Quando si parla di influencer marketing e GDPR, la discussione parte quasi sempre da una premessa apparentemente semplice: l’influencer non raccoglie direttamente i dati degli utenti e, quindi, non è coinvolto nel trattamento.
Dal punto di vista giuridico, questa affermazione è in gran parte corretta. Ma non per le ragioni che, di solito, si immaginano.
Il semplice fatto di indirizzare traffico verso una landing page, inserire un link in una Storia o invitare la propria community a compilare un form non trasforma automaticamente un creator in un soggetto coinvolto nel trattamento dei dati personali.
Il punto centrale è un altro: chi decide perché i dati vengono raccolti e come devono essere utilizzati?
Chi decide sulle finalità e sui mezzi del trattamento?
Il GDPR non si applica perché un influencer pubblica un link o promuove un’iniziativa che prevede una raccolta di dati. Il tema della responsabilità privacy entra in gioco, piuttosto, quando si individuano i soggetti che determinano finalità e mezzi del trattamento, cioè, in termini più semplici, il perché e il come vengono trattati i dati.
Nella maggior parte delle collaborazioni tra brand e creator, queste decisioni restano in capo all’azienda.
È il brand, infatti, a stabilire per quali finalità vengono raccolti i dati, quali informazioni devono essere acquisite, attraverso quali strumenti e per quanto tempo devono essere conservate. È inoltre il brand a determinare come i dati verranno utilizzati successivamente e cosa accadrà dopo che l’utente avrà completato la registrazione.
In uno schema puramente promozionale, quindi, l’influencer resta normalmente estraneo al trattamento. Non diventa, per il solo fatto di promuovere l’iniziativa, titolare, contitolare o responsabile del trattamento.
Questo vale, ad esempio, quando il creator si limita a presentare una campagna predisposta dal brand e a indirizzare la propria community verso una landing page o un form gestito dall’azienda.
È una distinzione importante, perché il rischio viene spesso raccontato in modo eccessivamente semplicistico: come se fosse sufficiente condividere un link per trasformare il creator in un soggetto “coinvolto” dal GDPR.
Non è così.
Il vero problema non è il link, ma la comunicazione
La questione si sposta su un altro piano quando si osserva come la raccolta dei dati viene presentata all’utente.
Immaginiamo, ad esempio, un contenuto promozionale che invita la community a compilare un form per partecipare a un concorso, ottenere un vantaggio o accedere a un’esperienza.
Il form può essere perfettamente strutturato dal punto di vista tecnico e il trattamento può essere gestito correttamente dal brand. Eppure, la comunicazione che accompagna quella raccolta può risultare fuorviante o non coerente rispetto a ciò che accadrà effettivamente ai dati.
Questo può accadere quando il contenuto presenta la compilazione come un gesto completamente neutro, un gioco, un’occasione imperdibile o un semplice passaggio per ottenere un beneficio, lasciando sullo sfondo ciò che accadrà realmente alle informazioni fornite.
Si crea così uno scarto tra ciò che l’utente percepisce e ciò che effettivamente accade ai suoi dati.
Ed è proprio questo scarto a diventare rilevante dal punto di vista giuridico.
Trasparenza: l’informativa da sola non basta
Il GDPR non richiede semplicemente che esista un’informativa privacy formalmente corretta.
È anzitutto il titolare del trattamento a dover garantire che l’interessato riceva informazioni trasparenti e comprensibili sul trattamento e sia messo nelle condizioni di comprendere, nel contesto in cui sta fornendo i propri dati, che cosa sta facendo e per quali finalità.
Questo principio assume particolare importanza nell’influencer marketing, dove la comunicazione passa attraverso un rapporto basato sulla fiducia e sulla vicinanza tra creator e community.
Se il percorso comunicativo porta l’utente a concentrarsi esclusivamente sul beneficio immediato — il concorso, lo sconto, il regalo, l’accesso a un contenuto — mentre la raccolta dei dati rimane sullo sfondo, la presenza di un’informativa formalmente corretta non risolve necessariamente ogni criticità.
La trasparenza, infatti, non riguarda soltanto l’esistenza dell’informativa, ma anche il fatto che il percorso che conduce l’utente alla raccolta sia coerente con le modalità e le finalità effettive del trattamento.
