Nella maggior parte delle organizzazioni il cookie banner è stato installato una volta sola, scegliendo un plugin fra i tanti disponibili, spuntando le opzioni predefinite e passando ad altro. È comprensibile: sembra una questione di interfaccia, non di diritto. Il problema è che quel pannello non è un elemento grafico. È il punto in cui il titolare raccoglie — o non raccoglie — la base giuridica di tutto ciò che accade dopo, e quando qualcosa va storto è il primo elemento che viene esaminato, perché è pubblico e verificabile da chiunque in trenta secondi.
La disciplina applicabile, in breve
La materia non è regolata soltanto dal Regolamento europeo. L’art. 122 del Codice in materia di protezione dei dati personali, che recepisce la direttiva ePrivacy, stabilisce che l’archiviazione di informazioni nel dispositivo dell’utente e l’accesso a informazioni già archiviate sono consentiti solo con il consenso informato dell’interessato. Fanno eccezione i cookie tecnici, cioè quelli utilizzati al solo fine di effettuare la trasmissione di una comunicazione o nella misura strettamente necessaria a erogare un servizio richiesto dall’utente.
Su questo impianto si innestano le Linee guida sull’uso dei cookie e di altri strumenti di tracciamento adottate dal Garante nel giugno 2021, che hanno chiarito una serie di punti su cui, fino ad allora, la prassi era molto disinvolta. È il documento di riferimento da cui parte qualsiasi valutazione, ed è anche il motivo per cui molti banner installati prima di quella data sono oggi fuori regola.
Che cosa viene contestato a un cookie banner
I rilievi ricorrenti sono pochi e sempre gli stessi.
- Tracciamento prima del consenso. È la contestazione più grave e la più facile da accertare: basta aprire il sito e osservare quali richieste partono prima che l’utente abbia toccato qualcosa. Se strumenti di profilazione o di misurazione non tecnica si attivano al caricamento della pagina, il consenso raccolto dopo non sana nulla.
- Consenso non libero. Il pulsante «Accetta» in evidenza e il rifiuto nascosto dietro due livelli di menu, oppure assente del tutto, rendono la scelta non equivalente. Il consenso, per l’art. 4, punto 11, e per l’art. 7 del Regolamento, deve essere libero, specifico, informato e inequivocabile.
- Scroll e prosecuzione della navigazione come consenso. Il Garante ha escluso che il semplice scorrimento della pagina, di per sé, possa valere come manifestazione di volontà. Molti banner in circolazione continuano a dirlo.
- Riproposizione ossessiva. Il banner che ricompare a ogni pagina finché l’utente non cede è una forma di pressione che incide sulla libertà del consenso.
- Consenso raccolto, ma non revocabile. L’art. 7, paragrafo 3, impone che revocare il consenso sia facile quanto prestarlo. Se dopo l’accettazione non esiste più alcun modo di tornare sulle proprie scelte, l’obbligo non è soddisfatto.
- Classificazione di comodo. Etichettare come «tecnici» cookie che tecnici non sono è la scorciatoia più diffusa, e la più rischiosa, perché sposta il problema dal banner alla correttezza sostanziale del trattamento.
Il tracciamento va oltre i cookie
Il termine «cookie» è ormai riduttivo. Pixel di social network, fingerprinting del dispositivo, identificatori pubblicitari, strumenti di misurazione lato server: la disciplina segue la funzione, non la tecnologia. Un banner che gestisce correttamente i cookie ma lascia fuori il pixel di una piattaforma pubblicitaria non protegge da nulla.
Si aggiunge il profilo dei trasferimenti verso Paesi terzi, che riguarda quasi tutti gli strumenti di analisi e di advertising più diffusi e che va dichiarato nell’informativa ai sensi dell’art. 13, paragrafo 1, lettera f). È uno dei punti in cui la documentazione del titolare e la realtà del sito divergono più spesso, come abbiamo visto parlando dell’informativa privacy sul sito web.
Le sanzioni
Il trattamento privo di una valida base giuridica ricade nell’art. 83, paragrafo 5, del GDPR: fino a venti milioni di euro oppure, per le imprese, fino al quattro per cento del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Alla violazione dell’art. 122 del Codice si applicano inoltre le disposizioni sanzionatorie previste dal Codice stesso.
Nella determinazione dell’importo pesano il numero di interessati coinvolti — e per un sito con traffico significativo il numero è alto per definizione — la durata della violazione, il carattere doloso o colposo e le misure adottate. Abbiamo approfondito i criteri parlando di quanto costa una violazione del GDPR.
Va detto con franchezza: la sanzione non è l’unico esito possibile, e spesso non è nemmeno il più frequente. Molti procedimenti si chiudono con un provvedimento correttivo. Ma un ordine di conformarsi che arrivi a stagione pubblicitaria avviata, e che imponga di rivedere l’intero impianto di misurazione di un sito, ha conseguenze operative che superano ampiamente il costo di una verifica fatta prima.
Perché il plugin da solo non basta
Nessuno strumento di consent management può sapere quali cookie il vostro sito installa davvero, quali servizi sono integrati nei temi e nei moduli, quali finalità perseguono, dove risiedono i dati e per quanto tempo restano. Quelle informazioni le ha solo chi conosce l’organizzazione. Il plugin esegue una configurazione: se la configurazione è sbagliata, la esegue in modo impeccabile ed è comunque sbagliata.
La stessa logica vale per l’intero impianto documentale, dal registro delle attività di trattamento alla qualificazione dei fornitori come responsabili ai sensi dell’art. 28: sono documenti che devono corrispondere a ciò che accade, altrimenti diventano essi stessi prova della violazione.
Il lavoro dello studio
Lo studio dell’avv. Elio Errichiello assiste aziende, professionisti ed enti pubblici nella verifica della conformità dei siti e nei procedimenti davanti al Garante, e svolge incarichi di Responsabile della protezione dei dati. Ha sede a Napoli e assiste in tutta Italia. L’attività è descritta nella pagina del servizio di consulenza privacy e protezione dei dati personali; per il diritto amministrativo e le altre materie trattate è disponibile il sito dell’avv. Elio Errichiello.
Se avete ricevuto un reclamo o una richiesta di informazioni, oppure volete sapere che cosa il vostro sito fa davvero prima che lo scopra qualcun altro, il punto di partenza è un esame preliminare della documentazione e dei termini eventualmente in corso. Scrivete allo studio indicando l’indirizzo del sito e gli strumenti di misurazione utilizzati.
