Pubblicità mirata e privacy: cosa è vietato, quanto costa sbagliare e come una PMI può usare i dati in regola

In questa serie abbiamo visto che il telefono non ci ascolta, ma che posizione, comportamenti e aste in tempo reale permettono alla pubblicità di conoscerci molto bene. Resta la domanda più importante per chi fa impresa: che cosa si può fare, in regola, con la pubblicità mirata? La privacy, tra GDPR e nuove norme europee, non è un ostacolo: è il perimetro dentro cui gli strumenti funzionano e non si ritorcono contro il tuo marchio.

Le regole della pubblicità mirata in tre livelli

1. Il GDPR. Per usare dati personali serve una base giuridica, e per la pubblicità comportamentale nella pratica è il consenso. Lo ha chiarito il caso più noto: a gennaio 2023 l'autorità irlandese ha multato Meta per 390 milioni di euro, stabilendo che non poteva giustificare la pubblicità personalizzata come parte del «contratto» con l'utente. Le sanzioni previste dal GDPR arrivano fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, oltre ad avvertimenti, ammonimenti e divieti di trattamento.

2. Le regole sui cookie. In Italia il riferimento sono le linee guida del Garante del 10 giugno 2021: i cookie di profilazione richiedono un consenso espresso con un'azione chiara, lo scorrimento della pagina non vale come consenso, chiudere il banner con la X significa proseguire senza tracciamento, e il «cookie wall» (o accetti o non entri) è in linea generale illecito. In Francia, a settembre 2025, il Garante francese (CNIL) ha sanzionato Google per 325 milioni di euro, anche perché alla creazione dell'account rifiutare i cookie pubblicitari era più difficile che accettarli.

3. Il Digital Services Act. Per le piattaforme online il DSA aggiunge due divieti netti, ricordati dalla Commissione europea: niente annunci basati sulla profilazione dei minori e niente annunci basati su dati sensibili come orientamento sessuale, origine etnica o religione. In più, gli annunci devono essere riconoscibili e l'utente deve poter sapere chi li paga e perché li vede.

Le notizie recenti da conoscere

• 17 settembre 2026: il Comitato europeo per la protezione dei dati (EDPB) ha adottato la versione definitiva delle linee guida sul rapporto tra DSA e GDPR. Chiarisce che il divieto di annunci basati su dati sensibili vale anche quando i dati sono dedotti dalla profilazione, e anche se la profilazione la fa un soggetto diverso dalla piattaforma.
• Dicembre 2025: la Commissione ha inflitto a X la prima sanzione del DSA, 120 milioni di euro, contestando tra l'altro un archivio degli annunci difficile da consultare e incompleto.
• Gennaio 2026: dopo una sanzione da 200 milioni di euro del 2025 per il Digital Markets Act, Meta si è impegnata a offrire agli utenti europei, da gennaio 2026, la scelta di annunci meno personalizzati.
• In discussione: il «Digital Omnibus», proposto dalla Commissione a novembre 2025, contiene un articolo, l'88b, che permetterebbe di esprimere le preferenze sui cookie una volta sola, dal browser. A giugno 2026 la presidenza cipriota del Consiglio lo ha tolto dalla bozza di compromesso; diverse associazioni chiedono alla presidenza irlandese, in carica fino al 31 dicembre 2026, di reinserirlo. L'esito non è ancora deciso.

Cosa può fare una PMI di Modena, in regola

La buona notizia è che gli strumenti più utili per un'impresa locale sono anche i più semplici da usare correttamente:

1. Targeting per zona. Scegliere i comuni o un raggio intorno al negozio non richiede di trattare dati di singole persone: le piattaforme lavorano su aree con soglie minime di utenti. In Google Ads, per esempio, il raggio minimo è di 1 km. Ne parlo in footfall analysis e geomarketing.
2. Remarketing con consenso. Mostrare annunci a chi ha visitato il tuo sito è lecito se il visitatore ha accettato i cookie pubblicitari. Dal marzo 2024 Google richiede agli inserzionisti che si rivolgono all'Europa di trasmettere i segnali di consenso (la cosiddetta Consent Mode v2): senza, il remarketing e la personalizzazione non sono più possibili. Qui spiego il remarketing in modo semplice.
3. Liste clienti con consenso esplicito. Caricare su una piattaforma gli indirizzi email dei clienti è possibile solo se hai informato le persone e hai una base giuridica valida per quell'uso.
4. Misurare le visite in modo aggregato. Le «visite in negozio» di Google Ads restituiscono dati anonimi e aggregati, ed escludono i luoghi sensibili.

Cosa evitare

• Comprare elenchi di contatti o dati di posizione di provenienza incerta.
• Creare pubblici basati su salute, religione, orientamento o difficoltà economiche: le regole delle piattaforme e il DSA lo vietano.
• Rivolgere annunci personalizzati ai minori.
• Usare banner cookie che rendono il rifiuto più difficile dell'accettazione.
• Promettere a un cliente di «sapere chi è entrato dal concorrente»: oltre a essere rischioso, rovina la fiducia.

La privacy come vantaggio

Dopo tanti anni di lavoro con le imprese ne sono convinto: un cliente che si sente rispettato torna, uno che si sente spiato no. Un sito in regola con privacy e cookie è il primo passo: ecco cosa controllare, e se preferisci farlo seguire da un professionista c'è il servizio privacy e cookie per il sito aziendale. Per ripercorrere la serie: il telefono ci ascolta?, la pubblicità comportamentale e il programmatic advertising.