Privacy, consenso e potere algoritmico: evoluzione normativa dopo Cambridge Analytica

Abstract

La diffusione delle piattaforme digitali ha trasformato i dati personali in una risorsa centrale per la classificazione e la personalizzazione delle esperienze degli utenti. In questo contesto, la vicenda Cambridge Analytica rappresenta un caso significativo per comprendere le criticità della raccolta e del trattamento dei dati, della profilazione e del microtargeting, riportando al centro del dibattito la questione del consenso informato nell’ambiente digitale. La presente tesi analizza il rapporto tra privacy, consenso, profilazione e potere algoritmico delle piattaforme, prendendo Cambridge Analytica come punto di partenza per esaminare la risposta normativa europea. L’analisi si concentra sulle modalità attraverso cui i dati vengono utilizzati per costruire profili individuali e personalizzare i contenuti, con particolare attenzione alla differenza tra autorizzazione tecnica all’accesso ai dati e consenso realmente informato rispetto alle finalità del trattamento. Viene esaminato il ruolo del Regolamento generale sulla protezione dei dati (GDPR) e il discorso si estende al funzionamento algoritmico delle piattaforme. Infine, vengono analizzati gli strumenti sviluppati dall’Unione europea oltre il GDPR, come il Digital Services Act (DSA), al Digital Markets Act (DMA) e all’Artificial Intelligence Act (AI Act), nonché alla trasparenza algoritmica e alla responsabilità delle piattaforme, concludendo con alcuni interventi e provvedimenti riguardanti Meta. Nel complesso, l’elaborato mostra come la tutela dei dati personali sia strettamente connessa alle modalità con cui le piattaforme elaborano le informazioni degli utenti e regolano i contenuti. Il GDPR rimane fondamentale, ma la complessità dei sistemi digitali richiede ulteriori strumenti. Cambridge Analytica rappresenta così un punto di osservazione per comprendere l’evoluzione del rapporto tra dati personali, autonomia dell’individuo e potere delle piattaforme nel quadro della regolamentazione europea.

The spread of digital platforms has transformed personal data into a central resource for the classification and personalisation of users’ experiences. In this context, the Cambridge Analytica case represents a significant example for understanding the critical issues surrounding data collection and processing, profiling and microtargeting, bringing the issue of informed consent in the digital environment back to the centre of the debate.

This thesis analyses the relationship between privacy, consent, profiling and the algorithmic power of platforms, taking Cambridge Analytica as a starting point for examining the European regulatory response. The analysis focuses on the ways in which data are used to construct individual profiles and personalise content, with particular attention to the distinction between technical authorisation to access data and genuinely informed consent regarding the purposes of processing.

The role of the General Data Protection Regulation (GDPR) is examined, and the discussion is extended to the algorithmic functioning of digital platforms. Finally, the thesis analyses the regulatory instruments developed by the European Union beyond the GDPR, such as the Digital Services Act (DSA), the Digital Markets Act (DMA) and the Artificial Intelligence Act (AI Act), as well as algorithmic transparency and platform accountability, concluding with an examination of certain measures and enforcement actions concerning Meta.

Overall, the thesis shows how the protection of personal data is closely connected to the ways in which platforms process users’ information and regulate content. The GDPR remains fundamental, but the complexity of digital systems requires additional regulatory instruments. Cambridge Analytica therefore provides a useful point of reference for understanding the evolution of the relationship between personal data, individual autonomy and platform power within the framework of European regulation.