Lo YouTuber spagnolo Carles Tamayo ha toccato ancora un nervo scoperto, con il suo solito stile informale, divertente e pungente. Nell’episodio finale di Se nos ha ido de las manos (“Ci è sfuggito di mano”), docuserie presentata in anteprima sulla televisione pubblica spagnola nell’aprile 2026, analizza come le aziende comprano e vendono dati personali.

L’episodio, intitolato El activo eres tú (“L’asset sei tu”), mette sul tavolo una domanda scomoda: chi ha i nostri dati e cosa se ne sta facendo? E cosa siamo disposti a cedere in cambio della promessa di qualcosa di gratuito? Dopo aver ricevuto chiamate spam da aziende che sapevano troppo di lui, Tamayo ha trasformato la sua stessa casa di produzione in un data broker per vedere dall’interno come i dati personali vengono raccolti e scambiati.

Ecco come funziona il business dei data broker e quali diritti ti garantisce il GDPR (Regolamento generale sulla protezione dei dati).

Che cos’è un data broker e come guadagnano

Un data broker è un’azienda che raccoglie, analizza e vende informazioni su persone e organizzazioni. Ciò che rende queste informazioni preziose per gli acquirenti è la possibilità di combinarle e analizzarle. Abitudini, interessi, dati di posizione e altri segnali possono essere messi insieme, sempre più spesso con l’aiuto dell’IA, per ottenere qualcosa di utilizzabile. I data broker vendono la materia prima che rende possibile costruire un profilo di quasi chiunque.

Nel report di Tamayo, per esempio, un data broker gli offre informazioni su persone che hanno appena avuto un bambino. Quei neogenitori avevano fornito i propri dettagli in ospedale in cambio della partecipazione a un’estrazione di prodotti per neonati.

I data broker raccolgono di solito indirizzi email, indirizzi IP(nuova finestra), posizione approssimativa, acquisti online, ricerche su internet, interessi selezionati all’interno di un’app e i dispositivi che qualcuno utilizza.

Hai mai ricevuto una chiamata da una compagnia telefonica (o da qualsiasi altra azienda) e ti sei chiesto dove abbiano preso il tuo numero? È più semplice di quanto pensi. Cookie, app per dispositivi mobili e moduli online possono raccogliere le tue informazioni e passarle ai data broker. Lo stesso possono fare fonti offline, come carte fedeltà, estrazioni a sorte e registri pubblici.

Cosa sono i cookie e a cosa servono

Li hai visti su ogni sito web che visiti: un piccolo pop-up che ti chiede di accettare o rifiutare i cookie. Probabilmente lo leggi di fretta, accetti i cookie(nuova finestra) e prosegui, senza mai chiederti cosa siano davvero i cookie(nuova finestra) o a cosa hai appena acconsentito che le aziende facciano con i tuoi dati.

I cookie sono piccoli file che un sito web memorizza nel tuo browser per ricordare informazioni sulla tua visita. Quelli che interessano ai data broker sono i cookie pubblicitari, progettati per creare profili comportamentali e mostrare annunci personalizzati.

Ma oggi puoi essere tracciato con metodi che vanno ben oltre i cookie. Il browser fingerprinting, per esempio, crea una firma univoca dalle caratteristiche del tuo dispositivo, mentre il tracciamento cross-site segue la tua attività mentre passi da un sito web all’altro. Sul mobile, gli ID pubblicitari fanno qualcosa di simile, collegando il tuo comportamento a un identificatore persistente.

Rifiutare i cookie migliora la tua privacy, ma non la garantisce del tutto. E una volta che inizi a chiederti dove finiscono i tuoi dati, chi li detiene e come vengono usati, finisci inevitabilmente per domandarti se commerciare i tuoi dati sia davvero legale.

Come il GDPR ti protegge

Il GDPR è il regolamento dell’Unione europea che disciplina come organizzazioni e aziende raccolgono, utilizzano, condividono e conservano i dati personali di chiunque si trovi nell’UE. Si applica anche alle aziende con sede fuori dall’UE che si rivolgono alle persone che vi risiedono. In Spagna, il rispetto delle norme è vigilato dall’Agenzia spagnola per la protezione dei dati (AEPD), che gestisce anche i reclami quando un’azienda viola questi diritti.

Il GDPR stabilisce diversi diritti fondamentali:

Diritto di accesso: scopri quali dati personali un’azienda detiene su di te, per cosa li usa, con chi li ha condivisi e da dove li ha ottenuti. Puoi anche richiederne una copia.

Diritto di rettifica: fai correggere informazioni errate o non aggiornate.

Diritto alla cancellazione: noto come “diritto all’oblio”, ti consente di chiedere che i tuoi dati siano eliminati quando l’azienda non ne ha più bisogno, quando revochi il consenso o ti opponi al loro utilizzo, oppure quando sono stati trattati illecitamente.

Diritto di opposizione: rifiuta determinate tipologie di trattamento, come l’uso dei tuoi dati per la pubblicità. Per il marketing diretto questo diritto è assoluto: una volta che ti opponi, l’azienda deve cessare il trattamento.

