meno appetibile per alcuni inserzionisti, in particolare quelli che puntano su un targeting di precisione.

Sono argomenti seri, ma non possono diventare, da soli, una sorta di “scudo” regolatorio.

Il GDPR non garantisce la sopravvivenza di un determinato modello di business: se il consenso non è libero, la conclusione coerente non è abbassare l’asticella della libertà, ma interrogarsi sulla necessità di modificare il modello.

La sostenibilità può incidere:

• sulla tempistica di adeguamento;
• sulla combinazione concreta di opzioni offerte (abbonamenti, micropagamenti, soluzioni ibride);
• sull’onere di investimento in soluzioni meno invasive (ads contestuali più efficienti, modelli di membership).

Diventa invece problematico invocare la “non sostenibilità” senza riuscire a dimostrare di aver allocato risorse — in termini di budget e di R&D — per esplorare alternative, di aver testato almeno in via pilota modelli differenti (membership, pay-per-use, crowdfunding) e di aver calibrato il prezzo dell’abbonamento in modo da renderlo effettivamente adottabile da una quota non irrilevante di utenti.

Un prezzo fisso elevato, uniforme per heavy e light user, non supportato da alcun test di mercato e associato a tassi di adozione prossimi allo zero, appare più come un deterrente che come una reale alternativa.

Oltre il banner: AI, sicurezza e separazione delle basi giuridiche nei trattamenti complessi

Il pay or okay non incide solo sul banner iniziale, ma sull’intera pipeline di trattamento dei dati.

Dietro il pulsante “accetto la pubblicità personalizzata” si muovono, di fatto, almeno tre filiere:

• advertising comportamentale: profilazione, retargeting, lookalike e misurazioni avanzate;
• sicurezza e integrità: prevenzione frodi, abusi, contenuti illegali, anche tramite forme di fingerprinting;
• AI e R&D: sistemi di raccomandazione, ottimizzazione dell’esperienza, modelli di previsione.

Dal punto di vista del GDPR, è rischioso fondare tutto su un unico consenso indistinto.

Una ripartizione più coerente dovrebbe prevedere che:

• l’advertising comportamentale resti ancorato al consenso ex art. 6(1)(a);
• le attività di sicurezza e integrità si fondino, quando ricorrono i presupposti, sull’interesse legittimo o sull’obbligo legale, a condizione che i relativi dati siano adeguatamente minimizzati e isolati dai sistemi pubblicitari;
• il training dei modelli di AI venga distinto a seconda della finalità: se il training serve a ottimizzare la pubblicità, la base giuridica deve essere il consenso; se serve a migliorare la qualità del servizio o l’infrastruttura, può essere valutato il legittimo interesse. Questa distinzione è cruciale per evitare che il consenso diventi un “ombrello” sotto cui rientra ogni trattamento.

Effetti sistemici: portabilità, cancellazione e rischio di illiceità retroattiva sui dataset

Se, in un modello pay or okay binario, la grande maggioranza degli utenti accetta il tracking solo per necessità economica, ma non per reale preferenza, i dati risultano formalmente trattati su base consensuale, ma sostanzialmente raccolti in un contesto di scelta condizionata.

Questo ha almeno tre conseguenze:

• sul piano della portabilità (art. 20), l’operatore consolida dataset imponenti che alimentano il suo potere di mercato, mentre i concorrenti faticano a emergere, anche laddove la portabilità sia tecnicamente possibile;
• sul piano del DMA, la combinazione di consent-or-pay e portabilità rischia di rafforzare le posizioni dominanti anziché mitigare le asimmetrie;
• sul piano del GDPR, se un’Autorità dovesse ritenere ex post che il consenso non era libero o che art. 6(1)(b) è stato invocato in modo improprio, l’intera filiera di trattamento (inclusi i dataset usati per l’AI) potrebbe essere qualificata come illecita:
• con conseguente obbligo di cancellazione dei dati (art. 17);
• e necessità di intervenire sui modelli AI allenati su quei dati.

