Pochi millisecondi dopo l'apertura di un sito satirico spagnolo, i dati di navigazione di un utente sono stati trasmessi a un indirizzo registrato a Gazprom, il colosso energetico statale russo. Lo ha documentato un'inchiesta di Follow the Money pubblicata il 31 ottobre, che ha seguito per mesi il percorso dei dati raccolti attraverso le aste pubblicitarie automatizzate. La vicenda riguarda tutti i cittadini europei: mostra come il sistema che decide quale annuncio vediamo possa diventare un canale di raccolta di informazioni personali verso Paesi terzi, nello stesso momento in cui l'UE discute di semplificare le proprie regole sulla privacy.
Cosa ha scoperto Follow the Money
La testata investigativa olandese, nell'ambito della serie The Russia Files firmata da Victor Ilie, ha creato centinaia di profili utente artificiali a Madrid, Bruxelles, Mosca e Washington, ciascuno collegato a una normale rete Wi-Fi domestica, e li ha fatti navigare come farebbe chiunque: notizie, sport, meteo, oroscopi, siti di film pirata. Poi ha osservato dove finivano i dati.
Secondo l'inchiesta, l'intermediario chiave è Between Digital, una società pubblicitaria con sede a Mosca che in Russia produce anche annunci per il partito di governo Russia Unita e contenuti vicini al Cremlino. Nei test di FTM, Between Digital risultava attiva in 11 Paesi e raccoglieva dati da 111 siti web, installando cookie che seguivano gli utenti per un anno intero senza che questi ne fossero informati. Solo nel caso spagnolo, precisa la testata, il test ha registrato un flusso diretto di dati verso il dominio adhigh.net, riconducibile a GPM Digital Technologies, la divisione digitale del gruppo Gazprom.
FTM ha confrontato le proprie osservazioni con altre banche dati. In quella mantenuta dalla piattaforma di ricerca Intelx risulterebbero circa 17.000 tracce di tracciamento di utenti da parte di Gazprom tramite Between Digital dal 2016: un dato che proviene da questa fonte esterna e non dal test della redazione. La testata cita anche un rapporto di KrebsOnSecurity dell'estate scorsa, secondo cui Between Digital raccoglieva dati sui visitatori di alcune pubblicazioni militari statunitensi e del network sportivo ESPN.
Perché le aste pubblicitarie contano
Il meccanismo al centro della storia è il cosiddetto real-time bidding: ogni volta che si apre una pagina con spazi pubblicitari, le informazioni sull'utente vengono offerte in un'asta automatica a cui partecipano decine di intermediari. Anche chi non vince l'asta può ricevere i dati. FTM ricorda che il principale attore del settore è Google, con i suoi servizi Ad Manager e AdX, e riporta le critiche di esperti come Johnny Ryan (Irish Council for Civil Liberties) e il ricercatore Wolfie Christl, secondo cui questo modello rende di fatto impossibile controllare chi riceve cosa. L'inchiesta collega inoltre questo tipo di profilazione, in particolare quella su dati sanitari, a casi di ricatto ai danni di cittadini ucraini segnalati negli ultimi anni.
Le risposte delle aziende
Secondo FTM, né Google né Gazprom hanno risposto alle richieste di commento. L'articolo non riporta una replica di Between Digital.
Il contesto europeo: cosa dicono le regole
Il Regolamento generale sulla protezione dei dati (GDPR) richiede una base giuridica per ogni trattamento di dati personali e, per la pubblicità basata sui cookie, il consenso informato dell'utente previsto dalla direttiva ePrivacy. Il trasferimento di dati verso Paesi terzi è inoltre regolato dal capo V del GDPR: la Russia non dispone di una decisione di adeguatezza della Commissione europea, quindi un trasferimento lecito richiederebbe garanzie specifiche. Se i fatti descritti da FTM fossero confermati, sarebbero dunque le autorità nazionali per la protezione dei dati a dover valutare la conformità di editori e intermediari coinvolti.
Il precedente più vicino arriva dalla Francia. La CNIL ha sanzionato Google per 150 milioni di euro all'inizio del 2022 e poi, a settembre 2025, per 325 milioni di euro, in particolare per il mancato rispetto delle regole sui cookie e per la pubblicità inserita nelle caselle Gmail senza consenso. Secondo FTM, nei suoi test anche Between Digital non chiedeva esplicitamente il consenso agli utenti.
Il Digital Services Act (DSA) vieta alle piattaforme online di mostrare pubblicità basata sulla profilazione che utilizza categorie particolari di dati, come la salute o le opinioni politiche, e la profilazione pubblicitaria dei minori. Non ha però vietato in generale la pubblicità di sorveglianza, come chiedevano parte del Parlamento europeo e le organizzazioni per i diritti digitali: un'occasione mancata secondo Christl, citato dall'inchiesta.
La partita del Digital Omnibus
L'inchiesta esce in un momento delicato. Il 21 ottobre il Comitato dei rappresentanti permanenti ha approvato il mandato negoziale del Consiglio sul Digital Omnibus (procedura 2025/0360), il pacchetto proposto dalla Commissione per semplificare GDPR, regole sui cookie, Data Act e obblighi di notifica degli incidenti informatici. Nel testo del Consiglio il consenso resta la regola per l'accesso ai dati sul dispositivo dell'utente, con un elenco chiuso di eccezioni a basso rischio. I negoziati con il Parlamento europeo devono ancora cominciare, e la definizione di quelle eccezioni, compresa la misurazione della pubblicità contestuale, sarà uno dei punti più discussi.
Cosa può succedere adesso
Le strade sono tre. Le autorità per la protezione dei dati, a partire da quella spagnola, possono aprire verifiche sui flussi documentati da FTM e sugli editori che ospitavano il codice di Between Digital. La Commissione e gli Stati membri possono valutare se le attività di società legate al gruppo Gazprom nel mercato pubblicitario europeo siano compatibili con le misure restrittive in vigore verso la Russia. E il Parlamento europeo, nel negoziato sul Digital Omnibus, può decidere se rafforzare o allentare i controlli su chi riceve i dati nelle aste pubblicitarie.
Il commento di PINET
Questa inchiesta sposta il dibattito sulla privacy dal terreno dei fastidiosi banner a quello della sicurezza. Se un'azienda di Stato russa può ricevere dati di navigazione di cittadini europei attraverso le normali aste pubblicitarie, il problema non riguarda un singolo intermediario ma l'architettura del mercato. Per l'Italia, dove molti editori dipendono dalla pubblicità programmatica, servirebbe che il Garante e gli stessi editori verificassero quali partner ricevono davvero i dati dei lettori. E nel negoziato sul Digital Omnibus il governo italiano dovrebbe tenere presente che semplificare le regole non può voler dire perdere il controllo su dove finiscono quelle informazioni.
Fonti: Follow the Money, Gazprom harvests Europeans' data through online ads (31 ottobre 2026); Consiglio dell'UE, mandato negoziale sul Digital Omnibus (doc. 14756/26); CNIL, sanzione a Google da 325 milioni di euro (settembre 2025); EUR-Lex, Regolamento (UE) 2016/679 (GDPR); EUR-Lex, Regolamento (UE) 2022/2065 (Digital Services Act).
