Aristotelis Zervos
Aristotelis Zervos, direttore editoriale di 2B Advice, unisce competenze giuridiche e giornalistiche in Protezione dei dati, IT-Conformità e la regolamentazione dell'IA.
I cookie banner fanno da tempo parte della vita quotidiana, ma la loro ammissibilità legale rimane controversa. Particolarmente controversa è la questione se i cosiddetti modelli "pay or ok" siano compatibili con la normativa sulla privacy. GDPR sono compatibili. Ciò comporta la scelta tra Consenso in un'ampia elaborazione dei dati o in un abbonamento a pagamento. Nella sentenza del 13 agosto 2025, il Tribunale amministrativo federale austriaco (BVwG) ha tracciato per la prima volta una linea chiara a questo proposito. La decisione non riguarda solo le aziende del settore dei media, ma tutte le aziende che si affidano al finanziamento della pubblicità digitale.
Contesto della procedura
Il procedimento è iniziato in una da noyb – Centro europeo per i diritti digitali portato in casa Reclamo per conto di un utente interessato. Oggetto del Reclamo era la questione se il derStandard.at La combinazione del cookie banner e del modello di abbonamento PUR ("Pay or Okay") costituisce una valida base giuridica per l'utilizzo del sito. Elaborazione dei dati personali.
L'accusa di noyb: „Anziché offrire agli utenti una vera possibilità di scelta, questi ultimi possono scegliere solo tra sottoscrivere un abbonamento mensile al prezzo attuale di 9,90 € oppure il servizio online-Tracciamento “con l'approvazione di centinaia di fornitori terzi."
Nel procedimento di primo grado, l'Autorità per la protezione dei dati (DPA) aveva accolto alcune delle obiezioni, ma allo stesso tempo aveva avanzato richieste centrali, in particolare per quanto riguardava il divieto di Elaborazionenon trattati o trattati solo in misura limitata. Questo ha portato a un Reclamo al BVwG, che doveva esaminare in modo esaustivo la situazione di fatto e di diritto.
Il BVwG non solo ha dovuto affrontare la questione dell'ammissibilità di Biscotti e Tracciamento-non solo le tecnologie, ma anche le questioni fondamentali relative alla natura volontaria del consenso e alla legittimità dei modelli „Consent or Pay“ o „Pay or Okay“. Il procedimento si è quindi collocato all’incrocio tra il finanziamento dei media, il settore della pubblicità digitale e la normativa europea in materia di protezione dei dati.
Inammissibilità del trattamento dei cookie
Nella sua decisione, il BVwG ha esaminato in modo approfondito la questione sollevata da derStandard.at set Biscotti e la relativa elaborazione dei dati. Ha chiarito che anche la mera memorizzazione o lettura di Biscotti Dati personali come l'indirizzo IP, le informazioni sul browser o gli identificatori univoci e pertanto soddisfa i requisiti della legge. GDPR è soggetto a.
In particolare, il tribunale ha criticato il fatto che tali trattamenti siano stati effettuati senza un'effettiva e specifica Consenso dell'utente. Il semplice consenso attraverso il banner iniziale dei cookie non era sufficiente perché né un informato Un'altra decisione scopo differenziato scelta è stata data. Secondo il BVwG, ciò costituisce una chiara Violazione contro l'art. 6 comma 1 lett. a GDPR.
Di conseguenza, il tribunale ha seguito l'organo di conciliazione, che era già giunto alla conclusione che non vi era alcuna valida Consenso era disponibile. Ha respinto la Reclamo del proprietario del media, nella misura in cui quest'ultimo aveva sostenuto che il trattamento era legittimo. In particolare, è stato sottolineato che "tecnicamente non necessario". Biscottiad esempio per Tracciamento o a fini pubblicitari, non possono in alcun caso essere utilizzati senza un esplicito consenso.
Inoltre, il BVwG ha sottolineato l’obbligo di fornire informazioni esaurienti: gli utenti devono poter riconoscere chiaramente quali dati vengono trattati e per quali finalità, quali fornitori terzi sono coinvolti e quali conseguenze comporta un rifiuto. Un riferimento generico al “miglioramento dell’esperienza utente” o a formule simili non è sufficiente.
