GDPR, cookie e privacy online: cosa sono, come funzionano e quali regole devono rispettare utenti e siti web per proteggere i dati personali.
Hai presente quando visiti un sito e ti compare un banner con delle domande sulle tue preferenze di navigazione? Quel pop-up non è casuale: il GDPR e le normative sulla privacy adottate dal Parlamento europeo e dal Consiglio dell’Unione Europea per rafforzare e uniformare la tutela dei dati personali, hanno cambiato radicalmente il modo in cui siti web, aziende e servizi online devono gestire i dati personali degli utenti.
Il regolamento è applicabile dal 25 maggio 2018 e riguarda aziende, organizzazioni e servizi che trattano dati personali su siti web e servizi online. In questa guida vedremo come funziona il GDPR, quali sono le principali tipologie di cookie e quali differenze esistono tra strumenti tecnici, analytics e profilazione. Spiegheremo inoltre come gestire i cookie attraverso il browser, quali sono gli obblighi per i proprietari dei siti web e quali caratteristiche dovrebbe avere un banner per raccogliere il consenso in modo corretto.
Indice
- Cos’è il GDPR?
- Cosa sono i cookie?
- Come gestire i cookie sul browser
- Obblighi legali per i siti web
- Creare un banner cookie a norma
Cos’è il GDPR?
Il GDPR protegge le persone fisiche rispetto al trattamento dei loro dati personali e stabilisce un insieme di principi che devono guidare chi raccoglie, utilizza o conserva queste informazioni. Tra questi rientrano liceità, correttezza e trasparenza, limitazione delle finalità, minimizzazione dei dati, esattezza, limitazione della conservazione, integrità e riservatezza. Per un sito web ciò significa evitare raccolte indiscriminate e poter spiegare agli utenti quali informazioni vengono trattate, perché vengono utilizzate e per quanto tempo possono essere conservate.
Un aspetto importante riguarda la base giuridica del trattamento. Il consenso è soltanto una delle possibili basi previste dal GDPR (Regolamento UE 2016/679) e non deve essere richiesto automaticamente per ogni operazione che coinvolge dati personali. A seconda del trattamento possono esistere altre basi giuridiche, come l’esecuzione di un contratto, un obbligo legale o il legittimo interesse, quando applicabile. Per i cookie e gli strumenti di tracciamento entrano inoltre in gioco le specifiche disposizioni previste dalla normativa sulle comunicazioni elettroniche.
Il regolamento riconosce agli interessati numerosi diritti sui propri dati personali. Tra questi ci sono il diritto di accesso, rettifica, cancellazione, limitazione del trattamento, portabilità e opposizione, oltre alla possibilità di revocare il consenso quando il trattamento si basa su quest’ultimo. Un sito che raccoglie dati personali deve quindi predisporre modalità adeguate per gestire le richieste degli utenti. La privacy non si esaurisce nel banner iniziale: riguarda anche ciò che avviene successivamente alla raccolta delle informazioni.
Il GDPR prevede inoltre un sistema di sanzioni amministrative che può essere particolarmente rilevante per le violazioni più gravi. Per alcune categorie di infrazioni il limite massimo può arrivare a 20 milioni di euro oppure, per le imprese, al 4% del fatturato mondiale annuo dell’esercizio precedente, se superiore. L’importo effettivo viene comunque determinato considerando le circostanze del singolo caso, secondo criteri stabiliti dal regolamento. Per questo la conformità non dovrebbe essere considerata soltanto un adempimento formale.
Cosa sono i cookie?
I cookie sono piccoli dati memorizzati dal browser sul dispositivo dell’utente quando visita un sito. Possono servire a mantenere una sessione attiva, ricordare una preferenza, consentire il funzionamento di un carrello oppure supportare altre funzionalità. Esistono cookie di sessione, che vengono eliminati alla chiusura del browser, e cookie persistenti, che rimangono memorizzati più a lungo. Un’altra distinzione riguarda il soggetto che li installa: possono essere associati al sito visitato oppure a servizi forniti da terze parti.
I cookie tecnici sono quelli utilizzati per effettuare una comunicazione attraverso una rete elettronica o nella misura strettamente necessaria a fornire un servizio esplicitamente richiesto dall’utente. Possono quindi essere indispensabili per funzioni come autenticazione, gestione di una sessione, sicurezza o memorizzazione di determinate impostazioni necessarie al servizio. Il loro utilizzo, nei limiti previsti dalla normativa, non richiede il consenso preventivo, ma resta necessario fornire agli utenti un’informazione adeguata sul loro impiego.
