Come individuare gli elementi da rendere conformi?
La disciplina sulla protezione dei dati nelle comunicazioni elettroniche – detta ePrivacy – riguarda:
- le informazioni raccolte nei riguardi del contraente o dell’utente (tramite cookie e altre tecnologie di tracciamento online)
- i dati relativi al traffico
- i dati relativi all’ubicazione.
Le regole relative ai cookie includono qualsiasi tecnologia che:
- permette di accedere alle informazioni archiviate nel dispositivo collegato
- inserisce informazioni nel medesimo dispositivo
- traccia la navigazione dell’utente.
Ad esempio, come:
- i “Local Shared Objects” (chiamati anche “Flash cookies”),
- i “local storage” implementati all’interno dello standard HTML 5,
- le identificazioni tratte dal calcolo dell’impronta del terminale o “fingerprinting“,
- identificatori generati dai sistemi operativi (pubblicitari o meno: IDFA , IDFV, ID Android, ecc.),
- identificatori hardware (indirizzo MAC, numero di serie o qualsiasi altro identificatore di un dispositivo), insieme ad altre tecnologie come le app su smartphone, tablet, le smart TV o altri dispositivi analoghi.
Le principali regole
La direttiva e-privacy, che attualmente regola la materia, è collegata alle definizioni della legge europea sulla protezione dei dati. Quando il GDPR ha abrogato e sostituito la direttiva 95/46/CE sulla protezione dei dati, queste pratiche sono diventate soggette a nuovi standard riguardanti l’informativa e la qualità del consenso.
Le principali regole per cookies e tecnologie simili possono riassumersi come rappresentato nella slide che segue:
1. Trasparenza
L’informativa per i cookie è normalmente soddisfatta con una modalità che prevede:
- un avviso breve – noto come “cookie banner” – e
- una seconda informativa estesa.
Il banner era inizialmente necessario solo per operazioni sui cookie che richiedevano il consenso dell’utente. Ora è essenziale per garantire la trasparenza.
Il banner informa subito l’utente che il sito utilizza cookie propri e di terze parti e può leggere i contenuti del browser.
L’informativa “breve” rinvia – tramite un collegamento ipertesto – alla versione estesa, contenuta nella privacy policy o in un testo separato spesso denominato cookie policy o in modo simile, che riporta tutti gli elementi informativi prescritti dagli articoli 13 e 14 del GDPR.
Tra le informazioni da fornire all’utente, in aggiunta a quelle indicate agli articoli 13 e 14 del GDPR, vi è la durata dei cookie[1].
Occorre anche identificare nominativamente tutte le organizzazioni che trattano questi dati in quanto questa informazione serve a rendere valido il consenso prestato anche nei loro confronti[2]. Il semplice collegamento a un elenco esterno di potenziali fornitori, che potrebbe non rappresentare il codice in esecuzione sulla pagina Web di collegamento, è «insufficiente a fornire un consenso libero e informato»[3].
Design e visibilità
Il design della pagina influenza la visibilità del collegamento alla cookie policy. La visibilità delle informazioni è un requisito di trasparenza.
Un collegamento nel piè di pagina di una pagina Web densa può risultare meno accessibile e visibile. In questo caso, un collegamento nell’intestazione può essere più appropriato.
Metodi per migliorare la visibilità delle informazioni sulla privacy:
- Dimensione del collegamento o utilizzo di un carattere diverso
- Distinzione del testo privacy dal testo normale e altri collegamenti
- Corretto posizionamento.
[1] In tal senso, avvocato generale nel caso Planet49 e ICO.
[2] In tal senso, CNIL e ICO.
[3] V. ICO.
Esempi di “banner” e “barrier”
La breve informativa, sebbene chiaramente visibile, consente comunque all’utente di continuare la navigazione.
Talvolta il banner è utilizzato per far sì che l’utente faccia scelte sui cookie, diventando un impedimento alla navigazione libera. Questa prassi non è considerata corretta poiché obbliga l’utente, che ha comunque il diritto di astenersi; se l’utente non effettua alcuna scelta, i cookie che richiedono il consenso non possono essere inseriti.
