C’è qualcosa di singolare nell’economia digitale contemporanea. Un’azienda raccoglie informazioni su una persona, un’altra le aggrega, una terza le acquista per finalità commerciali e una quarta chiede alla stessa persona un abbonamento per tentare di cancellarle.
È nato così un mercato che fino a pochi anni fa sarebbe stato difficile persino immaginare: quello della rimozione professionale dei dati personali. Servizi specializzati individuano i data broker che conservano informazioni sui propri clienti, inviano richieste di cancellazione, controllano le risposte e ripetono periodicamente l’operazione quando i dati tornano a comparire.
Non vendono anonimato e non possono cancellare una persona da Internet. Vendono qualcosa di più concreto: tempo, automazione e capacità di esercitare su larga scala diritti che individualmente diventano difficili da gestire.
Ed è proprio questo il punto che distingue il fenomeno dal tradizionale dibattito sul diritto all’oblio. Il problema non è più soltanto stabilire quando un dato debba essere cancellato. È capire come sia nato un sistema economico nel quale la complessità dell’ecosistema dei dati è diventata, essa stessa, un prodotto da monetizzare.
DIETRO UN NOME E UN’EMAIL ESISTE UN’ECONOMIA CHE IL CONSUMATORE VEDE RARAMENTE
Quando si parla di economia dei dati, l’attenzione tende a concentrarsi sulle grandi piattaforme tecnologiche. Ma tra l’utente e l’inserzionista esiste una filiera molto più frammentata.
I data broker raccolgono, organizzano, combinano e commercializzano informazioni provenienti da fonti differenti. Non esiste un unico modello: alcuni operano nel marketing, altri nel settore del rischio, della verifica dell’identità, della ricerca di persone o della profilazione commerciale. Il dato può provenire da registri pubblici, applicazioni, siti web, transazioni, fornitori commerciali o altri intermediari.
Nel marzo 2026 l’European Data Protection Board ha dedicato a questo ecosistema un intero Data Brokers Market Study, realizzato nell’ambito del Support Pool of Experts su richiesta dell’autorità belga per la protezione dei dati. Lo studio propone una metodologia per identificare questi operatori, analizzarne i modelli di business e valutarne i rischi, mostrando quanto il mercato europeo sia più articolato della semplice compravendita di database.
La particolarità del sistema è che il consumatore può non conoscere affatto le società che possiedono informazioni sul suo conto.
È una differenza fondamentale rispetto al rapporto con un social network, una banca o un e-commerce. In quei casi sappiamo almeno a chi abbiamo consegnato i dati. Nel mercato dei broker, invece, le informazioni possono attraversare più soggetti e venire combinate con altre fonti senza che l’interessato abbia una percezione chiara della catena.
Il valore economico nasce proprio dalla combinazione. Un indirizzo, un numero di telefono o un’email isolati possono avere utilità limitata; associati ad altre informazioni possono contribuire alla costruzione di profili utilizzabili per pubblicità, analisi, ricerca di persone, valutazione del rischio o altre attività commerciali.
Il risultato è un mercato nel quale conoscere chi possiede cosa può diventare quasi altrettanto difficile quanto ottenere la successiva cancellazione.
LA PRIVACY È DIVENTATA UN SERVIZIO IN ABBONAMENTO
È su questa inefficienza che si è sviluppata una nuova categoria di imprese.
Incogni, per esempio, dichiara di poter gestire richieste verso oltre 420 data broker. Il cliente crea un profilo, fornisce alcuni dati necessari a identificarlo nei database e autorizza il servizio ad agire per suo conto. Da quel momento il processo di invio delle richieste viene automatizzato.
Il modello commerciale è interessante proprio perché il servizio non crea un nuovo diritto. Industrializza l’esercizio di diritti e procedure già disponibili all’individuo.