I cookie di profilazione hanno invece una funzione diversa. Possono essere utilizzati per ricondurre determinate attività o schemi di comportamento a utenti identificati o identificabili, creando profili e consentendo, per esempio, di personalizzare messaggi pubblicitari. Sono quindi particolarmente rilevanti dal punto di vista della privacy. In linea generale, quando strumenti di tracciamento vengono utilizzati per finalità non tecniche, il loro impiego richiede il consenso dell’utente secondo modalità conformi ai requisiti previsti dalla normativa applicabile.
Un caso che genera spesso confusione riguarda i cookie analytics. Il semplice fatto che uno strumento serva a misurare gli accessi non significa automaticamente che sia sempre un cookie tecnico. Il Garante ammette l’equiparazione degli analytics ai cookie tecnici in determinate condizioni, soprattutto quando vengono adottate misure di minimizzazione che impediscono l’identificazione diretta dell’interessato e il tracciamento incompatibile con tale finalità. Occorre quindi valutare concretamente configurazione, finalità, soggetti coinvolti e caratteristiche dello strumento utilizzato.
Anche i cookie di terze parti meritano particolare attenzione. Possono essere installati o gestiti da soggetti diversi dal proprietario del sito e vengono spesso utilizzati per servizi esterni, pubblicità, contenuti incorporati, strumenti statistici o funzionalità social. La presenza di una terza parte non determina però automaticamente la classificazione del cookie come di profilazione: ciò che conta è la finalità effettiva del trattamento. Per questa ragione il proprietario del sito dovrebbe conoscere gli strumenti presenti nelle proprie pagine e verificarne periodicamente il comportamento.
Come gestire i cookie sul browser
Anche gli utenti possono intervenire sulla gestione dei cookie attraverso le impostazioni del proprio browser. I programmi più diffusi permettono di visualizzare, eliminare o bloccare determinati cookie e, in alcuni casi, di limitare il tracciamento effettuato da siti o servizi di terze parti. Queste impostazioni rappresentano uno strumento utile per aumentare il controllo sulla navigazione, anche se non sostituiscono necessariamente le preferenze espresse attraverso i sistemi di consenso presenti sui singoli siti.
Le possibilità cambiano in base al browser utilizzato e alla versione del programma. In Google Chrome è possibile consultare le impostazioni dedicate ai cookie e ai dati dei siti. Mozilla Firefox offre strumenti per controllare cookie e protezione antitracciamento. Safari consente di intervenire sulle impostazioni relative alla privacy e ai dati dei siti, mentre Microsoft Edge permette di gestire cookie e dati di navigazione. Anche Opera mette a disposizione impostazioni specifiche.
Eliminare periodicamente i cookie memorizzati può essere utile per rimuovere informazioni conservate dal browser, ma non significa cancellare automaticamente tutti i dati che un sito o un servizio può aver già raccolto. Inoltre, bloccare indiscriminatamente ogni cookie può impedire il corretto funzionamento di alcune pagine, soprattutto quando vengono utilizzati strumenti necessari per autenticazione, preferenze o altre funzioni richieste dall’utente. È quindi preferibile conoscere le singole impostazioni e scegliere un livello di protezione coerente con le proprie esigenze.
La gestione dal browser è soltanto una parte del controllo sulla privacy. Quando un sito presenta un banner per il consenso, l’utente dovrebbe poter leggere le informazioni essenziali, accettare oppure rifiutare i trattamenti che richiedono consenso e, quando previsto, scegliere in modo granulare le diverse finalità. Un consenso valido deve essere una scelta effettiva, libera, informata e inequivocabile. Anche la possibilità di modificare o revocare successivamente una scelta è un elemento importante del sistema di gestione delle preferenze.
Obblighi legali per i siti web
Chi gestisce un sito deve innanzitutto conoscere quali cookie e strumenti di tracciamento sono presenti. Non è sufficiente installare un banner generico e considerare il problema risolto. Bisogna verificare script, plugin, servizi esterni, sistemi pubblicitari, strumenti statistici, video incorporati e altre tecnologie che possono effettuare letture o scritture sul dispositivo o raccogliere informazioni. L’analisi dovrebbe essere ripetuta quando vengono aggiunti nuovi servizi, modificati plugin o introdotte nuove funzionalità nel sito.
Il sito deve inoltre fornire un’informativa privacy chiara e completa, indicando almeno le informazioni richieste dalla normativa applicabile sul trattamento dei dati. Per i cookie e gli altri strumenti di tracciamento, le informazioni devono consentire all’utente di capire quali strumenti vengono utilizzati, per quali finalità e, quando rilevante, quali soggetti terzi sono coinvolti. Il Garante per la protezione dei dati personali mette a disposizione documentazione e indicazioni utili per comprendere il quadro normativo italiano.
