Articolo pubblicato su mondodiritto.it
Il Garante per la protezione dei dati personali ha approvato nuove Linee guida sui cookie (qui il testo del provvedimento) con l’obiettivo di rafforzare il potere di decisione degli utenti riguardo all’uso dei loro dati personali quando navigano on line. No a scrolling e a cookie wall se non in casi particolari, limiti alla reiterazione della richiesta di consenso e sei mesi per adeguarsi.
L’aggiornamento delle precedenti Linee guida del 2014 si è reso necessario alla luce delle innovazioni introdotte dal Regolamento europeo in materia di privacy, ma ha le sue motivazioni anche in una serie di altri fattori: l’esperienza maturata in questi anni (in base ai numerosi reclami, segnalazioni e richieste di pareri pervenute agli Uffici) sulla non corretta attuazione delle modalità per rendere l’informativa agli utenti e per l’acquisizione del consenso all’uso dei loro dati; il crescente uso di tracciatori particolarmente invasivi; la moltiplicazione delle identità digitali degli utenti che favorisce l’incrocio dei loro dati e la creazione di profili sempre più dettagliati. Il Garante riconosce che dalle sue nuove linee guida potrebbero derivare interventi tecnici anche piuttosto complessi per le organizzazioni dei titolari e, per questo motivo, individua un termine di sei mesi per adeguarsi
Il meccanismo di acquisizione del consenso on line dovrà innanzitutto garantire che, per impostazione predefinita, al momento del primo accesso ad un sito web, nessun cookie o altro strumento diverso da quelli tecnici venga posizionato all’interno del dispositivo dell’utente, né venga utilizzata altra tecnica di tracciamento attiva (ad esempio, cookie di terze parti) o passiva (ad esempio, il fingerprinting).
Il Garante precisa che vi è stata una evoluzione comportamentale degli utenti in rete, da cui deriva una moltiplicazione delle identità digitali dei soggetti, passando anche attraverso l’uso di sempre più dispositivi, tra cui figurano oggi anche oggetti di uso quotidiano interconnessi tra loro (pensiamo all’Internet of Things). Per questo motivo è aumentato il rischio per gli interessati di essere soggetti a profilazioni estremamente specifiche e dettagliate, grazie all’incrocio dei dati raccolti su più terminali. È quindi necessario un ripensamento dell’utilizzo dei cookie e degli strumenti di tracciamento, incentrato sulla tutela dell’utente in una società sempre più digitalizzata e interconnessa.
Ecco, in sintesi, i principali contenuti nelle nuove Linee guida sui cookie.
1. Informativa
Nel rispetto del Regolamento Ue, l’informativa agli utenti dovrà indicare anche gli eventuali altri soggetti destinatari dei dati personali e i tempi di conservazione delle informazioni. E potrà essere resa anche su più canali e con diverse modalità (ad esempio, con pop up, video, interazioni vocali).
Resta confermato l’obbligo della sola informativa per i cookie tecnici, anche inserita nell’informativa generale. Il Garante raccomanda poi che i cookie analytics, usati per valutare l’efficacia di un servizio, siano utilizzati solo a scopi statistici.
2. Consenso
Per i cookie di profilazione rimane la necessità del consenso da richiedere attraverso un banner ben distinguibile sulla pagina web, attraverso il quale dovrà anche essere offerta agli utenti la possibilità di proseguire la navigazione senza essere in alcun modo tracciati, ad esempio chiudendo il banner cliccando sulla caratteristica X da inserire in alto a destra.
Riguardo in particolare allo scrolling, il Garante precisa che il semplice spostamento in basso del cursore (scroll down) non rappresenta una idonea manifestazione del consenso. I titolari dei siti (publisher) dovranno eventualmente inserire lo scrolling in un processo più articolato nel quale l’utente sia in grado di generare un evento, registrabile e documentabile presso il server del sito, che possa essere qualificato come azione positiva idonea a manifestare in maniera inequivoca la volontà di prestare un consenso al trattamento.
Riguardo al cookie wall, sistema che vincola gli utenti all’espressione del consenso, il Garante chiarisce che questo meccanismo è da ritenersi illegittimo, salva l’ipotesi, da verificare caso per caso, nella quale il titolare del sito consenta comunque agli utenti l’accesso a contenuti o servizi equivalenti senza richiesta di consenso all’uso dei cookie o di altri tracciatori.
L’Autorità sottolinea inoltre che la ripresentazione del banner ad ogni nuovo accesso per la richiesta di consenso agli utenti che in precedenza l’abbiano negato non trova ragione negli obblighi di legge e risulta una misura ridondante e invasiva. La scelta dell’utente, dunque, dovrà essere debitamente registrata e non più sollecitata, a meno che non mutino significativamente le condizioni del trattamento, sia impossibile sapere se un cookie sia già memorizzato nel dispositivo oppure siano trascorsi almeno 6 mesi. Resta fermo in ogni caso il diritto degli utenti di revocare in qualsiasi momento il consenso precedentemente prestato.
Il Garante auspica che si arrivi presto ad una codifica universalmente accettata dei cookie, oggi assente, che consenta di distinguere in maniera oggettiva i cookie tecnici da quelli analytics o da quelli di profilazione per cui la distinzione tra le varie categorie resta, di fatto, affidata alla determinazione dei singoli titolari del trattamento, nonostante le conseguenze fondamentali che l’inclusione in una categoria o in un’altra comporta dal punto di vista della disciplina a tutela degli utenti. In attesa di raggiungere questo obiettivo, il Garante richiama i publisher a rendere manifesti nell’informativa almeno i criteri di codifica che hanno utilizzato per classificare i loro cookie o altri strumenti di tracciamento.