La semplificazione del segnale privacy nasconde un vuoto di controllo

I campi fissati a zero nelle sezioni statali rendono difficile verificare l’uso dei dati dopo la trasmissione del segnale

Il paradosso del segnale semplificato

L’aggiornamento del GPP, aperto a commenti pubblici fino all’11 settembre 2026, interviene sulla sezione nazionale statunitense MSPA (ID 7) riducendone il nucleo a soli quattro campi: MspaVersion, MspaNotice, MspaOptOut e MspaId. In parallelo, tutte le sezioni statali (ID 8-27) fissano a zero i campi legati all’MSPA: MspaVersion sempre 0, MspaCoveredTransaction sempre 2 (not covered), MspaMode, MspaOptOutOptionMode e MspaServiceProviderMode tutti ancorati a 0.

Sulla carta, è efficienza. La versione rivista del Multi-State Privacy Agreement, già da marzo 2026, include aggiornamenti pensati per gli advertiser pensati per semplificare la conformità e accelerare l’adozione nell’ecosistema. Ma è proprio qui che il caso Healthline getta un’ombra lunga. L’ente californiano ha contestato a Healthline di non aver imposto limiti all’uso downstream dei dati personali. In un ecosistema dove i segnali obbligatoriamente a zero – come quelli appena definiti per le sezioni statali – dicono “non applicabile” a prescindere, la domanda è: dove risiede, allora, l’informazione che impedisca a un partner a valle di fare un uso non consentito di quei dati? La semplificazione dei campi MSPA è davvero un progresso per chi deve misurare la conformità?

L’ironia della semplificazione

A guardare i dettagli tecnici, l’aggiornamento del GPP sembra risolvere molti problemi. Aggiunge la specifica della lista firmatari MSPA – un file json per identificare gli ID di altri firmatari e Certified Partner – e completa il percorso iniziato con il rebranding della sezione nazionale nel 2024, quando la copertura fu estesa a 14 stati aggiuntivi. Già da gennaio 2024, IAB aveva deprecato la US Privacy String in favore del GPP, e la nuova architettura a stringa, introdotta con le sezioni di Maryland, Indiana, Kentucky e Rhode Island (efficaci tra ottobre 2025 e gennaio 2026), prometteva massima flessibilità.

Ma è qui che l’ironia colpisce. La struttura riprogettata a sezioni e sottosezioni rende più fluida la trasmissione del consenso, ma al tempo stesso opacizza la verifica a valle. Quando i campi di una sezione statale sono programmaticamente a zero – un “non applicabile” scolpito nel codice – diventa arduo, per un ad tech marker o un inserzionista, distinguere se quel segnale riflette una reale limitazione contrattuale o un semplice valore predefinito. La lista firmatari serve a sapere chi è parte dell’accordo, non a misurare se gli impegni presi sono rispettati dopo che il dato ha lasciato il segnale. Il caso Healthline è lì a ricordarlo: la conformità non si ferma al bit trasmesso, ma si misura nella capacità di imporre e verificare restrizioni lungo l’intera catena. E mentre IAB spinge per l’adozione, restano domande su come verificare che i segnali semplificati vengano rispettati a valle, in un ecosistema sempre più frammentato.

Cosa non misuriamo ancora

Proprio mentre gli stati aggiungono nuove sezioni – dal Maryland a Rhode Island, passando per Indiana e Kentucky – la semplificazione rischia di nascondere le lacune nella misurazione. L’aggiornamento attuale impone valori fissi nelle sezioni statali, ma non porta con sé una metrica per tracciare se un opt-out dichiarato con un singolo campo (MspaOptOut) produca effetti reali sui partner a valle. I commenti pubblici sono aperti fino all’11 settembre: è il momento di chiedere qualcosa di più che una stringa più snella.

La semplificazione tecnica non basta se non sappiamo misurare se la privacy è davvero rispettata. Forse è arrivato il momento di chiedere metriche migliori.