Il 10 luglio 2021, l’autorità italiana per la protezione dei dati (il “Garante Privacy”) ha approvato le nuove linee guida per l’uso dei cookie. Abbiamo creato questa guida per aiutarti a capire cos’è cambiato e come rispettare i requisiti con il minimo sforzo.
In breve
- Se tu o i tuoi utenti avete sede in Italia, questi requisiti ti riguardano.
- Cookie banner
- I pulsanti “Accetta” e “Rifiuta” sono obbligatori.
- Gli utenti devono poter fare scelte granulari sulle funzionalità, le terze parti e le categorie di cookie da installare (pur lasciando i dettagli dell’implementazione al fornitore del servizio, le linee guida suggeriscono che raggruppare le opzioni sia una soluzione adatta a soddisfare questo requisito).
- Gli utenti devono poter aggiornare le proprie preferenze di tracciamento in qualsiasi momento.
- Raccolta del consenso
- Il consenso via semplice scorrimento non è più valido.
- I cookie wall non sono ammessi.
- Validità delle preferenze dell’utente relative al consenso: dopo aver chiesto il consenso la prima volta, devono passare almeno 6 mesi prima di poterlo chiedere nuovamente.
- Cookie statistici (analytics)
- I cookie statistici di prima parte possono essere installati senza il consenso dell’utente (e senza blocco preventivo).
- I cookie statistici di terza parte possono essere installati senza il consenso dell’utente (e senza blocco preventivo) solo a determinate condizioni.
- Prova del consenso: devi poter dimostrare di aver ottenuto un consenso valido secondo gli standard del GDPR.
- Basi giuridiche applicabili all’uso dei cookie oltre al consenso: l’interesse legittimo non costituisce una base giuridica valida.
- Hai tempo fino al 10 gennaio 2022 per adeguarti.
SartiDigitali è Iubenda Gold Partner
Aiutiamo la tua azienda ad adeguarsi al GDPR
Questi requisiti ti riguardano?
Tu o i tuoi utenti avete sede in Italia? Se sì, questi requisiti ti riguardano.
Requisiti principali
Cookie banner
Qualora un sito faccia uso di cookie di profilazione o altri strumenti di tracciamento, il banner costituisce un meccanismo valido per l’acquisizione del consenso dell’utente.
Il Garante prevede che il banner (o, in alternativa, un’area/finestra) mostrato da un sito web al primo accesso dell’utente includa le seguenti informazioni:
- un’informativa breve sull’uso da parte del sito di cookie tecnici ed eventuali cookie di profilazione o altri strumenti di tracciamento, con le relative finalità;
- un link alla cookie policy che indichi gli eventuali altri soggetti destinatari dei dati personali, i tempi di conservazione e l’esercizio dei diritti dell’utente;
- un’indicazione chiara che l’utente, proseguendo nella navigazione del sito tramite un’azione positiva ed esplicita, presta il proprio consenso alla profilazione. Fai attenzione, però, perché il semplice scorrimento non è considerato un metodo valido per la raccolta del consenso;
- un link a un’area dedicata dove l’utente può selezionare in maniera granulare le funzionalità, le terze parti e le categorie di cookie da installare;
- un comando per accettare tutti i cookie o altri strumenti di tracciamento;
- un comando per rifiutare tutti i cookie o altri strumenti di tracciamento.
Nelle visite al sito successive alla prima, l’utente non dovrà più visualizzare il banner iniziale, ma dovrà poter accedere alla privacy/cookie policy e ad un’area dover poter modificare le preferenze di tracciamento espresse in precedenza.
*Se un sito web installa solo cookie tecnici, il banner non è necessario: l’informazione sull’uso dei cookie tecnici può infatti essere inclusa nell’homepage o nell’informativa.
Raccolta del consenso
Lo scrolling o scrolldown non è ritenuto adatto alla raccolta di un valido consenso. Unica eccezione: che lo scorrimento sia parte di una serie di azioni che indicano in maniera inequivocabile la volontà dell’utente di prestare il proprio consenso.
Il Garante considera illeciti anche i cosiddetti cookie wall, salvo che il sito web offra all’utente la possibilità di accedere a un contenuto o a un servizio equivalenti senza dover prestare il proprio consenso (da valutare caso per caso).
Preferenze di consenso ai cookie
Agli utenti può essere chiesto nuovamente di prestare il consenso solo se:
- le condizioni del consenso sono cambiate (ad esempio, sono stati aggiunti dei nuovi servizi di terza parte o ne sono stati rimossi di vecchi); o
- il titolare del sito non possiede gli strumenti per tenere traccia del consenso precedente (ad esempio, l’utente ha eliminato il cookie di consenso installato sul suo dispositivo); o
- sono passati almeno 6 mesi dall’ultima acquisizione.
Cookie statistici
I cookie sono definiti sulla base di due macro categorie: cookie tecnici e cookie di profilazione.
Inoltre, il Garante precisa che, in linea di principio, i cookie statistici di prima parte possono essere installati senza il consenso dell’utente.
Per quanto riguarda i cookie statistici di terza parte, possono essere installati senza il consenso dell’utente solo se:
- non permettono l’identificazione di un utente preciso (ad esempio, usano solo indirizzi IP abbreviati o sono assegnati non a un singolo dispositivo, ma a diversi);
- il loro uso è limitato a un singolo sito/app;
- non sono condivisi o comunicati a terzi;
- i dati raccolti non sono combinati con altri dati.
Prova del consenso
ll Garante precisa che il titolare di un sito web è tenuto a dimostrare di aver ottenuto un consenso valido secondo gli standard del GDPR (vedi Prova del consenso e registro dei consensi).
Basi giuridiche per il trattamento diverse dal consenso
Il Garante ha affermato chiaramente che i cookie (e gli altri strumenti di tracciamento) non possono essere installati se non sulla base del consenso degli utenti o, se si applicano le condizioni dell’eccezione “strettamente necessari” (ad esempio, i cookie sono necessari e usati unicamente per realizzare o facilitare la comunicazione, o per fornire un servizio richiesto dall’utente in modo esplicito), anche senza il consenso degli utenti.
In particolare, l’interesse legittimo del titolare del sito web non costituisce una base giuridica valida.
I titolari di siti web hanno tempo fino al 10 gennaio 2022 per adeguarsi (6 mesi a partire dal 9 luglio 2021, data della pubblicazione delle linee guida nella Gazzetta Ufficiale).
