I nuovi orientamenti sui cookie in materia di privacy

Dal 25/5/2018 è pienamente entrato in vigore il Regolamento dell’Unione Europea n. 679/2016 sulla privacy (di seguito solo “GDPR” quale acronimo di “general data protection regulation”), il quale si è affiancato alla – preesistente e ad oggi non abrogata - disciplina europea sul trattamento dei dati personali e sulla tutela della vita privata nel settore delle comunicazioni elettroniche dettata dalla Direttiva 2002/58/CE sulla c.d. “e-Privacy” (di seguito solo “Direttiva e-Privacy”). Da allora l’evoluzione della materia della protezione dei dati personali delle persone fisiche ha avuto continui ed importanti sviluppi, sia ad opera della prassi applicativa dei Garanti della privacy dei vari Stati membri dell’UE (di seguito solo “Garanti”), sia per effetto di sentenze dei giudici nazionali ed europei.

Sotto quest’ultimo profilo ci preme in particolare segnalare la recentissima sentenza della Corte di Giustizia dell’Unione Europea del 1/10/2019 nella causa C-673/17 (di seguito solo “Sentenza” consultabile in lingua italiana al seguente link). La Sentenza ha enunciato alcuni principi importantissimi su una tematica di estrema attualità ed importanza per tutti gli imprenditori che si avvalgono di un sito Internet nell’esercizio della propria attività d’impresa. La tematica in questione è il trattamento dei dati personali delle persone fisiche nell’utilizzo dei c.d. “cookie”, con particolare focus sull’archiviazione di informazioni (download di cookie) e sull’accesso a informazioni già archiviate (accesso ad informazioni dopo aver scaricato cookie) nell’apparecchiatura terminale (per esempio, un notebook o altro dispositivo che permette la navigazione in Internet) a mezzo della quale un dato utente visita il sito Internet dell’impresa.

Per la definizione di cosa siano i cookie, riportiamo di seguito quanto si legge in premessa nel provvedimento del Garante della privacy italiano datato 8/5/2014: “I cookie sono stringhe di testo di piccole dimensioni che i siti visitati dall’utente inviano al suo terminale (solitamente al browser), dove vengono memorizzati per essere poi ritrasmessi agli stessi siti alla successiva visita del medesimo utente. Nel corso della navigazione su un sito, l’utente può ricevere sul suo terminale anche cookie che vengono inviati da siti o da web server diversi (c.d. “terze parti”), sui quali possono risiedere alcuni elementi (quali, ad esempio, immagini, mappe, suoni, specifici link a pagine di altri domini) presenti sul sito che lo stesso sta visitando. I cookie, solitamente presenti nei browser degli utenti in numero molto elevato e a volte anche con caratteristiche di ampia persistenza temporale, sono usati per differenti finalità: esecuzione di autenticazioni informatiche, monitoraggio di sessioni, memorizzazione di informazioni su specifiche configurazioni riguardanti gli utenti che accedono al server, ecc.”. Il medesimo provvedimento distingue poi tra “cookie tecnici” e “cookie di profilazione”. Tra i primi (cookie tecnici) rientrano quei cookie indispensabili affinché il sito Internet possa funzionare (c.d. “cookie strettamente necessari”), in quanto la loro archiviazione o accesso serve al fine di effettuare la trasmissione di comunicazioni su Internet, oppure sono limitati in misura strettamente necessaria affinché possa essere erogato un servizio su Internet che era stato esplicitamente richiesto dall’utente; per i cookie strettamente necessari, la Direttiva e-Privacy non impone venga espresso il consenso, sebbene l’utente debba essere informato sugli stessi. I cookie della seconda summenzionata categoria (cookie di profilazione) sono invece volti a creare profili relativi all’utente e vengono utilizzati al fine di inviare messaggi pubblicitari in linea con le preferenze manifestate dallo stesso nell’ambito della navigazione in rete. Aggiungiamo altresì l’esistenza dei c.d. “cookie funzionali”, i quali permettono di memorizzare le impostazioni per un concreto utente anche per le successive viste dell’utente al sito; il regime giuridico di tali cookie è praticamente identico al regime delle altre tipologie di cookie diverse da quella dei cookie strettamente necessari.

