Si fa un gran parlare in questi giorni della fatidica scadenza del 2 giugno 2015, data nella quale termina il periodo transitorio per l’applicazione della nuova disciplina sull’informativa e sul consenso all’utilizzo dei cosiddetti “cookies di profilazione” promossa dal Garante della privacy l’8 maggio 2014.

Sull’argomento, come c’era da aspettarsi, si è creata parecchia confusione oltre che un maldestro tentativo di marketing da parte di alcuni soggetti. Vediamo allora di fare un po’ di chiarezza.

Di cosa parla il Garante?

Si parla di cookies, ossia di quei piccoli file che un sito web “deposita” nel pc dell’utente che lo sta guardando e che hanno diversi utilizzi. Vi siete mai chiesti come faccia un sito a tenere in memoria su pagine diverse il vostro carrello della spesa o il vostro login? I cookies cosiddetti tecnici servono proprio a questo, a recuperare informazioni di sessione utili per il funzionamento del sito. Ecco la prima nozione da tenere a mente, i cookies tecnici

Sono i cookie che servono a effettuare la navigazione o a fornire un servizio richiesto dall’utente. Non vengono utilizzati per scopi ulteriori e sono normalmente installati direttamente dal titolare del sito web.

Senza il ricorso a tali cookie, alcune operazioni non potrebbero essere compiute o sarebbero più complesse e/o meno sicure, come ad esempio le attività di home banking (visualizzazione dell’estratto conto, bonifici, pagamento di bollette, ecc.), per le quali i cookie, che consentono di effettuare e mantenere l’identificazione dell’utente nell’ambito della sessione, risultano indispensabili

Alcuni siti web ed alcune applicazioni, assieme ai cookies tecnici, scaricano nei nostri pc anche dei file più “curiosoni” che hanno il compito di annotare le nostre abitudini di navigazione e di riportare al proprio “padrone” queste informazioni. In questo modo, il “padrone” potrà inviarci messaggi pubblicitari od offerte mirate proprio sui nostri interessi. Il caso più diffuso è quello legato agli annunci Adsende di Google. A tutti sarà capitato di navigare in un ecommerce, riempire un carrello, andare su un altro sito e trovare una pubblicità proprio dell’ecommerce che avevamo appena visitato e proprio con i prodotti che avevamo appena scelto.

Questi insidiosi file sono chiamati “cookies di profilazione” e sono l’oggetto del provvedimento del garante in quanto strumenti potenzialmente pericolosi per la nostra privacy. Ecco quindi la seconda nozione da ricordare, i cookies di profilazione:

Sono i cookie utilizzati per tracciare la navigazione dell’utente in rete e creare profili sui suoi gusti, abitudini, scelte, ecc. Con questi cookie possono essere trasmessi al terminale dell’utente messaggi pubblicitari in linea con le preferenze già manifestate dallo stesso utente nella navigazione online.

Questi file possono infine essere prodotti direttamente dal nostro sito oppure possono essere inseriti in script che introduciamo nelle nostre pagine web. Se il nostro sito ha un’area riservata, i cookies tecnici che servono per farla funzionare sono prodotti dal nostro sistema. Se, invece, inseriamo una pubblicità di Google Adsense od un servizio di statistiche esterno, allora questi file sono prodotti da terze parti, ossia dai fornitori del servizio installato. Questa è l”ultima nozione da tenere a mente prima di passare a vedere cosa dispone il Garante: i cookies si dividono in cookies proprietari (generati dal nostro sito) e da cookies di terze parti (generati da altri e veicolati attraverso le nostre pagine web)

Cosa dice di fare il Garante?

Il garante ci dice che:

Per l’installazione dei cookie tecnici non è richiesto il consenso degli utenti, mentre è necessario dare l’informativa (art. 13 del Codice privacy). I cookie di profilazione, invece, possono essere installati sul terminale dell’utente soltanto se questo abbia espresso il proprio consenso dopo essere stato informato con modalità semplificate.

Quindi la pagina con l’informativa sulla privacy è obbligatoria su tutti i siti che utilizzino dei cookies tecnici. Se, oltre ai cookies tecnici, utilizziamo anche quelli di profilazione allora il Garante ci dice che siamo obbligati a fare una cosa in più: dobbiamo chiedere l’autorizzazione ad installarli sul pc dell’utente.

Attenzione. Il Garante ci dice anche un’altra cosa importante:

A chiedere il consenso è tenuto:

Il titolare del sito web che installa cookie di profilazione.

