Nuove linee guida sui cookie

È scaduto il 9 gennaio il termine ultimo per l'adeguamento dei siti web alle nuove linee guida sui cookie. Se il tuo sito non è ancora a norma potresti incorrere in guai seri.
Ma cosa significa in concreto?

Tutti siamo abituati, ormai da anni, ad avere a che fare con quelle “fastidiose” spunte richieste, in qualche caso in modo da nascondere completamente il contenuto, prima di poter navigare su un sito.
Anche per leggere questo articolo hai dovuto averci a che fare ;)
In realtà quel fastidio dovrebbe farci in parte piacere, perché pensato e voluto per proteggere i nostri dati personali.
In realtà a nostro parere potevano essere trovate soluzioni diverse e più concrete per affrontare la questione, ma con questo ci troviamo a dover fare i conti.

Cosa sono i cookie e quali i dati personali?

Dobbiamo quindi per prima cosa fare chiarezza su cosa si intenda con:

dati personali
secondo l’art. 4 del GDPR qualsiasi informazione riguardante una persona fisica che la identifichi o che possa renderla identificabile (tra questi ad esempio l'indirizzo IP con cui si collega ad un sito)

cookie
(semplificando) un piccolo file che viene installato da un applicazione web sul dispositivo da cui navighiamo, pc-tablet-smartphone, per recuperare informazioni da questo.
Un esempio che rende facile capire cosa siano i cookie: quando navigo su un sito di ecommerce e ritrovo i miei oggetti nel carrello da una visita precedente, quando un sito mi riconosce come abbonato ad un servizio, etc.
Alcuni cookie sono tecnici indispensabili, cioè senza di questi il sito non funziona in maniera corretta in tutte le sue parti, altri sono analitici e vengono usati a fini di produrre contenuti più interessanti per gli utenti e per capire le preferenze di navigazione, altri sono di profilazione e vengono usati nelle strategie di marketing.
Questi ultimi sono quelli grazie a cui, ad esempio, quando ho cercato informazioni su un determinato oggetto per una settimana mi ritrovo pubblicità dello stesso oggetto ovunque mi trovi: social, media online e altro.

I cookie possono essere cookie di prima parte se sono installati dal sito/APP web che ho visitato, o cookie di terza parte se appartengono ad altri soggetti, e sono ulteriormente suddivisi tra cookie di sessione (cancellati alla fine della navigazione) e cookie persistenti, che cioè invieranno dati anche durante altre sessioni di navigazione.

Da un primo abbozzo di regolamentazione di questi cookie, risalente al 2002, siamo passati da varie versioni della cookie law e interventi sulla data protection di vari enti governativi in tutto il mondo, applicati in modo diverso tra loro e con legislazioni molto specifiche.

In Italia ad oggi siamo arrivati ad un quadro che impone, dal 10 gennaio 2022 una serie di regole ed adempimenti in base al contesta normativo configurato da :
Direttiva e-privacy Dir. UE 58/2002
Codice Privacy D. Lgs. 196/2003
GDPR Reg. UE 679/2016
Linee Guida EDPB 5/2020
Linee Guida Garante Privacy

Come dobbiamo gestire i cookie sul nostro sito?

Gli adempimenti cambiano in base al tipo di cookie che saranno installati.

informativa privacy
se uso COOKIE TECNICI / COOKIE ANALITICI assimilabili ai COOKIE TECNICI (anonimizzati) 

informativa privacy + consenso
se uso COOKIE DI PROFILAZIONE / COOKIE ANALITICI assimilabili ai COOKIE di PROFILAZIONE (dati che possono, anche insieme ad altri, rendere identificabile l’utente come id, genere, età, luogo, etc.) 

Come gestire il consenso?

Dobbiamo fare in modo che il visitatore alla prima visita riceva, tramite un piccolo banner che non impedisca la fruizione dei contenuti (perché il consenso deve essere espresso liberamente):

• - informativa breve che dia le informazioni principali e rinvii ad una informativa estesa
  - informativa estesa richiamata dal banner e accessibile anche da altri link presenti sul sito, che fornisca in maniera chiara e completa almeno tutte le indicazioni di cui agli artt. 13 e 14 del GDPR

Entrambe le informative devono essere rese con un linguaggio semplice e chiaro ed in forma facilmente accessibile

Il banner deve avere:

• - un comando per esprimere il proprio consenso accettando tutti i cookie
  - un comando per rifiutare tutti i cookie
  - un link a un'ulteriore spazio in cui  selezionare funzionalità/cookie raggruppati per categorie omogenee alla cui installazione l’utente presti il consenso, distinguendo tra:
  Solo i cookie necessari
  Statistica
  Marketing
  In cui solo i cookie necessari possono essere preselezionati come attivi.

L’accettazione deve essere raccolta con l’espressione esplicita del consenso e quindi con un’azione diretta e consapevole. Continuare la navigazione o lo scroll della pagina non sono sufficienti.

I “bottoni” per effettuare la scelta devono essere realizzati in modo da non influenzare l’utente a prestare il consenso

OBBLIGO DI REGISTRARE LA SCELTA + DIVIETO DI SOLLECITARE NUOVAMENTE LA PRESTAZIONE DEL CONSENSO
Per non costringere gli utenti ad accettare i cookie per poter navgare tranquilli è vietato riproporre il banner di consenso a chi li ha rifiutati a meno che 
siano cambiate in maniera significativa le condizioni del trattamento
è impossibile sapere che un cookie è già stato memorizzato (es:cache del browser cancellata)
sono trascorsi almeno 6 mesi dalla precedente presentazione del banner

L’utente deve avere sempre la possibilità di modificare le proprie scelte - prestando un consenso negato o revocando un consenso prestato – in ogni momento e in maniera semplice, immediata e intuitiva attraverso un’apposita area da rendere accessibile attraverso un link da posizionarsi nel footer del sito.

Se non rispetto queste indicazioni cosa succede?

Il consenso non è valido e quindi non vincolante

Sono previste sanzioni amministrative pecuniarie fino a 20 milioni di euro, o per le imprese, fino al 4 % del fatturato mondiale totale annuo dell'esercizio precedente, se superiore.(Art. 83 GDPR)

Credits: Foto di Polina Tankilevitch da Pexels