Cookie: nuovi criteri per l'informativa sulla privacy

Il Garante per la protezione dei dati personali ha approvato le nuove Linee guida sui cookie che offriranno una maggiore tutela agli utenti risolvendo alcune problematiche connesse alle modalità utilizzate fino ad ora per presentare l'informativa agli utenti e per acquisire il consenso all'uso dei dati. L'aggiornamento delle policy si sarebbe poi reso necessario per via dell'adozione crescente di strumenti per il tracciamento, la diffusione delle identità digitali che facilitano l'incrocio dei dati e la creazione di profili sempre più ricchi di dettagli.

Nuove Linee guida per l'informativa

Riguardo a questo aspetto il Garante precisa che:

Nel rispetto del Regolamento UE, l'informativa agli utenti dovrà indicare anche gli eventuali altri soggetti destinatari dei dati personali e i tempi di conservazione delle informazioni. E potrà essere resa anche su più canali e con diverse modalità (ad esempio, con pop up, video, interazioni vocali).

Nello stesso modo è confermato l'obbligo della sola informativa per i cookie tecnici, anche quando viene inserita all'interno dell'informativa generale. I cookie analytics, utilizzati per valutare l'efficacia di un servizio, dovranno essere adottati unicamente a scopi statistici.

Acquisizione del consenso

Relativamente ai cookie di profilazione è stata sottolineata

..la necessità del consenso da richiedere attraverso un banner ben distinguibile sulla pagina web, attraverso il quale dovrà anche essere offerta agli utenti la possibilità di proseguire la navigazione senza essere in alcun modo tracciati, ad esempio chiudendo il banner cliccando sulla caratteristica X da inserire in alto a destra.

Il solo scroll down (spostamento in basso del cursore) non viene considerato inoltre una manifestazione del consenso idonea. I publisher avranno l'obbligo di inserire lo scrolling in un

processo più articolato nel quale l'utente sia in grado di generare un evento, registrabile e documentabile presso il server del sito, che possa essere qualificato come azione positiva idonea a manifestare in maniera inequivoca la volontà di prestare un consenso al trattamento.

In sostanza il solo proseguimento della navigazione non basterà a dimostrare che gli utenti abbiano accettato l'uso di cookie non tecnici o altri tool di tracciamento.

Cookie wall

Nel comunicato relativo alle nuove Linee Guida il Garante ha ricordato che qualsiasi sistema che vincola gli utenti all'espressione del consenso è da ritenersi illegittimo. Si terrà comunque conto caso per caso dell'ipotesi in cui il titolare del sito consenta comunque agli utenti l'accesso a contenuti o servizi equivalenti senza richiesta di consenso all'uso dei cookie o di altri tracciatori.

Non si potrà quindi condizionare la fornitura di un servizio alla cessione di sovranità sui dati e un utente non dovrà mai essere costretto al loro trattamento in cambio di una prestazione.

Da sottolineare infine che la ripresentazione del banner ad ogni nuovo accesso per la richiesta di consenso a chi l'abbia negato in precedenza viene ora ritenuta una misura ridondante e invasiva. Le scelte degli utenti dovranno essere quindi registrata e non sollecitate ulteriormente, tranne che le condizioni del trattamento non mutino in modo significativo, non si possa sapere se un cookie sia stato già memorizzato in un device o siano trascorsi almeno 6 mesi.

Gli utenti avranno sempre la possibilità di revocare in qualsiasi momento il consenso prestato in un momento precedente.

6 mesi per adeguarsi

I titolari dei siti Web avranno 6 mesi di tempo per conformarsi ai principi delle nuove Linee guida. Il meccanismo di acquisizione del consenso on line dovrà garantire innanzitutto di default che al momento del primo accesso nessun cookie o altro strumento diverso da quelli tecnici venga posizionato nel dispositivo dell'utilizzatore. Non dovrà essere poi impiegata alcuna altra tecnica di tracciamento attiva come i cookie di terze parti o passiva come il fingerprinting.

In attesa di una codifica universalmente accettata dei cookie che distingua in maniera oggettiva i cookie tecnici da quelli analytics o di profilazione, i publisher sono invitati a manifestare nell'informativa almeno i criteri di codifica dei tracciatori adottati.