Cookie Policy: si avvicina la scadenza del 2 giugno 2015

25 Maggio 2015

Il 2 giugno 2015 anche in Italia entrano in vigore i nuovi adempimenti previsti dalla normativa europea sui cookie. A giugno 2014 il Garante Privacy aveva già pubblicato delle linee guida iniziali che tuttavia mancavano di indicazioni operative.

Vediamo dunque insieme le conseguenze della cookie law, e come adeguarsi alle nuove disposizioni secondo quanto previsto dal kit approvato dal Garante.

Nel leggere tenete sempre in considerazione che quanto segue può contenere delle semplificazioni, ed è sempre consigliabile consultare un consulente legale che possa assistervi in prima persona.

LA COOKIE LAW IN BREVE

In breve, con l’entrata in vigore della cookie law, dal 2 giugno 2015 non sarà più possibile installare cookie prima di:

Aver predisposto e mostrato all’utente un banner informativo
Aver predisposto e mostrato all’utente una cookie policy
Aver richiesto il consenso agli utenti
Esistono tuttavia alcune eccezioni, e ve le spieghiamo di seguito insieme a tutti i dettagli.

LA COOKIE LAW IN DETTAGLIO

Per rispettare la cookie law, è necessario che i siti che installano cookie – anche tramite strumenti terzi – mostrino un banner alla prima visita dell’utente, predispongano una cookie policy e permettano all’utente di fornire il consenso secondo le indicazioni fornite dalla legge. Prima che il consenso venga fornito, nessun cookie – ad eccezione dei cookie tecnici – può essere installato.

INFORMATIVA BREVE

L’informativa breve viene fornita tramite un banner che deve illustrare le finalità di installazione dei cookie di cui il sito fa uso. Il banner deve essere sufficientemente discontinuo rispetto all’esperienza di navigazione del sito per far sì che venga notato dall’utente. Fra gli esempi su cui si è lavorato con il Garante ci sono sia una versione al centro della pagina che una soluzione con una striscia in alto al sito.

COOKIE POLICY

La cookie policy non deve necessariamente prevedere una lista di tutti i cookie – nome per nome – installati dal sito. Deve invece descrivere con dettaglio le finalità di installazione dei cookie ed indicare tutte le terze parti che ne installano o che potrebbero installarne, con anche un link alla rispettiva privacy policy, alla cookie policy e agli eventuali moduli di consenso. Qualora il titolare del sito installi e gestisca direttamente dei cookie non esenti dall’obbligo di consenso (come i cookie di profilazione), è necessario che all’interno della cookie policy sia possibile esercitare tale consenso.

CONSENSO

Il consenso viene fornito dall’utente tramite il proseguimento della navigazione, incluso il click sui link o lo scorrimento della pagina. Le sole situazioni in cui il consenso viene tenuto in sospeso si presentano qualora l’utente abbandoni il sito senza proseguire la navigazione (incluso lo scrolling) o qualora l’utente visualizzi la cookie policy. All’interno della cookie policy l’utente può negare il consenso all’installazione dei cookie, ma per farlo deve visitare i siti dei singoli servizi utilizzati dal sito e fare riferimento alle policy degli stessi ed alle istruzioni da questi fornite per prevenire il tracciamento. L’unica eccezione è quella menzionata nel paragrafo sulla cookie policy in riferimento ai cookie non esenti gestiti direttamente dal titolare.

BLOCCO DEI COOKIE PRIMA DEL CONSENSO

Nel rispetto dei principi generali della legislazione privacy, che impediscono il trattamento prima del consenso, la cookie law non consente l’installazione di cookie prima di aver ottenuto il consenso, fatta eccezione per le categorie esenti che verranno illustrate in seguito.

Nella pratica, questo significa che ad esempio i codici che richiamano dei banner o anche semplicemente i codici che gestiscono la live chat non possono essere eseguiti prima di aver ottenuto il consenso (lo ricordiamo, ottenibile anche con il semplice scrolling).

Questo adattamento sarà purtroppo impegnativo per molti siti e richiede modifiche al codice del sito stesso. Il Garante è stato su questo punto molto chiaro ed è necessario adeguarsi se si vuole rispettare la legge.

COOKIE ESENTI DALL’OBBLIGO DI CONSENSO

Fortunatamente, alcuni cookie sono esenti dall’obbligo di consenso e dunque non sono soggetti al blocco preventivo. In particolare:

I cookie tecnici, ossia quelli strettamente necessari all’erogazione del servizio. Fra questi i cookie di preferenza, sessione, load balancing ecc.
I cookie di statistica gestiti direttamente dal titolare, ad esempio tramite software come Piwik
C’è stata poi un’apertura del Garante – sebbene non ufficiale – a considerare come esenti dall’obbligo di consenso anche i cookie statistici di terze parti (es. Google Analytics), ma solo qualora i dati vengano anonimizzati prima di essere salvati dal servizio terzo.

Attenzione! Le sanzioni in caso di inottemperanza

Le sanzioni sono indicate nella premessa 7 del Regolamento, Conseguenze del mancato rispetto della disciplina in materia di cookie.

Si ricorda che per il caso di omessa informativa o di informativa inidonea, ossia che non presenti gli elementi indicati, oltre che nelle previsioni di cui all’art. 13 del Codice, nel presente provvedimento, è prevista la sanzione amministrativa del pagamento di una somma da seimila a trentaseimila euro (art. 161 del Codice).

L’installazione di cookie sui terminali degli utenti in assenza del preventivo consenso degli stessi comporta, invece, la sanzione del pagamento di una somma da diecimila a centoventimila euro (art. 162, comma 2-bis, del Codice).

L’omessa o incompleta notificazione al Garante, infine, ai sensi di quanto previsto dall’art. 37, comma 1, lett. d), del Codice, è sanzionata con il pagamento di una somma da ventimila a centoventimila euro (art. 163 del Codice).