Riunione dell'ORG per il DCMS sulla riforma del PECR

ORG ritiene che lo status quo dell'ecosistema del real-time bidding sia insostenibile. La nostra risposta alla richiesta di opinioni dell'ICO, che è stata anche riflessa nel riassunto pubblico delle opinioni dell'ICO, era la seguente:

il tracciamento, il profiling e il targeting di persone sulla base di dati personali espongono le donne a accuse ingiuste per il loro tentativo di esercitare i diritti sulla salute riproduttiva; i giocatori problematici al targeting con pubblicità di gioco progettate per sfruttare la loro dipendenza; chiunque al rifiuto sulla base del genere, delle preferenze sessuali, dell'etnia o di altre caratteristiche sensibili; bambini e coloro che si trovano in una situazione di vulnerabilità a essere presi di mira e sfruttati.

Pertanto, riconosciamo la necessità di promuovere il cambiamento nel settore della pubblicità online e di sostenere gli sforzi per allontanare il settore dal modello dominante della pubblicità online, ovvero la pubblicità comportamentale e l'ecosistema del real-time bidding. Di conseguenza, non siamo contrari, in linea di principio, a una riforma del regime di consenso per i cookie.

Perché questo cambiamento sia significativo e affronti le questioni sopra indicate, identifichiamo le seguenti condizioni necessarie:

• La legislazione deve mirare a promuovere nuove pratiche di gestione dei dati che: non identifichino o targettino gli utenti sulla base dei loro dati personali; minimizzino la quantità di dati raccolti per scopi pubblicitari; riducano la condivisione dei dati all'interno dell'ecosistema dell'adtech; ripristinino l'agency degli utenti.

• Nuovi esentamenti non devono mai consentire la profilazione comportamentale, ovvero il tracciamento e/o il targeting di utenti Internet sulla base della loro attività online o dei loro dati personali.
• I dati raccolti in virtù di qualsiasi nuovo esimente devono essere minimizzati e non devono diventare disponibili per ulteriori utilizzi che superino gli scopi degli esentamenti.
• Una riforma legislativa può funzionare solo se agli utenti di Internet vengono garantite delle prerogative, ovvero mezzi significativi ed efficaci per rifiutare il profiling comportamentale e la pubblicità. Allo stesso modo, i trasgressori devono essere puniti per la mancata conformità, le violazioni della privacy e la coercizione.

PERCHÉ QUESTE LINEE ROSSE SONO IMPORTANTI

È necessaria una riforma per limitare la massiccia violazione dei diritti alla privacy e alla protezione dei dati da parte del settore dell'advertising. Di conseguenza, la riforma legislativa dovrebbe prevedere soluzioni pubblicitarie rispettose della privacy, affrontare in modo sostanziale le questioni relative alla privacy della pubblicità online e premiare gli inserzionisti che scelgono di utilizzarle. D'altra parte, la riforma non deve legalizzare le pratiche esistenti e illegali: ciò premerebbe la mancata conformità e non promuoverebbe il cambiamento comportamentale tanto necessario nel settore.

Per raggiungere quanto sopra, nessuna nuova eccezione non può in alcun modo coprire l'elaborazione dei dati per la pubblicità comportamentale e il profiling. È inoltre necessario ridurre la quantità di dati raccolti e impedire che vengano ulteriormente utilizzati al di fuori dello scopo di tali eccezioni, al fine di affrontare le questioni più ampie di condivisione, opacità e mancanza di sicurezza che caratterizzano l'ecosistema del real-time bidding.

Inoltre, se gli individui non sono in grado di scegliere liberamente, l'industria dell'advertising si concentrerà nel forzarli ad accettare la pubblicità comportamentale, piuttosto che innovare e sviluppare nuove pratiche che sfruttino le nuove eccezioni. Una riforma significativa della PECR deve stabilire mezzi che gli individui possono utilizzare per esprimere in modo efficace le proprie scelte di consenso. Se tali mezzi non vengono forniti, come dimostra la loro esperienza, l'industria dell'advertising costringerà gli individui a sottomettersi al profiling comportamentale, soffocando l'adozione di nuove soluzioni pubblicitarie rispettose della privacy.

Ci consegue anche la necessità di punire gli intermediari che violano la privacy degli utenti o che ne impediscono l'esercizio dell'autonomia, al fine di creare una situazione di parità con gli inserzionisti che scelgono di adottare soluzioni rispettose della privacy e che rispettano l'autonomia degli utenti.

