Le conversazioni del chatbot non sono un pubblico

C'è un momento, in ogni conversazione con una macchina, in cui smettiamo di stare attenti. Arriva presto: alla seconda risposta, quando il tono si è fatto cordiale e la macchina ha dichiarato che può rispondere a qualsiasi cosa. Da lì in avanti non stiamo più compilando un modulo. Stiamo raccontando.

Il 17 settembre un tribunale tedesco ha stabilito che quello che viene raccontato lì dentro non si può girare all'ufficio marketing. E soprattutto: che non importa se non volevi raccoglierlo.

I fatti, in ordine di apparizione

Il 22 marzo 2024 la vzbv — la federazione tedesca delle associazioni dei consumatori, un'Altroconsumo con poteri di azione inibitoria — deposita un ricorso contro Snap Group Limited, la società di Londra con cui gli utenti tedeschi di Snapchat hanno il contratto. Diventa pendente il 25 giugno 2024 ed è iscritta nel registro pubblico delle azioni inibitorie del Bundesjustizamt.

Le condotte contestate sono tre. Trattare per finalità pubblicitarie i dati che gli utenti immettono nella chat dell'assistente My AI, senza una base giuridica. Raccogliere il consenso con caselle già spuntate nelle preferenze pubblicitarie. Preselezionare "alcol" e "gioco d'azzardo" fra le categorie pubblicitarie nel profilo degli utenti minorenni.

Il 17 settembre 2026 la 33ª camera civile del Landgericht di Colonia deposita la sentenza nella causa 33 O 120/24: ricorso accolto per intero, spese a carico della convenuta. È di primo grado, ed è appellabile.

Il passaggio che vale la lettura sta nella motivazione, e non parla di Snapchat. Il tribunale scrive che il divieto dell'articolo 9, comma 1, del GDPR si applica "a prescindere dal fatto che il titolare agisca con quell'obiettivo". Tradotto: se un utente, dentro la chat, scrive di una malattia, di una fede, di un orientamento, tu quei dati li stai trattando. Non conta che non li volessi. Non conta che non li abbia chiesti. Conta che siano lì.

Il secondo passaggio riguarda l'invito. I giudici hanno dato peso al fatto che l'assistente si presentasse dicendo "puoi farmi qualsiasi domanda": chi apre quella porta deve aspettarsi che qualcuno ci entri con tutto quello che ha. Il terzo riguarda il consenso: un avviso iniziale confermato con un clic non è consenso ai sensi del GDPR, e una casella preselezionata nemmeno, perché serve "un'azione attiva o una dichiarazione".

Fra il 25 e il 26 settembre la sentenza diventa pubblica attraverso gli studi legali tedeschi, che la commentano quasi all'unisono. In italiano, a oggi, non ne ha scritto nessuno.

Posso usare per la pubblicità le conversazioni del chatbot del mio sito?

No, non senza un consenso esplicito, separato e documentato, raccolto nel momento in cui il dato viene raccolto e non tre schermate prima.

E qui la questione smette di essere tedesca. Una sentenza di Colonia non fa giurisprudenza a Castelfranco Veneto, e chi ti dirà che «non ci riguarda» avrà formalmente ragione. Ma il testo che quel tribunale ha applicato è lo stesso identico testo che si applica in Italia, scritto nella stessa lingua giuridica, interpretato dagli stessi principi. Le sentenze nazionali sul GDPR non sono confini: sono prove generali.

Che cosa rende sensibile una conversazione

Per capire perché l'intenzione non conta, conviene spostarsi di qualche secolo.

Il confessionale è la più antica interfaccia conversazionale che conosciamo. Funziona per una ragione sola: chi entra sa che quello che dice resta lì. Non perché il prete sia smemorato, ma perché una regola glielo vieta, e la regola non dipende da cosa lui volesse farne.

Un chatbot che dice «chiedimi quello che vuoi» è un confessionale con una porta sul retro. Il tribunale di Colonia non ha detto che la porta va chiusa. Ha detto che non ci puoi far passare l'ufficio vendite.

È questa la traduzione pratica dell'articolo 9. Non riguarda i dati che raccogli: riguarda i dati che ricevi. Un modulo contatti lo progetti tu, e decidi tu quali caselle esistono. Una conversazione no: la progetta chi scrive, e scrive quello che ha in testa in quel momento. Il centro estetico che chiede «come posso aiutarla?» riceve risposte sulla pelle. L'agenzia di viaggi su disabilità e diete. Nessuno dei due voleva un dato sanitario. Tutti e due ne hanno uno.

Le reazioni sbagliate

«È una sentenza tedesca, non ci riguarda.» Formalmente giusto, praticamente inutile. Il punto non è se sei obbligato oggi: è che l'interpretazione dell'articolo 9 che hai appena letto è quella che un'autorità italiana adotterà quando le capiterà il caso. Ti stanno mostrando il compito in classe con una settimana di anticipo.

«Ma è Snapchat, con i minorenni. Io vendo capannoni.» L'età ha pesato sulla severità, non sul principio: i dati particolari immessi in una chat restano dati particolari.

«Noi non raccogliamo dati sensibili.» È la frase più pericolosa delle quattro, ed è la frase che dice chiunque abbia un chatbot. Nessuno li raccoglie. Arrivano.

«Aggiungiamo una riga nell'informativa e siamo a posto.» Colonia ha appena stabilito che l'informativa accettata con un clic non è consenso. La riga in più è esattamente la cosa che non funziona.

Cosa farei, lunedì mattina

• Guarda dove finiscono i log della chat. Non l'informativa: il flusso. Dove vanno quelle conversazioni dopo che l'utente chiude la finestra, e chi ci accede.
• Stacca il collegamento automatico verso i pubblici pubblicitari. Se le conversazioni alimentano segmenti, elenchi di remarketing o pubblici personalizzati, togli il rubinetto adesso. Non "valuta": togli. Rimetterlo è mezz'ora di lavoro, spiegarlo a un'autorità sono mesi.
• Togli le caselle preselezionate. Ovunque. È la cosa più facile e nessuno la fa.
• Riduci quello che il chatbot chiede. Meno domande aperte, più opzioni chiuse: un assistente che fa scegliere fra quattro voci raccoglie meno di uno che invita a raccontare, e quasi sempre risolve lo stesso problema.
• Decidi per quanto tempo tieni le conversazioni. Trenta giorni, novanta, quello che serve. Ma un numero, scritto, e una cancellazione che avviene davvero.

In sostanza

Le conversazioni del chatbot non sono un pubblico. Non lo sono tecnicamente, perché quello che contengono non è profilabile senza un consenso che quasi nessuno raccoglie come si deve. E non lo sono nel senso più antico della parola: chi scrive a una macchina cordiale non alza la mano in piazza, parla a bassa voce in uno stanzino.

L'abbiamo installato tutti, quello stanzino, perché costava poco e rispondeva di notte. Varrebbe la pena ricordarsi che cosa ci portano dentro le persone, prima di decidere che è un elenco.

Il resto è molto marketing. Per nulla.