Testo dell'articoloVigente
Art. 26 Reg. (UE) 2022/2065 – Pubblicità sulle piattaforme online
Regolamento (UE) 2022/2065 del Parlamento europeo e del Consiglio del 19 ottobre 2022 relativo a un mercato unico dei servizi digitali (regolamento sui servizi digitali, Digital Services Act)
1. I fornitori di piattaforme online che presentano pubblicità sulle loro interfacce online provvedono affinché, per ogni singola pubblicità presentata a ogni singolo destinatario, i destinatari del servizio siano in grado di identificare in modo chiaro, conciso, inequivocabile e in tempo reale quanto segue:
a) che l'informazione costituisce una pubblicità, anche attraverso contrassegni visibili che potrebbero seguire gli standard a norma dell'articolo 44;
b) la persona fisica o giuridica per conto della quale viene presentata la pubblicità;
c) la persona fisica o giuridica che paga per la pubblicità, se detta persona è diversa dalla persona fisica o giuridica di cui alla lettera b);
d) informazioni rilevanti direttamente e facilmente accessibili dalla pubblicità relative ai parametri utilizzati per determinare il destinatario al quale viene presentata la pubblicità e, laddove applicabile, alle modalità di modifica di detti parametri.
2. I fornitori di piattaforme online mettono a disposizione dei destinatari del servizio una funzionalità che consente di dichiarare se i contenuti che forniscono siano o contengano comunicazioni commerciali. Quando il destinatario del servizio presenta una dichiarazione a norma del presente paragrafo, il fornitore di piattaforme online provvede affinché gli altri destinatari del servizio possano comprendere in modo chiaro, inequivocabile e in tempo reale, anche mediante contrassegni visibili, che potrebbero seguire gli standard a norma dell'articolo 44, che i contenuti forniti dal destinatario del servizio sono o contengono comunicazioni commerciali come descritte in detta dichiarazione.
3. I fornitori di piattaforme online non possono presentare pubblicità ai destinatari del servizio basate sulla profilazione, quale definita all'articolo 4, punto 4), del regolamento (UE) 2016/679, utilizzando le categorie speciali di dati personali di cui all'articolo 9, paragrafo 1, del regolamento (UE) 2016/679.
In sintesi
Indice dei contenuti
Il regime di trasparenza pubblicitaria nel DSA
L'articolo 26 DSA introduce un regime di trasparenza obbligatoria sulla pubblicità per tutti i fornitori di piattaforme online che presentano annunci pubblicitari nelle proprie interfacce. La norma si applica alle piattaforme online in senso stretto (social network, marketplace, piattaforme di video, app store) e non alle mere reti pubblicitarie intermediarie che non gestiscono direttamente l'interfaccia verso gli utenti finali. Il suo obiettivo è duplice: consentire agli utenti di comprendere che un contenuto è pubblicità e identificare chi ne è responsabile, e porre un argine alle pratiche più opache della pubblicità comportamentale, in particolare quella basata su categorie sensibili di dati personali.
La norma rappresenta un complemento operativo del GDPR (Reg. 2016/679) in materia pubblicitaria: mentre il GDPR disciplina il trattamento dei dati alla base della profilazione, l'articolo 26 DSA regola ciò che l'utente vede nell'interfaccia. I due regimi devono essere rispettati cumulativamente.
Identificazione della pubblicità in tempo reale: i quattro elementi obbligatori
Il paragrafo 1 dell'articolo 26 impone che, per ogni singola pubblicità presentata a ogni singolo destinatario, la piattaforma garantisca l'identificazione in modo chiaro, conciso, inequivocabile e in tempo reale di quattro informazioni:
L'espressione «in tempo reale» esclude che queste informazioni possano essere fornite solo in una sezione generale delle impostazioni: devono essere immediatamente accessibili dalla singola inserzione, ad esempio tramite un'icona informativa cliccabile posta accanto all'annuncio stesso.
Comunicazioni commerciali degli utenti: il meccanismo di auto-dichiarazione
Il paragrafo 2 riguarda i contenuti che non sono pubblicità nel senso tradizionale del termine - inseriti dalla piattaforma per conto di terzi - ma comunicazioni commerciali autoprodotte dagli utenti: un influencer che promuove un prodotto in un post, un creatore di contenuti che inserisce link di affiliazione, un utente che pubblica recensioni sponsorizzate. In questi casi, la piattaforma è tenuta a mettere a disposizione una funzionalità di auto-dichiarazione con cui il creatore di contenuti dichiara che il proprio post contiene una comunicazione commerciale.
Una volta ricevuta la dichiarazione, la piattaforma deve garantire che gli altri utenti (il pubblico del post) possano comprendere in modo chiaro, inequivocabile e in tempo reale che il contenuto è o contiene una comunicazione commerciale. Anche in questo caso possono essere utilizzati contrassegni visibili conformi agli standard dell'articolo 44 DSA. Questa disposizione si coordina con la disciplina nazionale delle comunicazioni commerciali degli influencer, che in Italia è disciplinata dalle Linee guida dell'AGCOM del 2023, ma il DSA aggiunge un obbligo di infrastruttura tecnica a carico della piattaforma indipendente dagli obblighi individuali del creatore di contenuti.