Le conclusioni del tribunale dimostrano che non si tratta solo di una questione di presentazione formale di un Consenso ma piuttosto la qualità e l'efficacia di questo consenso. La sentenza è quindi in linea con la precedente giurisprudenza della Corte di giustizia europea (ad esempio, Planet49) e specifica i requisiti nel contesto austriaco.
Requisito del consenso
Il BVwG ha elaborato in modo molto dettagliato quali siano le GDPR e la giurisprudenza della Corte di giustizia europea ad una valida Consenso da impostare. Non è sufficiente che gli utenti accettino tutti i possibili scopi con un solo clic. Piuttosto, il Consenso informato, specifico, volontario e non ambiguo.
La Corte ha sottolineato in particolare:
- Separazione degli scopi: Per ogni finalità di trattamento - come l'analisi web, la personalizzazione Pubblicitàplug-in per i social media: è necessario un opt-in separato. Un "consenso generale" è in contrasto con gli articoli 6 e 7. GDPR.
- Trasparenza: Gli utenti devono essere informati in anticipo, con un linguaggio chiaro e comprensibile, su quali dati vengono trattati, con quali mezzi, da quali responsabili e a quale scopo. Formulazioni vaghe come “miglioramento dell’esperienza utente” non sono sufficienti.
- Revocabilità: Uno Consenso deve essere revocabile in qualsiasi momento con la stessa facilità con cui è stata concessa.
- Obbligo di documentazione: Il Persone responsabili l'onere di provare che un'efficace Consenso è disponibile.
A questo proposito, il BVwG ha fatto riferimento alle sentenze della Corte di giustizia dell’Unione europea (CGUE) nei casi Planet49 (C-673/17) e TC-String (C-604/22). Entrambe le sentenze chiariscono che un modello “tutto o niente” non soddisfa i requisiti di volontarietà e granularità. La giurisprudenza austriaca fa propri questi criteri e richiede che gli utenti abbiano una reale libertà di scelta in merito ai singoli trattamenti dei dati.
Suggerimento di lettura: I banner sui cookie devono includere anche l'opzione “Rifiuta tutto”?
„Pay or Okay“: illegittimità del trattamento dei cookie
Nella sua decisione, il BVwG ha esaminato in modo approfondito la questione sollevata da derStandard.at set Biscotti e la relativa elaborazione dei dati. Ha chiarito che anche la mera memorizzazione o lettura di Biscotti Dati personali come l'indirizzo IP, le informazioni sul browser o gli identificatori univoci e pertanto soddisfa i requisiti della legge. GDPR è soggetto a.
In particolare, il tribunale ha criticato il fatto che tali trattamenti siano stati effettuati senza un'effettiva e specifica Consenso dell'utente. Il semplice consenso attraverso il banner iniziale dei cookie non era sufficiente perché né un informato Un'altra decisione scopo differenziato scelta è stata data. Secondo il BVwG, ciò costituisce una chiara Violazione contro l'art. 6 comma 1 lett. a GDPR.
Di conseguenza, il tribunale ha seguito l'organo di conciliazione, che era già giunto alla conclusione che non vi era alcuna valida Consenso era disponibile. Ha respinto la Reclamo del proprietario del media, nella misura in cui quest'ultimo aveva sostenuto che il trattamento era legittimo. In particolare, è stato sottolineato che "tecnicamente non necessario". Biscottiad esempio per Tracciamento o a fini pubblicitari, non possono in alcun caso essere utilizzati senza un esplicito consenso.
Inoltre, il BVwG ha sottolineato l’obbligo di fornire informazioni esaurienti: gli utenti devono poter riconoscere chiaramente quali dati vengono trattati e per quali finalità, quali fornitori terzi sono coinvolti e quali conseguenze comporta un rifiuto. Un riferimento generico al “miglioramento dell’esperienza utente” o a formule simili non è sufficiente.
