Con il provvedimento n. 229 dell’8 maggio 2014, il Garante per la protezione dei dati personali ha individuato le “modalità semplificate per l’informativa e l’acquisizione del consenso per l’uso dei cookie”, così come prescritto dall’art. 122, comma 1, d.lgs. 196/2003 (c.d. Codice della privacy), così come sostituito dal d.lgs. 69/2012.
Nella redazione del provvedimento sui cookie, il Garante ha tenuto conto sia dell’esito della consultazione pubblica all’uopo avviata (deliberazione n. 359 del 22 novembre 2012) sia di elementi emersi nel corso di alcuni incontri con diversi soggetti (provider, associazioni dei consumatori e delle categorie economiche coinvolte, docenti, ricercatori) sia delle indicazioni del Gruppo di lavoro per la tutela dei dati personali ex art. 29 (Opinion 04/2012 on Cookie Consent Exemption, del 7 giugno 2012; Working Document 02/2013 providing guidance on obtaining consent for cookies, del 2 ottobre 2013).
Il provvedimento dell’Autorità è di carattere generale; in esso:
Il Garante privacy, con l’emanazione del suo provvedimento, ritiene che le misure prescritte:
Come affermato dal Garante nel suo provvedimento:
I cookie sono stringhe di testo di piccole dimensioni che i siti visitati dall’utente inviano al suo terminale (solitamente al browser), dove vengono memorizzati per essere poi ritrasmessi agli stessi siti alla successiva visita del medesimo utente.
I cookie non sono installati solo dal server del sito web visitato: vi sono infatti cookie adoperati da siti o server diversi, detti “cookie di terze parti” o “cookie terze parti”. Possono essere utilizzati per diverse finalità, come di seguito esposto.
Ciascun browser memorizza un numero molto notevole di cookie, anche per lungo tempo. Ciò è dovuto al fatto che il loro utilizzo non solo è molto variegato ma è altresì fondamentale, in diversi casi, per garantire un’esperienza d’uso anche solo accettabile a ciascun utente. Basti pensare che i cookie sono utilizzati, ad esempio, per:
Una doverosa premessa: il framework normativo in materia di protezione dei dati personali è abbastanza uniforme nell’Unione europea, poiché le leggi emanate dai vari legislatori “partono” da una base comune costituita, innanzi tutto, dalla direttiva 95/46/CE (cui, ad es., il nostro legislatore si è adeguato con la celebre, e ormai abrogata, legge 675/96) e dagli altri testi comunitari (e non solo) successivamente emanati. La tematica è complessa, ma è opportuno accennarla in questa sede per evitare ogni dubbio su una circostanza: questa normativa non è solo italiana, come si può facilmente notare – tra l’altro – visionando siti web ospitati in altri stati membri dell’Unione europea!
Tanto premesso, il legislatore italiano ha stabilito che il titolare del trattamento deve necessariamente acquisire il consenso preventivo e informato degli utenti all’installazione di cookie utilizzati per finalità diverse da quelle meramente tecniche.
Nel provvedimento del Garante è prevista una distinzione fondamentale:
I cookie tecnici sono utilizzati per effettuare la navigazione o fornire un servizio richiesto dall’utente (art. 122, comma 1, Cod. priv.: sono utilizzati al solo fine di “effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della società dell’informazione esplicitamente richiesto dall’abbonato o dall’utente a erogare tale servizio”).
Sono normalmente installati direttamente dal titolare o gestore del sito web.
Nell’ambito dei cookie tecnici si distingue fra:
Obblighi di legge:
Come suggerisce la denominazione adoperata, i cookie di profilazione sono utilizzati per “profilare” ciascun utente, ossia per creare un suo profilo digitale e poter generalmente inviare messaggi pubblicitari coerenti con le preferenze manifestate navigando in Rete.
Sia il legislatore italiano sia quello comunitario vedono con sfavore tali strumenti, perché ritengono che essi sono più che idonei a invadere la sfera privata di ciascun navigatore; pertanto:
L’informativa può essere resa anche con modalità semplificate, come previsto dall’art. 122, comma 1, d.lgs. 196/2003 (“l’archiviazione delle informazioni nell’apparecchio terminale di un contraente o di un utente o l’accesso a informazioni già archiviate sono consentiti unicamente a condizione che il contraente o l’utente abbia espresso il proprio consenso dopo essere stato informato con le modalità semplificate di cui all’articolo 13, comma 3″).
Come si è anticipato, quando un utente visita un sito web possono essere installati cookie sia dal gestore del sito stesso (“editore”) sia da altri soggetti (“terze parti”); fra tali soggetti, inoltre, se ne possono porre altri, che operano da intermediari fra gli stessi per la prestazione di altri servizi (in particolare, i concessionari di pubblicità). Questa distinzione è molto importante, perché incide anche sui doveri di tali soggetti (con particolare riferimento alla fornitura dell’informativa e all’acquisizione del consenso) e, dunque, sulle relative responsabilità.
Il Garante privacy ha scelto di non traslare gli obblighi della terza parte sull’editore, come sarà di seguito evidenziato in riferimento ai profili dell’informativa e del consenso; ciò nondimeno, taluni obblighi permangono in capo all’editore stesso, nonostante, come affermato dalla stessa Autorità, “spesso gli editori, che comprendono anche persone fisiche e piccole imprese, [siano] la parte più “debole” del rapporto. Laddove invece le terze parti sono solitamente grandi società caratterizzate da notevole peso economico, servono normalmente una pluralità di editori e possono essere, rispetto al singolo editore, anche molto numerose”.
