Cookie in Italia: le nuove linee guida del Garante Privacy
Il 10 luglio 2021, l’autorità italiana per la protezione dei dati (il “Garante Privacy”) ha approvato le nuove linee guida per l’uso dei cookie. Abbiamo creato questa guida per aiutarti a capire cos’è cambiato e come rispettare i requisiti – pienamente in vigore dal 10 gennaio 2022 – con il minimo sforzo.
Puoi trovare queste stesse indicazioni riassunte anche in una pratica checklist, completa di suggerimenti di configurazione.
In breve
Se tu o i tuoi utenti avete sede in Italia, questi requisiti ti riguardano.
Gli utenti devono poter fare scelte granulari sulle funzionalità, le terze parti e le categorie di cookie da installare (pur lasciando i dettagli dell’implementazione al fornitore del servizio, le linee guida suggeriscono che raggruppare le opzioni sia una soluzione adatta a soddisfare questo requisito).
Gli utenti devono poter aggiornare le proprie preferenze di tracciamento in qualsiasi momento.
I cookie wall non sono ammessi.
I cookie statistici di terza parte possono essere installati senza il consenso dell’utente (e senza blocco preventivo) solo a determinate condizioni.
Il Garante prevede che il banner (o, in alternativa, un’area/finestra) mostrato da un sito web al primo accesso dell’utente includa le seguenti informazioni:
Il Garante considera illeciti anche i cosiddetti cookie wall, salvo che il sito web offra all’utente la possibilità di accedere a un contenuto o a un servizio equivalenti senza dover prestare il proprio consenso (da valutare caso per caso).
le condizioni del consenso sono cambiate (ad esempio, sono stati aggiunti dei nuovi servizi di terza parte o ne sono stati rimossi di vecchi); o
il titolare del sito non possiede gli strumenti per tenere traccia del consenso precedente (ad esempio, l’utente ha eliminato il cookie di consenso installato sul suo dispositivo); o
sono passati almeno 6 mesi dall’ultima acquisizione.
Inoltre, il Garante precisa che, in linea di principio, i cookie statistici di prima parte possono essere installati senza il consenso dell’utente.
Per quanto riguarda i cookie statistici di terza parte, possono essere installati senza il consenso dell’utente solo se:
non permettono l’identificazione di un utente preciso (ad esempio, usano solo indirizzi IP abbreviati o sono assegnati non a un singolo dispositivo, ma a diversi);
il loro uso è limitato a un singolo sito/app;
non sono condivisi o comunicati a terzi;
i dati raccolti non sono combinati con altri dati.
Il Garante specifica infatti che per poter considerare l’azione di un utente come un consenso valido all’installazione dei cookie, a questa azione deve corrispondere un “evento informatico inequivoco, documentabile” e “riconoscibile e registrabile da parte del titolare“.
Ricorda che la scadenza per l’adeguamento è il 10 gennaio, e a partire da quella data solo i consensi registrati secondo gli standard GDPR saranno ritenuti validi.
Fonte iubenda
Puoi trovare queste stesse indicazioni riassunte anche in una pratica checklist, completa di suggerimenti di configurazione.
In breve
Se tu o i tuoi utenti avete sede in Italia, questi requisiti ti riguardano.
- Cookie banner
Gli utenti devono poter fare scelte granulari sulle funzionalità, le terze parti e le categorie di cookie da installare (pur lasciando i dettagli dell’implementazione al fornitore del servizio, le linee guida suggeriscono che raggruppare le opzioni sia una soluzione adatta a soddisfare questo requisito).
Gli utenti devono poter aggiornare le proprie preferenze di tracciamento in qualsiasi momento.
- Raccolta del consenso
I cookie wall non sono ammessi.
- Validità delle preferenze dell’utente relative al consenso: dopo aver chiesto il consenso la prima volta, devono passare almeno 6 mesi prima di poterlo chiedere nuovamente.
- Cookie statistici (analytics)
I cookie statistici di terza parte possono essere installati senza il consenso dell’utente (e senza blocco preventivo) solo a determinate condizioni.
- Prova del consenso: ti serve un registro delle preferenze cookie per poter dimostrare di aver ottenuto un consenso valido secondo gli standard del GDPR.
