Consent or pay: i paywall dei cookie sono legali secondo il GDPR?

Un modello “consent or pay”, a volte chiamato paywall dei cookie, offre ai visitatori due modi per accedere: accettare il tracciamento per la pubblicità personalizzata oppure pagare per accedere senza di esso. Non è vietato del tutto nell’UE o nel Regno Unito, ma è lecito solo se rifiutare il consenso non comporta un pregiudizio ingiusto. In pratica questo significa un prezzo equo, un’opzione a pagamento davvero equivalente e, per le piattaforme più grandi, di solito anche un’opzione gratuita senza pubblicità comportamentale.

Che cos’è un modello consent or pay?

Un modello consent or pay sostituisce i consueti pulsanti “Accetta” e “Rifiuta” con una scelta tra accettare il tracciamento e pagare. I visitatori che accettano ottengono il sito gratuito, finanziato dalla pubblicità. I visitatori che pagano ottengono l’accesso senza pubblicità personalizzata e, di solito, senza il tracciamento che la rende possibile.

Si distingue da un semplice cookie wall, in cui rifiutare il consenso significa perdere del tutto l’accesso. Con il consent or pay, il rifiuto ha un prezzo invece di essere un vicolo cieco. Gli editori hanno adottato questo modello man mano che i tassi di consenso calavano e i ricavi pubblicitari dagli utenti che non acconsentivano diminuivano, e le grandi piattaforme li hanno seguiti.

Che cosa dice il diritto dell’UE?

Il punto di partenza è la definizione di consenso del GDPR, secondo cui il consenso deve essere libero. In base all’articolo 7, paragrafo 4, nel valutare se il consenso sia libero le autorità verificano se l’accesso a un servizio è subordinato al consenso a un trattamento non necessario per quel servizio. Un modello che penalizza il rifiuto non supera questo test. Per l’elenco completo delle condizioni, consulta la checklist per un consenso valido.

Nel 2023 la Corte di giustizia dell’Unione europea (CGUE) ha affrontato la questione in modo indiretto nella causa Meta Platforms v Bundeskartellamt (C-252/21). Ha affermato che agli utenti che rifiutano determinati trattamenti di dati non necessari per il contratto dovrebbe essere offerta, se necessario dietro un adeguato corrispettivo, un’alternativa equivalente senza quei trattamenti. L’espressione “dietro un adeguato corrispettivo” è diventata l’appiglio giuridico del consent or pay.

Il Comitato europeo per la protezione dei dati (EDPB) ne ha poi ristretto la portata. Il suo parere 08/2024, adottato nell’aprile 2024, afferma che le grandi piattaforme online nella maggior parte dei casi non potranno ottenere un consenso valido se offrono agli utenti solo una scelta binaria tra acconsentire e pagare. Le incoraggia a offrire anche un’alternativa gratuita senza pubblicità comportamentale, come una versione con annunci contestuali o meno personalizzati. Il parere riguarda specificamente le grandi piattaforme online, quindi non è una decisione diretta sui siti più piccoli, ma le autorità nazionali lo leggono con attenzione.

Come lo hanno applicato le autorità?

Le autorità hanno adottato un approccio caso per caso con test sostanzialmente simili. Questa tabella riassume le principali posizioni.

Autorità	Posizione	Fattori chiave
CGUE (2023)	Un’alternativa equivalente può essere offerta dietro un adeguato corrispettivo	Equivalenza, corrispettivo adeguato
EDPB (2024)	Per le grandi piattaforme una scelta binaria tra consenso e pagamento di solito non basta	Squilibrio di potere, pregiudizio, un’alternativa gratuita senza pubblicità comportamentale
CNIL, Francia (2022)	I cookie wall vengono valutati caso per caso	Un’alternativa reale ed equa e un prezzo ragionevole
ICO, Regno Unito (2025)	Il consent or pay può essere lecito se rispetta le condizioni	Squilibrio di potere, equivalenza, corrispettivo adeguato, privacy by design
Commissione europea (2025)	Il modello di Meta ha violato il Digital Markets Act	Un’alternativa meno personalizzata ma equivalente per gli utenti che rifiutano

La decisione della Commissione contro Meta è stata adottata ai sensi del Digital Markets Act, che si applica solo ai gatekeeper designati, e non del GDPR. Mostra comunque come ragionano le autorità: nell’aprile 2025 la Commissione ha inflitto a Meta una sanzione di 200 milioni di euro per aver offerto agli utenti UE di Facebook e Instagram solo la scelta tra acconsentire agli annunci personalizzati e pagare un abbonamento.

