Con il provvedimento n. 229 dell\u20198 maggio 2014, il Garante per la protezione dei dati personali ha individuato le \u201cmodalit\u00e0 semplificate per l\u2019informativa e l\u2019acquisizione del consenso per l\u2019uso dei cookie\u201d, cos\u00ec come prescritto dall\u2019art. 122, comma 1, d.lgs. 196\/2003 (c.d. Codice della privacy), cos\u00ec come sostituito dal d.lgs. 69\/2012.<\/p>\n\n\n\n
Nella redazione del provvedimento sui cookie, il Garante ha tenuto conto sia dell\u2019esito della consultazione pubblica all\u2019uopo avviata (deliberazione n. 359 del 22 novembre 2012) sia di elementi emersi nel corso di alcuni incontri con diversi soggetti (provider, associazioni dei consumatori e delle categorie economiche coinvolte, docenti, ricercatori) sia delle indicazioni del Gruppo di lavoro per la tutela dei dati personali ex art. 29 (Opinion 04\/2012 on Cookie Consent Exemption, del 7 giugno 2012; Working Document 02\/2013 providing guidance on obtaining consent for cookies, del 2 ottobre 2013).<\/p>\n\n\n\n
Il Garante privacy, con l\u2019emanazione del suo provvedimento, ritiene che le misure prescritte:<\/p>\n\n\n\n
Come affermato dal Garante nel suo provvedimento:
I cookie sono stringhe di testo di piccole dimensioni che i siti visitati dall\u2019utente inviano al suo terminale (solitamente al browser), dove vengono memorizzati per essere poi ritrasmessi agli stessi siti alla successiva visita del medesimo utente.<\/p>\n\n\n\n
I cookie non sono installati solo dal server del sito web visitato: vi sono infatti cookie adoperati da siti o server diversi, detti \u201ccookie di terze parti\u201d o \u201ccookie terze parti\u201d. Possono essere utilizzati per diverse finalit\u00e0, come di seguito esposto.<\/p>\n\n\n\n
Ciascun browser memorizza un numero molto notevole di cookie, anche per lungo tempo. Ci\u00f2 \u00e8 dovuto al fatto che il loro utilizzo non solo \u00e8 molto variegato ma \u00e8 altres\u00ec fondamentale, in diversi casi, per garantire un\u2019esperienza d\u2019uso anche solo accettabile a ciascun utente. Basti pensare che i cookie sono utilizzati, ad esempio, per:<\/p>\n\n\n\n
Una doverosa premessa: il framework normativo in materia di protezione dei dati personali \u00e8 abbastanza uniforme nell\u2019Unione europea, poich\u00e9 le leggi emanate dai vari legislatori \u201cpartono\u201d da una base comune costituita, innanzi tutto, dalla direttiva 95\/46\/CE (cui, ad es., il nostro legislatore si \u00e8 adeguato con la celebre, e ormai abrogata, legge 675\/96) e dagli altri testi comunitari (e non solo) successivamente emanati. La tematica \u00e8 complessa, ma \u00e8 opportuno accennarla in questa sede per evitare ogni dubbio su una circostanza: questa normativa non \u00e8 solo italiana, come si pu\u00f2 facilmente notare \u2013 tra l\u2019altro \u2013 visionando siti web ospitati in altri stati membri dell\u2019Unione europea!<\/p>\n\n\n\n
Tanto premesso, il legislatore italiano ha stabilito che il titolare del trattamento deve necessariamente acquisire il consenso preventivo e informato degli utenti all\u2019installazione di cookie utilizzati per finalit\u00e0 diverse da quelle meramente tecniche.<\/p>\n\n\n\n
Nel provvedimento del Garante \u00e8 prevista una distinzione fondamentale:<\/p>\n\n\n\n
I cookie tecnici sono utilizzati per effettuare la navigazione o fornire un servizio richiesto dall\u2019utente (art. 122, comma 1, Cod. priv.: sono utilizzati al solo fine di \u201ceffettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della societ\u00e0 dell\u2019informazione esplicitamente richiesto dall\u2019abbonato o dall\u2019utente a erogare tale servizio\u201d).
