Il modello pay or consent o del cookie wall è stato, ed è, terreno di scontro tra i titolari di siti internet che l’hanno adottato e gli utenti del web che lo hanno subito. Particolarmente attivo sui siti di informazione, questo sistema consente di accedervi – e quindi superare il cookie wall – solo dietro un pagamento in denaro. O acconsentendo alla profilazione del navigante.
La domanda di fondo è quindi: Pay or Consent è legale?
Per provare a rispondere a questa domanda occorre guardare la questione in prospettiva, saltellare tra gli anni e gli eventi per avere una visione d’insieme. E questa storia parte proprio da qualche tempo fa. Esattamente dal principio.
E in principio era il consenso. La più conosciuta tra le basi giuridiche, ha sempre permesso ai titolari del trattamento di trattare dati in maniera un pò sbarazzina. O, almeno, fintanto che non è stato affermato che il consenso, per costituire valida base di trattamento dei dati personali degli utenti, deve avere alcuni specifici requisiti (come ad esempio la revocabilità o la libertà); in caso contrario, il trattamento è considerato illegittimo (that means sanzioni all’azienda e lavoro buttato).
Questi principi sono stati espressi dall’EDPB nelle linee guida 05/2020, che ha precisato che il consenso non è liberamente prestato se l’interessato si sente obbligato o subisce conseguenze negative in caso di mancato consenso; o, ancora, se il consenso è un elemento non negoziabile delle condizioni generali del servizio di cui l’utente vorrebbe usufruire.
Che cos’è il modello pay or consent e come viene inquadrato a livello legale
Il modello pay or consent (o pay or ok, consent or pay) consiste nell’offrire all’utente di un sito internet almeno due opzioni per accedere a un servizio online:
- dare il consenso al trattamento dei dati personali (tipicamente per pubblicità comportamentale/profilazione); oppure
- pagare un corrispettivo economico per accedere al servizio senza quel trattamento di dati personali.
Che si traduce spesso in un cookie wall che, se non accetti i cookie/profilazione, non permette di accedere al sito o un paywall che consente l’accesso ai contenuti del sito solo dietro pagamento, con o senza profilazione, a seconda del modello adottato.
Ma quindi, il modello pay or consent è legale?
Questa è una delle domande che ci si fa più spesso e che rimane a galleggiare nel web. Nell’era caratterizzata (per fortuna!) da norme che prevedono i diritti degli utenti al centro, la richiesta di pagare per non essere profilati, potrebbe apparire, a prima vista, un filino ricattatoria.
Se il consenso, tra i suoi requisiti, ha la libertà, come faccio a dire di prestarlo liberamente se la mia alternativa al pagamento è la profilazione o il mancato accesso al contenuto che mi interessa?
L’European Data Protection Board (EDPB) ha adottato, già nel 2024, un parere sul tema. Partendo dalla libertà del consenso (l’interessato deve poter esercitare una scelta reale, senza inganno, intimidazione, coercizione o conseguenze negative significative per il rifiuto.), individua alcuni punti chiave:
- il consenso è valido solo se l’utente può esercitare una scelta reale, senza rischi di inganno, pressione o conseguenze negative significative in caso di mancato consenso;
- occorre valutare se vi sia uno squilibrio di potere tra piattaforma e utente e se il consenso è richiesto come condizione per accedere al servizio, pur non essendo necessario per eseguire il contratto;
- offrire un’unica alternativa a pagamento (la versione del servizio con pubblicità comportamentale “gratis” e la versione senza pubblicità solo a pagamento) non dovrebbe essere la soluzione predefinita: il titolare dovrebbe considerare anche un’alternativa gratuita che riduca o escluda il trattamento di dati (es. pubblicità contestuale non profilata);
- il prezzo richiesto non deve essere tale da impedire agli utenti, in concreto, di compiere una scelta autentica;
Questo ci fa capire che, a livello UE, il modello pay or consent non è vietato in assoluto, ma è ammesso solo se il consenso è davvero libero, informato e non condizionato da discriminazioni economiche o mancanza di alternative. E qui arriviamo al quello che succede nel nostro Paese.
Le istruttorie aperte dal Garante Privacy e gli utenti in attesa.
Nel momento in cui questi paywall sono comparsi, più o meno nel 2022, il Garante Privacy italiano si è dimostrato critico; in occasione della Global Privacy Assembly del 2025, la Vicepresidente Ginevra Cerrina Ferroni ha affrontato la questione, dichiarando che il modello pay or consent solleva seri dubbi sulla libertà del consenso, specie se mancano alternative realistiche. Inoltre ha aggiunto che è una pratica che rischia di trasformare la protezione dei dati in un “lusso” accessibile solo a chi può pagare, con possibili discriminazioni nei confronti di chi non può farlo. L’Autorità ha quindi manifestato un orientamento critico: la tutela dei dati personali non può diventare merce di scambio in cui chi paga “compra” più privacy, mentre gli altri sono costretti a cedere i propri dati per poter accedere a servizi ormai essenziali.
Tutto bene, quindi? Quasi.
Secondo una serie di comunicati stampa apparsi sul sito istituzionale ( qui, qui e qui) proprio da ottobre a novembre del 2022, il Garante Privacy italiano avrebbe aperto istruttorie, per verificare l’effettivo rispetto dei diritti alla privacy dei cittadini, contro editori e testate giornalistiche online che avrebbero usato il sistema dei cookie wall. Istruttorie, finora [aprile 2026], non ancora portate a conclusione.
Nel maggio del 2025 è stata aperta una consultazione pubblica che mira a raccogliere contributi utili a individuare soluzioni tecniche e operative – come modelli alternativi di accesso ai contenuti – in grado di garantire agli utenti il rispetto dei principi di libertà, specificità e consapevolezza del consenso.
Ad oggi, siamo ancora in attesa dell’auspicato provvedimento dell’Autorità Indipendente nazionale che, in via di principio, dichiari – una volta per tutte – se il pay wall, in sé, è un modello da considerarsi lecito o illecito (e a quali condizioni). Perché è vero che si tratta di utenti che non amano questa pratica; ma è altrettanto vero si tratta anche di imprese che, ad oggi, non sanno se (e a quali condizioni) adottare quel modello di business potrebbe comportare una illiceità del trattamento dei dati, con tutto ciò che ne discende dal punto di vista di sanzioni, costi di adeguamento e, non ultimi, reputazionali. Noi tutti attendiamo fiduciosi.
Perché, di fatto, appare ancora quella proposta per accedere a svariati siti italiani: paga o ti profilo che molti trovano decisamente fastidiosa, sentendo che c’è qualcosa che non quadra.
Perché il nodo resta il medesimo: quel consenso è valido?
