Data broker e protezione dati: lo studio EDPB sul mercato

L’European Data Protection Board (EDPB), attraverso il proprio Support Pool of Experts, ha commissionato uno studio volto ad approfondire il funzionamento del mercato dei data broker e dei fornitori di dati personali con stabilimento principale in Belgio. L’indagine, realizzata su incarico dell’Autorità di protezione dei dati belga (BE SA), si propone di fornire una mappatura dei principali attori coinvolti nelle attività di intermediazione dei dati e di sviluppare una metodologia replicabile per la loro individuazione.

L’obiettivo principale del progetto è duplice. Da un lato, offrire all’autorità di controllo un quadro strategico dell’ecosistema dei soggetti che raccolgono, aggregano e commercializzano dati personali; dall’altro, elaborare strumenti metodologici che possano essere utilizzati anche da altre autorità europee per indagini analoghe nel contesto del mercato dei dati.

Uno degli elementi centrali dello studio riguarda la definizione operativa di “data broker”, elaborata al fine di distinguere tali soggetti da altri operatori che trattano dati personali. A partire da tale definizione sono stati individuati specifici criteri di selezione utili a identificare le imprese potenzialmente qualificabili come intermediari di dati. L’applicazione di tali criteri ha tuttavia evidenziato come solo un numero limitato di aziende soddisfi pienamente i requisiti individuati.

Per superare questo limite, lo studio introduce una tipologia articolata di operatori, che comprende otto categorie di fornitori e intermediari di dati. Tra queste figurano, ad esempio:

• i broker specializzati in dati personali
• le piattaforme di intelligenza artificiale che integrano dati personali
• i marketplace di dati
• i fornitori di dati aggregati con rischio di reidentificazione
• i cosiddetti data pool o clean room.

Particolare attenzione è dedicata anche alla metodologia di ricerca dei soggetti operanti nel settore. L’indagine ha inizialmente tentato di individuare le imprese attraverso i codici di classificazione economica (NACEBEL), rivelatisi tuttavia poco affidabili, poiché auto-dichiarati dalle aziende e non sempre rappresentativi delle attività effettivamente svolte. Più efficace si è dimostrato invece un approccio basato sull’analisi di parole chiave e su ricerche online mirate.

Lo studio si articola dunque in tre parti principali:

• la descrizione della metodologia adottata e delle definizioni operative utilizzate;
• la presentazione della tipologia dei data broker e dei relativi modelli di business;
• l’analisi dei principali operatori individuati e dei potenziali rischi per la protezione dei dati personali.

Nel complesso, il rapporto offre un contributo significativo alla comprensione delle dinamiche del mercato dei dati personali, evidenziando le criticità connesse alla trasparenza delle filiere di trattamento e ai possibili impatti sulla tutela degli interessati nel quadro del GDPR.