Meta Ads e dati sensibili: cosa cambia davvero per chi fa campagne in Europa

Da agosto 2023 Meta ha disabilitato in Europa le opzioni di targeting basate su dati sensibili. Non è una scelta commerciale: è l’effetto diretto dell’Art. 26 del Regolamento UE 2022/2065, che vieta alle piattaforme con oltre 45 milioni di utenti mensili nell’Unione di usare salute, orientamento sessuale, convinzioni religiose o politiche per selezionare il pubblico pubblicitario. Il problema è che molte aziende italiane stanno ancora girando campagne costruite con quella logica, convinte che il sistema le avrebbe fermate prima. Non funziona così.

Il divieto non riguarda solo Meta

L’Art. 26 del Regolamento UE 2022/2065 è entrato in applicazione il 17 febbraio 2023 per le piattaforme designate come “molto grandi”. Il testo è esplicito: vieta la pubblicità mirata basata sulle categorie di dati definite sensibili dall’Art. 9 del Regolamento UE 2016/679 (GDPR), che comprende salute, orientamento sessuale, origine etnica, convinzioni religiose, politiche o filosofiche, dati biometrici.

La responsabilità, però, non si ferma alla piattaforma. Chi configura la campagna è corresponsabile della scelta del targeting. Se uno studio medico imposta un pubblico basato su “interesse per la fertilità” o “dieta chetogenica”, il segnale che Meta usa per distribuire l’annuncio può rientrare nelle categorie vietate anche se nessuna singola opzione è esplicitamente etichettata come sensibile. Meta ha rimosso molte voci dall’interfaccia, ma la Commissione Europea ha documentato nel suo rapporto di monitoraggio del febbraio 2024 che alcune combinazioni di interessi continuano a produrre profili indirettamente sensibili, e che il sistema di controllo automatico della piattaforma non intercetta tutti i casi prima della pubblicazione.

Il risultato pratico: le campagne possono girare per giorni o settimane, poi essere bloccate in fase di revisione retroattiva. L’account viene sospeso, le campagne si fermano, il budget non speso non viene rimborsato.

I settori più esposti e un caso concreto

Non tutti i verticali portano lo stesso rischio. Le cliniche e gli studi medici sono i più esposti: interessi come “diabete”, “salute mentale”, “fertilità” sono stati progressivamente rimossi da Meta tra agosto e ottobre 2023, ma chi non ha aggiornato i gruppi di inserzioni creati prima di quella data può ancora avere segmenti attivi costruiti su quelle logiche.

Il caso più documentato in Italia riguarda il settore degli integratori alimentari. Secondo quanto riportato da Federsalus nel suo aggiornamento normativo di settembre 2023, diverse aziende associate avevano ricevuto notifiche di sospensione account dopo aver usato combinazioni di targeting che includevano condizioni metaboliche specifiche. Nessuna di queste aziende aveva ricevuto un avviso preventivo da Meta: la sospensione era arrivata dopo la revisione automatica, con campagne già in distribuzione.

Il turismo religioso e i viaggi identitari rientrano nella stessa categoria di rischio. Un operatore che targettizza per “pellegrinaggi” o “Pride travel” sta usando segnali riconducibili rispettivamente a convinzioni religiose e orientamento sessuale. La sostituzione più sicura è costruire pubblici su comportamenti di prenotazione verificati o su liste clienti proprie con consenso esplicito documentato.

Le zone grigie che il DSA non risolve

Il Regolamento UE 2022/2065 definisce categorie, non parole chiave. Questo lascia aperte situazioni operative che nessun documento ufficiale chiarisce in modo esaustivo.

La più rilevante riguarda il retargeting su visitatori di siti con contenuti sanitari. Se una clinica costruisce un pubblico personalizzato dai visitatori delle proprie pagine dedicate a patologie specifiche, quel pubblico eredita caratteristiche sanitarie indirettamente inferite. Meta non blocca automaticamente la creazione del pubblico, ma la distribuzione può essere segnalata in revisione. La soluzione è escludere gli URL sensibili dalla costruzione del pubblico di retargeting prima di pubblicare.

