Cookie, fingerprinting e retention: come le piattaforme tracciano gli utenti anche senza consenso

Redazione

Tra retention e sorveglianza invisibile: cosa si cela dietro ai “regali” delle piattaforme online

Nel mondo sempre più complesso della gestione del rischio digitale e della compliance normativa, anche un aneddoto informale può diventare la cartina tornasole di dinamiche sofisticate. Durante una pausa in ufficio, un episodio apparentemente banale ha acceso una riflessione ben più profonda: quali tecnologie di tracciamento si attivano quando un utente tenta di lasciare una piattaforma digitale?

E come queste pratiche si interfacciano con i principi di trasparenza, consenso e accountability richiesti dal Regolamento (UE) 2016/679 (GDPR), in particolare dagli articoli 5 (principi di trattamento), 6 (liceità del trattamento), 7 (consenso) e 25 (privacy by design e by default), nonché dalle linee guida del Comitato europeo per la protezione dei dati (EDPB)?

Il caso: una fidelizzazione che sa di sorveglianza

Un collega, notoriamente attento alla propria privacy e incline a disabilitare ogni forma di pubblicità personalizzata, ha raccontato di ricevere regolarmente omaggi da una nota piattaforma di scommesse online: bonus, gadget, buoni e mesi di abbonamento gratuiti. Il dettaglio interessante è che tutto ha avuto inizio dopo un tentativo incompleto di disdire l’abbonamento.

Durante la procedura di cancellazione, il sistema si era bloccato prima della conferma finale. Da quel momento, però, anziché segnali di cessazione, l’utente ha ricevuto un’ondata di offerte su misura. Il comportamento della piattaforma suggerisce l’attivazione automatica di un processo di retention, probabilmente innescato dalla rilevazione di una visita alla pagina di disdetta.

Cookie e tracciamenti invisibili: la nuova frontiera della profilazione

La dinamica può essere spiegata con l’uso di cookie – in particolare i cookie di terze parti o di tracciamento comportamentale – in grado di intercettare comportamenti critici come la “quasi disdetta”. Questi segnali, noti nel mondo del marketing come churn intent signals, vengono intercettati per attivare flussi automatizzati di customer retention, in una modalità che può integrare forme di profilazione automatizzata ai sensi dell’art. 22 del GDPR, con obblighi specifici di trasparenza e diritto di opposizione da parte dell’interessato.

Tra le strategie adottate dalle piattaforme digitali per trattenere i propri utenti, un ruolo sempre più centrale è giocato dall’analisi dei cosiddetti “churn intent signals”, che potremmo tradurre in italiano come “segnali di intenzione di abbandono”.

Si tratta di indicatori comportamentali — spesso invisibili all’utente — che suggeriscono la possibilità che una persona stia per disdire un abbonamento, cancellare un account o comunque interrompere l’utilizzo di un servizio. Questi segnali possono includere, ad esempio, la visita alla pagina di disattivazione, la riduzione dell’attività sulla piattaforma, la rimozione dei dati di pagamento o la consultazione delle FAQ relative alla cancellazione.

In pratica, il sistema interpreta queste azioni come campanelli d’allarme e attiva automaticamente strategie di fidelizzazione, come l’invio di offerte personalizzate, sconti o bonus. Il fine è quello di anticipare il comportamento dell’utente e convincerlo a restare, agendo prima che compia effettivamente il passo dell’abbandono.

Questa pratica, seppur efficace dal punto di vista del marketing, solleva importanti questioni di trasparenza e protezione dei dati personali, soprattutto se attuata senza un consenso chiaro e informato da parte dell’utente.

Tuttavia, il quadro si fa più complesso quando si analizzano le nuove tecniche di identificazione, come il digital fingerprinting (impronta digitale). A differenza dei cookie, che sono localizzabili, gestibili e soggetti a consenso,

le impronte digitali raccolgono informazioni passive sul dispositivo dell’utente (browser, risoluzione schermo, font installati, ecc.) per creare identificatori persistenti difficili da eliminare.

Dal punto di vista della compliance, ciò rappresenta un passaggio critico: il fingerprinting è difficilmente compatibile con i principi di minimizzazione, limitazione della finalità e trasparenza previsti dal GDPR. Questo è stato confermato anche dal Parere 9/2014 del Gruppo di lavoro ex Art. 29, oggi EDPB, e dalle Linee guida 5/2020 sull’uso dei cookie e di tecnologie similari, secondo cui il fingerprinting rientra tra le tecnologie soggette a consenso preventivo, salvo casi eccezionali.

