Il rapporto tra DSA e GDPR deve essere letto in un’ottica di complementarità: da un lato la disciplina sulla protezione dei dati personali, dall’altro nuove regole di trasparenza per le piattaforme online. Le Linee Guida 03/2025 dell’EDPB (le “Linee Guida”) mostrano però un quadro più articolato[1]. Il punto emerge con particolare evidenza in due ambiti centrali dell’economia digitale: la pubblicità comportamentale e i sistemi di raccomandazione. Da un lato, il DSA impone nuove modalità di trasparenza immediata e accessibile sugli annunci pubblicitari; dall’altro, vieta in modo assoluto l’utilizzo di categorie particolari di dati per finalità di profilazione pubblicitaria, anche laddove il trattamento potrebbe teoricamente trovare una base di liceità ai sensi del GDPR. Parallelamente, le Linee Guida chiariscono che i sistemi di raccomandazione non rappresentano soltanto strumenti di ottimizzazione della user experience, ma vere e proprie attività di trattamento che possono incidere significativamente sugli utenti e richiedono quindi precise scelte di governance, trasparenza e minimizzazione dei dati. Più che introdurre obblighi autonomi e separati, il DSA sembra dunque spostare il baricentro della compliance: non è più sufficiente verificare se un trattamento sia astrattamente lecito ai sensi del GDPR, ma occorre valutare se l’intera architettura del servizio digitale sia compatibile con gli obiettivi di trasparenza, accountability e tutela dell’utente perseguiti dal regolamento sui servizi digitali. Trasparenza della pubblicità e profilazione L’art. 26 del DSA introduce specifici obblighi di trasparenza in materia di pubblicità, imponendo ai fornitori di piattaforme online di rendere immediatamente accessibili agli utenti una serie di informazioni relative agli annunci visualizzati[2]. Le informazioni devono essere presentate in tempo reale e direttamente accessibili dall’annuncio stesso. Le Linee Guida chiariscono che tale obbligo può essere adempiuto anche successivamente all’effettivo trattamento dei dati personali utilizzati per la selezione dell’annuncio. Ciò non esclude, tuttavia, l’applicazione delle regole del GDPR in materia di informativa privacy: le informazioni previste dagli artt. 13 e 14 del GDPR devono infatti essere fornite al momento della raccolta dei dati e, quindi, prima del trattamento. Un chiarimento particolarmente rilevante riguarda però l’autonomia degli obblighi del DSA rispetto alla disciplina privacy. L’art. 26 del DSA si applica infatti anche a forme di pubblicità che non implicano profilazione e che possono persino non comportare alcun trattamento di dati personali. La trasparenza pubblicitaria richiesta dal DSA non rappresenta quindi una mera estensione degli obblighi informativi previsti dal GDPR, ma un obbligo autonomo che riguarda il funzionamento stesso dell’ambiente digitale. L’obiettivo non è soltanto rendere lecito il trattamento dei dati, ma consentire agli utenti di comprendere immediatamente perché stanno visualizzando un determinato contenuto pubblicitario e secondo quali criteri esso viene selezionato. Nella pratica, ciò implica che le piattaforme online non possano più limitarsi a inserire informazioni generiche nelle privacy policy o nei cookie banner, ma debbano progettare interfacce che rendano effettivamente comprensibili i criteri di targeting utilizzati e le logiche di selezione degli annunci. Le piattaforme online, al fine di mostrare pubblicità mirata, ricorrono frequentemente ad attività di profilazione che possono rientrare nell’ambito di applicazione dell’art. 22 del GDPR, trattandosi di processi automatizzati volti a valutare aspetti personali degli utenti. Le Linee Guida precisano tuttavia che non ogni forma di advertising personalizzato produce necessariamente effetti giuridici o analogamente significativi ai sensi dell’art. 22 GDPR (si pensi, ad esempio, alla pubblicità generica). La valutazione richiede un’analisi concreta delle caratteristiche del trattamento, considerando elementi quali il grado di intrusività della profilazione, il tracciamento cross-device, le aspettative ragionevoli dell’utente, le modalità di erogazione dell’annuncio o l’eventuale sfruttamento di vulnerabilità individuali. Nei casi in cui trovi applicazione l’art. 22 GDPR, gli interessati hanno diritto a non essere sottoposti a decisioni unicamente automatizzate che producano effetti giuridici o incidano in modo analogo sulla loro persona, salvo che il trattamento sia necessario per l’esecuzione di un contratto, autorizzato dal diritto dell’Unione o degli Stati membri oppure fondato sul consenso esplicito dell’interessato. In