Con provvedimento di carattere generale dell’8 maggio 2014, pubblicato sulla Gazzetta Ufficiale n. 126 del 3 giugno 2014, il Garante Privacy ha individuato modalità semplificate per fornire l’informativa online agli utenti sull’archiviazione dei c.d. cookies sui loro terminali da parte dei siti internet visitati, ed ha fornito indicazioni sulle modalità con cui procedere all’acquisizione del consenso degli stessi (in particolare, per i cookies utilizzati per finalità di behavioral advertising).
Il provvedimento in esame giunge all’esito di una consultazione pubblica avviata dal Garante Privacy il 22 novembre 2012 e dell’analisi dei contributi trasmessi dai principali fornitori di servizi di comunicazione elettronica, dalle associazioni dei consumatori e delle categorie economiche coinvolte che hanno partecipato alla consultazione, nonché degli elementi emersi in occasione degli incontri tenutisi presso l’Autorità nell’ambito di un tavolo di lavoro cui hanno partecipato i suindicati soggetti ed esponenti del mondo accademico e della ricerca.
Le misure prescritte con il provvedimento mirano, da un lato, a “consentire agli utenti di esprimere scelte realmente consapevoli sull’installazione dei cookies mediante la manifestazione di un consenso espresso e specifico” e, dall’altro, ad avere “il minore impatto possibile in termini di soluzione di continuità della navigazione dei medesimi utenti e della fruizione, da parte loro, dei servizi telematici”. Cookies I cookies sono stringhe di testo di piccole dimensioni che i siti internet visitati dall’utente inviano al suo terminale (solitamente al browser), dove vengono memorizzati per essere poi ritrasmessi agli stessi siti alla successiva visita del medesimo utente.
E’ possibile individuare due tipologie di cookies, a seconda della finalità del loro utilizzo:
- cookies cd. “tecnici”, utilizzati per eseguire operazioni tecniche quali autenticazioni informatiche, monitoraggio di sessioni e memorizzazione di informazioni specifiche riguardanti gli utenti che accedono al server, che, di regola, sono installati direttamente dal gestore del sito web. Rientrano tra i cookies tecnici: o cookies di navigazione o di sessione, che garantiscono la normale navigazione e fruizione del sito web (permettendo, ad esempio, di realizzare un acquisto o di autenticarsi per accedere ad aree riservate); o cookies analytics, laddove utilizzati direttamente dal gestore del sito per raccogliere informazioni, in forma aggregata, sul numero degli utenti e su come questi visitano il sito stesso; o cookies di funzionalità, che permettono all’utente la navigazione in funzione di una serie di criteri selezionati (ad esempio, la lingua, i prodotti selezionati per l’acquisto) al fine di migliorare il servizio reso allo stesso;
- cookies di profilazione, utilizzati al fine di creare un profilo personalizzato dell’utente a partire dalle pagine che lo stesso ha visitato e mostrargli, quindi, pubblicità mirate (c.d. behavioral advertising). Con il provvedimento in esame, il Garante Privacy ricorda che, in conformità all’articolo 122 del Codice Privacy, per l’installazione dei cookies tecnici non è necessario acquisire il preventivo consenso degli utenti, fermo l’obbligo di fornire un’informativa ai sensi dell’articolo 13 del medesimo Codice, che il gestore del sito, qualora utilizzi soltanto tale tipologia di cookies, potrà fornire con le modalità che ritiene più idonee. Diversamente, l’utilizzo di cookies di profilazione è consentito soltanto con il previo consenso dell’utente, in presenza di un’idonea informativa, fornita con le modalità semplificate individuate nel provvedimento in esame. Inoltre, l’utilizzo di tale tipologia di cookies è soggetto all’obbligo di notificazione al Garante Privacy. Informativa con modalità semplificate e acquisizione del consenso online per i cookies di profilazione
Con il provvedimento in esame, il Garante Privacy ha stabilito che, nel momento in cui si accede alla home page o ad altra pagina di un sito web, deve immediatamente comparire in primo piano un’informativa “breve” contenuta in un banner di idonee dimensioni (tali da costituire una percettibile discontinuità nella fruizione dei contenuti della pagina web che si sta visitando) che deve includere le seguenti indicazioni:
- l’informazione che il sito utilizza cookies di profilazione per inviare messaggi pubblicitari mirati e, se previsto, che il sito consente anche l’invio di cookies di terzi;
- un link ad un’informativa più ampia, che contenga, tra l’altro, indicazioni sull’uso dei cookies inviati dal sito, la possibilità di scegliere quali specifici cookies autorizzare, nonché la possibilità per l’utente di manifestare le proprie opzioni in merito all’uso dei cookies da parte del sito anche attraverso le impostazioni del browser, indicando almeno la procedura da eseguire per configurare tali impostazioni. L’informativa estesa deve fornire anche il link aggiornato alle informative e ai moduli di consenso di terzi con cui il gestore abbia stipulato accordi per l’installazione di cookies tramite il proprio sito;
- l’indicazione che alla pagina dell’informativa estesa è possibile negare il consenso all’installazione di qualunque cookies;
- l’indicazione che la prosecuzione della navigazione (mediante accesso ad altra area del sito o selezione di un elemento dello stesso, quale un’immagine o un link) comporta la prestazione del consenso all’uso dei cookies.
Al fine di mantenere distinta la responsabilità dei gestori dei siti visitati dagli utenti da quella di terzi che installano cookies per il tramite dei primi, il Garante prescrive ai gestori di acquisire già in fase contrattuale i link alle pagine web contenenti le informative e i moduli per l’acquisizione del consenso relativo ai cookies di terzi.
La richiesta di consenso all’uso dei cookies dovrà essere inserita nel banner contenente l’informativa breve, ed in modalità tale per cui il superamento della presenza del banner sia possibile solo mediante un intervento attivo dell’utente (attraverso la selezione di un elemento contenuto nella pagina sottostante il banner stesso). Resta ferma la possibilità per i gestori dei siti di ricorrere a modalità diverse per l’acquisizione del consenso all’uso dei cookies.
A mero titolo di esempio, il Garante ha predisposto un modello di banner disponibile al seguente link: http://www.garanteprivacy.it/image/image_gallery?uuid=29a871c0-bd62-4b0e-9a26-6e8aac37e577&groupId=10160&t=1401875815461.
Infine, per quanto riguarda l’obbligo di tener traccia del consenso dell’utente, al gestore del sito è consentito utilizzare un cookie tecnico, in modo tale da non riproporre l’informativa breve alla seconda visita dell’utente. E’ previsto un periodo transitorio di un anno, a decorrere dalla pubblicazione del provvedimento in Gazzetta Ufficiale, per adeguarsi alle misure individuate nel provvedimento. In caso di violazione delle misure prescritte, potranno trovare applicazione le sanzioni previste dal Codice Privacy. I gestori dei siti web dovranno riesaminare le proprie procedure interne per fornire informazioni agli utenti in merito ai cookies utilizzati dal sito e per acquisire il consenso degli stessi secondo quanto indicato nel provvedimento del Garante, nonché rivedere gli accordi con i terzi che installino cookies per il tramite del sito dei gestori.
