Introduzione Il 10 dicembre 2020, l’Autorità garante per la protezione dei dati personali (“Garante Privacy” o l’”Autorità”) ha avviato una consultazione pubblica sulle “Linee Guida sull’utilizzo dei cookie e di altri strumenti di tracciamento” (“Linee Guida”), destinata a concludersi il prossimo 11 gennaio 2021. La stessa Autorità era già intervenuta sul tema “cookie” con il Provvedimento n. 229 dell’8 maggio 2014, denominato “Individuazione delle modalità semplificate per l’informativa e l’acquisizione del consenso per l’uso dei cookie” (“Provvedimento Cookie”). Tuttavia, a seguito dell’entrata in vigore del Regolamento UE 2016/679 (“GDPR” o il “Regolamento”), nonché delle novità e dei chiarimenti in tema di consenso forniti dall’European Data Protection Board (“EDPB”) con le Linee Guida 5/2020 sul consenso[1], il Garante Privacy ha ritenuto necessario aggiornare il precedente Provvedimento Cookie adottando le Linee Guida, le quali hanno lo scopo di specificare sia le modalità di acquisizione, ove necessario, del consenso online degli interessati per l’installazione dei cookie, sia le informazioni relative all’utilizzo dei cookie che dovranno essere comunicate agli interessati ex art. 13 del GDPR. Il presente contributo analizzerà quindi: I cookie sono stringhe di testo che i siti web (cd. publisher o “prima parte”) visitati dall’utente ovvero siti o web server diversi (cd. “terze parti”) posizionano e archiviano all’interno di un dispositivo terminale nella disponibilità dell’utente (i.e. tablet, smartphone o dispositivi di IoT). Le informazioni codificate nei cookie possono includere sia dati personali (ad esempio, un indirizzo IP, un nome utente, un identificativo univoco o un indirizzo e-mail) sia dati non personali, come le impostazioni della lingua o informazioni sul tipo di dispositivo che una persona sta utilizzando per navigare nel sito. I cookie possono essere qualificati sotto vari profili: Le funzioni svolte dai cookie sono molteplici (quali, a titolo esemplificativo e non esaustivo, il monitoraggio di sessioni, la memorizzazione di informazioni su specifiche configurazioni riguardanti gli utenti che accedono al server, la profilazione, etc.) e variano a seconda della loro tipologia. A tal fine, i cookie vengono distinti nelle seguenti macro categorie: Cookie Analytics di prima e terza parte Tali cookie non richiedono l’acquisizione del consenso ma, in ogni caso, vanno indicati nell’informativa da rendere all’interessato ai sensi dell’art. 13 del GDPR. Sono equiparabili ai cookie tecnici solo se: - vengono utilizzati unicamente per produrre statistiche aggregate e in relazione ad un singolo sito o una sola applicazione mobile; - viene mascherata, per quelli di terze parti, almeno la quarta componente dell’indirizzo IP; - le terze parti si astengono dal combinare tali cookie analytics con altre elaborazioni (file dei clienti o statistiche di visite ad altri siti, ad esempio) o dal trasmetterli a terzi. Come sancito dall’art. 122 del Codice Privacy, l’installazione di tali cookie è possibile esclusivamente previa acquisizione del consenso informato dell’utente. La vera novità delle Linee Guida è rappresentata dall’applicabilità delle stesse anche ad ulteriori strumenti di tracciamento, i cd. identificativi “attivi” e “passivi”. Ciò in ragione del fatto che le medesime finalità perseguite con l’utilizzo dei cookie possono essere realizzate attraverso l’utilizzo dei predetti identificativi attivi e passivi. Tra gli strumenti “passivi”, il più utilizzato risulta essere il “fingerprinting”, ossia una tecnica che consente di identificare il dispositivo utilizzato dall’utente tramite la raccolta delle informazioni relative alla specifica configurazione del dispositivo stesso adottata dall’interessato. Tra le finalità perseguite con il fingerprinting, vi è (inter alia) quella della profilazione dell’utente, tesa alla