Divieto assoluto di pubblicità basata su categorie speciali di dati
L'articolo 26, paragrafo 3, introduce un divieto assoluto per le piattaforme online di presentare pubblicità basate sulla profilazione che utilizza le categorie speciali di dati personali di cui all'articolo 9, paragrafo 1, del GDPR. Si tratta dei dati che rivelano l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, dati genetici, biometrici, relativi alla salute, alla vita sessuale o all'orientamento sessuale.
Il divieto opera a livello di interfaccia e di sistema: la piattaforma non può utilizzare queste categorie di dati come parametri di targeting pubblicitario, anche se il trattamento dei dati in sé fosse stato autorizzato dall'utente ai sensi del GDPR (art. 9, par. 2). Il DSA aggiunge dunque uno strato di protezione ulteriore rispetto al GDPR: il consenso esplicito che potrebbe giustificare il trattamento dei dati sensibili ai fini del GDPR non è sufficiente a legittimare il loro impiego nel targeting pubblicitario ai sensi del DSA.
In pratica, una piattaforma non può mostrare pubblicità di farmaci per una patologia specifica basandosi sulla categoria «salute» del profilo utente, né pubblicità di organizzazioni politiche basandosi sulle «opinioni politiche» inferite dai comportamenti di navigazione. L'enforcement di questo divieto spetta ai coordinatori dei servizi digitali nazionali, in coordinamento con le autorità di protezione dei dati (in Italia, il Garante per la protezione dei dati personali).
Coordinamento con il DMA e la vigilanza sulle VLOP
Le grandi piattaforme pubblicitarie - designate come VLOP ai sensi dell'articolo 33 DSA - sono soggette a obblighi aggiuntivi in materia di trasparenza pubblicitaria previsti dall'articolo 39 DSA (archivio pubblico delle pubblicità), che impone la conservazione di un registro accessibile ai ricercatori e al pubblico contenente informazioni su ogni annuncio: contenuto, targetizzazione, periodo di esposizione e numero di destinatari. L'articolo 26 si applica a tutte le piattaforme, mentre l'articolo 39 è riservato alle VLOP e VLOSE.
Il Digital Markets Act (DMA, Reg. 2022/1925) introduce obblighi paralleli per i «gatekeeper» in materia di trasparenza e separazione dei dati pubblicitari: vi è un'area di sovrapposizione con l'articolo 26 DSA per le piattaforme che sono contemporaneamente VLOP e gatekeeper (es. i grandi social network e i motori di ricerca di dimensioni molto grandi). In questi casi, le imprese devono rispettare entrambi i regimi, applicando quello più restrittivo ove le norme divergano.
Casi pratici
Caso 1:
Caso 2:
Caso 3:
Domande frequenti
L'articolo 26 DSA si applica anche alle piccole piattaforme con pochi utenti?
Sì. L'articolo 26 si applica a tutti i fornitori di piattaforme online che presentano pubblicità, senza soglie dimensionali. Solo gli obblighi aggiuntivi dell'articolo 39 (archivio pubblico degli annunci) sono riservati alle VLOP e VLOSE designate ai sensi dell'articolo 33.
Un influencer che pubblica contenuti sponsorizzati su un social network ha obblighi diretti ai sensi dell'articolo 26?
L'articolo 26, paragrafo 2, riguarda direttamente la piattaforma, che deve mettere a disposizione la funzionalità di auto-dichiarazione. L'influencer che non usa tale funzionalità può violare norme nazionali sulla pubblicità ingannevole (in Italia, le Linee guida AGCOM sugli influencer), ma la responsabilità per l'assenza della funzionalità tecnica ricade sulla piattaforma.
Le 'categorie speciali di dati' vietate per il targeting pubblicitario includono i dati di localizzazione?
No. L'elenco delle categorie speciali è quello tassativo dell'articolo 9, paragrafo 1, GDPR: origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici, biometrici, sulla salute, sulla vita o sull'orientamento sessuale. I dati di localizzazione non rientrano in questa categoria, anche se sono soggetti a requisiti GDPR distinti.
Cosa si intende per 'parametri di targeting' che la piattaforma deve rendere accessibili?
Sono i criteri usati per selezionare a chi mostrare un determinato annuncio: possono includere interessi inferiti dal comportamento di navigazione, dati demografici, area geografica, comportamento di acquisto, ecc. Le informazioni devono essere accessibili direttamente dall'annuncio, non solo nelle impostazioni generali del profilo.
Il divieto di pubblicità basata su categorie speciali vale anche se l'utente ha dato il consenso GDPR al trattamento di quei dati?
Sì. Il DSA aggiunge un divieto autonomo che opera a livello di interfaccia, indipendente dal consenso GDPR. Anche se l'utente ha acconsentito al trattamento dei propri dati sulla salute ai sensi dell'articolo 9, paragrafo 2, GDPR, la piattaforma non può usare tali dati per il targeting pubblicitario ai sensi dell'articolo 26, paragrafo 3, DSA.