Le conclusioni del tribunale dimostrano che non si tratta solo di una questione di presentazione formale di un Consenso ma piuttosto la qualità e l'efficacia di questo consenso. La sentenza è quindi in linea con la precedente giurisprudenza della Corte di giustizia europea (ad esempio, Planet49) e specifica i requisiti nel contesto austriaco.
Valutazione del modello „Pay or Okay“
Il BVwG chiarisce: "Pay or Okay" non è una carta bianca per un'offerta completa. Tracciamento. La natura volontaria del Consenso deve essere esaminata caso per caso (art. 4 n. 11, art. 7 GDPRconsiderando 32, 42 e 43). Il fattore decisivo è se gli utenti dispongono di un'alternativa reale e non pressante all'elaborazione dei dati e se la Consenso è specificamente progettato per ogni scopo.
Criteri di valutazione del tribunale:
- Autentica libertà di scelta anziché coercizione de facto
Non devono esserci elementi di progettazione che di fatto spingano gli utenti a cliccare su „Accetto“ (ad esempio, ostacoli eccessivi o tempi di attesa troppo lunghi, percorsi nascosti per il rifiuto, stimoli visivi subliminali). Le opzioni di rifiuto e di accettazione devono essere accessibili in modo paritario (simmetria dell’interfaccia utente, nessuna fuorviazione). - Granularità in base allo scopo anche per le alternative di pagamento
Un percorso di sottoscrizione non sostituisce l'obbligo di fornire un servizio di Consenso. Rimane inammissibile la combinazione di più scopi ("consenso generale"). - Trasparenza e l'informazione
Informazioni chiare e comprensibili relative alle categorie di dati, ai destinatari/fornitori terzi, alle finalità, al periodo di conservazione e alle conseguenze del rifiuto. - Equità della prestazione alternativa („Pay“)
La modalità di pagamento deve essere seria e ragionevole (nessun prezzo proibitivo, nessun „lock-in“ nascosto, nessun declassamento funzionale). - Minimizzazione dei dati e Stanziamento di fondi
Anche con una concessione Consenso possono essere trattati solo i dati necessari per lo scopo previsto. Qualsiasi altro dato Tracciamento è inammissibile.
Applicazione al modello PUR/„Pay or Okay“ di derStandard.at:
Il tribunale riconosce la legittimità di principio delle alternative di pagamento, ma contesta la loro attuazione concreta:
- Il Consenso è stato non granulare; diversi scopi sono stati efficacemente combinati.
- Il Rifiuto è stata associata ad un attrito significativamente più elevato rispetto al consenso (asimmetria UI/flusso), per cui la pressione per Consenso è stato creato.
- Il Isituazione informativa nel banner/flusso era insufficiente. Gli utenti non erano in grado di riconoscere la gamma e le conseguenze del Elaborazione non hanno una visione d'insieme sufficiente.
- Il Alternativa di pagamento è stato non concepita come un’opzione a tutti gli effetti ed equa (tra l’altro grazie alla struttura del percorso di ordinazione e al collegamento a pacchetti forfettari mirati).
Conseguenze legali:
In assenza di un'attività volontaria e di uno scopo Consenso applica il Elaborazione per scopi non essenziali è illegale. Il BVwG conferma: "Pay or Okay" rimane possibile, ma richiede un alto livello di protezione. In particolare, una vera libertà di scelta, opt-in finemente granulari, informazioni trasparenti e un'alternativa di pagamento ragionevole ed equivalente.
Diritti degli interessati
Il BVwG ha chiarito che colpiti Le persone dopo il GDPR hanno un'ampia gamma di diritti che vanno oltre i singoli reclami. Non solo possono ottenere informazioni, Correzione, Cancellazione o restrizione della Elaborazione domanda. In base all'art. 80 GDPR possono anche avvalersi della rappresentanza di organizzazioni come le ONG.
Nel presente procedimento, il tribunale ha confermato che la noyb non aveva Reclamo efficacemente per conto dell'interessato. L'obiezione della controparte secondo cui ciò costituirebbe un abuso di diritto è stata espressamente respinta. Il BVwG ha quindi rafforzato il ruolo delle organizzazioni della società civile nell'applicazione delle richieste di protezione dei dati.