tali ipotesi, il GDPR richiede che gli utenti siano adeguatamente informati circa la logica utilizzata, l’importanza e le conseguenze previste del trattamento automatizzato, garantendo inoltre la possibilità di ottenere un intervento umano e contestare la decisione. Ne deriva che parte degli obblighi informativi previsti dal DSA si sovrappongono a quelli già imposti dal GDPR. Tuttavia, il DSA introduce un elemento ulteriore: non si limita a richiedere trasparenza sul trattamento, ma impone che i principali parametri utilizzati per determinare la visualizzazione dell’annuncio siano facilmente accessibili e concretamente comprensibili direttamente nell’interfaccia della piattaforma. Le Linee Guida sembrano così confermare una trasformazione più ampia dell’approccio europeo alla regolazione delle piattaforme digitali: la compliance non riguarda più soltanto la liceità del trattamento dei dati personali, ma anche la trasparenza delle logiche che governano la personalizzazione dei contenuti e delle inserzioni pubblicitarie. Resta in ogni caso fermo che, indipendentemente dal fatto che il trattamento integri una forma di profilazione o sia finalizzato alla diffusione di pubblicità personalizzata, le piattaforme online devono sempre individuare una valida base giuridica ai sensi del GDPR. Divieto di profilazione basata su categorie particolari di dati L’art. 26 DSA vieta la presentazione di annunci basati su tecniche di profilazione che utilizzano categorie particolari di dati personali ai sensi dell’art. 9 GDPR. La disposizione assume particolare rilievo se letta congiuntamente all’art. 22 GDPR, il quale limita l’adozione di decisioni automatizzate fondate su categorie particolari di dati, salvo specifiche eccezioni, quali il consenso esplicito dell’interessato o rilevanti motivi di interesse pubblico. Le Linee Guida evidenziano però come il DSA introduca, sotto questo profilo, una disciplina più restrittiva rispetto al GDPR. Mentre quest’ultimo consente in astratto il trattamento di categorie particolari di dati in presenza delle condizioni previste dagli artt. 6 e 9 GDPR, il DSA vieta in modo assoluto la presentazione di pubblicità basata sulla profilazione effettuata mediante tali dati. Si tratta di un passaggio particolarmente significativo. Alcune pratiche di advertising comportamentale non vengono più valutate soltanto in termini di liceità del trattamento, ma considerate incompatibili, in sé, con il modello di tutela delineato dal DSA. La conseguenza pratica è rilevante per i fornitori di piattaforme online e per gli operatori dell’adtech ecosystem. Anche laddove un soggetto ritenga di poter fondare il trattamento su una valida base giuridica e su una delle deroghe previste dall’art. 9, par. 2 GDPR, la pubblicità basata su categorie particolari di dati resta comunque vietata dal DSA. Emblematico è l’esempio richiamato dall’EDPB relativo all’utilizzo di dati di localizzazione per inferire convinzioni religiose dell’utente o delle abitudini di acquisto per indirizzare messaggi pubblicitari personalizzati: anche in assenza di una raccolta esplicita del dato “sensibile”, l’inferenza algoritmica di categorie particolari di dati può ricadere nel divieto previsto dal DSA. I sistemi di raccomandazione Le Linee Guida dedicano particolare attenzione anche ai sistemi di raccomandazione, definiti dal DSA come sistemi automatizzati o semi-automatizzati utilizzati dalle piattaforme online per suggerire, classificare o dare priorità ai contenuti visualizzati dagli utenti. Questi sistemi costituiscono oggi uno degli strumenti principali attraverso cui le piattaforme organizzano l’esperienza digitale degli utenti, influenzando la visibilità dei contenuti, le interazioni online e, in alcuni casi, persino le scelte economiche o professionali degli interessati. Le raccomandazioni possono basarsi su criteri molto diversi. In alcuni casi, il sistema opera senza trattare dati personali dell’utente, come avviene, ad esempio, quando un e-commerce mostra genericamente i prodotti più venduti. In altri casi, invece, gli algoritmi elaborano dati comportamentali, cronologia di navigazione, preferenze o interazioni pregresse per prevedere quali contenuti siano maggiormente idonei a catturare l’attenzione dell’utente. È soprattutto in quest’ultima ipotesi che emergono i principali profili di rischio evidenziati dall’EDPB: trattamento su larga scala di dati personali, opacità delle inferenze algoritmiche, utilizzo di categorie particolari di dati, possibile coinvolgimento di soggetti vulnerabili e adozione di decisioni automatizzate suscettibili di incidere significativamente sugli