Sono normalmente installati direttamente dal titolare o gestore del sito web.<\/p>\n\n\n\n
Come suggerisce la denominazione adoperata, i cookie di profilazione sono utilizzati per \u201cprofilare\u201d ciascun utente, ossia per creare un suo profilo digitale e poter generalmente inviare messaggi pubblicitari coerenti con le preferenze manifestate navigando in Rete.
Sia il legislatore italiano sia quello comunitario vedono con sfavore tali strumenti, perch\u00e9 ritengono che essi sono pi\u00f9 che idonei a invadere la sfera privata di ciascun navigatore; pertanto:<\/p>\n\n\n\n
L\u2019informativa pu\u00f2 essere resa anche con modalit\u00e0 semplificate, come previsto dall\u2019art. 122, comma 1, d.lgs. 196\/2003 (\u201cl\u2019archiviazione delle informazioni nell\u2019apparecchio terminale di un contraente o di un utente o l\u2019accesso a informazioni gi\u00e0 archiviate sono consentiti unicamente a condizione che il contraente o l\u2019utente abbia espresso il proprio consenso dopo essere stato informato con le modalit\u00e0 semplificate di cui all\u2019articolo 13, comma 3\u2033).<\/p>\n\n\n\n
Come si \u00e8 anticipato, quando un utente visita un sito web possono essere installati cookie sia dal gestore del sito stesso (\u201ceditore\u201d) sia da altri soggetti (\u201cterze parti\u201d); fra tali soggetti, inoltre, se ne possono porre altri, che operano da intermediari fra gli stessi per la prestazione di altri servizi (in particolare, i concessionari di pubblicit\u00e0). Questa distinzione \u00e8 molto importante, perch\u00e9 incide anche sui doveri di tali soggetti (con particolare riferimento alla fornitura dell\u2019informativa e all\u2019acquisizione del consenso) e, dunque, sulle relative responsabilit\u00e0.<\/p>\n\n\n\n
Il Garante privacy ha scelto di non traslare gli obblighi della terza parte sull\u2019editore, come sar\u00e0 di seguito evidenziato in riferimento ai profili dell\u2019informativa e del consenso; ci\u00f2 nondimeno, taluni obblighi permangono in capo all\u2019editore stesso, nonostante, come affermato dalla stessa Autorit\u00e0, \u201cspesso gli editori, che comprendono anche persone fisiche e piccole imprese, [siano] la parte pi\u00f9 \u201cdebole\u201d del rapporto. Laddove invece le terze parti sono solitamente grandi societ\u00e0 caratterizzate da notevole peso economico, servono normalmente una pluralit\u00e0 di editori e possono essere, rispetto al singolo editore, anche molto numerose\u201d.<\/p>\n\n\n\n
Tanto premesso, si pu\u00f2 qui evidenziare che ciascun editore deve essere considerato titolare del trattamento per ci\u00f2 che concerne i cookie installati direttamente dal proprio sito.<\/p>\n\n\n\n
L\u2019editore non \u00e8, per\u00f2, contitolare con le terze parti per i cookie installate da quest\u2019ultime mediante il sito del primo; per il Garante, da questo punto di vista, l\u2019editore \u00e8 una sorte di intermediario tecnico fra terze parti ed utenti.<\/p>\n\n\n\n
Com\u2019\u00e8 noto, la disciplina in materia di protezione dei dati personali \u00e8 basata sul binomio informativa-consenso, ma la comunicazione web, nella prassi, mal si presta alla lettura di lunghi testi, che vengono oltretutto spesso \u201csaltati\u201d a pi\u00e8 pari dai lettori. Inoltre, l\u2019estrema diffusione di dispositivi mobile (smartphone e tablet) pone ulteriori problematiche da questo punto di vista.<\/p>\n\n\n\n
