Sanzioni o Spiccioli? Perché miliardi di euro in multe non fermano la sorveglianza digitale

L'Aritmetica dell'Impunità

Se parcheggiare in divieto di sosta costasse dieci centesimi e vi permettesse di guadagnare mille euro ogni volta che lo fate, smettereste di parcheggiare lì? La risposta è ovvia, ed è la stessa logica che governa i consigli di amministrazione della Silicon Valley. Analizzando i dati consolidati fino al primo trimestre del 2026, il totale delle sanzioni inflitte alle Big Tech per violazioni della privacy e pratiche anticoncorrenziali sfiora i 7,8 miliardi di dollari nell'ultimo ciclo annuale rilevante.

Il numero assoluto è impressionante, ma diventa irrisorio se rapportato al Free Cash Flow (flusso di cassa disponibile). Prendiamo Alphabet (Google): con una multa che supera i 4 miliardi, l'azienda impiega circa tre settimane di operatività per coprire la sanzione. Per Meta, la sanzione record da 1,2 miliardi di euro inflitta nel 2023 per il trasferimento dati verso gli USA equivale a poco più di due giorni di generazione di cassa. Non stiamo parlando di punizioni, ma di fee operative. È il prezzo del biglietto per continuare a estrarre dati. Finché il ROI (ritorno sull'investimento) della violazione supera il costo della sanzione, il modello non cambierà.

Il Modello è la Violazione

Il vero nodo non è l'importo della multa, ma la natura del reato. Le sanzioni colpiscono quasi sempre l'architettura fondamentale del capitalismo di sorveglianza: il tracciamento senza consenso granulare, l'uso dei dati per l'addestramento dell'AI (come evidenziato dalle recenti tensioni del 2025), o la profilazione occulta. Chiedere a queste piattaforme di smettere di violare la privacy è come chiedere a una raffineria di smettere di processare petrolio.

Amazon, ad esempio, ha combattuto per anni contro la sanzione da 746 milioni di euro del Lussemburgo (confermata solo dopo lunghi appelli nel 2025), non tanto per i soldi, quanto per non dover ammettere che il suo sistema di behavioral targeting fosse illecito alla radice. Se le piattaforme si adeguassero davvero al GDPR, dovrebbero smantellare il loro core business. Di conseguenza, preferiscono pagare avvocati e multe piuttosto che riprogettare l'algoritmo. La "privacy by design" è uno slogan per i convegni; la realtà è la "violation by default".

Il Collo di Bottiglia Irlandese e l'Attrito Legale

Un altro fattore cruciale è la geografia della regolamentazione. L'Irlanda, ospitando le sedi europee di gran parte dei giganti tech, agisce da collo di bottiglia. La Data Protection Commission (DPC) irlandese è stata spesso accusata di lentezza e di applicare sanzioni al ribasso, costretta poi dall'EDPB (il board europeo) a inasprirle. Questo crea un paradosso burocratico: le multe arrivano con anni di ritardo rispetto alla violazione.

Le aziende sfruttano questo tempo. L'attrito legale è una strategia. Ricorrono in appello, portano i casi alla Corte di Giustizia Europea, diluiscono il pagamento su esercizi finanziari futuri. Nel frattempo, i dati raccolti illegalmente nel 2020 sono già stati usati, monetizzati e trasformati in modelli predittivi nel 2026. Anche se la multa arriva, il vantaggio competitivo acquisito è ormai irreversibile. La giustizia analogica non riesce a correre alla velocità dell'innovazione digitale.

Conclusione: Oltre la Multa

La lezione di questi otto anni di GDPR è amara ma chiara. Le sanzioni pecuniarie, per quanto elevate, sono assorbite dal sistema. Se l'Europa vuole davvero proteggere i cittadini e non solo incassare assegni dalle Big Tech, deve cambiare strategia. Servono rimedi strutturali: divieti operativi, separazione dei dati tra servizi (come imposto dal DMA, ma ancora timidamente applicato) e, nei casi estremi, lo smembramento societario.

Finché ci limiteremo a chiedere un bonifico a chi possiede la stampante dei soldi, la nostra privacy rimarrà una merce di scambio. Le piattaforme continueranno a pagare per vedere le nostre carte, e noi continueremo a illuderci che quel banner dei cookie serva a qualcosa.