Una persona potrebbe teoricamente svolgere autonomamente buona parte del lavoro: individuare il broker, trovare il modulo corretto, verificare la normativa applicabile, inviare la richiesta, attendere la risposta e contestare eventuali problemi. Quando però gli operatori diventano decine o centinaia, il costo non è necessariamente monetario: diventa un costo di tempo.
L’automazione trasforma questo costo in un abbonamento.
C’è poi una seconda caratteristica che rende il business particolarmente interessante: la cancellazione può non essere un evento definitivo. I broker continuano ad acquisire e aggiornare informazioni e un dato precedentemente rimosso può essere nuovamente raccolto attraverso altre fonti. Incogni stessa descrive il processo come continuativo e prevede monitoraggio e nuovi interventi mentre l’abbonamento rimane attivo.
Il prodotto venduto, quindi, non è semplicemente delete. È delete, monitor, repeat.
Ed è qui che il mercato della privacy assume una struttura quasi paradossale: la continua circolazione delle informazioni crea contemporaneamente la domanda per servizi che promettono di ridurne la circolazione.
IL CASO AMERICANO MOSTRA QUANTO POSSONO VALERE INFORMAZIONI CHE SEMBRANO BANALI
Per comprendere perché questo settore stia attirando attenzione regolatoria bisogna osservare che cosa può accadere quando database differenti vengono combinati.
Uno dei casi più significativi è quello che ha coinvolto Gravy Analytics e la controllata Venntel. Secondo la Federal Trade Commission statunitense, le società avevano ottenuto e utilizzato grandi quantità di dati di localizzazione provenienti da dispositivi mobili. La FTC ha contestato pratiche relative alla vendita di informazioni capaci di collegare consumatori a luoghi particolarmente sensibili, comprese strutture sanitarie e luoghi di culto.
Le dimensioni descritte nell’azione regolatoria rendono evidente la scala industriale del fenomeno: secondo la denuncia della FTC, Gravy sosteneva di raccogliere, processare e organizzare più di 17 miliardi di segnali provenienti da circa un miliardo di dispositivi mobili ogni giorno.
Un’altra azione della Commissione ha riguardato Mobilewalla. Nel gennaio 2025 la FTC ha finalizzato un ordine che vieta alla società la vendita di dati sensibili di localizzazione, dopo aver contestato la commercializzazione di informazioni relative anche alle visite degli utenti presso strutture sanitarie e luoghi di culto.
Questi casi mostrano una caratteristica essenziale del data brokerage: il rischio non dipende esclusivamente dal singolo dato raccolto, ma da ciò che può essere dedotto attraverso la sua elaborazione.
Sapere dove si trova uno smartphone in un determinato momento può sembrare un'informazione tecnica. Osservarne gli spostamenti ripetuti permette invece di inferire abitudini e frequentazioni. A quel punto il dato di localizzazione non racconta più soltanto dove si trova un dispositivo: può iniziare a raccontare qualcosa della persona che lo porta con sé.
È anche per questo che la possibilità di ridurre la propria presenza nei database commerciali sta acquistando valore economico.
IL PARADOSSO EUROPEO: IL DIRITTO È FORTE, MA ESERCITARLO SU SCALA È UN ALTRO PROBLEMA
In Europa il fenomeno assume una forma particolare perché incontra uno degli ordinamenti più avanzati al mondo in materia di protezione dei dati.
Il GDPR riconosce all’interessato un articolato insieme di diritti nei confronti dei titolari del trattamento. L’articolo 17 disciplina il diritto alla cancellazione quando ricorrono le condizioni previste dalla norma; gli articoli 12 e seguenti costruiscono invece l’architettura attraverso la quale l’interessato deve poter esercitare i propri diritti.
Questo significa che il servizio commerciale non “compra” dall’azienda il diritto di eliminare un dato. Utilizza, automatizza e gestisce strumenti giuridici già riconosciuti all’interessato.
Ed è proprio qui che emerge una questione di governance più interessante della semplice cancellazione.