interessati. Le Linee Guida sembrano così recepire una consapevolezza ormai centrale nel dibattito europeo sulla regolazione digitale: i sistemi di raccomandazione non rappresentano strumenti neutrali di organizzazione dei contenuti, ma meccanismi in grado di orientare il comportamento degli utenti e influenzarne le decisioni. Quando i sistemi di raccomandazione comportano il trattamento di dati personali, le piattaforme online agiscono in qualità di titolari del trattamento e devono pertanto rispettare i principi del GDPR, tra cui liceità, correttezza, trasparenza, limitazione della finalità e accuratezza dei dati. In tale contesto, l’EDPB valorizza gli obblighi di trasparenza previsti dall’art. 27 DSA. Le piattaforme devono indicare nei propri termini e condizioni, in linguaggio chiaro e comprensibile, i principali parametri utilizzati dai sistemi di raccomandazione e le ragioni per cui determinati contenuti vengono suggeriti, prioritizzati o presentati con una certa prominenza. L’obiettivo perseguito dal DSA non sembra però limitarsi alla sola trasparenza documentale. Le piattaforme devono infatti consentire agli utenti di modificare direttamente dall’interfaccia online le opzioni relative ai sistemi di raccomandazione, introducendo così forme di controllo effettivo sulla personalizzazione dei contenuti. Ulteriori obblighi sono previsti per VLOPs e VLOSEs[3], le piattaforme e i motori di ricerca di dimensioni molto grandi che svolgono un ruolo sistemico nel mercato digitale. Tali soggetti devono offrire almeno un’opzione di sistema di raccomandazione non basata sulla profilazione. Sul punto, le Linee Guida precisano che VLOPs e VLOSEs non possono progettare le interfacce in modo da orientare gli utenti verso sistemi di raccomandazione basati sulla profilazione. Le modalità di presentazione delle opzioni devono quindi rispettare i principi di privacy by design, privacy by default e minimizzazione dei dati. Le Linee Guida sottolineano inoltre che le informazioni raccolte in relazione alle preferenze espresse dagli utenti sui sistemi di raccomandazione possono essere trattate esclusivamente per adempiere agli obblighi previsti dal DSA. Tali dati devono essere conservati solo per il tempo strettamente necessario, evitando la creazione di storici relativi alle scelte effettuate dagli utenti. Conclusioni Le Linee Guida confermano che, nel contesto delle piattaforme online, la compliance non può più essere affrontata separando artificialmente protezione dei dati, governance algoritmica e trasparenza dei servizi digitali. La logica sottesa al DSA appare infatti diversa rispetto all’impostazione tradizionale del GDPR. Quest’ultimo si concentra prevalentemente sulle condizioni di liceità del trattamento; il DSA, invece, interviene anche sulle modalità con cui le piattaforme progettano l’esperienza digitale degli utenti, imponendo vincoli specifici alla pubblicità comportamentale, alla personalizzazione dei contenuti e all’utilizzo dei sistemi di raccomandazione. Per i fornitori di piattaforme online, ciò implica un cambiamento organizzativo significativo. Gli obblighi di trasparenza non possono essere gestiti esclusivamente attraverso informative privacy o aggiornamenti documentali, ma richiedono interventi sull’interfaccia utente, sulla configurazione dei sistemi di targeting, sulla governance degli algoritmi e sulla gestione delle preferenze degli utenti. In questa prospettiva, le Linee Guida sembrano anticipare un approccio regolatorio sempre più orientato non solo alla legittimità del trattamento dei dati, ma alla responsabilizzazione delle piattaforme rispetto agli effetti concreti che determinati modelli di personalizzazione e profilazione possono produrre sugli utenti. [1] Le Linee Guida affrontano anche altri temi, tra cui con la moderazione dei contenuti online e il trattamento dei dati personali, all’articolo derubricato: “Moderazione dei contenuti e trattamento dei dati personali: l’interazione tra gli obblighi del DSA e quelli del GDPR” [2] In particolare, l’art. 26 DSA prevede che, per ogni singola pubblicità, le piattaforme online devono indicare: (i) se l’informazione costituisce una pubblicità; (ii) la persona fisica o giuridica per conto della quale viene presentata la pubblicità; (iii) la persona fisica che paga per la pubblicità; (iv) informazioni sui parametri utilizzati per determinare il destinatario al quale viene presentata la pubblicità e le eventuali opzioni per modificarli. [3] Per maggiori approfondimenti sul tema, rinviamo al nostro precedente contributo “DSA: European Commission designated 19 Very Large Online Platforms and Search Engines”.