Ne deriva che a seconda della categoria di cookie scaricati e conservati, eccezion fatta per i cookie strettamente necessari, il gestore del sito Internet visitato e, eventualmente, anche parti terze ottengono una variegata tipologia di informazioni costituenti vari gradi di impatto sui diritti delle persone fisiche, in quanto tali informazioni variano dal mero conteggio a fini statistici delle visite al sito Internet, al monitoraggio delle preferenze dell’utente che poi un terzo utilizza per impostare quali pubblicità far comparire durante la navigazione.

La problematica dei cookie sotto il profilo della privacy richiedeva già da diverso tempo indicazioni più specifiche e la Sentenza ha in parte fornito risposta ad alcuni interrogativi di cui si era occupata la dottrina ed il c.d. “Gruppo di lavoro 29”. In concreto, la Sentenza ha enunciato tre massime che di seguito tentiamo di parafrasare:

1) il consenso al trattamento dei dati personali non è validamente espresso quando l’archiviazione di informazioni o l’accesso a informazioni già archiviate nell’apparecchiatura terminale dell’utente di un sito Internet attraverso cookie siano autorizzati mediante una casella di spunta preselezionata che l’utente deve deselezionare al fine di negare il proprio consenso (il c.d. “opt-out” non è quindi consentito);

2) il consenso che deve essere espresso per il trattamento dei dati personali non diverge dal consenso che deve essere espresso per la gestione di informazioni archiviate o consultate nell’apparecchiatura terminale dell’utente, anche qualora non rientrino nella definizione del termine “dati personali” secondo la normativa europea (in primis, secondo il GDPR e la Direttiva e-Privacy);

3) il periodo di attività dei cookie, nonché la possibilità o meno per i terzi di avere accesso a tali cookie, rientrano tra le informazioni che il fornitore di servizi deve comunicare all’utente di un sito Internet.

Dal primo principio si evince che sarebbe violata la normativa sulla privacy se sul dispositivo terminale di un utente che accede ad un sito Internet venissero scaricati cookie sulla base di un consenso che non viene espresso mediante un comportamento attivo (consistente, per esempio, nel click sulla casella di accettazione all’utilizzo dei cookie), bensì mediante un comportamento passivo consistente nel mancato click sulla preimpostata opzione di espressione del consenso in esame.

Il secondo principio comporta che il consenso all’utilizzo dei cookie debba essere espresso anche qualora i cookie scaricati o conservati sul dispositivo dell’utente non permettano di ottenere o altrimenti trattare “dati personali”, ma anche solo altre “informazioni”, sebbene riteniamo che resti fatta salva l’eccezione concernente i cookie strettamente necessari. Secondo la Sentenza, la giustificazione di questo principio sarebbe di “tutelare gli utenti dal rischio che identificatori occulti o altri dispositivi analoghi si introducano dell’apparecchiatura terminale dell’utente a sua insaputa”.

Il terzo principio rientra nella più vasta tematica dell’informativa che deve essere resa disponibile a coloro che accedono a un sito Internet.

È proprio l’informativa al trattamento dei dati personali mediante l’utilizzo di cookie l’elemento sul quale occorre fare la massima attenzione, giacché la summenzionata descritta evoluzione in materia di privacy oramai impone che siffatta informativa debba essere scritta ed impostata in maniera tale da rispettare – non solo il GDPR e la Direttiva e-Privacy, ma anche – l’interpretazione della normativa nel campo della protezione dei dati personali alla luce degli orientamenti dei Garanti.

Una buona “cookie policy” dovrebbe in questo senso prendere le mosse dai seguenti principi:

1. la pubblicazione dell’informativa sul trattamento dei dati personali nell’utilizzo di cookie dovrebbe essere a “due livelli”, di cui

1.1. nell’informativa di primo livello si dovrebbero fornire in maniera sintetica una serie  di fugaci informazioni sull’utilizzo dei cookie; l’informativa di primo livello dovrebbe comparire all’utente quando accede al sito Internet e dovrebbe manifestarsi in forma di avviso in alto o in basso della schermata (c.d. “cookie banner”); il cookie banner dovrebbe poi contenere la funzionalità che permette di esprimere il consenso all’utilizzo delle singole categorie di cookie (cookie funzionali, cookie analitici, cookie di profilazione ecc.); il sito dovrebbe altresì essere navigabile anche nel caso in cui l’utente non esprimesse il consenso; sui cookie strettamente necessari è secondo la nostra opinione sufficiente fornire all’utente le debite informazioni, senza che sia necessario chiederne il consenso;

