Con l’obiettivo di rafforzare il potere decisionale degli utenti riguardo all’uso dei loro dati personali durante la navigazione in rete, lo scorso 10 giugno l’Autorità Garante per la protezione dei dati personali ha approvato le nuove Linee Guida sui cookie.
Le principali novità rispetto a quanto contenuto nelle precedenti linee guida – emanate nel lontano 2014 – riguardano la base giuridica dell’utilizzo dei cookie (i.e. il consenso) e l’informativa da rilasciare all’utente.
Informativa
Nel rispetto del GDPR, l’informativa rilasciata agli utenti dal responsabile del sito web deve indicare anche gli (eventuali) altri soggetti destinatari dei dati personali raccolti e i tempi di conservazione delle informazioni.
L’informativa deve essere rilasciata anche in caso di utilizzo di soli cookie tecnici, mentre non è necessaria l’acquisizione del consenso. Alla stessa disciplina sono soggetti i cookie analytics, volti a valutare l’efficacia di un servizio, che vanno utilizzati solamente a scopo statistico.
Essa potrà essere resa anche su più canali e con diverse modalità (ad esempio, con pop up, video, interazioni vocali).
Consenso
Oltre all’obbligo di conferire l’informativa, rimane la necessità di acquisire il consenso dell’utente ogni qual volta si utilizzino cookie di profilazione.
Il consenso deve essere consapevole, libero e incondizionato e va richiesto attraverso un banner ben visibile sulla pagina web, che dovrà differenziare i diversi tipi di cookie utilizzati e dare agli utenti la possibilità di proseguire la navigazione senza essere tracciati.
Il Garante precisa che il semplice spostamento in basso del cursore (scroll down) non rappresenta una idonea manifestazione del consenso. Precisa, inoltre, che il cd “cookie wall” è da ritenersi illegittimo perchè è un meccanismo che vincola l’utente a esprimere il consenso, non lasciandogli alcuna possibilità di scelta.
L’Autorità sottolinea inoltre che la ripresentazione del banner ad ogni nuovo accesso per la richiesta di consenso agli utenti che in precedenza l’abbiano negato non trova ragione negli obblighi di legge e risulta una misura ridondante e invasiva. La scelta dell’utente non va, dunque, più sollecitata, a meno che non mutino significativamente le condizioni del trattamento, sia impossibile sapere se un cookie sia già memorizzato nel dispositivo o siano trascorsi almeno 6 mesi.
I titolari dei siti web hanno un periodo di 6 mesi per adeguarsi ai principi contenuti nel documento.
