La Corte d’Appello d’Inghilterra e Galles dà ragione a un bookmaker in una storica decisione sul consenso
Questa settimana, la Corte d’Appello d’Inghilterra e Galles (Court of Appeal of England and Wales) ha annullato una decisione dell’Alta Corte (High Court) che aveva ritenuto Sky Betting & Gaming (SBG) responsabile per aver trattato i dati personali di un giocatore con una diagnosi di disturbo da gioco d’azzardo senza un consenso valido. In una decisione datata 21 aprile 2026, la corte ha stabilito che il consenso al trattamento dei dati e al marketing diretto deve essere valutato sulla base delle azioni osservabili dell’utente, e non sul suo stato psicologico al momento in cui il consenso è stato fornito. La sentenza rappresenta un importante precedente per il modo in cui il consenso viene valutato nell’intera industria del gioco online.
Gioco problematico, cookie e pubblicità mirata
Il ricorrente, indicato nei documenti giudiziari con lo pseudonimo RTM, è un giocatore con una diagnosi di disturbo da gioco d’azzardo. Ha avviato un’azione legale contro SBG, uno dei maggiori operatori di gioco del Regno Unito, sostenendo che la società aveva trattato i suoi dati personali in modo illecito.
RTM ha affermato che SBG aveva installato cookie sui suoi dispositivi, raccolto dati personali e inviato pubblicità di gioco personalizzata e mirata senza un consenso valido. Ha sostenuto che questa attività di marketing aveva aggravato in modo significativo il suo disturbo da gioco, causando perdite economiche rilevanti e disagio emotivo. RTM ha dichiarato perdite pari a 45.000 sterline tra il 2007 e il 2019, periodo durante il quale aveva utilizzato, anche se non esclusivamente, le piattaforme di SBG.
La decisione dell’Alta Corte
In primo grado, la giudice Collins Rice ha applicato quello che ha definito un test del consenso soggettivo. Nella sua interpretazione, un consenso valido al trattamento dei dati richiede più di un atto formale, come spuntare una casella. Richiede una “scelta pienamente autonoma” da parte dell’utente, valutata facendo riferimento allo stato mentale effettivo dell’individuo al momento in cui il consenso è stato prestato.
La giudice ha riconosciuto che RTM aveva compiuto le azioni formali che indicavano il consenso. Tuttavia, tenendo conto della sua “dipendenza dal gioco, della vulnerabilità associata e della limitata autonomia”, ha concluso che “la qualità autonoma del suo consenso era sostanzialmente compromessa” e che il consenso era stato prestato in modo significativamente inferiore allo standard richiesto e “non sufficientemente libero”.
È rilevante notare che RTM non aveva mai sostenuto argomentazioni relative a un’autonomia compromessa; è stata la giudice a introdurre autonomamente tale criterio nella sua analisi giuridica. Questo è diventato uno dei motivi del ricorso.
SBG ha impugnato la decisione su due basi:
– irregolarità procedurale, poiché la decisione si fondava su argomentazioni che il ricorrente non aveva mai sollevato;
– errore di diritto nell’applicazione del test del consenso.
L’Autorità Garante per la Protezione dei Dati del Regno Unito (Information Commissioner’s Office – ICO), il regolatore nazionale in materia di protezione dei dati, è intervenuta a sostegno di SBG, sostenendo che il test del consenso deve essere esclusivamente oggettivo.
La Corte d’Appello: uno standard oggettivo per il consenso
La Corte d’Appello ha accolto le argomentazioni di SBG e dell’Autorità Garante per la Protezione dei Dati del Regno Unito (Information Commissioner’s Office – ICO). Il giudice Warby, estensore della decisione, ha stabilito che per accertare il consenso è necessario dimostrare che l’interessato abbia rilasciato una dichiarazione o compiuto un’“azione affermativa chiara” che indichi le sue volontà in merito al trattamento dei dati o al marketing diretto.
«Si tratta di questioni puramente oggettive», ha sottolineato il giudice Warby. Un’azione di questo tipo può essere «semplice come spuntare una casella o compiere un atto analogo». Il consenso deve essere libero, specifico, informato e inequivocabile, e ciascuno di questi criteri ha natura oggettiva.
La corte ha stabilito che dimostrare il consenso non richiede che il titolare del trattamento accerti cosa ci fosse “effettivamente nella mente” dell’interessato al momento della prestazione del consenso. Né esiste un obbligo di provare una condizione di vulnerabilità o di valutare in che misura la capacità dell’individuo di prendere decisioni pienamente autonome potesse essere compromessa.