Un editore più piccolo può usare il consent or pay?

Spesso sì, se il modello è equo. I timori legati allo squilibrio di potere che pesano sulle grandi piattaforme sono meno forti per un sito di notizie o un editore di nicchia, i cui utenti possono facilmente rivolgersi altrove. Le autorità esamineranno comunque i dettagli, quindi verifica questi punti.

1. Il prezzo è ragionevole. Fissalo facendo riferimento ai ricavi pubblicitari generati da un utente tipico e ai prezzi di servizi simili, non come deterrente. Metti per iscritto come sei arrivato alla cifra.
2. L’opzione a pagamento è equivalente. Gli abbonati dovrebbero ottenere gli stessi contenuti e le stesse funzionalità principali degli utenti che acconsentono, senza il tracciamento.
3. L’opzione a pagamento è davvero priva di tracciamento. Verifica che i tag pubblicitari e di tracciamento si fermino davvero per gli abbonati. Un livello a pagamento che carica comunque pixel pubblicitari è peggio di nessun livello a pagamento.
4. Il consenso resta granulare. Accettare l’opzione gratuita non dovrebbe raggruppare tutte le finalità. Gli utenti dovrebbero comunque poter scegliere tra le finalità non essenziali, quando è ragionevolmente possibile.
5. La scelta è onesta. Presenta entrambe le opzioni in modo neutrale, senza i dark pattern che le autorità cercano, come nascondere l’opzione a pagamento o farla sembrare la risposta sbagliata.
6. La revoca funziona comunque. Gli utenti che hanno accettato devono poter revocare il consenso con la stessa facilità con cui l’hanno prestato. Leggi come consentire ai visitatori di revocare il consenso ai cookie.
7. I minori sono trattati diversamente. Se è probabile che il tuo servizio sia usato da minori, presta particolare attenzione; le indicazioni dell’ICO lo considerano uno scenario a rischio più elevato.

Documenta il tuo ragionamento su ciascun punto. Se un’autorità te lo chiede, dovrai dimostrare perché il consenso ottenuto tramite il cookie wall è stato prestato liberamente.

Che cosa significa per il banner stesso?

Un banner consent or pay deve comunque rispettare tutti gli altri requisiti del consenso: informazioni chiare, un’azione positiva, nessuna casella preselezionata e un modo per cambiare idea in seguito. Si limita a sostituire “Rifiuta” con “Abbonati” o “Accedi” come alternativa all’accettazione.

Dal punto di vista tecnico contano tre stati: visitatori che acconsentono, abbonati e visitatori che non hanno ancora scelto. Il tuo livello di consenso deve sapere quale si applica a ogni visualizzazione di pagina, così i tag si attivano solo per i visitatori che acconsentono e gli abbonati vengono riconosciuti prima che si carichi qualsiasi script pubblicitario.

In sintesi

Il consent or pay può essere lecito nell’UE e nel Regno Unito, ma solo quando rifiutare il tracciamento è una scelta equa e non una penalizzazione. Mantieni un prezzo ragionevole, rendi l’opzione a pagamento davvero equivalente e priva di tracciamento, mantieni il consenso granulare e documenta perché il tuo modello funziona. Le grandi piattaforme devono rispettare uno standard più elevato e dovrebbero aspettarsi di offrire anche un’opzione gratuita senza pubblicità comportamentale. Strumenti come Cookiesh possono gestire la parte tecnica, bloccando i tag pubblicitari fino al consenso e conservando una traccia della scelta di ogni visitatore.

Questo articolo ha carattere puramente informativo e non costituisce consulenza legale. Per decisioni relative alla tua situazione specifica, rivolgiti a un professionista qualificato in materia di privacy.