La regola GDPR sui "dati particolari": perche' riguarda una directory di annunci per adulti anche senza una sede in Europa

La multa che non riguardava un attacco informatico

Nel dicembre 2021 l'autorita' norvegese per la protezione dei dati ha multato Grindr LLC per 65 milioni di corone. Nessuno aveva violato i server di Grindr. Nessun database era trapelato. L'azienda aveva fatto cio' che fanno, senza pensarci due volte, la maggior parte dei siti con un accesso utente e un budget pubblicitario: aveva condiviso identificativi con partner pubblicitari per gestire annunci mirati e misurarne l'efficacia. E' esattamente lo stesso meccanismo dietro un Meta Pixel o un tag di conversione di Google Ads su migliaia di siti ordinari.

La difesa di Grindr era che nulla di tutto cio' rivelasse davvero l'orientamento sessuale di qualcuno. Un utente poteva scegliere un soprannome, saltare la foto, e non condividere nulla di esplicito su chi fosse. L'autorita' non ha accettato questa tesi. Ha stabilito che essere un utente noto di un'app costruita attorno a una specifica minoranza sessuale "indica fortemente, e sembra riflettere accuratamente nella maggior parte dei casi", che la persona appartenga a quella minoranza, che ne abbia scritto una parola o no. La multa e' stata confermata in appello, e un tribunale norvegese l'ha confermata di nuovo nel 2025.

Il ragionamento conta piu' del numero. Un operatore di annunci che legge di questo caso di solito lo archivia come "un problema delle app di incontri, noi vendiamo annunci". Ma il test legale applicato dall'autorita' non riguardava come si chiamasse l'app di Grindr. Riguardava cio' che una persona ragionevole poteva dedurre dai dati, e quel test non si ferma alla porta di un'app di incontri. Una directory costruita attorno ad annunci personali per adulti produce esattamente lo stesso tipo di dato: un account su questo tipo di piattaforma, che naviga una categoria specifica, che contatta un tipo specifico di annuncio. Nulla di tutto cio' richiede una sola parola esplicita per dire a un terzo qualcosa di intimo sulla persona che c'e' dietro.

Questo e' il pezzo che sfugge a un operatore concentrato su contestazioni di pagamento, verifica dell'eta' e moderazione dei contenuti, tutti rischi reali e immediati. Il diritto sulla protezione dei dati e' un binario del tutto diverso, con una propria autorita', proprie multe, e un test legale costruito esattamente per questo tipo di piattaforma anche se e' stato scritto senza pensare a nessun sito per adulti.

Perche' conta anche se nessuno lo dice ad alta voce

Il diritto europeo ha un nome per i dati che permettono di dedurre un fatto sensibile senza che sia dichiarato direttamente: inferenza. Nell'agosto 2022 la Corte di giustizia dell'Unione europea si e' pronunciata su un caso che non aveva nulla a che fare con i contenuti per adulti. Un funzionario pubblico lituano era tenuto a dichiarare, tra le altre cose, il nome del proprio partner, e quella dichiarazione era stata pubblicata online. La corte ha stabilito che nominare un partner dello stesso sesso, senza una sola parola sull'orientamento, contasse comunque come trattamento di dati sull'orientamento sessuale, perche' un lettore poteva arrivarci attraverso quella che la corte ha definito un'operazione intellettuale di confronto o deduzione.

Quel test va ben oltre un singolo funzionario lituano. La domanda non e' mai "la piattaforma ha detto che questa persona e' gay, etero, o altro". La domanda e' se un dato, combinato con un ragionamento ordinario, permetta a un lettore di arrivare a quella conclusione. Una categoria di annuncio, un campo "cerco", una descrizione del servizio, o semplicemente un account attivo su una piattaforma organizzata attorno a un tipo specifico di annuncio personale possono superare da soli quella soglia, senza alcuna etichetta esplicita allegata.

Secondo il GDPR, una volta che un dato supera quella soglia, smette di essere un dato personale ordinario e diventa cio' che il regolamento chiama categoria particolare, il termine dell'articolo 9 per lo stesso insieme che contiene le cartelle sanitarie, le convinzioni religiose e l'appartenenza sindacale. Non e' un'etichetta secondaria. L'articolo 9 si apre vietando del tutto il trattamento di questo tipo di dati, e solleva quel divieto solo per un elenco breve e chiuso di situazioni specifiche. I dati personali ordinari, al contrario, richiedono solo una tra diverse basi giuridiche comuni, e quel divario e' esattamente dove si trova oggi, senza accorgersene, la maggior parte dei siti di annunci.

L'effetto pratico e' che un campo costruito solo per la ricerca e il filtraggio, che permette a un visitatore di restringere gli annunci per categoria o preferenza, sta facendo silenziosamente un doppio lavoro. Aiuta un visitatore a trovare cio' che cerca, ed e' anche esattamente il tipo di dato che un'autorita' indicherebbe come prova che la piattaforma tratta categorie particolari di dati sia del visitatore sia della persona nell'annuncio. Togliere l'etichetta che un utente potrebbe scrivere non basta a sottrarsi alla regola: il test della Corte si basa su cio' che si puo' dedurre, non su cio' che e' stato dichiarato.

