TikTok e Apple finiscono nel mirino della Corea del Sud

Le multe da 7 milioni di dollari a TikTok e 250 milioni di won ad Apple per il consenso forzato

TikTok ti lascia scegliere: o accetti la pubblicità personalizzata, o non usi il servizio. Dietro questa falsa alternativa, sanzionata ieri dalla Personal Information Protection Commission (PIPC) coreana, si nasconde il cuore dello scontro globale sul consenso nell’ad-tech. Le sanzioni da circa 10,3 miliardi di KRW per TikTok e circa 250 milioni di KRW per Apple, annunciate il 22 luglio, non sono solo due nuove voci nel bilancio sanzionatorio coreano, ma la fotografia di un meccanismo che trasforma il consenso in una trappola procedurale per alimentare la raccolta di dati di terza parte.

Il consenso come trappola

La notizia delle multe nasconde un dettaglio tecnico che fa la differenza. TikTok, con i suoi 9,45 milioni di utenti attivi in Corea del Sud rilevati a dicembre 2025, non si è limitata a chiedere un consenso generico: ha accorpato il permesso per la pubblicità personalizzata con quello indispensabile per accedere all’app. Secondo un funzionario della PIPC citato dal Korea Joongang Daily, il consenso per la pubblicità personalizzata è stato raggruppato con quello necessario per utilizzare il servizio, costringendo di fatto gli utenti ad acconsentire alla raccolta di dati comportamentali da servizi di terze parti. Tradotto in logica ad-tech: la piattaforma ha usato il muro del consenso come gate per monetizzare l’inventario pubblicitario con segmenti comportamentali di terza parte, senza una base legale autonoma per il trattamento.

Il meccanismo è noto a chi opera nella supply chain programmatica: si prende un obbligo normativo — il consenso esplicito per il targeting — e lo si incorpora in un flusso obbligatorio che l’utente non può rifiutare senza rinunciare al servizio. L’alternativa binaria «accetta o esci» trasforma quello che dovrebbe essere un diritto esercitabile in una condizione contrattuale. Il risultato è che i dati comportamentali raccolti da fonti esterne — app di terze parti, pixel di tracciamento, SDK integrati — confluiscono in modelli di segmentazione pubblicitaria senza che l’utente abbia mai esercitato una scelta reale. Il vantaggio competitivo per la piattaforma è un flusso costante di dati di terza parte per alimentare il targeting, senza attriti significativi nella base utenti. Il costo viene scaricato interamente sull’utente, che cede dati senza averne piena contezza.

Apple, dal canto suo, incarna un’altra variante dello stesso schema. Fino ad agosto 2019, l’azienda ha raccolto registrazioni vocali e trascrizioni degli utenti di Siri senza ottenere un consenso separato, utilizzandole per migliorare il riconoscimento vocale e i risultati di ricerca. Un trattamento di dati potenzialmente sensibili — la voce è un dato biometrico — giustificato dall’obiettivo di miglioramento del prodotto, ma senza la base giuridica richiesta dalla normativa coreana. Anche qui, il confine tra funzionalità del servizio e raccolta dati si assottiglia fino a scomparire. L’ironia è che proprio i meccanismi pensati per proteggere l’utente — le informative, i banner, i toggle di consenso — diventano gli strumenti attraverso cui il consenso viene aggirato. Ma se questo è il modus operandi consolidato, chi paga davvero il conto?

Il prezzo della privacy

Se il meccanismo del consenso è una trappola per l’utente, le sanzioni sembrano un costo operativo per le piattaforme. I 10,3 miliardi di KRW comminati a TikTok equivalgono a circa 7 milioni di dollari: una cifra da confrontare con il valore generato da 9,45 milioni di utenti profilabili. A novembre 2024, Meta aveva già ricevuto una sanzione da 21,6232 miliardi di KRW per la raccolta di dati sensibili senza adeguata base giuridica. E ancora prima, nel settembre 2022, Google e Meta erano state colpite da multe rispettivamente di 69,2 miliardi e 30,8 miliardi di KRW — all’epoca la più grande sanzione in Corea del Sud per violazione delle leggi sulla protezione dei dati personali, nonché la prima sanzione specificamente legata alla raccolta di informazioni comportamentali su piattaforme pubblicitarie personalizzate. Lo scorso 22 gennaio 2025, il tribunale amministrativo di Seul ha confermato le sanzioni della PIPC contro Google e Meta, consolidando un precedente rilevante.

L’asimmetria è strutturale. Le multe, anche quando raggiungono decine di miliardi di KRW, restano frazioni minime rispetto ai ricavi generati dall’advertising comportamentale su scala globale. Il costo della non conformità viene internalizzato come rischio operativo, mentre il beneficio della raccolta dati — profilazione, targeting, attribuzione cross-device — rimane intatto. Eppure, la progressione delle sanzioni coreane suggerisce un inasprimento graduale: dai 100 miliardi cumulativi del 2022 alle sanzioni del 2024 e 2026, la PIPC sta costruendo una giurisprudenza amministrativa che rende sempre più difficile giustificare il consenso come semplice flag in un flusso di onboarding. Resta da chiedersi se anche sanzioni relativamente contenute possano innescare cambiamenti sistemici, o se il modello di business dell’ad-tech abbia già metabolizzato il rischio sanzionatorio.

Cosa cambia davvero?

Oltre i numeri, resta il nodo centrale: la volontà politica di imporre un consenso reale e granulare, che separi nettamente la fornitura del servizio dalla raccolta dati per finalità pubblicitarie. La PIPC ha dichiarato, tramite i media coreani, che continuerà a ispezionare le pratiche di trattamento dei dati personali da parte di aziende estere, senza discriminazioni tra operatori domestici e internazionali. È un segnale rivolto all’intera supply chain programmatica: DSP, SSP, data broker e piattaforme che operano sul mercato coreano con dati raccolti senza adeguata base di consenso potrebbero essere i prossimi. Ma la domanda che resta senza risposta è se le prossime ispezioni riusciranno a scardinare il meccanismo del «consenso a pacchetto» o se si limiteranno a colpire le infrazioni più evidenti. La risposta arriverà solo con le prossime indagini, ma il modello di business dell’ad-tech non si ferma ad aspettare.

Finché il consenso resterà una finzione architettata per soddisfare un requisito formale anziché una scelta informata dell’utente, ogni multa sarà solo un rumore di fondo nel flusso dei dati.