Regole sui Cookie: dal Garante Privacy nuove linee guida a tutela degli utenti

No a scrolling e cookie wall, limiti alla reiterazione della richiesta di consenso

Il 10 luglio 2021, l’autorità italiana per la protezione dei dati (Garante Privacy) ha approvato le nuove linee guida per l’uso dei cookie.

In collaborazione con Iubenda, di cui Groweb è Gold Partner, abbiamo creato questa guida per aiutarti a capire cos’è cambiato e, con la nostra collaborazione, come rispettare i requisiti.

Questi requisiti ti riguardano?

Tu o i tuoi utenti avete sede in Italia? Se sì, questi requisiti ti riguardano.

In breve:

• Cookie banner >>leggi di più
  • I pulsanti “Accetta” e “Rifiuta” sono obbligatori.
  • Gli utenti devono poter fare scelte granulari sulle funzionalità, le terze parti e le categorie di cookie da installare (pur lasciando i dettagli dell’implementazione al fornitore del servizio, le linee guida suggeriscono che raggruppare le opzioni sia una soluzione adatta a soddisfare questo requisito).
  • Gli utenti devono poter aggiornare le proprie preferenze di tracciamento in qualsiasi momento.
• Raccolta del consenso >>leggi di più
  • Il consenso via semplice scorrimento non è più valido.
  • I cookie wall non sono ammessi.
• Validità delle preferenze dell’utente relative al consenso: dopo aver chiesto il consenso la prima volta, devono passare almeno 6 mesi prima di poterlo chiedere nuovamente. >>leggi di più
• Cookie statistici (analytics) >>leggi di più
  • I cookie statistici di prima parte possono essere installati senza il consenso dell’utente (e senza blocco preventivo).
  • I cookie statistici di terza parte possono essere installati senza il consenso dell’utente (e senza blocco preventivo) solo a determinate condizioni.
• Prova del consenso: devi poter dimostrare di aver ottenuto un consenso valido secondo gli standard del GDPR. >>leggi di più
• Basi giuridiche applicabili all’uso dei cookie oltre al consenso: l’interesse legittimo non costituisce una base giuridica valida. >>leggi di più
• Hai tempo fino al 10 gennaio 2022 per adeguarti.

Nel dettaglio, di cosa stiamo parlando?

Cookie banner

Qualora un sito faccia uso di cookie di profilazione o altri strumenti di tracciamento, il banner costituisce un meccanismo valido per l’acquisizione del consenso dell’utente.

Per i cookie di profilazione rimane la necessità del consenso da richiedere attraverso un banner ben distinguibile sulla pagina web, attraverso il quale dovrà anche essere offerta agli utenti la possibilità di proseguire la navigazione senza essere in alcun modo tracciati, ad esempio chiudendo il banner cliccando sulla caratteristica X da inserire in alto a destra.

Il Garante prevede che il banner (o, in alternativa, un’area/finestra) mostrato da un sito web al primo accesso dell’utente includa le seguenti informazioni:

• un’informativa breve sull’uso da parte del sito di cookie tecnici ed eventuali cookie di profilazione o altri strumenti di tracciamento, con le relative finalità;
• un link alla cookie policy che indichi gli eventuali altri soggetti destinatari dei dati personali, i tempi di conservazione e l’esercizio dei diritti dell’utente;
• un’indicazione chiara che l’utente, proseguendo nella navigazione del sito tramite un’azione positiva ed esplicita, presta il proprio consenso alla profilazione. Fai attenzione, però, perché il semplice scorrimento non è considerato un metodo valido per la raccolta del consenso;
• un link a un’area dedicata dove l’utente può selezionare in maniera granulare le funzionalità, le terze parti e le categorie di cookie da installare;
• un comando per accettare tutti i cookie o altri strumenti di tracciamento;
• un comando per rifiutare tutti i cookie o altri strumenti di tracciamento.

Nelle visite al sito successive alla prima, l’utente non dovrà più visualizzare il banner iniziale, ma dovrà poter accedere alla privacy/cookie policy e ad un’area dove poter modificare le preferenze di tracciamento espresse in precedenza.