Il disturbo da gioco d’azzardo di RTM è stato quindi ritenuto irrilevante ai fini della validità del suo consenso. La corte ha giudicato la decisione di primo grado un «approccio giuridicamente errato» e ha accolto il ricorso. Il caso tornerà ora all’Alta Corte.
GDPR e requisiti di consenso nel settore del gioco
Il caso ruota attorno a disposizioni fondamentali della normativa europea e britannica sulla protezione dei dati. L’articolo 4(11) del GDPR definisce il consenso come «qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato». Il GDPR britannico mantiene questa definizione dopo la Brexit, mentre il regolamento sulla privacy e le comunicazioni elettroniche (Privacy and Electronic Communications Regulations – PECR) impone requisiti aggiuntivi per cookie e marketing diretto.
Nel contesto dell’industria del gioco, queste regole assumono un peso particolare. Gli operatori fanno ampio affidamento sulla pubblicità mirata per acquisire e fidelizzare i giocatori, una pratica che comporta il trattamento di grandi volumi di dati personali. La Commissione per il Gioco del Regno Unito (UK Gambling Commission – UKGC) ha irrigidito in modo significativo i requisiti in materia di marketing negli ultimi anni, in particolare per quanto riguarda i giocatori vulnerabili. Tali regole riguardano principalmente il contenuto della pubblicità, più che la base giuridica del trattamento dei dati.
| Instrument | Key consent requirements |
| GDPR (Art. 4(11)) | Freely given, specific, informed, unambiguous |
| UK GDPR | Clear affirmative action (checkbox, click) |
| PECR | Specific requirements for cookies and direct marketing |
Fonte: SiGMA News.
Casi correlati di protezione dei dati nell’iGaming
La sentenza RTM contro SBG si inserisce in una serie di controversie sulla protezione dei dati nel settore del gioco.
- Nel caso Lloyd contro Google (2021), la Corte Suprema del Regno Unito (UK Supreme Court) ha respinto un’azione collettiva relativa all’uso illecito dei cookie, stabilendo che per le richieste di risarcimento è necessaria una valutazione individuale del danno. Ciò ha limitato in modo significativo la possibilità di intentare azioni collettive in materia di protezione dei dati.
- Nel caso Galvin contro BGO Entertainment (2023), l’operatore è stato multato per 5,4 milioni di sterline per aver inviato comunicazioni di marketing a giocatori registrati in un programma di autoesclusione. In quel caso, la violazione riguardava il mancato rispetto di un divieto esplicito, non la qualità del consenso.
- Nel 2024, Entain ha pagato 17,5 milioni di sterline nell’ambito di un accordo con la Commissione per il Gioco del Regno Unito (UK Gambling Commission – UKGC) per carenze sistemiche nella gestione dei clienti vulnerabili: una questione legata principalmente agli obblighi di gioco responsabile, più che alla normativa sulla protezione dei dati.
Implicazioni per il mercato del gioco
La decisione della Corte d’Appello chiarisce in modo sostanziale la posizione giuridica degli operatori. Quando un utente compie un’azione oggettiva che indica il consenso (spuntare una casella, cliccare un pulsante o seguire un link di conferma) quel consenso è valido indipendentemente dallo stato psicologico dell’individuo o dalla presenza di un disturbo da gioco d’azzardo.
Ciò non significa, tuttavia, che gli operatori non abbiano ulteriori obblighi. La UKGC continua a richiedere che gli operatori adattino le loro pratiche di marketing tenendo conto della vulnerabilità dei giocatori. L’autoesclusione tramite GamStop, i limiti di deposito e il monitoraggio comportamentale basato sull’intelligenza artificiale restano elementi obbligatori dei programmi di conformità.
Il mercato del gioco online nel Regno Unito, il più grande d’Europa, genera circa 17 miliardi di sterline di ricavi lordi ogni anno, con una quota significativa di tali entrate legata al marketing digitale. L’ICO dovrebbe pubblicare linee guida aggiornate sul consenso nel contesto del gioco online nel corso del prossimo anno, ha dichiarato Stephen Almond, Direttore Esecutivo per il Rischio Regolatorio dell’ICO (Executive Director of Regulatory Risk). La UKGC, nel frattempo, continua a sviluppare requisiti più stringenti per un marketing responsabile.
Questo articolo è stato pubblicato per la prima volta in russo il 28 aprile 2026.
Rimani aggiornato sulle notizie più importanti dell’iGaming con la Top 10 News di SiGMA. La più grande community mondiale dell’iGaming ti offre approfondimenti settimanali e offerte riservate agli iscritti. Iscriviti QUI oggi stesso.