ORG non si oppone, in linea di principio, alle esenzioni previste dall'ICO nei suoi consigli al governo. Tuttavia, sottolineiamo che nuove esenzioni non devono diventare un modo per legalizzare il profiling e il targeting comportamentale. Siamo inoltre consapevoli che l'industria dell'advertising digitale ha una comprovata storia di non conformità, violazione delle leggi e violazione massiva dei diritti degli utenti. Per affrontare queste questioni:

• Il linguaggio dovrà essere chiaro e restrittivo, per evitare interpretazioni estese da parte del settore dell'advertising tecnologico e abusi da parte di attori malintenzionati, che sono dominanti.
• Saranno necessarie misure per vietare l'utilizzo di dati coperti da nuove esenzioni, qualora tale utilizzo vada al di là dello scopo per cui l'esenzione è stata concessa. Allo stesso modo, la legislazione non deve consentire l'utilizzo di tali dati per la creazione di impronte digitali, la ri-identificazione, la rimozione dell'anonimato o per l'arricchimento dei dati (ovvero l'utilizzo di servizi di intermediazione dati per collegare i dati elaborati ai sensi di un'esenzione con altri dati personali disponibili sul mercato).
• L'applicazione rigorosa del principio di minimizzazione e necessità sarà inoltre necessaria per sostenere tali garanzie: meno dati sono disponibili, meno dettagliati sono i dati e più difficile diventa collegare tali dati all'utente originale; sarà più difficile per i sistemi pubblicitari dannosi reintrodurre questi dati nel loro ecosistema.

Notiamo inoltre che:

• L'interesse legittimo è probabilmente la base per l'elaborazione dei dati ai sensi delle nuove esenzioni. Il test di bilanciamento è un'autovalutazione con una minaccia di intervento normativo: in altre parole, i titolari dei dati sono invitati ad autoregolarsi, con la minaccia di intervento normativo qualora non lo facciano. La diffusa condotta scorretta nel settore significa che il test di bilanciamento sarebbe probabilmente abusato, e quindi insufficiente a proteggere i dati in questo scenario.
• Il tracciamento dei cookie basato sul consenso significa che, laddove tale consenso non è stato dato o revocato, la continuazione dell'elaborazione di tali dati sulla base di un altro fondamento legale (come l'interesse legittimo) sarebbe stata ingiusta e quindi violerebbe il principio di correttezza. Tuttavia, la correttezza non costituisce necessariamente una restrizione significativa contro il riutilizzo dei dati in uno scenario in cui l'elaborazione dei dati può avvenire senza il consenso degli utenti.

Pertanto, riteniamo che la legislazione debba sancire divieti e limiti prescrittivi contro ulteriori elaborazioni (riutilizzo dei dati, fingerprinting, re-identificazione, de-anonimizzazione o miglioramento dei dati) al fine di fornire una protezione significativa contro l'uso improprio dei dati. Queste ulteriori garanzie dovrebbero complementare, e non derogare, le disposizioni basate su principi che il diritto sulla protezione dei dati del Regno Unito già sancisce.

Qualsiasi nuova esenzione può favorire solo le soluzioni pubblicitarie che preservano la privacy e, fintanto che agli utenti è consentito esprimere liberamente le proprie scelte, possono scegliere l'opzione più rispettosa della privacy invece di quella più invasiva. Tuttavia, l'industria dell'advertising ha da anni impiegato tattiche per indurre gli utenti a scegliere ciò che è preferibile per l'advertising: ad esempio, con banner di cookie ingannevoli, pattern oscuri, spam di consenso, ecc.

Pertanto, questa nuova politica sarà efficace solo se supportata da misure legislative che ripristinino il diritto degli utenti di scegliere liberamente. Il modo più ovvio per farlo sarebbe dare attuatività legale ai segnali dei browser: gli utenti sarebbero in grado di esprimere le proprie scelte all'interno dei loro browser e queste scelte verrebbero comunicate automaticamente ogni volta che visitano un sito web. I segnali dei browser darebbero inoltre agli utenti la possibilità di "far rispettare individualmente" le proprie scelte, anziché dover fare affidamento sul fatto che l'ICO persegua gli attori non conformi e promuova direttamente il cambiamento nel settore.

Anche i segnali di privacy vincolanti rendono più facile e, quindi, più probabile l'applicazione della regolamentazione. Stabilire l'esistenza o l'assenza di "consenso valido" o "coercizione" richiede un certo grado di indagine: i regolatori devono indagare sulle pratiche di raccolta dati e valutare se un'interfaccia sia ingannevole, se qualcosa sia ingiusto e, successivamente, discutere questa valutazione se il titolare del trattamento contesta la decisione dell'ICO. I segnali di privacy vincolanti richiedono solo una valutazione binaria, ovvero se il browser ha comunicato una preferenza e se questa è stata rispettata. Ciò rende la loro applicazione molto più probabile e la prospettiva di un appello di successo contro di essa meno probabile.

