Chi naviga sul web si è sicuramente imbattuto nei cosiddetti cookies, o meglio nelle cookie policies. Si tratta di un aspetto che va ad intrecciarsi con la privacy ed è fondamentale nella nostra vita di utenti della rete così come per le aziende, che devono adeguarsi alla normativa vigente nella gestione dei loro siti web e di conseguenza anche dei cookies. È un argomento centrale, soprattutto dopo che alla fine del 2020 il Garante privacy – che nel 2014 aveva già introdotto una serie di linee guida per la gestione dei cookies – ha chiarito e aggiornato le disposizioni in merito.
I cookies: che cosa sono
Si tratta di file (più tecnicamente stringhe di testo) che vengono inviati dai siti web che visitiamo al nostro computer, smartphone o tablet. Vengono quindi installati per memorizzare informazioni sulla nostra navigazione e quindi sul nostro comportamento sui diversi siti web.
I cookies hanno lo scopo di rendere particolarmente efficaci siti come e-commerce o i siti che includono un’esperienza di acquisto e quindi hanno un carrello (pensiamo ai siti con prenotazione/acquisto online: pernottamenti, treni, aerei e così via). Ancora, consentono di effettuare il login sui siti che possiedono un’area riservata.
Allo stesso tempo questi file servono per migliorare l’esperienza di navigazione, in quanto consentono di personalizzare le pagine web in base alle nostre preferenze. Ad esempio è per questo motivo che non tutti vediamo gli stessi banner pubblicitari quando siamo in rete: quotidianamente ad ogni utente vengono mostrate pubblicità diverse, che variano in base alle navigazioni precedenti. Da questo punto di vista subentrano quindi precise logiche di marketing.
In definitiva, i cookies sono importanti per le aziende non solo perché permettono di rendere l’esperienza di navigazione il più fluida possibile (e in questo senso sono importanti anche dal lato utente), ma anche perché permettono di effettuare indagini di mercato e conoscere meglio le abitudini dei propri clienti o possibili tali.
I tipi di cookies
Esistono diverse categorie di cookies. Una prima distinzione può essere fatta in base ai soggetti che li installano e che quindi ricevono le informazioni:
- cookies di prima parte/proprietari: sono inviati al dominio indicato nell’indirizzo web, cioè il proprietario del sito;
- cookies di terza parte: vengono inviati a soggetti terzi, perciò diversi dai fornitori del servizio (i proprietari del sito). Un tipico esempio di cookies di terza parte sono quelli inviati tramite i banner pubblicitari.
Strettamente collegata a questa classificazione, ne troviamo un’altra, legata alla funzione:
- cookies tecnici: sono i cookies necessari per il corretto funzionamento del sito (ad esempio per i moduli login, gli e-commerce, per il salvataggio della lingua impostata). Si tratta di cookies di prima parte/proprietari;
- cookies analitici: necessari alla raccolta di dati sul traffico e altri dati simili;
- cookies di profilazione/pubblicitari: si tratta di quei cookies che “registrano” le preferenze degli utenti e in generale la loro esperienza sul sito e sono fondamentali ai fini di marketing. Nella maggior parte dei casi si tratta di cookies di terze parti, ma possono essere anche proprietari.
Dal punto di vista della durata possiamo distinguere tra:
- cookies di sessione: sono quelli che permangono per la sola durata della sessione. Una volta chiuso il browser utilizzato per la navigazione, vengono eliminati;
- cookies persistenti: si tratta dei cookies che – per un certo periodo – permangono anche dopo la chiusura del browser. Hanno una data di scadenza, che può andare ad esempio dai 10 minuti ai 2 anni; oltre questa scadenza vengono eliminati.
Gestione dei cookies e cookie policy: le linee guida del Garante privacy
I cookies e la loro gestione sono inevitabilmente collegati alla privacy degli utenti e alla loro tutela.
Per questo motivo il Garante privacy già nel 2014 – quindi ancora prima che entrasse in vigore il GDPR (2018) – aveva varato un provvedimento (“Individuazione delle modalità semplificate per l´informativa e l´acquisizione del consenso per l´uso dei cookie“, 8 maggio 2014), in cui si indicavano le linee guida utili a gestire i cookies e la relativa policy. Con questo provvedimento è stato introdotto l’obbligo per i gestori dei siti web di inserire un banner ben visibile che renda manifesta la presenza di cookies in quel sito e presenti un link all’informativa privacy estesa.
In seguito all’entrata in vigore del GDPR nel 2018 e della naturale evoluzione delle tecnologie e del mondo della rete, il Garante privacy ha ritenuto opportuno chiarire alcuni aspetti, al fine di rendere i provvedimenti attuali e coerenti. Per questo motivo il 10 dicembre 2020 ha pubblicato il documento “Linee guida sull’utilizzo di cookie e di altri strumenti di tracciamento” (https://www.garanteprivacy.it/documents/10160/0/Consultazione+sulle+%E2%80%9CLinee+guida+sull%E2%80%99utilizzo+di+cookie+e+di+altri+strumenti+di+tracciamento%E2%80%9D+-+Allegato+1+-+Linee+guida.pdf/72eab081-e4c4-4500-77c3-8b6957f8cd12?version=2.0)
Vediamo nel dettaglio gli aggiornamenti e come i gestori dei siti web devono adeguare i loro portali:
- lo scrolling, ovvero la possibilità di scorrere la pagina che si sta visitando e quindi implicitamente prestare il consenso pur mantenendo il banner in sovraimpressione, teoricamente non è più consentito. Questo perché è necessario che il consenso sia prestato con un comportamento attivo, positivo e inequivocabile dell’utente. Il Garante, però, specifica anche che se lo scrolling è accompagnato da un gesto registrabile e documentabile da parte del server gestore del sito web, allora può essere considerato come comportamento attivo che quindi determina il consenso;
- il cookie wall, cioè quel meccanismo per cui l’utente è obbligato a prestare il consenso pena l’impossibilità di visualizzare la pagina web, è illecito; questa strategia infatti non rende libera la prestazione o meno del consenso;
- la reiterazione del consenso: non sarà necessario richiedere il consenso ad ogni nuovo accesso ad un medesimo sito, a meno che nel frattempo siano cambiate le condizioni;
- le impostazioni predefinite – alla luce dei principi di privacy by design e privacy by default introdotti dal GDPR – devono prevedere che nessun cookie oltre a quelli tecnici possa essere automaticamente installato sul dispositivo, senza l’esplicito consenso dell’utente. Per far questo l’utente deve poter chiudere in modo agevole il banner (cliccando sulla X che di norma è posizionata in alto a destra), senza essere costretto ad accedere ad altre pagine;
- la struttura del banner deve rispondere ad una codifica standardizzata (comandi, colori), per rendere il sito usabile e trasparente;
- l’informativa privacy, oltre ad essere multilayer (cioè presente su più livelli), può essere anche multichannel, cioè può essere resa tramite più canali (ad esempio video, pop up o chatbot).