In questo senso, il ruolo dell’influencer va distinto da quello del titolare: il creator non assume automaticamente un autonomo obbligo di informare gli utenti sul trattamento solo perché promuove una campagna.
Il tema diventa piuttosto quello della coerenza della comunicazione. Se il creator contribuisce, attraverso ciò che comunica, a presentare la raccolta dei dati in modo significativamente diverso da come essa avviene nella realtà, la questione può assumere rilievo anche sul piano giuridico, pur senza trasformarlo automaticamente in un soggetto del trattamento.
Il ruolo dell’influencer nel percorso decisionale
Il punto, quindi, non è stabilire automaticamente se l’influencer sia titolare o responsabile del trattamento.
Il punto è capire quale ruolo abbia la sua comunicazione nel percorso decisionale dell’utente e, soprattutto, distinguere questo ruolo comunicativo da un effettivo ruolo nel trattamento dei dati.
Anche quando il trattamento è interamente nelle mani del brand, il contenuto pubblicato dal creator rappresenta il primo punto di contatto con l’iniziativa per una parte della community.
Se il messaggio suggerisce finalità diverse da quelle effettive, minimizza in modo fuorviante la raccolta oppure costruisce un’aspettativa che non trova riscontro nel trattamento reale, emerge una criticità che non può essere valutata soltanto dal punto di vista comunicativo.
Tuttavia, questo non significa che il creator diventi automaticamente responsabile del trattamento o assuma gli obblighi propri del titolare.
La domanda da porsi, quindi, non è soltanto: “Chi raccoglie i dati?”
Ma anche: “Che cosa viene fatto percepire all’utente prima che decida di consegnarli?”
Contitolarità: quando può configurarsi?
In questo contesto, anche il tema della contitolarità del trattamento merita di essere affrontato con attenzione.
La semplice collaborazione tra un brand e un influencer non è sufficiente a configurarla. Perché possa parlarsi di contitolarità è necessario che i soggetti partecipino effettivamente, in modo congiunto, alla determinazione delle finalità e dei mezzi del trattamento.
Questo significa che non basta che il creator contribuisca a rendere una campagna più efficace o partecipi alla sua ideazione dal punto di vista creativo.
Si pensi, invece, al caso in cui brand e influencer decidano insieme di raccogliere determinati dati della community per una specifica finalità e stabiliscano congiuntamente quali strumenti utilizzare, quali informazioni acquisire e come gestirle successivamente.
In una situazione di questo tipo, il ruolo del creator dovrebbe essere valutato concretamente per capire se la sua partecipazione alle decisioni sul trattamento possa configurare una contitolarità.
Al contrario, se il brand determina autonomamente finalità e mezzi della raccolta e il creator si limita a promuovere l’iniziativa secondo le indicazioni ricevute, la semplice collaborazione commerciale non è sufficiente per parlare di contitolarità.
La qualificazione, quindi, non dipende dall’etichetta data al rapporto contrattuale, ma dal ruolo effettivamente svolto dai soggetti nelle decisioni relative al trattamento.
Il vero rischio: la distanza tra comunicazione e realtà
Il rischio reale, dunque, non è che l’influencer “diventi titolare senza saperlo” semplicemente perché ha pubblicato una Storia con un link.
Il punto è piuttosto evitare che una comunicazione particolarmente efficace renda opaco un trattamento che, sulla carta, è perfettamente strutturato.
Ed è proprio qui che influencer marketing e GDPR si incontrano.
Più la narrazione riesce a rendere naturale, immediata e coinvolgente la raccolta dei dati, più è importante che ciò che viene comunicato sia coerente con quello che accade realmente.
Perché una criticità può emergere già nel momento in cui il percorso di raccolta non consente all’utente di comprendere adeguatamente ciò che sta accadendo ai propri dati, anche se sarà solo successivamente che quella criticità potrà diventare evidente.
La campagna può funzionare benissimo. Il contenuto può generare clic, iscrizioni e conversioni. Il form può essere tecnicamente impeccabile.
Ma se il percorso che conduce alla raccolta presenta all’utente una realtà diversa da quella effettiva, il problema non nasce quando l’utente, a posteriori, si chiede perché abbia fornito quei dati, a chi li abbia consegnati e che cosa ne sia stato fatto.
A quel punto, semmai, la criticità diventa visibile.
Il momento rilevante è precedente: quello in cui l’utente decide di fornire i propri dati.