Il Garante ha cos\u00ec operato un bilanciamento: da un lato ha disposto l\u2019obbligatoriet\u00e0 dell\u2019informativa sin dal primo accesso a un sito web, dall\u2019altro ha ideato un modello basato su due livelli di approfondimento successivi. Pi\u00f9 specificatamente, l\u2019informativa sui cookie deve essere resa:<\/p>\n\n\n\n
L\u2019informativa breve deve essere necessariamente visualizzata quando un utente accede a una qualsiasi pagina del sito web.<\/p>\n\n\n\n
Forma:<\/p>\n\n\n\n
Contenuto:<\/p>\n\n\n\n
Rimozione del banner:<\/p>\n\n\n\n
Log:<\/p>\n\n\n\n
Infine, \u00e8 doveroso precisare che:<\/p>\n\n\n\n
L\u2019informativa estesa deve:<\/p>\n\n\n\n
I cookie di profilazione che persistono nel tempo comportano, per il titolare del trattamento, l\u2019obbligo di notificazione al Garante privacy. Il loro utilizzo, infatti, \u00e8 da considerarsi trattamento di dati personali soggetto al predetto obbligo perch\u00e9 \u00e8 finalizzato a \u201cdefinire il profilo o la personalit\u00e0 dell\u2019interessato, o ad analizzare abitudini o scelte di consumo, ovvero a monitorare l\u2019utilizzo di servizi di comunicazione elettronica con esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli utenti\u201d (art. 37, comma 1, lett. d, d.lgs. 196\/2003).<\/p>\n\n\n\n
Come risulta dall\u2019ultima parte della norma appena menzionata, taluni cookie di profilazione sono esclusi dal predetto obbligo: sono quelli che hanno finalit\u00e0 diverse e che rientrano nell\u2019ambito dei cookie tecnici. Non a caso, gi\u00e0 nel 2004 il Garante privacy ha inserito espressamente, tra i trattamenti esonerati dall\u2019obbligo di notificazione, quelli \u201crelativi all\u2019utilizzo di marcatori elettronici o di dispositivi analoghi installati, oppure memorizzati temporaneamente, e non persistenti, presso l\u2019apparecchiatura terminale di un utente, consistenti nella sola trasmissione di identificativi di sessione in conformit\u00e0 alla disciplina applicabile, all\u2019esclusivo fine di agevolare l\u2019accesso ai contenuti di un sito Internet\u201d (del. n. 1 del 31 marzo 2004).<\/p>\n\n\n\n
La normativa sui cookie, come si \u00e8 visto, impone una serie di obblighi cui ciascun titolare deve adempiere, per quanto di sua competenza. In caso di violazione, troveranno applicazione talune norme sanzionatorie di cui al Codice della privacy, che il Garante ha gi\u00e0 individuato ed evidenziato nel suo provvedimento dell\u20198 maggio 2014. In particolare, le fattispecie che si realizzano in ipotesi di violazione degli obblighi previsti dalla cookie law, possono cos\u00ec riassumersi:<\/p>\n\n\n\n
Come si \u00e8 visto la normativa comunitaria e, in virt\u00f9 di essa, il legislatore italiano e il Garante privacy sono intervenuti in modo sicuramente incisivo su una fattispecie non solo estremamente tecnica ma altres\u00ec dalle rilevanti conseguenze informatico-giuridiche: l\u2019utilizzo dei cookie.<\/p>\n\n\n\n
\u00c8 ben noto, infatti, che essi sono costantemente utilizzati e, come giustamente rilevato dal Garante, ci\u00f2 avviene per il perseguimento di fini diversi. Sono praticamente necessari per consentire una buona esperienza d\u2019uso nella fruizione dei siti web, tanto che l\u2019Autorit\u00e0 ha giustamente adottato un approccio molto cauto verso i cookie tecnici; sono altres\u00ec estremamente utili nella gestione delle campagne pubblicitarie on line, che sono fonte di sostentamento per molti siti, la cui consultazione e il cui utilizzo degli eventuali servizi sono di norma resi disponibili in modo apparentemente gratuito. Il prezzo da pagare, infatti, \u00e8 sovente costituito dall\u2019acquisizione di dati personali e dalla possibilit\u00e0, anche implicita, di creare uno o pi\u00f9 profili digitali degli utenti. Molti di essi, per\u00f2, se ne disinteressano, e molti altri, anche dopo essere stati informati, continuano a farlo.<\/p>\n\n\n\n
