Nuove linee guida cookie e altri strumenti di tracciamento
E’ del 9.7.2021 la pubblicazione in G.U. della Delibera 10 giugno 2021 del Garante per la protezione dei dati personali: Linee guida cookie e altri strumenti di tracciamento.
Con il provvedimento n. 231 sono, infatti, state approvate nuove Linee guida a tutela degli utenti.
L’obiettivo annunciato dal Garante è stato quello di rafforzare il potere decisionale degli utenti relativamente all’utilizzo dei loro dati personali nella navigazione on line.
L’esigenza di approvare delle nuove linee guida è derivata soprattutto dalla necessità di affrontare in maniera più incisiva il melting pot di fantasiose informative e banner cookie, proliferati su gran parte dei siti internet, che poco hanno a che vedere con il rispetto delle indicazioni normative e del Garante.
Questo nuovo intervento del Garante è derivato per altro dalle novità normative intervenute rispetto alle precedenti linee guida del 2014, nonché dalla constatazione che le regole non sono state adottate correttamente e concretamente.
Il costante monitoraggio dell’Autorità e le numerose segnalazioni degli stessi utenti hanno infatti permesso di constatare la presenza di lacune che devono essere colmate.
Alla luce di ciò, ha dichiarato il Garante, “si è imposta la necessità di un quadro rafforzato di tutele maggiormente orientate a favorire e a rendere effettivo il controllo sulle informazioni personali oggetto di trattamento e, in definitiva, la capacità di autodeterminazione del singolo”. Ciò comporta che un determinato trattamento potrà essere legittimo solo ed esclusivamente in presenza di un consenso espresso dell’interessato; non potrà invece più essere sfruttata la possibilità di avvalersi di escamotage per glissare tale incombenza.
Non sarà pertanto possibile invocare, come invece è stato fatto e riscontrato dallo stesso Garante nel corso delle verifiche effettuate su diversi siti web, la scriminante del legittimo interesse del titolare per giustificare il ricorso a cookie o altri strumenti di tracciamento.
Per impostazione predefinita, al momento del primo accesso dell’utente a un sito web, nessun cookie o altro strumento diverso da quelli tecnici potrà essere posizionato all’interno del suo dispositivo, né potrà essere utilizzata alcuna altra tecnica attiva o passiva di tracciamento senza un consenso espresso, mediante un atto positivo inequivocabile con il quale l’interessato manifesta l’intenzione libera, specifica, informata e inequivocabile di accettare il trattamento dei dati personali che lo riguardano.
E’ necessaria dunque una dichiarazione scritta, anche attraverso mezzi elettronici, e ciò potrebbe comprendere: la selezione di un’apposita casella in un sito web, la scelta di impostazioni tecniche per servizi della società dell’informazione o qualsiasi altra dichiarazione o qualsiasi altro comportamento che indichi chiaramente, in tale contesto, che l’interessato accetta il trattamento proposto. Non potendosi invece configurare consenso il silenzio, l’inattività o la preselezione di caselle.
Anche la tecnica del semplice scrolling, insiste il Garante conformandosi a quanto è stato chiarito dall’EDPB con il parere n. 5/2020 del 4 maggio 2020, non è mai idonea, di per sé, ad esprimere compiutamente la manifestazione di volontà dell’interessato volta ad accettare di ricevere il posizionamento, all’interno del proprio terminale, di cookie diversi da quelli tecnici e, dunque, non può equivalere al consenso in nessuna circostanza.
E’ opportuno segnalare che, anche sul cd. cookie wall, cioè quel meccanismo vincolante – take it or leave it, con il quale l’utente viene obbligato, senza alternativa, ad esprimere il proprio consenso alla ricezione di cookie ovvero altri strumenti di tracciamento, pena l’impossibilità di accedere al sito, il Garante si è espresso in maniera molto chiara, considerandolo inopportuno. Tale meccanismo, infatti, non consentirebbe di qualificare l’eventuale consenso ottenuto come conforme alle caratteristiche imposte dal Regolamento, con particolare riferimento al requisito della libertà, pertanto non può che ritenersi illecito.
L’osservazione del comportamento dei siti web e le segnalazioni pervenute al Garante hanno posto l’attenzione di quest’ultimo su un’ulteriore problematica: l’eccessiva riproposizione del banner ai fini dell’acquisizione del consenso, laddove l’utente l’abbia in precedenza negato.
A parere del Garante tale atteggiamento appare suscettibile di ledere la libertà dell’utente, che viene indotto a prestare il consenso, pur di proseguire nella navigazione, libero dalla comparsa del banner contenente l’informativa breve e la richiesta di prestazione del consenso.
In tale contesto quindi è opportuno che la scelta iniziale dell’interessato di mantenere impostazioni di default e dunque di non acconsentire all’impiego di cookie o ad altri strumenti di tracciamento sia registrata dal sistema e la prestazione del consenso non sia più sollecitata se non quando sussistano particolari circostanze.
Qualora l’utente scegliesse, com’è nella sua piena disponibilità, di mantenere quelle impostazioni di default e dunque di non prestare il proprio consenso al posizionamento dei cookie o all’impiego di altre tecniche di tracciamento, dovrebbe limitarsi a chiudere il banner senza essere costretto ad accedere ad altre aree o pagine a ciò appositamente dedicate.
Un’altra semplificazione introdotta dal Garante in queste nuove linee guida, che vale la pena evidenziare, è che nell’eventualità in cui sia prevista la sola presenza di cookie tecnici o altri strumenti analoghi, di essi potrà essere data informazione nella homepage o nell’informativa generale senza l’esigenza di apporre specifici banner da rimuovere a cura dell’utente.
Un auspicio che il Garante intende da ultimo sottolineare con queste nuove linee guida in materia di cookie è quello di: “avviare tra tutti i soggetti interessati una riflessione circa la necessità dell’adozione di una codifica standardizzata relativa alla tipologia dei comandi, dei colori e delle funzioni da implementare all’interno dei siti web per conseguire la più ampia uniformità, a tutto vantaggio della trasparenza, della chiarezza e dunque anche della migliore conformità alle regole”.
Ed allora sulla scorta di tale esigenza, condivisibile ed auspicabile – confidando in una risposta dei soggetti interessati ad addivenire ad una prossima futura codifica – non ci resta che sottolineare il termine, individuato dall’Autorità, di 6 mesi dalla pubblicazione in Gazzetta Ufficiale entro il quale i soggetti tenuti dovranno conformarsi alle nuove Linee Guida.
Contributo scientifico dell’Avv. Camilla de Benedictis