Analoga la questione dei pubblici simili costruiti su liste di pazienti o iscritti a newsletter mediche: il profilo sensibile della lista sorgente si trasferisce al pubblico derivato. Iubenda, che fornisce strumenti di compliance per oltre 100.000 siti italiani, ha aggiornato la propria documentazione sul consenso nel marzo 2024 precisando che il consenso generico alla newsletter non è sufficiente a coprire l’uso della lista per finalità di profilazione pubblicitaria su piattaforme terze. Serve un consenso specifico, documentato e verificabile.

Aziende strutturate: la catena di responsabilità che nessuno vuole chiarire

Per le realtà con ufficio marketing interno o con agenzie esterne delegate alla gestione delle campagne, il punto critico non è tecnico ma contrattuale. Meta sospende l’account dell’inserzionista, non quello dell’agenzia. Se l’agenzia imposta targeting vietato su un account aziendale, l’impresa subisce la sospensione operativa. La responsabilità contrattuale dell’agenzia verso il cliente è una questione separata, da definire per iscritto prima che il problema si presenti.

Le aziende con database strutturati e consenso marketing documentato hanno in realtà più strumenti di targeting sicuro rispetto a chi si affida agli interessi standard di Meta. Zucchetti, che gestisce sistemi gestionali per oltre 700.000 aziende italiane, ha integrato nella propria suite HR e CRM moduli di tracciamento del consenso che consentono di esportare liste contatti con flag di consenso verificabile per finalità di marketing. Questo tipo di lista, caricata come pubblico personalizzato su Meta, è più robusto e meno esposto a contestazioni rispetto a qualsiasi combinazione di interessi comportamentali.

Un’opinione scomoda sull’enforcement

Vale la pena dirlo chiaramente: l’enforcement del DSA sul targeting pubblicitario è stato finora asimmetrico. La Commissione Europea ha aperto procedimenti formali contro Meta nel marzo 2024 per presunte violazioni legate al sistema di raccomandazione dei contenuti, non specificamente sul targeting pubblicitario. Le sanzioni previste dall’Art. 74 arrivano fino al 6% del fatturato mondiale annuo, ma nessuna multa è stata ancora irrogata per violazioni dell’Art. 26.

Questo non significa che il rischio sia teorico per gli inserzionisti: la sospensione dell’account è una misura operativa che Meta applica autonomamente, indipendentemente dai procedimenti regolatori europei. Ma significa che chi si aspetta un sistema di controllo preventivo strutturato e uniforme su tutta la filiera pubblicitaria sta sopravvalutando lo stato attuale dell’applicazione. Il divieto esiste, le basi giuridiche sono solide, l’enforcement verso le piattaforme è ancora in costruzione. Gli inserzionisti nel frattempo pagano le conseguenze operative senza che ci sia una procedura di tutela chiara nei loro confronti.

Cosa fare adesso

Esporta il report di targeting dettagliato da Gestione inserzioni per ogni account attivo, confronta ogni segmento con le categorie dell’Art. 9 GDPR e documenta l’esito con data e nome del responsabile. Non è una revisione visiva: è un audit formale che serve anche a dimostrare, in caso di contestazione, che l’azienda ha esercitato la dovuta diligenza. Qualsiasi interesse riconducibile anche indirettamente a salute, religione, orientamento o appartenenza politica va rimosso e sostituito con targeting demografico neutro o con pubblici costruiti su liste proprie con consenso esplicito verificabile.

Fonti:

Regolamento UE 2022/2065 (Digital Services Act), Art. 26 e Art. 74: eur-lex.europa.eu, accesso maggio 2025
Regolamento UE 2016/679 (GDPR), Art. 9: eur-lex.europa.eu, accesso maggio 2025
Commissione Europea, rapporto di monitoraggio DSA, febbraio 2024: digital-strategy.ec.europa.eu, accesso maggio 2025
Iubenda, aggiornamento documentazione consenso per liste marketing, marzo 2024: iubenda.com