Quando è necessario il consenso, i cookie non tecnici non dovrebbero essere installati prima della scelta dell’utente. Questo è uno degli aspetti più importanti per chi gestisce un sito: mostrare semplicemente un banner non è sufficiente se, nel frattempo, gli strumenti di profilazione o tracciamento sono già stati attivati. Il Garante indica infatti che, al primo accesso, gli strumenti diversi da quelli tecnici non devono essere utilizzati prima dell’acquisizione di un consenso valido. Il sistema deve inoltre permettere di documentare le preferenze espresse.
Il proprietario del sito deve prestare attenzione anche alla revoca del consenso. Se l’utente ha accettato determinate categorie di cookie, deve poter modificare la propria scelta con modalità ragionevolmente semplici. Un sistema nel quale accettare è immediato mentre rifiutare o revocare il consenso richiede numerosi passaggi può compromettere la libertà della scelta. Per questo la gestione delle preferenze dovrebbe essere progettata fin dall’inizio e non aggiunta successivamente come semplice elemento grafico del sito.
Gli obblighi possono riguardare anche i rapporti con i fornitori esterni. Un sito che utilizza piattaforme pubblicitarie, servizi di analytics, video, mappe o altri strumenti di terze parti deve conoscere il funzionamento di questi servizi e valutare i relativi trattamenti. La responsabilità del gestore non scompare semplicemente perché il codice è stato fornito da un’altra azienda. È quindi importante mantenere aggiornato l’elenco degli strumenti utilizzati, verificare le impostazioni disponibili e controllare periodicamente che il comportamento effettivo delle pagine corrisponda a quanto dichiarato nell’informativa.
Creare un banner cookie a norma
Un banner cookie deve innanzitutto informare l’utente in modo comprensibile e permettergli di effettuare una scelta reale. Non dovrebbe essere concepito soltanto come un avviso grafico da chiudere rapidamente, ma come parte di un sistema più ampio di gestione del consenso. Il messaggio iniziale dovrebbe spiegare in modo sintetico che il sito utilizza cookie o altri strumenti, indicare le principali finalità e offrire modalità chiare per accettare, rifiutare o gestire le preferenze quando il consenso è necessario.
Un elemento importante è la parità delle possibilità di scelta. Il Garante ha indicato un modello nel quale l’utente può accettare i cookie, proseguire mantenendo le impostazioni che escludono quelli non tecnici oppure accedere a una sezione dedicata per scegliere le singole finalità. La logica è evitare che una scelta venga ottenuta attraverso azioni ambigue o inconsapevoli. Anche la chiusura del banner non dovrebbe essere interpretata automaticamente come consenso, mentre le preferenze devono essere registrabili e successivamente modificabili.
La sezione dedicata alle preferenze dei cookie dovrebbe consentire, quando necessario, di distinguere le diverse finalità e di fornire informazioni sufficienti sugli strumenti utilizzati. In base alla configurazione del sito possono essere presenti categorie relative ad analisi statistiche, pubblicità, personalizzazione o altri servizi. È importante però evitare categorie generiche che non consentano di capire realmente cosa accade. L’utente deve poter compiere una scelta informata e il gestore deve poter dimostrare, quando necessario, quali preferenze sono state espresse.
Esistono diversi strumenti per creare e gestire un cookie banner. Tra le soluzioni disponibili ci sono piattaforme specializzate come Cookiebot, Cookie Consent di Osano e CookieYes. Questi servizi possono offrire funzioni differenti per scansione dei cookie, gestione del consenso, personalizzazione del banner e documentazione delle preferenze. La scelta della piattaforma, tuttavia, non rende automaticamente conforme un sito: è necessario configurare correttamente lo strumento in relazione ai trattamenti effettivamente presenti.
Chi utilizza Google AdSense deve considerare anche gli strumenti messi a disposizione da Google per la gestione del consenso degli utenti europei. La piattaforma permette di configurare messaggi relativi alle normative europee e di utilizzare una piattaforma di gestione del consenso secondo le opzioni disponibili nell’account. Le impostazioni devono comunque essere coerenti con il funzionamento effettivo del sito e con gli altri strumenti di tracciamento presenti. Le informazioni ufficiali sono disponibili nella guida Google AdSense sul consenso.
Infine, un banner GDPR non dovrebbe essere considerato un elemento definitivo. Ogni modifica al sito può introdurre nuovi cookie o strumenti di tracciamento e rendere necessario aggiornare informativa, configurazione del consenso e documentazione. Per questo è opportuno effettuare controlli periodici, soprattutto dopo l’installazione di plugin, sistemi pubblicitari, servizi analytics o contenuti incorporati.
