Roberta Rapicavoli è un avvocato e si occupa di privacy e diritto informatico. A lei abbiamo rivolto qualche domanda sulla “Cookie Law” che entrerà in vigore nei prossimi giorni per cercare di capire meglio quel che in realtà si capisce ben poco e che sta, di fatto, generando molta confusione.
Roberta, c’è un certo “panico” tra gli addetti ai lavori, soprattutto un po’ di confusione su cosa fare e non fare. Potresti per iniziare darci qualche riferimento certo, linee guide del Garante o la legge in sè?
Sul sito del Garante Privacy è possibile ritrovare tutti i riferimenti necessari, e precisamente:
– art. 122 del D. Lgs. 196/2003 (codice privacy)
– Provvedimento generale del Garante Privacy dell’8 maggio 2014 in materia di individuazione delle modalità semplificate per l’informativa e l’acquisizione del consenso per l’uso dei cookie
Chi è che deve avvisare, esattamente, l’utente dell’utilizzo dei Cookie, e tutti i cookie sono uguali? Ad esempio se ho un sito dove uso solo Google Analytics?
Il gestore del sito web (indicato nel provvedimento del Garante quale “editore”) è tenuto ad informare l’utente dei cookie che vengono installati dal sito visitato, indicando specificamente se si tratta di cookie tecnici o profilanti e distinguendo tra cookie proprietari e cookie di terze parti.
Tali distinzioni sono fondamentali, come ho meglio spiegato in un mio blog post sull’argomento.
Infatti, in estrema sintesi: il titolare di un sito che ha solo cookie proprietari tecnici (quali sono, ad esempio, i cookie che consentono o agevolano la navigazione) è tenuto ad informare l’utente tramite indicazioni che possono essere inserite anche all’interno della policy privacy, non rendendosi invece necessario gestire il banner ed il consenso per il loro rilascio, né tantomeno effettuare la notificazione al Garante.
Tali obblighi saranno invece necessari nel caso in cui il sito web abbia cookie proprietari profilanti (ossia cookie utilizzati per costruire un profilo dell’utente per potergli inviare pubblicità comportamentale).
Anche l’utilizzo di cookie di terze parti è di particolare rilievo. Infatti, se il sito web utilizza cookie proprietari tecnici ma consente anche l’installazione di cookie di terze parti (come ad esempio quelli di Google Analytics) sarà necessario inserire il banner e, se tali cookie di terze parti sono profilanti (come nella maggior parte dei casi) bloccare il loro rilascio finché l’utente non abbia manifestato il proprio consenso.
Indubbiamente se si usano cookie di terze parti quali quelli per profilare audience per il retargeting con (ad esempio) Google, Facebook, Twitter va informata la persona che naviga il sito: ma basta avvisare che continuando a navigare si accettano l’uso dei Cookie o vanno implementati sistemi che permettono, obbligatoriamente, la disattivazioni di tali cookie per permettere alla persona di continuare a navigare?
Se il sito consente l’installazione di cookie di terze parti profilanti, non è sufficiente gestire il banner con l’informativa breve, ma occorre bloccare il rilascio di tali cookie finché l’utente non abbia manifestato l’intenzione di accettarli (ad esempio cliccando su apposito tasto interno al banner o selezionando un qualsiasi elemento presente nella pagina web visitata …).
Come avverranno secondo te i controlli?
Il Garante potrà effettuare i controlli per verificare il rispetto della normativa sui cookie, così come degli altri adempimenti in materia di privacy (aspetto quest’ultimo, spesso trascurato dai titolari dei siti, come meglio indico qui).
Spero comunque però che i controlli non inizino immediatamente, così da dare maggior tempo per adeguarsi.