Perche' "non abbiamo una sede in Europa" non aiuta

La reazione piu' comune a tutto questo, da parte di un operatore con sede lontana da Bruxelles, e' che i regolatori europei non abbiano alcuna competenza qui. Quella reazione e' sbagliata, e il GDPR e' esplicito sul perche'. L'articolo 3(2) applica il regolamento a qualsiasi azienda, ovunque abbia sede, nel momento in cui offre beni o servizi a persone che si trovano nell'UE, indipendentemente dal fatto che qualcuna di loro paghi qualcosa, oppure nel momento in cui monitora il comportamento di persone che si trovano nell'UE. Nessuno dei due casi richiede un'entita' europea, un conto bancario europeo o un dipendente europeo.

Le linee guida che le autorita' usano per applicare quell'articolo dicono che un sito che semplicemente si carica per un visitatore in Germania non basta, da solo, a far scattare la regola. Cio' che fa pendere la bilancia e' la prova che l'azienda stia davvero rivolgendosi a persone nell'UE: prezzi mostrati in euro, marketing rivolto a un pubblico europeo, o, molto concretamente, offrire il sito stesso in lingue europee. Una piattaforma di annunci che gia' offre pagine in francese, tedesco, italiano, spagnolo e portoghese per attrarre proprio quei visitatori e' vicina all'esempio da manuale che le autorita' usano per spiegare quando si applica la regola.

Questo non e' un motivo per eliminare ogni lingua europea o bloccare geograficamente i visitatori UE, il che scambierebbe un problema di conformita' con uno molto piu' grande sul piano commerciale. E' un motivo per smettere di trattare "non siamo registrati in Europa" come una risposta a una domanda sulla protezione dei dati. L'obbligo si lega al trattamento di dati su persone nell'UE, non al luogo dove l'azienda che ha costruito la piattaforma e' registrata. Un'azienda che gia' traduce il proprio sito per raggiungere visitatori europei ha gia' fatto la cosa che le autorita' cercano come prova dell'intenzione di raggiungerli.

L'infrastruttura pubblicitaria che si rompe in silenzio

La maggior parte dei siti gestisce l'intera conformita' sulla privacy attraverso un solo meccanismo: un banner sui cookie che offre di accettare o rifiutare il tracciamento non essenziale, a volte con un interruttore per il "legittimo interesse". Quel banner e' stato costruito per dati personali ordinari, dove un'azienda puo' davvero appoggiarsi a una base giuridica generale come il legittimo interesse per gestire analisi o pubblicita' senza chiedere altro. Le categorie particolari di dati non funzionano cosi'. L'articolo 9(2) ha un proprio elenco separato e chiuso di condizioni che possono sollevare il divieto generale, e il legittimo interesse non ne fa parte. Una piattaforma ha bisogno di una normale base dell'articolo 6 e, oltre a quella, di una condizione separata dell'articolo 9(2), e saltare la seconda e' esattamente il vuoto che l'autorita' norvegese ha trovato nell'impianto di Grindr.

La condizione adatta a una piattaforma commerciale e' il consenso esplicito, e il consenso esplicito e' una soglia materialmente piu' alta del consenso ordinario che di solito raccoglie un banner sui cookie. Deve essere una dichiarazione chiara, specifica, affermativa sul particolare tipo di dato condiviso, e non puo' essere soddisfatta infilando una riga su "condivisione dei dati con partner pubblicitari" dentro un'informativa generale sulla privacy accettata semplicemente continuando a navigare. Le autorita' sono state dirette su questo: il consenso per questo tipo di trattamento deve reggersi da solo, separato dal resto dei termini che un utente accetta, nominando cosa viene raccolto e chi lo riceve.

Questo ricade esattamente sui due strumenti a cui la maggior parte degli operatori di annunci si rivolge per primi: un Meta Pixel e un tag di conversione di Google Ads, entrambi pensati per dire a una piattaforma pubblicitaria quale visitatore ha fatto cosa, su quale pagina, cosi' che gli annunci possano essere mirati e misurati. Su un sito di merci generiche e' un tracciamento irrilevante. Su un sito organizzato attorno a una categoria specifica di annunci personali, lo stesso segnale dice alla piattaforma ricevente che un dato visitatore sta navigando quella categoria, il che equivale funzionalmente alla stessa divulgazione che ha fatto multare Grindr, solo attraverso il tubo di un fornitore diverso. E' una seconda ragione, indipendente, oltre alla difficolta' di aprire persino un account pubblicitario con Google o Meta per questa categoria, per costruire traffico attraverso canali che non ricevono mai questo tipo di segnale.