- Basi giuridiche applicabili all’uso dei cookie oltre al consenso: l’interesse legittimo non costituisce una base giuridica valida.
- Le nuove regole sono entrate pienamente in vigore il 10 gennaio 2022.
Questi requisiti ti riguardano?
Tu o i tuoi utenti avete sede in Italia? Se sì, questi requisiti ti riguardano.Requisiti principali e cosa devi fare
- Cookie banner
Il Garante prevede che il banner (o, in alternativa, un’area/finestra) mostrato da un sito web al primo accesso dell’utente includa le seguenti informazioni:
- un’informativa breve sull’uso da parte del sito di cookie tecnici ed eventuali cookie di profilazione o altri strumenti di tracciamento, con le relative finalità;
- un link alla cookie policy che indichi gli eventuali altri soggetti destinatari dei dati personali, i tempi di conservazione e l’esercizio dei diritti dell’utente;
- un’indicazione chiara che l’utente, proseguendo nella navigazione del sito tramite un’azione positiva ed esplicita, presta il proprio consenso alla profilazione. Fai attenzione, però, perché il semplice scorrimento non è considerato un metodo valido per la raccolta del consenso;
- un link a un’area dedicata dove l’utente può selezionare in maniera granulare le funzionalità, le terze parti e le categorie di cookie da installare;
- un comando per accettare tutti i cookie o altri strumenti di tracciamento;
- un comando per continuare la navigazione senza accettare i cookie e chiudere il banner.
Nelle visite al sito successive alla prima, l’utente non dovrà più visualizzare il banner iniziale, ma dovrà poter accedere alla privacy/cookie policy e ad un’area dover poter modificare le preferenze di tracciamento espresse in precedenza.
*Se un sito web installa solo cookie tecnici, il banner non è necessario: l’informazione sull’uso dei cookie tecnici può infatti essere inclusa nell’homepage o nell’informativa.
Raccolta del consenso
Lo scrolling o scrolldown non è ritenuto adatto alla raccolta di un valido consenso. Unica eccezione: che lo scorrimento sia parte di una serie di azioni che indicano in maniera inequivocabile la volontà dell’utente di prestare il proprio consenso.Il Garante considera illeciti anche i cosiddetti cookie wall, salvo che il sito web offra all’utente la possibilità di accedere a un contenuto o a un servizio equivalenti senza dover prestare il proprio consenso (da valutare caso per caso).
Preferenze di consenso ai cookie
Agli utenti può essere chiesto nuovamente di prestare il consenso solo se:le condizioni del consenso sono cambiate (ad esempio, sono stati aggiunti dei nuovi servizi di terza parte o ne sono stati rimossi di vecchi); o
il titolare del sito non possiede gli strumenti per tenere traccia del consenso precedente (ad esempio, l’utente ha eliminato il cookie di consenso installato sul suo dispositivo); o
sono passati almeno 6 mesi dall’ultima acquisizione.
Cookie statistici
I cookie sono definiti sulla base di due macro categorie: cookie tecnici e cookie di profilazione.Inoltre, il Garante precisa che, in linea di principio, i cookie statistici di prima parte possono essere installati senza il consenso dell’utente.
Per quanto riguarda i cookie statistici di terza parte, possono essere installati senza il consenso dell’utente solo se:
non permettono l’identificazione di un utente preciso (ad esempio, usano solo indirizzi IP abbreviati o sono assegnati non a un singolo dispositivo, ma a diversi);
il loro uso è limitato a un singolo sito/app;
non sono condivisi o comunicati a terzi;
i dati raccolti non sono combinati con altri dati.
Prova del consenso
ll Garante precisa che il titolare di un sito web è tenuto a dimostrare di aver ottenuto un consenso valido secondo gli standard del GDPR.Il Garante specifica infatti che per poter considerare l’azione di un utente come un consenso valido all’installazione dei cookie, a questa azione deve corrispondere un “evento informatico inequivoco, documentabile” e “riconoscibile e registrabile da parte del titolare“.
Ricorda che la scadenza per l’adeguamento è il 10 gennaio, e a partire da quella data solo i consensi registrati secondo gli standard GDPR saranno ritenuti validi.
Fonte iubenda