Nuove linee guida sui cookie: cosa ha detto il Garante

Publisher e titolari di siti web avranno sei mesi di tempo, a partire da luglio 2021, per adeguarsi alle nuove linee guida sui cookie del Garante Privacy. L’authority italiana è tornata infatti a esprimersi sulla materia – e non lo faceva dal 2014 – non solo su impulso di GDPR ed ePrivacy Regulation, ma dopo aver condotto in questi mesi una consultazione pubblica ed essersi presa carico di numerose segnalazioni e ricorsi proprio in materia di (scorretto) tracciamento degli utenti sul web tramite cookie e altri sistemi simili.

Il Garante Privacy dice no a scrolling e cookie wall: ecco le nuove linee guida sui cookie
Le principali novità riguardano le modalità di acquisizione del consenso all’utilizzo di cookie di profilazione e analitici, specie se di terze parti.
Le nuove linee guida sui cookie del Garante Privacy chiariscono innanzitutto che il semplice scroll down, ossia muovere il cursore verso il basso quando viene presentato il banner con informativa cookie e richiesta di consenso al tracciamento, non può essere considerato una modalità idonea – e conforme alle due normative su privacy digitale e protezione dei dati personali di cui si è già detto – di acquisizione dello stesso. Infatti, l’authority specifica che è sempre necessaria una «azione positiva» capace di «manifestare in maniera inequivoca» la volontà dell’utente: più pragmaticamente vuol dire che anche il consenso all’utilizzo di cookie analitici o di profilazione deve essere espresso dall’utente tramite un evento «registrabile e documentabile presso il server del sito» e del tipo opt-in, selezionando attivamente cioè un’apposita casella e non avendola trovata già flaggata.
Anche il cosiddetto cookie wall, ossia l’accessibilità dei contenuti e delle informazioni presenti sul sito web condizionata al consenso all’utilizzo dei cookie non tecnici, secondo il Garante è da considerarsi «illegittimo», tranne nei soli casi in cui i titolari dei siti web siano in grado di assicurare l’accesso a contenuti e servizi equivalenti anche a chi ha negato il consenso all’utilizzo dei cookie.
Quando e perché va chiesto il consenso all’uso dei cookie
Le nuove linee guida sui cookie del Garante Privacy tornano anche su questioni cronologiche (in che momento va chiesto il consenso all’utilizzo dei sistemi di tracciamento?, ndr) ed “esimenti” rispetto alle condizioni generali.
Se è la prima volta in assoluto che l’utente accede al sito, i publisher hanno obbligo di mostrargli il banner contenente un estratto dell’informativa cookie e la richiesta di consenso all’utilizzo degli stessi prima di avviare qualsiasi forma di tracciamento attiva o passiva delle sue attività. I soli cookie tecnici possono essere installati anche prima dell’acquisizione del consenso o senza di essa. Si tratta, in sostanza, di quei cookie indispensabili al corretto funzionamento del sito (il “vecchio” Codice della privacy italiano ne dà una definizione[1], ma nell’emanare le nuove linee guida sui cookie è stato lo stesso Garante ad auspicare una «codifica universalmente accettata» e che permetta di «distinguere in maniera oggettiva» le diverse tipologie di cookie).
Quanto alle “esimenti” a cui si accennava, esse riguardano i soli cookie analitici, quei cookie cioè che servono a misurare il traffico di un sito o altre statistiche che lo riguardano. Sono cookie per l’utilizzo dei quali va generalmente richiesto il consenso dell’utente. Ci si può esimere dal farlo, però, nei casi i cui i cookie analitici siano riferiti a un solo sito o a una sola app mobile e abbiano come finalità quella di produrre dati e statistiche aggregate; sia stato “nascosto”, tramite appositi artifici, l’indirizzo IP dell’utente nel caso si tratti di cookie di terze parti; non siano incrociati, dalle stesse terze parti, con altre statistiche o dei database utenti, per esempio, che permettano un’identificazione certa degli ultimi; siano trattati in proprio dal titolare del sito o dei siti (solo nel caso di siti o app riconducibili allo stesso publisher, azienda o gruppo editoriale che sia, è possibile infatti incrociare dati provenienti da diverse fonti) e mai con finalità commerciali.
Il principio che emerge chiaro è insomma ancora quello della minimizzazione dei dati raccolti, centrale tra i diktat del nuovo Regolamento generale europeo sulla protezione dei dati.

Banner per i cookie: come deve essere fatto per rispettare le nuove linee guida del Garante
Nel documento pubblicato sulla Gazzetta Ufficiale n. 163 del 9 luglio 2021, il Garante italiano prova ad affrontare ancora anche la questione relativa alle modalità da seguire per un buon banner per i cookie e a chiarire i principali dubbi in merito.
È necessario, innanzitutto, che esso contenga un estratto dell’informativa cookie e che renda consapevole, cioè, l’utente delle possibilità che le sue attività sul sito vengano tracciate da appositi sistemi, anche eventualmente gestiti da terzi. Un link, ben visibile al suo interno ma sempre raggiungibile anche da altre sezioni del sito come il footer, deve rimandare all’informativa cookie e all’informativa privacy nelle loro versioni estese.
Perché l’espressione del consenso all’utilizzo di cookie e altri sistemi di tracciamento possa dirsi davvero «informata e consapevole», l’utente deve essere messo nelle condizioni di, facilmente e in maniera immediata,
accettare l’installazione di tutti i tipi di cookie (analitici, di tracciamento, di terze parti, ecc.);
selezionare, e farlo analiticamente e nel dettaglio, i soli cookie alla cui installazione intende acconsentire;
mantenere le impostazioni di default che, per essere rispettose delle normative in materia oltre che delle nuove linee guida sui cookie del Garante Privacy, devono essere di diniego all’utilizzo di cookie diversi da quelli tecnici; questa azione può essere compiuta semplicemente cliccando su un pulsante (una “x” in alto a destra, come quella in genere usata sul web per la chiusura di finestre e pop-up per esempio) ben in vista all’interno del banner.
Dall’ultima pronuncia del Garante in materia di cookie si evince anche come sia una pratica «ridondante ed eccessiva» quella di riproporre il banner per il consenso all’utilizzo dei diversi sistemi di tracciamento a ogni nuovo accesso sul sito di un utente che abbia già espresso le proprie preferenze. Fatta salva la necessità di permettere allo stesso di riformulare, in ogni momento in cui lo desideri, le proprie preferenze su cookie analitici, cookie di profilazione, cookie di terze parti, ecc., il sistema deve adeguatamente memorizzarle e il banner andrà riproposto all’utente solo nel caso in cui siano trascorsi sei mesi dal momento dell’espressione del consenso all’utilizzo dei cookie, modalità e condizioni di trattamento siano mutate in maniera considerevole o sia impossibile accertarsi che quei determinati cookie siano stati memorizzati all’interno del dispositivo utilizzato.
Le nuove linee guida sui cookie del Garante Privacy confermano, infine, l’obbligo derivante dal GDPR di indicare opportunamente nell’informativa tutti i soggetti implicati nel trattamento dei dati e il tempo massimo per cui gli stessi saranno conservati.
Una delle principali novità che riguardano l’informativa è che la stessa potrà essere resa su canali e con modalità diverse: dai “classici” pop-up ai video esplicativi e passando per le interazioni vocali per esempio.

Source link