DK9x28 - Il Garante e il Profeta di Quèlo

Ascolta l'episodio su Spreaker.com

Oggi vi racconto perché sono in netto disaccordo con l'idea del Garante di indire una consultazione pubblica sull'argomento del "Paga o stacce", che pudicamente chiama "Pay or OK".

Manco vivessimo tutti nel kansassity, come avrebbe detto Sordi.

In effetti, "netto disaccordo" non descrive accuratamente la mia posizione, che meglio renderebbero alcuni riferimenti in romanesco agli antenati del Garante e dei membri del collegio tutto, specialmente se accompagnati dalla tradizionale mano "a cucchiara".

Purtroppo, la serietà della situazione ci impone invece una certa sobrietà, ma non abbiate alcun dubbio: sono incazzato nero.

Sigla.

Partiamo da una considerazione fondamentale: il Garante fa un lavoro delicatissimo di bilanciamento fra diritto, politica, e grandi interessi economici e lo fa con risorse vergognosamente limitate.

Ciò non toglie che su certe questioni cruciali avrei preferito vedere un atteggiamento più direttivo e meno accondiscendente, specialmente perché questo atteggiamento è stato interpretato come arrendevolezza dai grandi interessi economici.

Voglio dire questo:

• le scuole italiane che, con la scusa del Covid da anni sono in mano a Google Cloud e compagnia, sono uno scandalo e il Garante non solo ha avuto tutti i mezzi per impedirlo, ha avuto anche l'esempio di altri garanti, e del garante europeo che hanno dichiarato illeciti l'uso di Microsoft365 e Google Cloud for education;
• allo stesso modo da anni tutti aspettiamo una presa di posizione del Garante rispetto a una PA che è legata mani e piedi a Microsoft;
• il cosiddetto Polo Strategico Nazionale, fiore all'occhiello della rinomata Agenzia per la Cibersicurezza-con-la-y Nazionale è una farsa che dovrebbe essere chiamata per nome da chi ha la voce per farsi sentire dal governo; ma anche qui dalle parti del Garante si sente solo il frinire dei grilli;

Mi fa piacere che il Garante sia almeno riuscito a dire che nel registro scolastico elettronico non c'è posto per la pubblicità; come avrebbe detto anche Teofrasto di Antiochia, mecojoni. Ma è francamente troppo poco,e se vogliamo essere sinceri, l'attuale generazione di registri elettronici fa semplicemente schifo:

• schifo dal punto di vista delle sicurezza e della protezione dei dati personali
• schifo dal punto di vista della funzionalità per gli studenti E per i docenti
• e schifo dal punto di vista del modello di istruzione che sposano, tutto powerpoint, test a crocette, e medie matematiche didatticamente insignificanti quanto inutilmente ansiogene.

pausa

E veniamo al provvedimento del Garante.

Prima cosa, è fuori tempo massimo. Stiamo parlando di paga o stacce da quanto, almeno tre anni? E mi tirano fuori la consultazione pubblica adesso?
Ma che, davero davero?

Seconda cosa: gli editori di giornali sono alla finestra dal 1995.
In trent'anni non hanno saputo capire il Web; non hanno saputo capire l'editoria elettronica; non hanno saputo capire i social.

E quel che è peggio, si sono fatti dettare il modello di business da Facebook e Google, anche lì senza capire che stavano venendo commoditizzati.

Dopo trent'anni giusti, i giornali hanno perso la maggior parte del proprio pubblico, tutta la propria faccia, e continuano a pensare che non sia colpa loro, quando basta un confronto fra un feed di instagram e le prime pagine per capirlo.

In tutto questo, il grosso problema sembra essere il modello "paga o stacce", ovverossia accettare di essere profilati a scopo pubblicitario o pagare un abbonamento.

La prima cosa da dire è: una scelta del genere è comprensibile se sei un social, non se sei il Corriere o Repubblica.

La seconda cosa da dire è che, per una testata online, "paga o stacce" è una falsa dicotomia. E mi fa infuriare che il Garante non lo abbia detto chiaramente.

E quindi provo a dirlo chiaramente io: l'alternativa a un abbonamento non può essere la pubblicità profilata. Può, però, essere anche la pubblicità normale.

Ma i pubblicitari sono ormai incapaci di fare il loro stesso lavoro; tutto quello che sanno fare è funzionare come intermediari di Google, e confondere il rifiuto della profilazione con il rifiuto della pubblicità.

Ma nessun lettore si è mai opposto veramente alla pubblicità; quello che a molti non piace è il livello inaccettabile di violazione della propria sfera privata necessario per la pubblicità cosiddetta "profilata".

Eppure, nemmeno un editore in Italia ha mai avuto

• o la testa di abbandonare Google e tornare alla pubblicità contestuale,
• o le palle di dire: la homepage è gratis, gli articoli si pagano

e di sostenere le proprie decisioni con articoli di qualità che qualcuno volesse leggere.

Invece no, titoletti acchiappa clic, articoli scritti a cottimo da precari, quando non direttamente da chatGPT, il Foglio insegna, e la homepage farcita di stupidaggini riprese da Instagram.