Non è solo un rischio teorico: è un tema di resilienza regolatoria dei modelli di business basati sulla profilazione.

Verso modelli più equi: trust services, codici di condotta e bilanciamento con l’art. 11 della Carta UE

Una parte delle tensioni generate dal pay or okay non può essere risolta al livello del singolo titolare.

Una prima traiettoria è quella dei trust services e dei data trustee: soggetti terzi, regolamentati, che gestiscano in modo centralizzato le preferenze di tracking degli utenti, riducendo la necessità per ogni publisher di costruire il proprio sistema di consensi — e, di riflesso, il proprio arsenale di dark pattern.

In uno scenario di questo tipo, le piattaforme si limiterebbero a interrogare scelte già espresse in un contesto neutrale, anziché ricreare ogni volta la stessa dinamica di pressione.

Un’altra strada è la redazione di codici di condotta settoriali sul pay or okay (art. 40 GDPR), con:

• criteri condivisi su struttura delle opzioni, prezzo, gestione della revoca, separazione dei dati;
• organismi di monitoraggio (art. 41) incaricati di verificare la compliance dei partecipanti.

Un modello pay or okay conforme a un codice approvato non sarebbe automaticamente “immune” da contestazioni, ma avrebbe una presunzione di conformità più forte e una maggiore prevedibilità per utenti e Autorità.

Resta poi il tema, inevitabile, del bilanciamento con la libertà di stampa e il diritto all’informazione sancito dall’art. 11 della Carta UE.

Per alcuni editori, imporre da subito una terza opzione gratuita senza tracking potrebbe effettivamente mettere in crisi la sostenibilità di forme di giornalismo di qualità.

Un’Autorità chiamata a bilanciare GDPR e art. 11 potrebbe ritenere che, in contesti eccezionali, un pay or okay binario, purché rigorosamente regolato, sia tollerabile come soluzione transitoria, a condizione che sia accompagnato da un piano credibile di evoluzione verso modelli meno invasivi.

Non si tratta di annullare il requisito della genuine choice, ma di aprire alla possibilità di soluzioni graduali, in cui l’enforcement tenga conto anche del ruolo dell’operatore nel pluralismo informativo.

Conclusione

Il pay or okay nasce dall’idea di un patto ibrido: l’utente può pagare in denaro o “pagare” con i dati.

In astratto, il GDPR non esclude questa logica, purché siano rispettati i requisiti di libertà, trasparenza, revocabilità e proporzionalità.

Nel modello pay or OK la legalità formale non basta: serve una libertà sostanziale misurabile.

Nella pratica, però, molti modelli pay or okay operano al limite di questo corridoio:

• collegano il rifiuto o la revoca del consenso a costi economici elevati o a malus sociali significativi;
• invocano la sostenibilità economica senza dimostrare investimenti seri in alternative;
• mescolano nella stessa base giuridica advertising, sicurezza e AI;
• considerano il consenso come una leva di lock-in, non come una scelta rinnovabile.

La domanda centrale, per chi si occupa di privacy, AI, prodotto e business, non è se il pay or okay sia lecito in astratto, ma se il modello concreto che si sta adottando resisterebbe a un’analisi severa su alternative, prezzo, design, revoca e gestione dei dati, oppure stia usando l’abbonamento come schermo per mascherare un consenso che, a conti fatti, resta un prendere o lasciare.

In sintesi, il modello Pay or OK può essere un patto ibrido legittimo solo quando garantisce una reale alternativa, una revoca non penalizzante e una gestione separata delle diverse basi giuridiche. Quando invece l’abbonamento è un mero deterrente e il rifiuto comporta malus economici o sociali, il consenso perde la propria natura libera e informata.

Il nodo centrale non è l’esistenza dell’abbonamento, ma la genuinità della scelta.

La domanda, quindi, non è più se il pay-or-OK sia compatibile con il GDPR, ma se il modello che adottiamo oggi rispetti davvero la logica della genuine choice, cardine del diritto europeo alla protezione dei dati.