La sentenza chiarisce che Parti interessate non dipendono solo dalle loro risorse individuali, ma possono avvalersi del supporto di istituzioni specializzate. Ciò dovrebbe garantire che anche le violazioni complesse o strutturali della protezione dei dati possano essere efficacemente perseguite.
La questione „Pay or Okay“ sarà definitivamente chiarita davanti alla Corte di giustizia dell’Unione europea?
La sentenza è stata impugnata in appello. Ricorso al Tribunale amministrativo (VwGH) possibile. Inoltre, è possibile una Presentazione alla Corte di giustizia europea non è da escludere. Pertanto, la qualificazione giuridica a livello dell’Unione, in particolare per quanto riguarda i requisiti di volontarietà e di granularità delle finalità nel caso del sistema „Pay or Okay“, rimane potenzialmente soggetta a ulteriori chiarimenti.
Significato per la pratica professionale e le imprese
La sentenza va ben oltre il singolo caso e ha un effetto di richiamo per numerosi settori che operano online-Pubblicità, Tracciamento e modelli di abbonamento. Il documento chiarisce che il consenso puramente formale senza un'autentica libertà di scelta non è più praticabile e che le autorità di vigilanza e i tribunali stanno esaminando intensamente la qualità dei processi di consenso.
Per Società di media Ciò significa che dovranno rivedere e riorganizzare non solo i propri banner sui cookie, ma anche tutti i modelli di finanziamento ibridi. In futuro, le offerte PUR o „Consent or Pay“ dovranno essere strutturate in modo tale da offrire un’alternativa equa e ragionevole al trattamento dei dati, senza esercitare una pressione di fatto affinché l’utente dia il proprio consenso.
Piattaforme di gestione del consenso devono garantire che le opzioni di opt-in siano differenziate e mirate, dal punto di vista tecnico e in termini di facilità d’uso. Devono sviluppare interfacce che presentino il rifiuto e il consenso su un piano di parità e che rendano trasparente il livello di dettaglio dei consensi.
Autorità di vigilanza Con questa sentenza ricevono una chiara linea guida: i ricorsi devono essere esaminati in modo approfondito, le richieste di divieto di trattamento devono essere valutate con serietà e le disposizioni della Corte di giustizia dell’Unione europea devono essere applicate con coerenza nei procedimenti nazionali.
Infine, la sentenza dimostra anche per quanto riguarda la Conformità-Applicazione pratica nelle aziendeche in futuro i modelli aziendali conformi alla protezione dei dati si concentreranno ancora di più sull'autentica libertà di scelta, Trasparenza e verificabilità. Questo vale non solo per le aziende del settore dei media, ma anche per il commercio elettronico, gli operatori di piattaforme e gli sviluppatori di app che utilizzano modelli analoghi.
Forniamo assistenza nell'attuazione di strategie di consenso conformi alla normativa
Nel complesso, la sentenza mette fine alle zone d’ombra giuridiche e indica una direzione chiara per i futuri modelli di business nel settore digitale. Le aziende dovrebbero prendere sul serio questa tendenza e investire tempestivamente in soluzioni conformi alla normativa sulla protezione dei dati.
Fonte: Sentenza del Tribunale amministrativo federale austriaco del 13 agosto 2025 (W 291 2272970 1/30E)
Se avete bisogno di assistenza nell’attuazione di strategie di consenso conformi alla normativa e di modelli „Pay or Okay“, non esitate a contattarci. Con Ailance® Offriamo la soluzione perfetta, che coniuga facilità d'uso e certezza giuridica.
Aristotelis Zervos è direttore editoriale di 2B Advice, avvocato e giornalista esperto di protezione dei dati, GDPR, IT-Conformità e la governance dell'IA. Pubblica regolarmente articoli approfonditi sulla regolamentazione dell'IA, GDPR-Conformità e la gestione dei rischi. Per saperne di più su di lui, visitate il suo Pagina del profilo dell'autore.
German 
English 
Italian 
French