1.2. nell’informativa di secondo livello dovrebbero essere pubblicate informazioni maggiormente approfondite sui vari aspetti del trattamento dei dati personali dell’utente mediante l’utilizzo di cookie (c.d. “cookie policy”); l’informativa di secondo livello dovrebbe essere messa a disposizione in un’apposita sezione del sito Internet consultabile sia cliccando su un link ipertestuale che dovrebbe comparire nel cookie banner, sia cliccando sulla scritta – per esempio – “Cookie” o “Cookie policy” che dovrebbe essere visibile in ogni pagina web del determinato sito Internet;


2. le informazioni che dovrebbero essere menzionate nell’informativa di secondo livello dovrebbero essere almeno le seguenti:

2.1. l’indicazione di tutte le tecnologie (non solo i cookie) con le quali viene eseguito un trattamento dei dati personali;

2.2. l’indicazione delle diverse tipologie di cookie utilizzati e una concisa spiegazione su ciascuna di esse;

2.3. i dati identificativi di ciascun titolare del trattamento, sia questo il gestore della piattaforma online o un terzo che tratterà i dati personali dell’utente o accederà ad informazioni mediante i cookie (in conformità del succitato secondo e terzo principio della Sentenza);

2.4. la base giuridica del trattamento, che dovrebbe essere il consenso dell’interessato;

2.5. i tipi di dati trattati e le informazioni acquisite;

2.6. la finalità del trattamento;

2.7. la durata del periodo di conservazione dei dati personali trattati (in conformità del succitato terzo principio della Sentenza);

2.8. le istruzioni su come revocare il consenso o modificare le impostazioni del browser di Internet in modo da disattivare l’autorizzazione al download di cookie;
    
2.9. i diritti dell’utente in qualità di “persona interessata”, la modalità del loro esercizio ed i riferimenti (per esempio, un indirizzo e-mail) del soggetto al quale all’uopo rivolgersi;


3. salvo le esenzioni previste dalla Direttiva e-Privacy per i cookie strettamente necessari, l’utente deve essere messo nella condizione di poter in qualsiasi momento fornire e revocare il proprio consenso al trattamento dei propri dati personali per ogni tipologia di trattamento ed in relazione ad ogni titolare del trattamento (si tratta del c.d. “consenso granulare” in base al quale l’utente può scegliere se esprimere il consenso in relazione a ad ogni singola determinata tipologia di cookie o ad ogni singolo determinato titolare del trattamento), con la precisazione per cui

3.1. il consenso deve essere spontaneo, nel senso che potrebbe essere considerato non conforme alle regole sulla privacy se in caso di mancata espressione del consenso venisse impedita la navigazione al sito Internet o venissero negate alcune funzionalità del sito per le quali non è strettamente necessario che l’utente scarichi o conservi i cookie (in altre parole, il c.d. “cookie wall” potrebbe essere considerato illecito);

3.2. il consenso deve essere esplicito (in conformità del succitato primo principio della Sentenza) ed inequivoco;
    
3.3. il consenso deve essere espresso allo specifico caso della profilazione, sulla quale peraltro devono essere fornite le debite informazioni;

3.4. il consenso deve essere espresso prima dell’installazione dei cookie sul dispositivo dell’utente, quindi prima che il trattamento dei dati abbia inizio;

3.5. è consigliabile evitare una tale impostazione nel riquadro di scelta sull’espressione del consenso, che induca l’utente ad esprimere un determinato consenso;


4. non è ufficialmente stabilito il limite massimo di conservazione dei dati degli utenti, che vengono raccolti mediante cookie; tuttavia, alcuni Organi di controllo (per esempio, l’ICO per il Regno Unito) si limitano all’indicazione per cui tale periodo debba essere proporzionale alla finalità perseguita, mentre altri Garanti della privacy (per esempio, il Garante per la tutela dei dati personali della Repubblica francese) forniscono istruzioni più dettagliate fissando la durata massima di conservazione in 13 mesi per talune tipologie di cookie e in 25 mesi per talaltre.

Sebbene alcune delle suindicate accortezze non siano richieste né dalla Direttiva e-Privacy, né dalle indicazioni fornite dal Gruppo di lavoro 29 o dal Comitato europeo per la tutela dei dati personali (EDPB), consigliamo di non trascurare la tematica della politica sulla disposizione dei file cookie, considerando l’evoluzione e l’attenzione che vengono al giornod’oggi dedicate alla problematica quivi trattata.