E poi il problema è che i lettori non vogliono pagare l'abbonamento.

pausa

E torniamo al provvedimento del Garante.

Ho già detto che è fuori tempo massimo, ma non basta: è anche completamente privo di senso.

La consultazione pubblica significa che il Garante chiede l'opinione delle parti interessate, cioè di tutti, editori, pubblicitari, inserzionisti e lettori, a tre quesiti:

1. se il "paga o stacce" sia compatibile con le finalità e lo spirito (la "ratio") dell'ordinamento vigente
2. se ci siano delle alternative al "paga o stacce" e quali siano
3. quali soluzioni "siano idonee a garantire all’interessato consapevolezza e piena prevedibilità degli effetti dell’eventuale prestazione del consenso".

Questi sono i quesiti a cui il pubblico è chiamato a rispondere.

Caro Garante, già che ci siamo, nel caffè le mettiamo una zolletta o due?

Intendiamoci: questi quesiti sono del tutto legittimi, in una riunione di redazione o in un'aula universitaria.

Ma in bocca al Garante c'entrano come i cavoli a merenda.

Quesito 1: non è il pubblico a dover dire se il "paga o stacce" è in linea con la lettera e lo spirito del GDPR; il Garante esiste proprio per rispondere a domande come questa.

Quesito 2: non è il Garante a dover offrire delle alternative a un approccio palesemente illecito: quello è compito del Titolare del trattamento, diobono. Se il limite di velocità è 50 all'ora e ti fermano per mentre guidi ubriaco a 120, non è la Stradale a doverti offrire delle alternative a come guidi.

Quesito 3: di nuovo, non è il garante a dover dire quali siano le soluzioni idonee perché l'interessato capisca la portata e le conseguenze del dare il consenso. E cosa siamo, all'asilo? I Titolari del trattamento, cioè chiunque ci presenti un'informativa, hanno il dovere, non l'opzione, di esprimersi in un linguaggio "chiaro e semplice", cioè di farsi capire.

Parafrasando l'immortale Zingaro di Jeeg Robot (il film, non il cartone), quando leggiamo un'informativa, noi due cose vogliamo sapere:

1. cosa vogliono da noi
2. cosa succede se accettiamo.

Il Garante esiste per decidere se un'informativa è davvero espressa in un linguaggio "chiaro e semplice", non per aiutare il Titolare a scriverla.

Questa è una delle cose peggio spiegate del GDPR: si chiama principio di responsabilizzazione.
Cioè: il Titolare legge il GDPR e decide cosa significa applicarlo nel suo caso specifico. E poi risponde di queste scelte.

Il GDPR non è prescrittivo, non ti dice cosa devi fare: indica dei criteri generali; ognuno è libero di scegliere come applicarli nel proprio caso specifico, e risponde delle proprie scelte.

Ma:

• invece di impugnare informative da venti pagine scritte in legalese;
• invece di mostrare un minimo di spina dorsale e riconoscere la palese antinomia fra il libero consenso e il "paga o stacce";
• invece di trarre le debite conclusioni da quello che altri Garanti e lo stesso Garante europeo hanno detto in questi anni, e dichiarare una volta per tutte che il "paga o stacce" è illegale...

no, il nostro garante si sveglia come se il problema fosse comparso stamattina per la prima volta e indice una bella consultazione pubblica...

chiedendo al pubblico quali sono le risposte che il pubblico vorrebbe sentirsi dare!

Veramente, certe cose non te le puoi inventare. Sembra di essere davanti al profeta di Quèlo, che tu gli chiedi se avrai un matrimonio felice e lui risponde "Tu come la vedi?"

pausa

Quale sarà l'effetto di questa iniziativa del Garante che, diciamocelo, è francamente patetica? Semplice: il tempo passerà, gli editori di giornali continueranno a restare indietro di trent'anni, il pubblico, che ha anche altro da fare nella vita, farà spallucce e si adeguerà, e tutti quanti continueremo a scivolare verso il feudalesimo digitale, dove i nostri dati ceduti per leggere l'ultima stupidaggine acchiappaclic vengono riciclati per sorvegliarci meglio.

Oppure?

Oppure possiamo far capire che siamo stufi di essere trattati come pecore al pascolo e smetterla di farci vedere sui siti di lorsignori.

Prendere le notizie via RSS; se necessario, facendoci spiegare come dal classico cuggino o nipote.

O anche, semplicemente, comprare il giornale di carta, che ha un rapporto costi/prestazioni cento volte superiore ai loro stramaledetti siti.

Perché quando è troppo, è troppo.

Resta un'ultima cosa da capire, ed è la questione del consenso.

Secondo il GDPR il consenso ha quattro caratteristiche:

• libero
• specifico, cioè per ogni singolo trattamento
• informato
• non ambiguo
• espresso tramite azione positiva, cioè non esiste il silenzio-assenso

Ora: di fronte a "paga o stacce", il consenso può davvero dirsi libero?

Io dico di no. E dalla mia ho anche un certo numero di garanti e il Garante europeo.