La necessità di segnali dei browser, come via alternativa e fattore di supporto all'applicazione diretta della regolamentazione da parte dell'ICO, dovrebbe anche essere considerata alla luce della storia e dello stato attuale dell'ICO:

• Secondo i consigli dell'ICO al governo, la maggior parte dei problemi identificati nel rapporto 2019 sull'industria dell'advertising tecnologico sono ancora attuali, ovvero l'industria dell'advertising tecnologico non ha affrontato in modo significativo le violazioni radicali della legge sulla protezione dei dati identificate dall'ICO e dal loro rapporto nel 2019. Sono passati sette anni, ma l'ICO non ha ancora intrapreso alcuna azione di controllo nei confronti dell'industria dell'advertising tecnologico.
• L'ICO sta attualmente attraversando una transizione da un'entità aziendale autonoma a un organismo di diritto, con il trasferimento della sua sede a Manchester, il cambio della sua leadership e una revisione indipendente dovuta alle dimissioni del precedente Commissario John Edwards a seguito di un'indagine interna del personale.

Non ci sono indicazioni di un cambiamento significativo nell'applicazione delle normative da parte dell'ICO nei confronti del settore dell'advertising tecnologico, e anzi, sembra probabile che l'organizzazione dovrà affrontare notevoli distrazioni nella breve e media termine. L'effetto combinato di questi fattori rende dubbia la capacità dell'ICO di sostenere l'implementazione di queste riforme attraverso un'intensa azione regolamentare. Pertanto, sarebbe opportuno creare vie alternative, come segnali di privacy vincolanti, che possono essere "applicati individualmente" dagli stessi utenti.

Come si spiega più avanti, l'allineamento delle proposte del Regno Unito al quadro normativo emergente dell'UE aumenterebbe anche i rischi normativi per gli operatori che dovessero violare le nuove esenzioni, in quanto le violazioni e le pratiche scorrette attirerebbero l'attenzione delle autorità di regolamentazione non solo nel Regno Unito, ma anche in altri paesi dell'UE/SEE.

Similmente al Regno Unito, l' Omnibus dei dati dell'Unione Europea sta discutendo l'introduzione di limitate esenzioni ai requisiti di consenso per i cookie, e di un meccanismo per dare formalmente validità legale ai segnali dei browser. La convergenza di questo dibattito e il suo impatto sull'iniziativa del Regno Unito non dovrebbero essere sottovalutati. In particolare:

• Il Regno Unito dovrebbe cercare di allineare le proprie nuove esenzioni a quelle introdotte nell'UE. Un quadro normativo convergente, piuttosto che concorrente, renderebbe più convincente una transizione del settore verso un'alternativa più rispettosa della privacy, in quanto un nuovo sistema pubblicitario sviluppato per il quadro normativo dell'UE sarebbe automaticamente applicabile sia nel Regno Unito che nell'UE. D'altra parte, requisiti normativi divergenti impedirebbero la messa in campo di una soluzione sviluppata per un determinato quadro normativo nell'altro, riducendo la fattibilità commerciale e la scalabilità di tali sistemi.
• Requisiti normativi convergenti aumenterebbero i rischi normativi per i player del settore adtech non conformi: ad esempio, se abusassero delle nuove esenzioni fornite nel Regno Unito, tale comportamento potrebbe essere punito sia nel Regno Unito che nell'UE, aumentando così i rischi normativi per la non conformità. D'altra parte, se un requisito normativo esiste solo nel Regno Unito, ma non nell'UE, la non conformità esporrebbe il trasgressore a un rischio normativo solo nel Regno Unito, dove la probabilità di applicazione è dubbia per i motivi già indicati.

Alla luce di quanto sopra, suggeriamo al governo di riconsiderare la tempistica esistente per l'utilizzo dei poteri di Henry VIII per introdurre tali esenzioni. In particolare, riteniamo che sarebbe vantaggioso attendere l'esito delle proposte dell'omnibus dei dati dell'UE per minimizzare il rischio di divergenza normativa con l'UE, e l'effetto potenziale di produrre due regimi concorrenti che si sosterrebbero a vicenda, compromettendo la fattibilità dell'altro. Ciò non impedirebbe al governo di consultare sulla redazione e sulle opzioni politiche, che rimarrebbero utili per promuovere la supervisione pubblica e favorire il dialogo normativo transfrontaliero.

Gli obiettivi e gli scopi di queste riforme possono essere condivisi, ma lo status quo e la cronologia nel settore dell'adtech richiedono realismo: l'industria non è abituata a conformarsi alla legge, anzi, è apertamente irresponsabile e la ignora. In questo modo, saranno necessarie misure eccezionali per costringere un cambiamento nel comportamento in tutto il settore, affinché questa riforma possa essere efficace e raggiungere il suo scopo.

Pertanto, sollecitiamo al Dipartimento di lavorare sui problemi elencati sopra, e rimaniamo disponibili per ulteriori approfondimenti su questo argomento.