Austria: il Tribunale Amministrativo Federale conferma l’illiceità del modello “Pay or Okay” ai sensi del GDPR

Con decisione di recente pubblicazione, il Tribunale Amministrativo Federale austriaco (BVwG) ha confermato la precedente pronuncia dell’Autorità Garante per la protezione dei dati (DSB), la quale aveva ritenuto che il quotidiano DerStandard avesse violato il GDPR introducendo il sistema di consenso noto come “Pay or Okay”.

Il contesto

DerStandard era stato il primo portale in Austria ad adottare questo modello al momento dell’entrata in vigore del GDPR, offrendo agli utenti un’alternativa tra:

• prestare consenso al tracciamento per finalità pubblicitarie da parte di centinaia di terzi;

• oppure pagare un abbonamento mensile di € 9,90.

Secondo i dati prodotti in giudizio, mentre solo l’1-7% degli utenti acconsentirebbe al tracciamento se interpellato in modo libero e trasparente, l’approccio “Pay or Okay” induceva circa il 99,9% degli utenti a prestare il consenso.

Le decisioni del Garante e del Tribunale

La DSB aveva già rilevato l’illiceità del modello, osservando che DerStandard consentiva esclusivamente un consenso o un rifiuto globali, mentre la normativa europea richiede la possibilità di esprimere un consenso specifico e selettivo per ciascuna finalità di trattamento (cd. “granularità del consenso”).
Il BVwG ha ora confermato tale conclusione, dichiarando invalido il consenso così raccolto e rigettando il ricorso del quotidiano.

Contestualmente, il Tribunale ha ammesso l’impugnazione dinanzi alla Corte Amministrativa Suprema (VwGH), trattandosi di una questione innovativa non ancora oggetto di pronunce delle Corti superiori. È altamente probabile che la controversia venga successivamente deferita alla Corte di giustizia dell’Unione europea (CGUE).

Profili di interesse

• Consenso non liberamente prestato: tassi di adesione prossimi al 100% dimostrano, secondo le autorità, l’assenza di una scelta realmente libera, in contrasto con l’art. 4, n. 11 e l’art. 7 GDPR.

• Granularità necessaria: il consenso deve essere riferito a specifiche tipologie di trattamento e non può essere imposto in maniera “onnicomprensiva”.

• Rilievo politico del caso: la DSB aveva inizialmente assunto una posizione ritenuta da alcuni osservatori “politica”, in quanto poco incline a censurare il settore editoriale. Tuttavia, sia l’Autorità che il Tribunale hanno riconosciuto la violazione.

• Azioni modello e legittimazione attiva: il Tribunale ha respinto l’argomento di DerStandard che richiamava una decisione belga isolata sull’abuso del diritto da parte delle ONG, ribadendo la piena legittimità delle cd. “class actions” in materia di protezione dei dati, come già affermato dalla giurisprudenza austriaca e tedesca.

Conclusioni

La vicenda DerStandard conferma che l'attuale approccio “Pay or Okay” non appare compatibile con l’impianto del GDPR, in quanto trasforma un diritto fondamentale in una scelta condizionata dal pagamento di un corrispettivo.
L’attesa decisione della Corte Amministrativa Suprema, ed eventualmente della CGUE, avrà implicazioni decisive per il futuro della monetizzazione dei dati personali e dei modelli di business basati sull’“alternative to consent”.