La questione è semplice: di fronte alla scelta fra qualcosa di difficilmente quantificabile e un prezzo monetario tangibile, una persona è portata a scegliere il costo apparentemente minore.

La nostra testa funziona in un certo modo, non c'è niente da fare.

E qualsiasi markettaro lo sa benissimo.

Ma non è una scelta libera perché è una scelta fra cose che non sono equivalenti.

Io sostengo che il consenso si può dire libero solo quando, in qualsiasi caso, per me non cambia nulla.

Cioè, in qualsiasi caso io non ho né un vantaggio né una perdita, e per questo motivo io sono libero di scegliere la situazione che preferisco.

Altrimenti è chiaro che io tenderò a scegliere la soluzione apparentemente più vantaggiosa per me, ma questo permette di ingegnerizzare la scelta in modo che io sia portato a scegliere proprio quello che vuole chi di fronte alla scelta mi ci pone.

Io sono un produttore, e se tu sei carina con me, ti posso dare una parte migliore, oppure ti tieni il ruolo di figurante per cui sei stata presa.

Io sono un funzionario corrotto, e se tu mi paghi una quota, nessuno verrà a controllare l'HACCP del tuo ristorante, altrimenti ti attieni quello che prescrive la legge.

Io sono un assessore, e se mi dai una percentuale premerò perché la commissione approvi il tuo progetto edilizio ance con le evidenti falle di sicurezza che presenta, altrimenti la commissione deciderà come deve decidere.

Credo che possiamo essere d'accordo che in nessuno di questi casi siamo di fronte alla libera espressione di un consenso.

Invece, se mi iscrivo alla newsletter mi dai 10€ di sconto sul primo acquisto, e se non mi iscrivo alla newsletter mi dai 10€ di sconto sul primo acquisto.

Questo, è un consenso libero, perché in questo modo è palese che mi iscrivo alla newsletter perché mi interessa la newsletter.

Altro esempio: la pubblicità c'è, e io posso scegliere se è basata sui miei dati personali o semplicemente sulle pagine che visito. Allora è chiaro che scelgo la pubblicità profilata perché la preferisco.

Ecco qui. La questione è semplice. Se gli editori vogliono offrire pubblicità profilata, per la quale devono avere il mio libero consenso, devono offrire come alternativa pubblicità contestuale, ovviamente presentata con le stesse modalità.

Naturalmente, se quella fosse la scelta, sappiamo tutti che nessuno sceglierebbe la pubblicità profilata. La pubblicità profilata è l'allucinazione collettiva dell'intera industria dell'advertising.

Se poi gli editori vogliono mettere un abbonamento, liberissimi di farlo. Possono perfino propormi un abbonamento a un certo prezzo con della pubblicità contestuale e un abbonamento a prezzo maggiore senza pubblicità contestuale. In quel caso è chiaro che sto pagando per non avere pubblicità e no, non è la stessa cosa che "pagare con i dati", perché quando "pago con i dati" io di fatto non so quali miei dati vengono usati né cosa se ne fanno.

Dite che sono esagerato? Sono solo vecchio. Voi giovani tecnologici invece saprete dire con esattezza cosa fanno i 984 selezionatissimi partner commerciali del Corriere, per esempio.

A parte che a me i partner selezionati mi ricordano tanto i "distinti" che certe signorine si dicono disposte a ricevere nelle inserzioni della stampa locale.

Comunque nel caso dei 984 selezionatissimi del Corriere, le finalità del trattamento vengono presentate direttamente in inglese, in omaggio a una generazione realmente europea, no? Vediamo:

• 722 fornitori vogliono "registrare o accedere a informazioni sul device"
• 619 fornitori vogliono usare dati limitati per selezionare le inserzioni
• 535 fornitori vogliono creare profili per inserzioni personalizzate
• 533 fornitori vogliono usare profili per selezionare inserzioni personalizzate
• 237 fornitori vogliono creare profili per personalizzare i contenuti
• 212 fornitori: usare i profili per selezionare contenuti personalizzati
• 684 fornitori vogliono misurare le prestazioni delle inserzioni
• 339 fornitori vogliono misurare le prestazioni dei contenuti
• 454 fornitori vogliono comprendere il pubblico tramite statistiche o combinazioni di dati da fonti diverse
• 503 fornitori vogliono sviluppare e migliorare servizi
• 130 fornitori vogliono usare dati limitati per selezionare contenuti
• 722 fornitori vogliono usare dati precisi di geolocalizzazione (non è immediatamente comprensibile per fare cosa, e non lo dicono)
• 619 fornitori: scansionare attivamente le caratteristiche del device a fini identificativi.

Nello stramaletdetto dialog che arriva appena apri il sito del Corriere, queste sono le scelte al disotto del bottone "Preferenze", ci vuole un quarto d'ora solo per leggere le macrocategorie, se poi devo essere informato su ogni singolo trattamento ci vuole, credo, un due o tre ore.

Oppure posso cliccare "Accetta e continua". Liberamente, ça va sans dire.

Qualcuno mi dica che siamo di fronte a un consenso valido e informato. Perché così lo interrogo.