Inoltre, la difficoltà nell’informare efficacemente gli utenti e nel richiederne un consenso esplicito rende queste pratiche altamente problematiche sotto il profilo legale e reputazionale.

Un equilibrio sempre più precario tra personalizzazione e controllo

Nonostante le dichiarazioni pubbliche orientate alla tutela dell’utente – come l’annuncio di Google su un’interfaccia più chiara per il controllo dei cookie – il mercato si muove verso tecnologie sempre più opache e intrusive. Il paradosso è che le stesse aziende che promuovono la privacy-by-design sono quelle che sviluppano strumenti per aggirarla sistematicamente.

Un esempio emblematico di questa ambivalenza riguarda proprio Google.

1. Da un lato, l’azienda ha annunciato l’introduzione di un sistema semplificato che consente agli utenti di scegliere in modo centralizzato se accettare o rifiutare i cookie durante le proprie attività online. Un passo che apparentemente favorisce la trasparenza e l’autodeterminazione digitale.
2. Dall’altro lato, però, Google ha messo a disposizione degli inserzionisti — già a partire da febbraio scorso — strumenti ben più invasivi:
   • tra questi, le impronte digitali (digital fingerprinting), che consentono il tracciamento degli utenti anche in assenza di cookie. Questa tecnica permette di generare identificatori unici basati su caratteristiche tecniche del dispositivo e del browser (come risoluzione dello schermo, lingua di sistema, impostazioni installate, ecc.). Il risultato è un profilo utente dettagliato e persistente, potenziato ulteriormente dal fatto che molti utenti risultano costantemente loggati nei servizi dell’ecosistema Google (email, mappe, YouTube, ecc.).

Il rischio è quindi quello di una duplicazione strategica: da un lato offrire più controllo, dall’altro rendere quel controllo meno significativo attraverso strumenti alternativi e meno visibili. Un gioco a doppio binario che pone interrogativi seri in termini di coerenza, trasparenza e rispetto della volontà dell’utente.

L’autorità britannica per la protezione dei dati (ICO) ha già espresso preoccupazioni riguardo al fingerprinting, definendolo “una forma occulta di tracciamento”, in linea con quanto espresso anche dal Garante per la protezione dei dati personali in Italia nelle sue FAQ sui cookie e altri strumenti di tracciamento (2021), che ribadiscono l’obbligo di informare e acquisire un consenso libero e specifico.

Secondo l’ICO, il ricorso al fingerprinting rappresenta un vero passo indietro per gli utenti, che perdono sempre più controllo sulla propria privacy digitale. Il problema centrale, evidenziato anche da esperti del settore, è l’opacità:

l’utente non è in grado di comprendere chiaramente dove, come e quando viene tracciato.

Paradossalmente, proprio Google — che oggi promuove tali tecniche — nel 2019 si era mostrata contraria a queste forme di sorveglianza non consensuale.

Chi trae vantaggio da questa evoluzione? Di fatto, solo la piattaforma stessa. La profilazione intensiva offre a Google una posizione sempre più dominante nel mercato pubblicitario, consolidando il suo potere nei confronti degli inserzionisti. Mentre i cookie possono essere bloccati o persino gestiti dall’utente a proprio favore, le impronte digitali non lasciano scampo: il vero vincitore è, ancora una volta, l’algoritmo.

In un’epoca in cui la trasparenza è un principio cardine della data governance, l’utilizzo di meccanismi non visibili all’utente rischia di:

• compromettere la fiducia e,

• aumentare il rischio normativo per le organizzazioni.

Riflessioni conclusive: oltre la conformità, verso una vera accountability

Questo episodio, per quanto singolare, è emblematico di una tensione crescente tra le esigenze di business (retention, monetizzazione dei dati, personalizzazione) e le responsabilità etiche e normative. Per i professionisti di Risk & Compliance, ciò impone un ripensamento delle metriche di valutazione del rischio digitale: non basta essere “compliant” sulla carta, è necessario:

1. anticipare l’impatto delle tecnologie emergenti,
2. valutare i modelli di profilazione alla luce del principio di proporzionalità e,
3. attivare meccanismi di audit continui.

Serve una nuova forma di compliance proattiva, capace di valutare non solo la legalità, ma anche l’equità e la sostenibilità delle pratiche di raccolta dati. In questo contesto, l’applicazione sostanziale dei principi contenuti nell’art. 24 GDPR (responsabilità del titolare del trattamento) e l’adozione di misure tecniche e organizzative adeguate (art. 32 GDPR) rappresentano non solo un obbligo normativo, ma una leva strategica per la reputazione e la sostenibilità delle aziende nel lungo periodo.