Come spesso accade, \u00e8 estremamente arduo operare un buon bilanciamento fra gli interessi all\u2019uopo confliggenti. Si consideri, innanzi tutto, che i paletti stabiliti dai vari legislatori (nonch\u00e9 la considerazione dei pareri del Gruppo di lavoro ex art. 29) hanno ovviamente limitato il raggio d\u2019azione del provvedimento del Garante, che dunque ha dovuto e deve fare i conti con una normativa per certi aspetti gi\u00e0 vetusta e oggi progressivamente pi\u00f9 adeguata a burocratizzare pi\u00f9 che a tutelare effettivamente, oltrech\u00e9, a parere dello scrivente, non sufficientemente rappresentativa delle peculiarit\u00e0 dei vari soggetti che si pongono sul web.<\/p>\n\n\n\n
Basti pensare alle sanzioni, che sono di particolare gravit\u00e0 per soggetti di piccole dimensioni (come privati, professionisti e piccole\/medie aziende), ma non lo sono altrettanto per quelle di grandi dimensioni. Inoltre, si ripropone costantemente il problema della effettivit\u00e0 dello strumento sanzionatorio, poich\u00e9 da un lato \u00e8 possibile rilevare l\u2019enorme numero di siti web e la rapidit\u00e0 con cui essi metaforicamente nascono, crescono e vengono meno, mentre dall\u2019altro il controllo su di essi, e dunque sul rispetto della normativa, viene di fatto esercitato dall\u2019Autorit\u00e0 garante piuttosto che dai giudici (si pu\u00f2 ipotizzare che, per una molteplicit\u00e0 di motivi (costo, complessit\u00e0 tecnologica, difficolt\u00e0 di provare il danno anche se non patrimoniale, ecc.), i procedimenti incardinati presso la competente autorit\u00e0 giudiziaria saranno ben pochi).<\/p>\n\n\n\n
La distinzione fra \u201ceditor\u201d e \u201cterze parti\u201d \u00e8 sicuramente positiva, perch\u00e9 distingue fra soggetti diversi; ma vi sono problematiche conseguenti alla mancata distinzione fra soggetti di grandi e grandissime dimensioni rispetto a tutti gli altri, anche per ci\u00f2 che concerne il trattamento sanzionatorio (per quanto le sanzioni all\u2019uopo applicabili siano abbastanza differenziate nella loro misura minima e nella loro misura massima). Inoltre, il riferimento alla possibilit\u00e0 di selezionare\/deselezionare i singoli cookie direttamente dalla informativa estesa, e non solo dai comandi del proprio browser o servizi eventualmente disponibili, dovrebbe essere inteso in senso fortemente restrittivo; per quanto ci\u00f2 derivi dalla necessit\u00e0 di garantire la possibilit\u00e0 di revocare il consenso, sembra un obbligo tecnicamente troppo gravoso e troppo invasivo per il gestore di un sito web.<\/p>\n\n\n\n
Dal momento che l\u2019editore \u00e8 comunque obbligato a informare l\u2019utente e a spiegargli come disabilitare i cookie dal proprio browser, sarebbe pi\u00f9 opportuno ritenere ci\u00f2 sufficiente per la compliance alla normativa: in tal senso la parola spetter\u00e0 al Garante privacy e, in ultima analisi, all\u2019autorit\u00e0 giudiziaria.<\/p>\n\n\n\n
Informativa specifica sui cookie:<\/p>\n\n\n\n