Raccolta del consenso

Lo scrolling o scroll down non è ritenuto adatto alla raccolta di un valido consenso. Unica eccezione: che lo scorrimento sia parte di una serie di azioni che indicano in maniera inequivocabile la volontà dell’utente di prestare il proprio consenso.

Riguardo in particolare allo scrolling, il Garante precisa che il semplice spostamento in basso del cursore (scroll down) non rappresenta una idonea manifestazione del consenso. I titolari dei siti (publisher) dovranno eventualmente inserire lo scrolling in un processo più articolato nel quale l’utente sia in grado di generare un evento, registrabile e documentabile presso il server del sito, che possa essere qualificato come azione positiva idonea a manifestare in maniera inequivoca la volontà di prestare un consenso al trattamento.

Il Garante considera illeciti anche i cosiddetti cookie wall, salvo che il sito web offra all’utente la possibilità di accedere a un contenuto o a un servizio equivalenti senza dover prestare il proprio consenso (da valutare caso per caso).

Riguardo al cookie wall, sistema che vincola gli utenti all’espressione del consenso, il Garante chiarisce che questo meccanismo è da ritenersi illegittimo, salva l’ipotesi, da verificare caso per caso, nella quale il titolare del sito consenta comunque agli utenti l’accesso a contenuti o servizi equivalenti senza richiesta di consenso all’uso dei cookie o di altri tracciatori.

Preferenze di consenso ai cookie

Agli utenti può essere chiesto nuovamente di prestare il consenso solo se:

• le condizioni del consenso sono cambiate (ad esempio, sono stati aggiunti dei nuovi servizi di terza parte o ne sono stati rimossi di vecchi); o
• il titolare del sito non possiede gli strumenti per tenere traccia del consenso precedente (ad esempio, l’utente ha eliminato il cookie di consenso installato sul suo dispositivo); o
• sono passati almeno 6 mesi dall’ultima acquisizione.

L’Autorità sottolinea inoltre che la ripresentazione del banner ad ogni nuovo accesso per la richiesta di consenso agli utenti che in precedenza l’abbiano negato non trova ragione negli obblighi di legge e risulta una misura ridondante e invasiva. La scelta dell’utente, dunque, dovrà essere debitamente registrata e non più sollecitata, a meno che non mutino significativamente le condizioni del trattamento; sia impossibile sapere se un cookie sia già memorizzato nel dispositivo; siano trascorsi almeno 6 mesi. Resta fermo in ogni caso il diritto degli utenti di revocare in qualsiasi momento il consenso precedentemente prestato.

Cookie statistici

I cookie sono definiti sulla base di due macro categorie: cookie tecnici e cookie di profilazione.

Inoltre, il Garante precisa che, in linea di principio, i cookie statistici di prima parte possono essere installati senza il consenso dell’utente.

Per quanto riguarda i cookie statistici di terza parte, possono essere installati senza il consenso dell’utente solo se:

• non permettono l’identificazione di un utente preciso (ad esempio, usano solo indirizzi IP abbreviati o sono assegnati non a un singolo dispositivo, ma a diversi);
• il loro uso è limitato a un singolo sito/app;
• non sono condivisi o comunicati a terzi;
• i dati raccolti non sono combinati con altri dati.

Prova del consenso

Il Garante precisa che il titolare di un sito web è tenuto a dimostrare di aver ottenuto un consenso valido secondo gli standard del GDPR (vedi Prova del consenso e registro dei consensi).

Basi giuridiche per il trattamento diverse dal consenso

Il Garante ha affermato chiaramente che i cookie (e gli altri strumenti di tracciamento) non possono essere installati se non sulla base del consenso degli utenti o, se si applicano le condizioni dell’eccezione “strettamente necessari” (ad esempio, i cookie sono necessari e usati unicamente per realizzare o facilitare la comunicazione, o per fornire un servizio richiesto dall’utente in modo esplicito), anche senza il consenso degli utenti.

In particolare, l’interesse legittimo del titolare del sito web non costituisce una base giuridica valida.

I titolari di siti web hanno tempo fino al 10 gennaio 2022 per adeguarsi (6 mesi a partire dal 9 luglio 2021, data della pubblicazione delle linee guida nella Gazzetta Ufficiale).

Rispetta i requisiti italiani nel modo più semplice, chiedici una consulenza!