Cookie law: i chiarimenti del Garante Privacy dopo la scadenza del 2 giugno

Dal 2 giugno 2015 la cookie law italiana è pienamente operativa, e a pochi giorni dalla scadenza il Garante per la protezione dei dati personali è tornato sul tema con una serie di chiarimenti. Nel linguaggio informatico, i «cookie» non sono affatto dolci biscotti da forno, ma piccoli file o stringhe di testo attraverso cui i siti internet riconoscono gli utenti, memorizzano informazioni sulle loro sessioni di navigazione e rendono possibili azioni di marketing diretto e mirato: per esempio, la visualizzazione di pubblicità personalizzate.

Dalla direttiva europea alla cookie law italiana

Fino a qualche tempo fa i cookie venivano usati senza particolari controlli dalla quasi totalità dei siti. Nel 2009 il quadro è cambiato: l’Unione europea, con la direttiva 2009/136/CE, ha imposto di ottenere il consenso preventivo dell’interessato quando le informazioni vengono raccolte attraverso questo strumento, considerato particolarmente invasivo nonostante il nome «delizioso».

In Italia la direttiva è stata recepita nel 2012 con una modifica del Codice in materia di protezione dei dati personali: l’art. 1, comma 5, lett. a), del D.Lgs. 28 maggio 2012, n. 69 ha riscritto l’art. 122 del Codice della privacy. Al Garante è stato affidato il compito di vigilare e di definire le modalità di acquisizione del consenso all’uso dei cookie per finalità diverse da quelle meramente tecniche.

In attuazione di questi compiti, con il provvedimento dell’8 maggio 2014 «Individuazione delle modalità semplificate per l’informativa e l’acquisizione del consenso per l’uso dei cookie», il Garante ha indicato in concreto come tradurre online la cookie law e come raccogliere i consensi nel rispetto della legge, fissando al 2 giugno 2015 il termine per adeguarsi.

Il «panico» in rete e i nuovi chiarimenti del Garante

Nonostante il tempo concesso per adeguarsi (tredici mesi!), in prossimità della scadenza si è diffuso il «panico» in rete: critiche, petizioni, chiarimenti e sintesi di chiarimenti, molte richieste rivolte al Garante e perfino sotto-siti interamente dedicati alla cookie law. Così, nei primi giorni di giugno, il Garante è intervenuto nuovamente, pubblicando sul proprio sito ulteriori chiarimenti sull’utilizzo dei cookie.

Volendo sintetizzare le spiegazioni offerte dal Garante, possiamo affermare che:

• i siti che decidono di non ricorrere ai cookie non sono tenuti ad alcun adempimento;
• per i cookie «tecnici», usati per rendere più semplice la navigazione, non occorre installare banner: è sufficiente l’informativa privacy (in pratica, bastano due righe nella privacy policy che chiariscano che il sito usa solo cookie tecnici);
• i cookie analitici, usati per rilevazioni statistiche, possono essere assimilati a quelli tecnici solo se utilizzati direttamente dal gestore del sito e in modo da garantire una raccolta di informazioni in forma anonima;
• per i cookie analitici di terze parti, il gestore del sito non ha obblighi se i servizi utilizzati per le statistiche hanno un potere identificativo ridotto (ad esempio, indirizzi IP parzialmente mascherati) o se le terze parti si impegnano a non sfruttare a proprio vantaggio le informazioni raccolte;
• per i collegamenti a social network o a siti esterni che non prevedono l’utilizzo di cookie non serve alcuna informativa né consenso;
• il consenso all’uso dei cookie può essere richiesto anche per categorie omogenee;
• gli obblighi riguardano tutti i siti che utilizzano cookie, anche se non hanno la sede legale in Italia;
• per i siti che appartengono allo stesso dominio può essere effettuata un’unica notifica.

Sanzioni: prima la possibilità di rimediare

È giusto ricordare, inoltre, che a causa del polverone sollevato, sfociato perfino in una petizione, il Garante ha fatto sapere che in caso di violazioni non passerà immediatamente all’applicazione delle sanzioni previste, ma darà a tutti la possibilità di mettersi in regola.

Cookie law: che cosa può fare l’utente

La cookie law non riguarda solo i gestori dei siti. Chi preferisce impedire a monte la creazione dei cookie può configurare il proprio browser per bloccarli o eliminarli: Firefox, Chrome, Internet Explorer, Safari e Opera mettono a disposizione, nelle impostazioni sulla privacy, le relative procedure, e indicazioni generali sono disponibili su siti informativi come AboutCookies.org. Per i gestori dei siti, invece, il punto più delicato resta quello dei cookie analitici, che merita una verifica caso per caso degli strumenti statistici effettivamente utilizzati.

Sullo stesso tema: La Commissione propone il nuovo regolamento sulla protezione dei dati (2012); Illegittima segnalazione centrale rischi e tutela della privacy (2013).

Testo a cura della Redazione ADLP — giugno 2015. Fonti: Garante per la protezione dei dati personali, chiarimenti del 5 giugno 2015 e provvedimento dell’8 maggio 2014.

Nota informativa. I contenuti hanno finalità esclusivamente informative, nel rispetto degli artt. 17 e 17-bis del Codice Deontologico Forense, e non costituiscono parere legale. Per ogni valutazione sul caso concreto è necessario un confronto professionale.

© 2015 ADLP Studio Legale. Testi, immagini, grafiche e documenti di questo sito sono protetti dalla legge 22 aprile 1941, n. 633; la riproduzione è riservata (art. 65). Sono consentite citazioni e riprese, anche da parte di motori di ricerca e sistemi di IA, purché indichino l’autore, ADLP Studio Legale e il link all’articolo. Sono vietati copia e riuso senza attribuzione, nonché l’estrazione di testo e dati per addestrare modelli di IA (art. 70-quater).