2. Consenso
Secondo l’attuale disciplina desumibile dalla legge nazionale che recepisce la direttiva ePrivacy, i cookie di profilazione– quali quelli che sono utilizzati per finalità pubblicitarie o promozionali – ma anche ogni altro tipo di tracciamento online non essenziale per l’erogazione del servizio, richiedono specifica informativa e consenso.
Il consenso per i cookie di profilazione, rilasciato tramite una manifestazione attiva di volontà dell’utente, è necessario prima della loro installazione[1]. Di default, nessun cookie che richiede consenso può essere impostato senza un consenso espresso mediante un’azione positiva dell’utente[2]. Così come è necessario un nuovo consenso quando nuovi cookie di profilazione sono impostati da una terza parte[3]. La maggior parte delle autorità di controllo ritiene che l’assenza di opzioni di rifiuto/non consenso con un pulsante di consenso non sia in linea con i requisiti per un consenso valido e costituisca quindi un’infrazione.
Il titolare del trattamento dovrà poter dimostrare la sussistenza di un consenso valido per l’impianto di cookie di profilazione riguardo a ciascun utente [art. 5(2), GDPR].
[1] EDPB, linee guida 5/2020, p.90 e CGUE caso Fashion ID GmbH C-49/17.
[2] Rapporto del lavoro svolto dalla Taskforce sui Cookie Banner, adottato il 17 gennaio 2023.
[3] EDPB, 5/2020 p. 90 e ICO.
Esempi di consenso non inequivocabile
Prima dell’avvento del GDPR, si era ritenuto che gli adempimenti dell’informativa/consenso potessero essere validamente soddisfatti con una modalità di “consenso implicito”, mediante la quale l’informativa avvertiva che qualsiasi azione compiuta dall’utente, diversa dalla sconnessione a quel sito, rappresentava un consenso all’installazione dei cookie, salvo la possibilità di opporsi in una seconda fase.
Con la piena applicazione del GDPR dal maggio 2018, ed a seguito di pronunciamenti da parte di diverse autorità di controllo e decisioni della Corte di Giustizia UE, è apparso evidente che questa pratica non fosse più lecita.
Le autorità di regolamentazione e la Corte di giustizia dell’UE hanno entrambe sottolineato che, affinché il consenso sia informato e dato liberamente, occorre che esso sia frutto di un’azione separata dall’attività che l’utente sta svolgendo1 Il continuare a utilizzare un sito Web senza obiezione attiva a una notifica – cosiddetto consenso “implicito” o “opt-out” – non è una chiara azione positiva e, in quanto tale, non costituisce una base giuridica valida per cookie ed altre forme di tracciamento online che presuppongono il consenso.
3. Libera scelta
Le caselle dei cookie senza un’opzione di “rifiuto” o che si trovano in una sezione per “ulteriori informazioni” o su una pagina web di terzi, non sono conformi a legge; entrambe le azioni, “specialmente sotto il profilo visivo, devono essere presentate su un piano di parità”[1].
Inoltre, deve essere “facile rifiutarsi come dare il consenso” [art. 7(3), GDPR]. Ciò significa che se il consenso è stato raccolto tramite “solo un clic o uno scorrere del mouse o il premere un tasto”, la revoca del consenso deve essere “altrettanto facile” e “senza pregiudizio” o “abbassamento dei livelli di servizio”[2].
Altrettanto illegale è ritenuta la pratica dei cosiddetti “cookie walls”, per cui il consenso è un prerequisito per l’accesso a un sito web oppure il diniego del consenso determina un significativo degrado delle funzionalità del sito[3].
[1] Parere dell’avvocato generale nella causa Planet49 [C—673/17, par. 66].
[2] EDPB linee guida 5/2020, p.114.
[3] In tal senso si sono pronunciate sia le autorità di controllo (l’olandese, il CNIL, l’EDPS, l’ICO) sia l’EDPB nelle sue linee guida 5/2020 sul consenso (p. 39).
CONTINUA….
