Sono state pubblicate sulla Gazzetta Ufficiale del 9 luglio 2021 le linee guida sui cookies e gli altri sistemi di tracciamento approvate dall’Autorità Garante per la Protezione dei dati personali il 10 giugno 2021.
Il documento aggiorna le precedenti linee guida approvate dall’Autorità e fornisce alcune indicazioni operative per l’implementazione di questi sistemi.
Le linee guida trovano applicazione a tutti i sistemi di tracciamento, sia quelli attivi, basati sul salvataggio di informazioni sul dispositivo dell’utente (i cookies in senso stretto), che quelli passivi, basati sull’osservazione del comportamento dell’utente sul sito web.
Le maggiori novità riguardano:
- La base giuridica: l’Autorità ha escluso la possibilità di fondare sul legittimo interesse questi trattamenti, poiché regolati da una norma speciale (art. 122 d.lgs. n. 196/2002, attuativo della direttiva 2002/58/CE);
- Il modello di banner per l’acquisizione del consenso: l’Autorità ha proposto un modello di banner per l’acquisizione del consenso, che preveda, oltre ai pulsanti per l’accettazione dei cookie e per la personalizzazione del consenso, anche un pulsante di chiusura (a “X”), che permetta di chiudere la finestra senza accettare nessun cookie;
- La persistenza della scelta ed il divieto di reiterazione ad ogni accesso: il Garante ha precisato che non è conforme al principio della libertà del consenso la presentazione ad ogni accesso del banner per la richiesta di consenso ai traccianti, potendo costituire la reiterazione della richiesta una forma di coercizione indiretta. Il consenso potrà dunque essere sollecitato normalmente ogni sei mesi, salvo che non vi siano cambiamenti rilevanti nelle condizioni del tracciamento.
Restano inoltre confermati e meglio precisati alcuni aspetti già indicati nelle precedenti linee guida:
- Distinzione tra cookie tecnici e di profilazione: resta confermata la distinzione tra i cookie tecnici, necessari al funzionamento del sito web e cookie di profilazione, finalizzati ad acquisire dati degli utenti per la loro profilazione commerciale e la visualizzazione di contenuti personalizzati. Per i cookie tecnici non è necessario acquisire uno specifico consenso, essendo sufficiente ai sensi dell’art. 122 d.lgs. 196/2003 la semplice informativa; per i traccianti di profilazione è invece necessario acquisire il consenso;
- Cookie analitici di terze parti: viene confermato che i cookie analitici di terze parti possono essere considerati tecnici soltanto se adeguatamente “anonimizzati”, secondo le caratteristiche precisate dalle linee guida;
- Privacy by default e priorità del consenso: il Garante conferma che i cookie di profilazione non possono essere attivati se non dopo l’acquisizione del consenso;
- Importanza dell’informativa: viene riportato l’accento sull’importanza dell’informativa, promuovendo approcci multicanale e multimediali. Viene ribadita l’importanza, in assenza di criteri uniformi, di fornire adeguata giustificazione delle modalità di classificazione dei cookie;
- Divieto di consenso tramite scroll: il Garante ribadisce che il semplice scroll o la prosecuzione nella navigazione non possono essere considerate una manifestazione del consenso. È necessario che il consenso sia manifestato attraverso pattern univoci e documentabili;
- Divieto di cookie wall: viene ribadito il divieto di condizionare la navigazione alla prestazione del consenso ai cookie di profilazione;
- Revocabilità del consenso: il consenso deve essere facilmente gestibile e revocabile. Nel caso di sistemi di tracciamento diversi dai cookie devono essere indicate adeguatamente le modalità per l’esercizio dei diritti dell’interessato, in particolar modo quello alla cancellazione.
Tutti i titolari del trattamento, sia pubblici che privati, devono adeguare i propri siti alle linee guida entro sei mesi dalla pubblicazione delle linee guida sulla gazzetta ufficiale. Il termine è dunque il 9 gennaio 2022.
Per approfondimenti rinviamo alla guida pubblicata dall’avv. Francesco Foltran sul magazine SmartIUS.
