Il segnale che nessuno ascolterà

Il pacchetto «dati» del Digital Omnibus è ancora in negoziato. Una delle proposte della Commissione era un nuovo art. 88b del GDPR: segnali automatici, impostati una volta nel browser o nel dispositivo, con cui la persona esprime consenso o opposizione senza dover rispondere a ogni banner. Il Consiglio l’ha cancellato. Il 13 agosto il Garante federale tedesco ha chiesto ai co-legislatori di «revisit the issue».

Passerà come un dettaglio tecnico. Io credo che fosse il punto più interessante dell’intera riforma.

La liturgia del banner

Il banner dei cookie è il simbolo perfetto di ciò che in Habeas Mentem chiamo liturgia del consenso: un gesto ripetuto decine di volte al giorno, che produce prova giuridica e nessuna scelta reale. Sappiamo come è progettato. Il pulsante che accetta è grande e colorato. Quello che rifiuta è nascosto al secondo livello. Ogni volta si ricomincia da capo.

Il segnale automatico rovesciava questa logica. Invece di chiedere alla persona di difendersi ogni volta, le permetteva di decidere una volta, con calma, e di farsi rappresentare da una regola. È lo stesso principio che regge il diritto da secoli: la procura, la delega, il mandato.

Perché è stato tolto

Le ragioni ufficiali non le conosco nel dettaglio. Quelle prevedibili sì: impatto sulla pubblicità, difficoltà tecniche di standard, timore che i segnali diventino un «no» di default. Sono preoccupazioni serie per chi vive di dati. Ma rivelano un’asimmetria. Il sistema attuale funziona perché chiedere ogni volta stanca. La stanchezza è il modello di business.

La Carta di Habeas Mentem ha un articolo scritto per questo: «Uscire costa quanto entrare. Revocare costa quanto acconsentire». E un altro: «Il tempo necessario a decidere è parte della decisione, e non può essere sottratto ad arte». Il segnale automatico era il modo più semplice per rispettarli entrambi.

Il confronto internazionale

In California il Global Privacy Control è già riconosciuto come richiesta valida di opt-out ai sensi del CCPA. Non è perfetto, ma esiste ed è applicato. L’Europa, che ha inventato il GDPR, rischia di finire con uno strumento meno efficace per esprimere una scelta semplice.

E c’è un paradosso più profondo. Lo stesso negoziato, secondo una bozza trapelata riportata dal CDT, apre al trattamento di dati personali per sviluppare sistemi su basi giuridiche esistenti, con garanzie molto ridotte. Le macchine potranno parlare con le macchine per usare i nostri dati. Noi non potremo usare una macchina per dire di no.

Che cosa fare, anche senza norma

Non serve aspettare il legislatore. Chi progetta un servizio può già:

1. rispettare i segnali del browser come scelta volontaria e dichiararlo;
2. rendere il rifiuto uguale all’accettazione: stesso livello, stessa evidenza, stesso numero di clic;
3. ricordare la scelta per un tempo ragionevole invece di richiederla a ogni visita;
4. misurare quanto tempo serve per rifiutare e pubblicarlo.

Chi lo fa per primo non perde dati. Guadagna una cosa più rara: la prova che le scelte dei suoi utenti sono vere.