Il diritto europeo è stato costruito principalmente attorno alla relazione tra interessato e titolare del trattamento. Ma quando le informazioni di una persona sono distribuite attraverso un numero molto elevato di soggetti, esercitare lo stesso diritto separatamente nei confronti di ciascuno può diventare oneroso.
La protezione è formalmente gratuita. La gestione della complessità, invece, può avere un prezzo.
Il successo commerciale dei servizi di rimozione può quindi essere letto anche come un segnale indirizzato ai regolatori: la qualità di un diritto digitale non dipende soltanto dalla sua formulazione normativa, ma dalla facilità con cui può essere esercitato nell'ecosistema tecnologico reale.
LA CALIFORNIA PROVA A TOGLIERE IL BUSINESS DALL’EQUAZIONE
La risposta più interessante sta arrivando dalla California.
Con il Delete Act, lo Stato ha costruito una soluzione che affronta il problema non chiedendo al cittadino di diventare più esperto, ma cercando di modificare l’infrastruttura.
La California Privacy Protection Agency ha sviluppato DROP – Delete Request and Opt-Out Platform, un sistema centralizzato attraverso il quale il consumatore può presentare una richiesta verificabile destinata ai data broker interessati.
Dal 1° agosto 2026, i broker soggetti alla disciplina devono accedere al meccanismo almeno una volta ogni 45 giorni e processare le richieste ricevute, salvo le eccezioni previste dalla legge. La piattaforma consente quindi al consumatore di utilizzare un unico meccanismo invece di replicare individualmente la procedura nei confronti di ogni operatore.
È una scelta regolatoria molto più importante di quanto possa apparire.
Il modello commerciale dice: esistono centinaia di aziende, pagaci e le contatteremo per te.
Il modello californiano prova invece a dire: esistono centinaia di aziende, quindi costruiamo un’infrastruttura attraverso cui sia il sistema a raggiungerle.
Non viene eliminato il mercato dei servizi privacy, che può continuare a offrire monitoraggio e funzioni ulteriori. Ma viene ridotta una delle principali fonti del suo valore: la necessità di replicare la stessa operazione decine o centinaia di volte.
La differenza è quella che separa la privacy come servizio dalla privacy come infrastruttura.
IL PROBLEMA NON È INC0GNI: È IL MERCATO CHE HA RESO UTILE INC0GNI
Sarebbe facile interpretare la crescita dei servizi di cancellazione come l’ennesima commercializzazione di un diritto fondamentale. Sarebbe anche una lettura incompleta.
Queste società rispondono a un bisogno reale. Automatizzare centinaia di richieste può essere estremamente utile per professionisti esposti pubblicamente, dirigenti, giornalisti o semplicemente cittadini che non vogliono dedicare ore alla ricerca di database e procedure di opt-out.
Il problema nasce a monte.
Se esiste una domanda abbastanza grande da sostenere economicamente aziende specializzate nel chiedere ad altre aziende di smettere di trattare determinate informazioni, significa che l’ecosistema ha prodotto un livello di complessità che il singolo consumatore fatica a governare.
E questa complessità genera una nuova disuguaglianza.
Chi paga può delegare ricerca, richieste, solleciti e monitoraggio. Chi non paga conserva gli stessi diritti, ma deve esercitarli personalmente. Il diritto rimane uguale; il costo pratico per renderlo efficace no.
Per l’Unione europea è una questione particolarmente delicata. Se la protezione dei dati personali è considerata un diritto fondamentale, l’effettività della tutela non dovrebbe dipendere dalla capacità economica dell’interessato di acquistare strumenti che ne semplifichino l’esercizio.
IL PROSSIMO MERCATO SARÀ QUELLO DEGLI AGENTI DELLA PRIVACY
La traiettoria tecnologica rende il fenomeno ancora più interessante.
L’automazione utilizzata oggi dai servizi di data removal anticipa un modello nel quale software e agenti AI potrebbero gestire permanentemente parte dei diritti digitali dell’individuo: individuare nuovi trattamenti, leggere privacy policy, identificare titolari, presentare richieste, controllare scadenze e segnalare anomalie.