visualizzazione di pubblicità comportamentale personalizzata e all’analisi e al monitoraggio dei comportamenti dei visitatori di siti web. Sebbene le finalità perseguite con l’utilizzo degli strumenti di tracciamento e dei cookie siano le medesime, vi è una principale differenza: Il tema delle modalità di acquisizione del consenso degli interessati online era già stato esaustivamente affrontato nel precedente Provvedimento Cookie nel quale il Garante Privacy aveva previsto che, al momento di accesso a un sito web, dovesse comparire una prima informativa "breve", contenuta in un banner a comparsa immediata sulla home page, integrata da un’informativa "estesa", alla quale fosse possibile accedere attraverso un link cliccabile dall’utente. Tale banner, completo delle informazioni minime richieste[2], doveva essere “eliminato” dalla home page attraverso un’azione positiva dell’interessato/utente, con la quale si sostanziava la sua manifestazione del consenso all’utilizzo dei cookie. In particolare, come specificato dal Garante Privacy, al fine di considerare il consenso prestato, era necessario creare una discontinuità (seppur minima) durante l’esperienza di navigazione dell’utente – ad esempio attraverso la selezione di un elemento contenuto nella pagina sottostante il banner stesso. Tale tesi, sebbene risalente al 2014, è tutt’ora condivisa dall’Autorità. Tuttavia, nelle richiamate Linee Guida 5/2020 sul consenso, l’EDPB ha sostenuto che il semplice scrolling non sarebbe mai idoneo, di per sé, ad esprimere compiutamente la manifestazione di volontà dell’interessato volta ad accettare di ricevere il posizionamento, all’interno del proprio dispositivo, di cookie diversi da quelli tecnici. Ciò ha creato dei problemi interpretativi in relazione a prassi diffuse di raccolta di consenso attraverso attività di “scroll down” ed ha rappresentato l’occasione per il Garante Privacy di fornire, attraverso le Linee Guida, alcune precisazioni in merito sia all’attività di “scrolling” sia all’utilizzo di cd. “cookie wall”. Con riferimento all’attività di scrolling, il Garante Privacy, conformemente a quanto sostenuto dall’EDPB, ha chiarito che tale attività è di per sé inadatta alla raccolta di un idoneo consenso, ad eccezione del solo caso in cui lo scrolling venga inserito in un processo più articolato nel quale l’utente sia in grado di generare un evento, registrabile e documentabile presso il server del sito, che possa essere qualificato come azione positiva idonea a manifestare in maniera inequivoca la volontà di prestare un consenso al trattamento[3]. Relativamente al tema “cookie wall”, ossia un meccanismo di “take it or leave it” attraverso il quale l’utente è obbligato ad esprimere il proprio consenso alla ricezione di cookie di profilazione, pena l’impossibilità di accedere al sito, il Garante Privacy ha chiarito che tale meccanismo, non consentendo di qualificare l’eventuale consenso prestato dall’interessato conforme a quanto disposto dall’art. 4, comma 11 del GDPR, è generalmente da considerarsi illecito, ad eccezione del caso in cui il sito offra all’interessato la possibilità di accedere, senza prestare il proprio consenso all’installazione e all’uso di cookie, ad un contenuto o a un servizio equivalenti[4]. Ai sensi dell’art. 25, comma 2, del GDPR, rubricato “Protezione dei dati fin dalla progettazione e protezione dei dati per impostazione predefinita” (cd. “privacy by design” e “privacy by default”), il titolare dovrà garantire che, per impostazione predefinita, vengano trattati solo i dati personali necessari in relazione a ciascuna specifica finalità del trattamento e che, in particolare, la quantità dei dati raccolti e la durata della loro conservazione non eccedano il minimo necessario per il conseguimento delle finalità perseguite. Ciò implica dunque che, per impostazione predefinita: Si garantirebbe, in tal modo, che “by default”, l’interessato che non intenda esprimere il proprio consenso non sia in alcun modo profilato. Tuttavia, è anche necessario prevedere la possibilità per gli interessati di manifestare il proprio consenso ad un utilizzo più ampio dei suoi dati personali (ad esempio per finalità di profilazione). A tal fine, le Linee Guida suggeriscono ai gestori dei siti web di implementare “un meccanismo in base al quale l’utente, accedendo alla home page (o ad altra pagina) del sito web, visualizzi immediatamente un’area di dimensioni sufficienti da costituire una percettibile discontinuità nella fruizione dei contenuti della pagina web che sta visitando, che sia parte integrante di un meccanismo che, pur non impedendo il mantenimento delle impostazioni di default, permetta anche l’eventuale espressione di una azione positiva nella quale deve sostanziarsi la manifestazione del consenso dell’interessato”[5]. In ogni caso, come dichiarato dall’Autorità, “Il consenso potrà intendersi come validamente prestato soltanto se sarà conseguenza di un intervento attivo e consapevole dell’utente (ad esempio la selezione di un esplicito comando ovvero di un elemento contenuto nella pagina sottostante l’area stessa), opportunamente riscontrabile e dimostrabile, che consenta di qualificarlo come in linea con tutti quei requisiti (libero, informato, inequivoco e specifico, cioè espresso in relazione a ciascuna diversa finalità del trattamento) richiesti dal GDPR”[6]. Al fine di agevolare il rispetto degli obblighi di trasparenza imposti dal Regolamento, il Garante Privacy ha elaborato un elenco di informazioni essenziali che i titolari del trattamento, con linguaggio semplice e accessibile, dovranno fornire all’utente in merito all’installazione e all’utilizzo dei cookie. Come specificato dall’Autorità, le informazioni da comunicare agli interessati variano in base alla tipologia di cookie utilizzati: Inoltre, ai sensi del principio di privacy by default, è necessario che le possibili scelte granulari dell’utente (quali ad esempio la profilazione) siano impostate sul diniego all’impostazione dei cookie. In tal modo, solo attraverso un’azione positiva di selezione sarà possibile manifestare il proprio consenso. Infine, dovrà essere altresì garantito all’utente il “diritto di ripensamento”, esercitabile attraverso un apposito comando idoneo a revocare il consenso inizialmente prestato. [1] EDPB, Linee guida 5/2020 sul consenso ai sensi del regolamento (UE) 2016/679 adottate il 4 maggio 2020. [2] Ai sensi dell’art. 4.1 del Provvedimento Cookie, il banner dovrà contenere le seguenti indicazioni: [3] Cfr. Linee Guida sull’utilizzo dei cookie e di altri strumenti di tracciamento, p. 6. [4] Cfr. Linee Guida sull’utilizzo dei cookie e di altri strumenti di tracciamento, p. 7. [5] Cfr. Linee Guida sull’utilizzo dei cookie e di altri strumenti di tracciamento, p. 7/8. [6] Cfr. Linee Guida sull’utilizzo dei cookie e di altri strumenti di tracciamento, p. 9.
Cookie tecnici
Sono utilizzati per garantire e agevolare le attività strettamente necessarie al funzionamento del sito web, la normale navigazione sullo stesso e per permetterne le relative funzionalità (quali, ad esempio, salvare la sessione, le preferenze di navigazione, ricordare alcuni criteri selezionati come la lingua, gestire la distribuzione del traffico, ecc.), nonché per raccogliere alcune informazioni in forma aggregata sugli utenti del sito.
Cookie di profilazione
Sono utilizzati per ricondurre a soggetti determinati, identificati o identificabili, specifiche azioni o schemi comportamentali ricorrenti nell’uso delle funzionalità offerte al fine del raggruppamento dei diversi profili all’interno di cluster omogenei di diversa ampiezza, in modo che sia possibile inviare messaggi pubblicitari mirati, cioè in linea con le preferenze manifestate dall’utente nell’ambito della navigazione in rete.