Niente di tutto questo significa che un operatore debba gestire il sito senza alcuna analisi. Significa che il flusso di consenso per una piattaforma di questa categoria non puo' essere lo stesso banner con un clic costruito per una libreria. Il passaggio non incorporato, specifico, di adesione esplicita deve avvenire, e deve avvenire prima che qualsiasi script capace di inviare segnali a livello di categoria a un terzo parta, non dopo.

La trappola del "ma e' gia' pubblico"

Un argomento specifico ricorre spesso una volta che un operatore capisce il resto: gli annunci sul sito sono comunque pubblici, visibili a chiunque carichi la pagina, quindi come puo' esserci un problema di protezione particolare. Il GDPR ha effettivamente un'eccezione che sembra adattarsi: l'articolo 9(2)(e) solleva il divieto generale per i dati resi manifestamente pubblici dall'interessato stesso. Sembra calzare naturalmente per una directory di annunci pubblici.

Ed e' esattamente l'argomento che Grindr ha usato e perso. L'azienda ha fatto notare che un profilo diventava visibile solo agli altri utenti dell'app, presentando quella visibilita' come la scelta dell'utente stesso di rendere pubblica l'informazione. L'autorita' l'ha respinto, stabilendo che l'eccezione richiede un atto deliberato e specifico della persona stessa per rendere pubblico proprio quel dato, non la decisione della piattaforma di mostrare i dati dell'account a chiunque visualizzi una pagina. Anche un annuncio pienamente pubblico, senza alcuna barriera di accesso, non supera automaticamente quella soglia, perche' la domanda riguarda l'intenzione di chi pubblica di rendere pubblico proprio quel fatto specifico, non chi finisce per poter vedere la pagina in seguito.

Una casella spuntata in fase di registrazione, sepolta in un modulo di iscrizione, che dice che un profilo "sara' visibile sulla piattaforma", non e' la stessa cosa di un atto deliberato e informato per rendere pubblico un fatto sensibile specifico. Le autorita' sono state coerenti nell'interpretare questa eccezione in modo restrittivo, e un operatore che costruisce un argomento di conformita' sopra di essa si sta appoggiando all'unica condizione gia' testata contro uno schema di fatti quasi identico, e che non ha retto.

Cosa fare davvero questo trimestre

Il punto di partenza non e' uno strumento nuovo, e' un documento: una valutazione d'impatto sulla protezione dei dati. L'articolo 35(3)(b) la rende obbligatoria prima del trattamento su larga scala di categorie particolari di dati, non una buona pratica facoltativa, e una piattaforma con un volume rilevante di annunci organizzati attorno a inserzioni personali rientra esattamente in quell'obbligo non appena ha traffico UE reale. Commissionare questa valutazione, anche una modesta se fatta correttamente, produce la traccia documentale che mostra a un'autorita' che l'azienda ha preso sul serio la questione prima di essere interpellata, il fattore singolo piu' importante nel modo in cui viene gestito un primo reclamo.

Poi viene un inventario, non una riprogettazione: ogni script che parte prima che un visitatore faccia una scelta, ogni pixel, ogni tag di analisi, ogni strumento di mappa di calore o registrazione di sessione. L'obiettivo e' sapere, con precisione, quali di questi ricevono un segnale che rivela quale categoria di contenuto sta guardando un visitatore, perche' e' esattamente la stessa forma di dato di cui parla tutto questo articolo. I documenti gia' raccolti per la verifica dell'identita' portano una versione parallela della stessa esposizione, e lo stesso istinto, sapere esattamente cosa viene conservato e chi puo' raggiungerlo, si applica a entrambi.

Il consenso ha bisogno di un proprio passaggio, separato dalla casella dei termini e condizioni, che nomini chiaramente quali categorie di dati vengono condivise e con quali aziende specifiche, raccolto attraverso un'azione affermativa e non presunto dalla navigazione continuata. E' piu' attrito in fase di registrazione, ed e' anche l'unica versione di consenso che sopravvive allo standard che un'autorita' applichera' davvero se arriva un reclamo.

L'ultimo pezzo e' il piu' semplice da enunciare e il piu' difficile da rinunciare: ridurre al minimo cio' che esce dalla piattaforma. Un tag che non riceve mai segnali a livello di categoria su un visitatore non puo' diventare prova in un caso come quello di Grindr, indipendentemente da come e' costruito il resto del programma di conformita'. L'integrazione piu' sicura con qualsiasi fornitore pubblicitario o di analisi e' quella a cui non e' mai stato dato per primo il segnale sensibile.

Da trattare come un conto pagamenti o un contratto di hosting hanno gia' insegnato alla maggior parte degli operatori a trattare un'esposizione ad alto rischio: risolvere la risposta prima che un'autorita' faccia la domanda, non dopo. Le aziende che escono intatte da un primo reclamo sulla protezione dei dati sono quelle che possono gia' mostrare una valutazione d'impatto agli atti, un flusso di consenso costruito per questa specifica categoria di dati, e una risposta documentata su cosa esce esattamente dalla piattaforma e dove va a finire.