Transparency Note: Le analisi finanziarie citate si basano sui dati di bilancio pubblici (Form 10-K) di Alphabet, Meta e Amazon e sui report aggregati delle autorità garanti europee (EDPB, DPC, CNPD) aggiornati al Q1 2026.

Sanzioni o Spiccioli? Perché miliardi di euro in multe non fermano la sorveglianza digitale

L'Aritmetica dell'Impunità

Se parcheggiare in divieto di sosta costasse dieci centesimi e vi permettesse di guadagnare mille euro ogni volta che lo fate, smettereste di parcheggiare lì? La risposta è ovvia, ed è la stessa logica che governa i consigli di amministrazione della Silicon Valley. Analizzando i dati consolidati fino al primo trimestre del 2026, il totale delle sanzioni inflitte alle Big Tech per violazioni della privacy e pratiche anticoncorrenziali sfiora i 7,8 miliardi di dollari nell'ultimo ciclo annuale rilevante.

Il numero assoluto è impressionante, ma diventa irrisorio se rapportato al Free Cash Flow (flusso di cassa disponibile). Prendiamo Alphabet (Google): con una multa che supera i 4 miliardi, l'azienda impiega circa tre settimane di operatività per coprire la sanzione. Per Meta, la sanzione record da 1,2 miliardi di euro inflitta nel 2023 per il trasferimento dati verso gli USA equivale a poco più di due giorni di generazione di cassa. Non stiamo parlando di punizioni, ma di fee operative. È il prezzo del biglietto per continuare a estrarre dati. Finché il ROI (ritorno sull'investimento) della violazione supera il costo della sanzione, il modello non cambierà.

Il Modello è la Violazione

Il vero nodo non è l'importo della multa, ma la natura del reato. Le sanzioni colpiscono quasi sempre l'architettura fondamentale del capitalismo di sorveglianza: il tracciamento senza consenso granulare, l'uso dei dati per l'addestramento dell'AI (come evidenziato dalle recenti tensioni del 2025), o la profilazione occulta. Chiedere a queste piattaforme di smettere di violare la privacy è come chiedere a una raffineria di smettere di processare petrolio.

Amazon, ad esempio, ha combattuto per anni contro la sanzione da 746 milioni di euro del Lussemburgo (confermata solo dopo lunghi appelli nel 2025), non tanto per i soldi, quanto per non dover ammettere che il suo sistema di behavioral targeting fosse illecito alla radice. Se le piattaforme si adeguassero davvero al GDPR, dovrebbero smantellare il loro core business. Di conseguenza, preferiscono pagare avvocati e multe piuttosto che riprogettare l'algoritmo. La "privacy by design" è uno slogan per i convegni; la realtà è la "violation by default".

Il Collo di Bottiglia Irlandese e l'Attrito Legale

Un altro fattore cruciale è la geografia della regolamentazione. L'Irlanda, ospitando le sedi europee di gran parte dei giganti tech, agisce da collo di bottiglia. La Data Protection Commission (DPC) irlandese è stata spesso accusata di lentezza e di applicare sanzioni al ribasso, costretta poi dall'EDPB (il board europeo) a inasprirle. Questo crea un paradosso burocratico: le multe arrivano con anni di ritardo rispetto alla violazione.

Le aziende sfruttano questo tempo. L'attrito legale è una strategia. Ricorrono in appello, portano i casi alla Corte di Giustizia Europea, diluiscono il pagamento su esercizi finanziari futuri. Nel frattempo, i dati raccolti illegalmente nel 2020 sono già stati usati, monetizzati e trasformati in modelli predittivi nel 2026. Anche se la multa arriva, il vantaggio competitivo acquisito è ormai irreversibile. La giustizia analogica non riesce a correre alla velocità dell'innovazione digitale.

Conclusione: Oltre la Multa

La lezione di questi otto anni di GDPR è amara ma chiara. Le sanzioni pecuniarie, per quanto elevate, sono assorbite dal sistema. Se l'Europa vuole davvero proteggere i cittadini e non solo incassare assegni dalle Big Tech, deve cambiare strategia. Servono rimedi strutturali: divieti operativi, separazione dei dati tra servizi (come imposto dal DMA, ma ancora timidamente applicato) e, nei casi estremi, lo smembramento societario.

Finché ci limiteremo a chiedere un bonifico a chi possiede la stampante dei soldi, la nostra privacy rimarrà una merce di scambio. Le piattaforme continueranno a pagare per vedere le nostre carte, e noi continueremo a illuderci che quel banner dei cookie serva a qualcosa.