Per i cookie dei siti web adeguamento entro il 3 giugno 2015

Circolare n. 39/2015 – CO 8/2015

Il prossimo 4 giugno entreranno in vigore le regole stabilite dal Garante per la protezione dei dati personali relativamente all’uso dei cookie, cioè i file di testo inviati dai siti visitati dall’utente al suo terminale (solitamente al browser) dove vengono memorizzati e poi ritrasmessi agli stessi siti in occasione delle successive visite da parte del medesimo utente. In sostanza, attraverso il loro utilizzo vengono raccolte una serie di informazioni durante l’esperienza di navigazione dell’utente.

Il Garante, sulla base delle finalità perseguite da chi li utilizza, ha individuato due macro categorie di cookie:

– quelli tecnici;
– i cookie di profilazione.

I cookie tecnici sono quelli utilizzati al solo fine di effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della società dell’informazione esplicitamente richiesto dall’abbonato o dall’utente a erogare tale servizio (art. 122, comma 1 Codice privacy). Per l’installazione di questi cookie non è richiesto il preventivo consenso degli utenti, mentre resta fermo l’obbligo di dare l’informativa ai sensi dell’art. 13 del Codice privacy.

I cookie di profilazione, invece, sono volti a creare profili relativi all’utente e vengono utilizzati per inviare messaggi in linea con le preferenze manifestate dallo stesso nell’ambito della navigazione in rete. In ragione della loro invasività nella sfera privata degli utenti, la normativa europea e quella italiana prevede che l’utente sia adeguatamente informato sull’uso degli stessi ed esprima il proprio valido consenso.

A tale riguardo il Garante per la privacy, con il Provvedimento n. 229 dell’8 maggio 2014 pubblicato sulla G.U. n. 126 del 3 giugno 2014, ha indicato le modalità semplificative per l’informativa e l’acquisizione del consenso per l’uso dei cookie. Il citato Provvedimento consegue alla modifica dell’art. 122 del Codice della privacy (D.Lgs. 196/2003) operata dal D.Lgs. 69/2012 in attuazione di alcune direttive comunitarie (2009/136/CE e 2009/140/CE in materia di trattamento dei dati personali e tutela della vita privata nel settore delle comunicazioni elettroniche). 

Il Garante ha stabilito che nel momento in cui si accede alla home page (o ad altra pagina) di un sito web, deve immediatamente comparire in primo piano un banner di idonee dimensioni contenente le seguenti indicazioni:

a)   che il sito utilizza cookie di profilazione al fine di inviare messaggi pubblicitari in linea con le preferenze manifestate dall’utente nell’ambito della navigazione in rete;

b)   che il sito consente anche l’invio di cookie “terze parti” (se accade);

c)   il link all’informativa estesa;

d)   l’indicazione che alla pagina dell’informativa estesa è possibile negare il consenso all’installazione di qualunque cookie;

e)    l’indicazione che la prosecuzione della navigazione mediante accesso ad altra area del sito o selezione di un elemento dello stesso comporta la prestazione del consenso all’uso dei cookie.

Pertanto, a partire dal 4 giugno 2015, ogni editore, cioè il gestore del sito che l’utente sta visitando, dovrà farsi carico del rispetto di quanto sopra evidenziato e in ogni sito web dovrà, conseguentemente, apparire il banner sopra citato contenente le indicazioni di cui alle lettere da a) ad e) (ovviamente nel caso in cui tali circostanze ricorrano). 

Il banner che dovrà comparire sulla home page dovrà essere di dimensioni idonee, cioè tali da costituire una percettibile discontinuità nella fruizione dei contenuti della pagina web che si sta visitando. 

Inoltre il superamento della presenza del banner al video deve essere possibile solo mediante un intervento attivo dell’utente (selezione di un elemento contenuto nella pagina sottostante al banner stesso). 

Nel banner dovrà essere posto il link all’informativa estesa che dovrà contenere tutti gli elementi dell’informativa “tradizionale” della privacy (art. 13 del Codice), oltre a descrivere in dettaglio le caratteristiche e le finalità dei cookie installati sul sito e consentire all’utente di disattivarne l’uso. 

In questa informativa dovrà anche essere inserito il link aggiornato alle informative e i moduli di consenso delle terze parti (o quelli degli intermediari) con le quali l’editore ha stipulato accordi per l’installazione di cookie sul suo sito. 

Residua qualche dubbio sull’obbligatorietà del banner in considerazione del fatto che al punto 7 del Provvedimento (Conseguenze del mancato rispetto della disciplina in materia di cookie) sono contemplati i casi  di omessa informativa e di informativa inidonea che viene definita come quella “che non presenti gli elementi indicati, oltre che nell’art. 13…, nel presente provvedimento,…”. Poiché gli elementi indicati nel Provvedimento del Garante sono contenuti nelle lettere da a) ad e), che non contemplano il banner, l’obbligatorietà del medesimo non appare chiarissima.

Il banner del resto è soltanto una modalità di presentazione ed, infatti, nel punto 4.1 del Provvedimento si afferma che “Resta ferma naturalmente la possibilità per gli editori di ricorrere a modalità diverse da quella descritta (il banner) per l’acquisizione del consenso online all’uso dei cookie degli utenti, sempreché tali modalità assicurino il rispetto di quanto previsto dall’art. 23, comma 3 del Codice”.

Tuttavia il riferimento generico agli elementi indicati nel presente Provvedimento lascia aperta la possibilità che, in sede di controllo da parte della GdF, anche il banner possa essere ritenuto essenziale. 

Si ricorda, inoltre, che l’uso dei cookie rientra tra i trattamenti soggetti all’obbligo di notificazione al Garante se finalizzati a profilare gli interessati, o ad analizzare abitudini o scelte di consumo ovvero a monitorare l’utilizzo di servizi di comunicazione elettronica con la sola esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli utenti. 

Infine le sanzioni:

• per l’omessa informativa e l’informativa inidonea (come sopra descritta) è prevista la sanzione amministrativa del pagamento di una somma da 6.000 a 36.000 euro;
• per l’installazione dei cookie in assenza di preventivo consenso dei medesimi è prevista la sanzione amministrativa del pagamento di una somma da 10.000 a 120.000 euro;
• per l’omessa o incompleta notificazione al Garante è prevista la sanzione amministrativa del pagamento di una somma da 20.000 a 120.000 euro.