Per i cookie di terze parti installati tramite il sito, gli obblighi di informativa e consenso gravano sulle terze parti, ma il titolare del sito, quale intermediario tecnico tra queste e gli utenti, è tenuto a inserire nell’informativa “estesa” i link aggiornati alle informative e ai moduli di consenso delle terze parti stesse.

Ecco il punto fondamentale. Se i cookies presenti sul nostro sito sono di terze parti (è il caso delle pubblicità di google, dei plugin social e delle statistiche del sito) noi dobbiamo informare i nostri utenti che utilizziamo queste applicazioni e dobbiamo inserire i link alle rispettive linee guida sulla privacy nella nostra informativa estesa.

Ricapitolando:

1) I siti web scaricano nei pc dei file, chiamati cookies

2) Questi file possono essere tecnici (necessari per far funzionare il sito) o di profilazione (dei file curiosoni che tengono memoria delle nostre abitudini di navigazione)

3) Questi file possono essere prodotti dal nostri sito web (cookies proprietari) o da altri siti (cookies di terze parti) che si inseriscono nel nostro sito web attraverso script (la pubblicità di Adsense, le statistiche, i plugin dei social)

4) I cookies tecnici non hanno bisogno di autorizzazione (ma è sempre necessaria una pagina con l’informativa sulla privacy), i cookies di profilazione devono essere autorizzati prima di poterli installare sul pc dell’utente.

5) L’obbligo di chiedere il consenso ricade sul proprietario dei cookies. In presenza di cookies di terze parti noi dobbiamo solo inserire nella nostra pagina dell’informativa sulla privacy tutti i dati sugli script installati e mettere i link alle informative sulla privacy delle terze parti.

A questo punto cosa devo fare sul mio sito?

Veniamo allora alla parte “operativa”. Come adeguarsi alla nuova regolamentazione? Innanzitutto accertarsi di avere una pagina dedicata all’informativa sulla privacy. In questa pagina andremo ad aggiungere un paragrafo che riguarda i cookies tecnici e, se utilizziamo cookies di terze parti (statistiche, pubblicità, etc…) faremo sapere al nostro utente che li utilizziamo e metteremo i link alle informative sulla privacy di ognuna delle terze parti che usiamo. (guardate ad esempio la nostra)

Ecco cosa dice il garante sull’informativa sulla privacy da inserire:

Deve contenere tutti gli elementi previsti dalla legge, descrivere analiticamente le caratteristiche e le finalità dei cookie installati dal sito e consentire, se previsto,  all’utente di selezionare/deselezionare i singoli cookie.

Deve includere il link aggiornato alle informative e ai moduli di consenso delle terze parti con le quali il titolare ha stipulato accordi per l’installazione di cookie tramite il proprio sito.

Deve richiamare, infine, la possibilità per l’utente di manifestare le proprie opzioni sui cookie anche attraverso le impostazioni del browser utilizzato.

Se siamo invece proprietari di cookies di profilazione o sfruttiamo le informazioni di profilazione per fare pubblicità (cd. remarketing) allora:

Nel momento in cui l’utente accede ad un sito web (sulla home page o su qualunque altra pagina), deve immediatamente comparire un banner contenente una prima informativa “breve”, la richiesta di consenso all’uso dei cookie e un link per accedere ad un’informativa più “estesa”. In questa pagina, l’utente potrà reperire maggiori e più dettagliate informazioni sui cookie scegliere quali specifici cookie autorizzare.

Il banner deve avere dimensioni tali da coprire in parte il contenuto della pagina web che l’utente sta visitando. Deve poter essere eliminato soltanto tramite un intervento attivo dell’utente, ossia attraverso la selezione di un elemento contenuto nella pagina sottostante.

Il banner deve specificare che il sito utilizza cookie di profilazione, eventualmente anche di “terze parti”, che consentono di inviare messaggi pubblicitari in linea con le preferenze dell’utente.

Deve contenere il link all’informativa estesa e l’indicazione che, tramite quel link, è possibile negare il consenso all’installazione di qualunque cookie.

Deve precisare che se l’utente sceglie di proseguire “saltando” il banner, acconsente all’uso dei cookie.

Cosa fare, sanzione etc…

Ovviamente il garante prevede sanzioni per chi non si adegua, ma non volendo fare del terrorismo a fini di marketing, vi rimandiamo al sito del garante per tutte le cifre. Noi ci fermiamo qui, sperando di avervi dato un po’ di informazioni utili.

Naturalmente per qualsiasi richiesta di chiarimento o aiuto rimaniamo a disposizione, gratuitamente s’intende.