Non è necessario immaginare scenari futuristici. Gli elementi fondamentali esistono già: sistemi di identità digitale, API, strumenti di automazione, privacy dashboard e servizi che operano per delega dell’utente.
Il vero problema sarà stabilire chi controlla l’agente che controlla i nostri dati.
Per funzionare efficacemente, un intermediario della privacy deve infatti conoscere informazioni sufficienti a identificare il proprio cliente nei database che vuole interrogare. Incogni, per esempio, richiede nome, email e indirizzo e può utilizzare ulteriori informazioni per migliorare il matching.
Il servizio nato per ridurre la dispersione dei dati diventa quindi esso stesso custode di informazioni particolarmente utili.
Sicurezza, minimizzazione, responsabilità, autorizzazione e trasparenza degli intermediari diventeranno perciò centrali quanto la loro capacità di ottenere cancellazioni.
LA PRIVACY NON PUÒ DIPENDERE DA QUANTO TEMPO ABBIAMO A DISPOSIZIONE
Il mercato dei servizi di cancellazione racconta qualcosa di più grande della semplice crescita di una nuova categoria di software.
Mostra una delle contraddizioni fondamentali della regolazione digitale contemporanea: possiamo costruire diritti giuridicamente sofisticati e allo stesso tempo renderli difficili da utilizzare nella pratica.
Il GDPR ha trasformato profondamente il rapporto tra cittadini e organizzazioni. Il prossimo passaggio potrebbe essere trasformare anche l’infrastruttura attraverso cui quei diritti vengono esercitati.
La California sta sperimentando una strada: una richiesta, molti destinatari. Il mercato ne ha già sperimentata un’altra: un abbonamento, molti intermediari.
La differenza tra i due modelli sarà sempre più importante.
Perché quando occorrono competenze, ore di lavoro o un pagamento mensile per esercitare sistematicamente un diritto, il problema non è più soltanto quanto sia forte quella tutela sulla carta. È capire quanto costa, nella vita reale, essere davvero padroni dei propri dati.
A cura degli studenti sotto la Facoltà di Giurisprudenza e Ingegneria Informatica
NOTE E RIFERIMENTI
· European Data Protection Board – Data Brokers Market Study, 4 marzo 2026
https://www.edpb.europa.eu/documents/support-pool-of-experts/data-brokers-market-study_en
· Regolamento (UE) 2016/679 – GDPR, artt. 12-23
https://eur-lex.europa.eu/eli/reg/2016/679/oj
· California Privacy Protection Agency – Delete Request and Opt-Out Platform (DROP)
https://privacy.ca.gov/data-brokers/
· California Privacy Protection Agency – Information for Data Brokers
https://cppa.ca.gov/data_brokers/
· Federal Trade Commission – Gravy Analytics and Venntel, sensitive location data
https://www.ftc.gov/news-events/news/press-releases/2024/12/ftc-takes-action-against-gravy-analytics-venntel-unlawfully-selling-location-data-tracking-consumers
· Federal Trade Commission – Final Order, Gravy Analytics and Venntel
https://www.ftc.gov/legal-library/browse/cases-proceedings/212-3035-gravy-analytics-inc-matter
· Federal Trade Commission – Mobilewalla, sensitive location data
https://www.ftc.gov/legal-library/browse/cases-proceedings/202-3196-mobilewalla-inc-matter
· Incogni – Data Broker Removal Service e funzionamento del servizio
https://incogni.com/
· Incogni – Data removal da oltre 420 data broker
https://support.incogni.com/hc/en-us/articles/7448951243794-How-can-I-remove-my-data-from-data-brokers
· Incogni – Tempi e monitoraggio continuativo delle richieste di rimozione
https://support.incogni.com/hc/en-us/articles/4904617144466-How-long-does-it-take-to-remove-my-data-from-data-broker-databases