Diritto alla portabilità dei dati: ricevi i dati personali che hai fornito a un’azienda in un formato strutturato, di uso comune e leggibile da dispositivo automatico, così da poterli trasferire a un altro fornitore di servizi. Questo vale quando l’azienda tratta i tuoi dati sulla base del tuo consenso o di un contratto, con mezzi automatizzati.

Il GDPR riconosce alle persone diritti azionabili, sostenuti da sanzioni, eppure molte persone non sanno di poter esercitare questi diritti gratuitamente. Un’azienda può applicare una commissione o rifiutare solo quando una richiesta è manifestamente infondata o eccessiva.

Come mostra il report di Tamayo, c’è un divario enorme tra le garanzie offerte dalla legge e ciò che una persona comune sa sulla protezione delle proprie informazioni personali. Questo divario rende più difficile per le persone usare gli strumenti legali a loro disposizione e riprendere il controllo dei propri dati.

Come usare i tuoi diritti GDPR contro i data broker

I diritti sopra funzionano solo se li usi. Nessuno di essi richiede un avvocato o un modulo speciale: basta un’email al referente privacy dell’azienda.

Chiedi da dove provengono i tuoi dati. Se un’azienda ti contatta e non le hai mai fornito i tuoi dettagli, chiedile qual è la sua fonte. In base al diritto di accesso, è tenuta a dirtelo, e quella risposta spesso porta dritto a un data broker.

Invia una richiesta di accesso. Chiedi all’azienda o al broker quali dati detiene su di te, per cosa li usa e con chi li ha condivisi, e richiedine una copia. La richiesta è gratuita e l’azienda deve rispondere entro un mese. Può prorogare il termine di altri due mesi per richieste complesse, ma deve informarti.

Opponiti e chiedi la cancellazione. Nella stessa email puoi opporti all’uso dei tuoi dati per attività di marketing e chiederne l’eliminazione. L’azienda deve inoltre comunicare la cancellazione a chiunque abbia condiviso i tuoi dati, a meno che ciò non sia impossibile o richieda uno sforzo sproporzionato.

Iscriviti alla Lista Robinson. In Spagna, le aziende che inviano marketing diretto devono consultare questa lista di opt-out per la pubblicità prima di contattarti. L’iscrizione è gratuita.

Presenta un reclamo all’AEPD. Se un’azienda ti ignora, rifiuta senza un valido motivo o non rispetta la scadenza, puoi presentare gratuitamente un reclamo all’Agenzia spagnola per la protezione dei dati.

Limita fin dall’inizio i dati che i data broker possono raccogliere

I tuoi diritti GDPR fanno pulizia di ciò che è già in circolazione. Poche semplici abitudini riducono la quantità di nuovi dati che raggiunge i data broker.

Controlla le autorizzazioni delle tue app e disattiva gli accessi di cui un’app non ha bisogno per funzionare, soprattutto quelle con accesso alla tua posizione, ai tuoi contatti o alle tue foto.

Rifiuta i cookie non essenziali. Sui siti web dell’UE, rifiutare dovrebbe essere facile quanto accettare, e blocca i cookie pubblicitari che alimentano i profili comportamentali.

Mantieni la sessione chiusa sui siti web e sui servizi quando stai solo navigando. Quando hai effettuato l’accesso a Google, YouTube, Amazon o a un sito di notizie, tutto ciò che cerchi, guardi, leggi o acquisti è collegato al tuo account. Navigare senza effettuare l’accesso dà alle aziende meno elementi da collegare a te.

Usa un browser attento alla privacy come Firefox o Brave, che bloccano molti tracker per impostazione predefinita. Puoi anche esplorare browser web alternativi europei incentrati sulla privacy.

Passa a Proton Mail, il nostro servizio email privato e sicuro che non può leggere le tue email e non scansiona la posta in arrivo alla ricerca di annunci, tracciamento o sorveglianza. Blocca anche i pixel di tracciamento, che i professionisti del marketing usano di solito per vedere quando apri un messaggio (oltre ad altri indicatori).

Usa una VPN(nuova finestra) per nascondere il tuo indirizzo IP a siti web, app e reti pubblicitarie, così non possono usarlo per stimare la tua posizione o collegare la tua attività tra siti web diversi. Proton VPN ha anche una funzionalità chiamata NetShield, che blocca annunci e tracker prima che vengano caricati. Ha una politica di non conservazione dei log verificata in modo indipendente(nuova finestra), quindi non tiene un registro di ciò che fai online.

Usa un gestore di password crittografato per creare password robuste e uniche, così che un account compromesso non esponga tutti gli altri. Proton Pass ti offre anche alias hide-my-email per newsletter, estrazioni a sorte e negozi online. Se uno inizia a ricevere spam, puoi vedere chi potrebbe averlo condiviso o fatto trapelare, e poi disattivare l’alias.

Come chiarisce il report di Tamayo, i data broker fanno parte di un modello di business costruito sui nostri dati. Ma il GDPR e gli strumenti che proteggono la nostra privacy ci offrono modi per riprendere il controllo. L’obiettivo non è sparire da internet, ma scegliere consapevolmente chi può accedere ai nostri dati e per quale motivo.