Pay or consent: cosa cambia dal 2026 e cosa significa per i tuoi dati

Da gennaio 2026 Meta propone agli utenti europei di Facebook e Instagram una terza possibilità: condividere meno dati personali in cambio di annunci meno personalizzati, accanto al consenso pieno e all'abbonamento senza pubblicità. È l'esito dell'intervento della Commissione europea sul modello «pay or consent». Vediamo che cosa cambia davvero e che cosa no.

Che cos'è il modello «pay or consent»

Da novembre 2023 Meta ha proposto agli utenti europei una scelta binaria: accettare il trattamento dei propri dati per la pubblicità comportamentale e continuare a usare i servizi senza costi, oppure sottoscrivere un abbonamento mensile per una versione priva di annunci. Il modello nasce dopo la sentenza della Corte di giustizia dell'Unione europea del 4 luglio 2023 nella causa C-252/21 (Meta Platforms), che ha fortemente ristretto la possibilità di fondare la pubblicità personalizzata su basi giuridiche diverse dal consenso. La formula «paghi con i soldi o paghi con i dati» è però stata contestata quasi subito, sia sul piano della concorrenza sia su quello della protezione dei dati.

La decisione della Commissione europea dell'aprile 2025

Il 23 aprile 2025 la Commissione europea ha adottato nei confronti di Meta una decisione di non conformità al Digital Markets Act, accompagnata da una sanzione di 200 milioni di euro. I punti essenziali sono tre:

• la scelta binaria non offriva agli utenti un'alternativa effettiva, perché chi rifiutava il consenso non disponeva di una versione dei servizi meno personalizzata ma equivalente;
• l'art. 5, par. 2, del Digital Markets Act vieta ai «gatekeeper» di combinare i dati personali raccolti sui diversi servizi in assenza di un consenso realmente libero;
• la sanzione è una misura regolatoria a carico dell'impresa e non si traduce in alcun indennizzo automatico per i singoli utenti: è una distinzione decisiva, su cui torniamo più avanti.

Che cosa cambia da gennaio 2026

L'8 dicembre 2025 la Commissione ha preso atto dell'impegno di Meta a introdurre una nuova opzione per gli utenti dell'Unione europea, presentata a partire da gennaio 2026. La scelta proposta diventa così articolata:

• acconsentire alla condivisione di tutti i propri dati e vedere pubblicità pienamente personalizzata;
• condividere meno dati personali, accettando un'esperienza con pubblicità meno personalizzata, basata su segnali più limitati;
• in alternativa, mantenere l'abbonamento alla versione senza annunci.

La Commissione ha precisato che, una volta attuato il nuovo modello, raccoglierà riscontri e prove da Meta e dagli altri soggetti interessati sull'impatto e sull'effettiva adozione dell'opzione. Non si tratta quindi di una vicenda chiusa, ma di una soluzione ancora sotto osservazione.

Perché la questione del consenso resta aperta

Digital Markets Act e GDPR guardano al problema da angolazioni diverse. Sul versante della protezione dei dati, il Comitato europeo per la protezione dei dati (EDPB), con l'Opinion 08/2024 adottata il 17 aprile 2024, ha ritenuto che nella maggior parte dei casi le grandi piattaforme non possano ottenere un consenso valido limitandosi a contrapporre l'accettazione della pubblicità comportamentale al pagamento di un canone. Il consenso, secondo gli artt. 4 e 7 del GDPR, deve essere libero, specifico, informato e inequivocabile: se l'unica alternativa è pagare, la libertà della scelta può risultare compromessa.

Da qui una conseguenza pratica spesso fraintesa: aver accettato la pubblicità personalizzata non significa aver rinunciato ai propri diritti. Un consenso non validamente prestato non rende lecito a posteriori il trattamento, e i diritti riconosciuti dal GDPR — accesso, opposizione, rettifica, cancellazione, oltre al risarcimento previsto dall'art. 82 — restano pienamente esercitabili.

Che rilievo ha tutto questo per una richiesta di risarcimento

Una sanzione dell'autorità europea o un impegno assunto davanti alla Commissione non producono, di per sé, alcun risarcimento in favore dei singoli utenti. Chi intende agire in sede civile deve percorrere una strada distinta e più esigente:

• l'art. 82 del GDPR richiede tre elementi congiunti — una violazione, un danno effettivo e il nesso causale tra i due — come chiarito dalla Corte di giustizia nella sentenza del 4 maggio 2023, causa C-300/21;
• in Italia la Corte di cassazione, con l'ordinanza n. 16402 del 10 giugno 2021, esclude che il danno non patrimoniale da trattamento illecito sia «in re ipsa»: va allegato e provato in modo analitico, indicando le conseguenze concrete subite;
• non esistono importi predeterminati. Il riferimento a circa 100 euro riconosciuto dal Bundesgerichtshof tedesco il 18 novembre 2024 (VI ZR 10/24) riguarda esclusivamente il filone dello scraping dei dati Facebook, non è vincolante in Italia e non può essere trasposto ad altri contesti; per il filone della monetizzazione dei dati non esistono, allo stato, precedenti liquidatori.

Sul fronte collettivo, l'azione di classe promossa dal Centro Tutela Consumatori Utenti di Bolzano e ammessa dal Tribunale di Milano nell'aprile 2026 riguarda specificamente lo scraping dei dati avvenuto tra il 2018 e il 2019: è un'iniziativa distinta, gratuita per chi vi aderisce, con un perimetro proprio che non coincide con il tema del pay or consent.

Il punto pratico

L'arrivo di un'opzione intermedia è un progresso in termini di trasparenza e di effettività della scelta, ma non risolve retroattivamente le questioni relative al trattamento dei dati degli anni precedenti, né crea da solo un diritto a un indennizzo. Se vuoi capire se la tua posizione presenta elementi concretamente documentabili, puoi esporre la tua situazione nella sezione «Il tuo caso»: la valutazione preliminare serve a chiarire che cosa sia allegabile e provabile, senza anticipare alcun esito né alcun importo.