Tanto premesso, si può qui evidenziare che ciascun editore deve essere considerato titolare del trattamento per ciò che concerne i cookie installati direttamente dal proprio sito.
L’editore non è, però, contitolare con le terze parti per i cookie installate da quest’ultime mediante il sito del primo; per il Garante, da questo punto di vista, l’editore è una sorte di intermediario tecnico fra terze parti ed utenti.
Com’è noto, la disciplina in materia di protezione dei dati personali è basata sul binomio informativa-consenso, ma la comunicazione web, nella prassi, mal si presta alla lettura di lunghi testi, che vengono oltretutto spesso “saltati” a piè pari dai lettori. Inoltre, l’estrema diffusione di dispositivi mobile (smartphone e tablet) pone ulteriori problematiche da questo punto di vista.
Il Garante ha così operato un bilanciamento: da un lato ha disposto l’obbligatorietà dell’informativa sin dal primo accesso a un sito web, dall’altro ha ideato un modello basato su due livelli di approfondimento successivi. Più specificatamente, l’informativa sui cookie deve essere resa:
L’informativa breve deve essere necessariamente visualizzata quando un utente accede a una qualsiasi pagina del sito web.
Forma:
Contenuto:
Rimozione del banner:
Log:
Infine, è doveroso precisare che:
L’informativa estesa deve:
I cookie di profilazione che persistono nel tempo comportano, per il titolare del trattamento, l’obbligo di notificazione al Garante privacy. Il loro utilizzo, infatti, è da considerarsi trattamento di dati personali soggetto al predetto obbligo perché è finalizzato a “definire il profilo o la personalità dell’interessato, o ad analizzare abitudini o scelte di consumo, ovvero a monitorare l’utilizzo di servizi di comunicazione elettronica con esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli utenti” (art. 37, comma 1, lett. d, d.lgs. 196/2003).
Come risulta dall’ultima parte della norma appena menzionata, taluni cookie di profilazione sono esclusi dal predetto obbligo: sono quelli che hanno finalità diverse e che rientrano nell’ambito dei cookie tecnici. Non a caso, già nel 2004 il Garante privacy ha inserito espressamente, tra i trattamenti esonerati dall’obbligo di notificazione, quelli “relativi all’utilizzo di marcatori elettronici o di dispositivi analoghi installati, oppure memorizzati temporaneamente, e non persistenti, presso l’apparecchiatura terminale di un utente, consistenti nella sola trasmissione di identificativi di sessione in conformità alla disciplina applicabile, all’esclusivo fine di agevolare l’accesso ai contenuti di un sito Internet” (del. n. 1 del 31 marzo 2004).
La normativa sui cookie, come si è visto, impone una serie di obblighi cui ciascun titolare deve adempiere, per quanto di sua competenza. In caso di violazione, troveranno applicazione talune norme sanzionatorie di cui al Codice della privacy, che il Garante ha già individuato ed evidenziato nel suo provvedimento dell’8 maggio 2014. In particolare, le fattispecie che si realizzano in ipotesi di violazione degli obblighi previsti dalla cookie law, possono così riassumersi:
Come si è visto la normativa comunitaria e, in virtù di essa, il legislatore italiano e il Garante privacy sono intervenuti in modo sicuramente incisivo su una fattispecie non solo estremamente tecnica ma altresì dalle rilevanti conseguenze informatico-giuridiche: l’utilizzo dei cookie. È ben noto, infatti, che essi sono costantemente utilizzati e, come giustamente rilevato dal Garante, ciò avviene per il perseguimento di fini diversi. Sono praticamente necessari per consentire una buona esperienza d’uso nella fruizione dei siti web, tanto che l’Autorità ha giustamente adottato un approccio molto cauto verso i cookie tecnici; sono altresì estremamente utili nella gestione delle campagne pubblicitarie on line, che sono fonte di sostentamento per molti siti, la cui consultazione e il cui utilizzo degli eventuali servizi sono di norma resi disponibili in modo apparentemente gratuito. Il prezzo da pagare, infatti, è sovente costituito dall’acquisizione di dati personali e dalla possibilità, anche implicita, di creare uno o più profili digitali degli utenti. Molti di essi, però, se ne disinteressano, e molti altri, anche dopo essere stati informati, continuano a farlo.
Come spesso accade, è estremamente arduo operare un buon bilanciamento fra gli interessi all’uopo confliggenti. Si consideri, innanzi tutto, che i paletti stabiliti dai vari legislatori (nonché la considerazione dei pareri del Gruppo di lavoro ex art. 29) hanno ovviamente limitato il raggio d’azione del provvedimento del Garante, che dunque ha dovuto e deve fare i conti con una normativa per certi aspetti già vetusta e oggi progressivamente più adeguata a burocratizzare più che a tutelare effettivamente, oltreché, a parere dello scrivente, non sufficientemente rappresentativa delle peculiarità dei vari soggetti che si pongono sul web. Basti pensare alle sanzioni, che sono di particolare gravità per soggetti di piccole dimensioni (come privati, professionisti e piccole/medie aziende), ma non lo sono altrettanto per quelle di grandi dimensioni. Inoltre, si ripropone costantemente il problema della effettività dello strumento sanzionatorio, poiché da un lato è possibile rilevare l’enorme numero di siti web e la rapidità con cui essi metaforicamente nascono, crescono e vengono meno, mentre dall’altro il controllo su di essi, e dunque sul rispetto della normativa, viene di fatto esercitato dall’Autorità garante piuttosto che dai giudici (si può ipotizzare che, per una molteplicità di motivi (costo, complessità tecnologica, difficoltà di provare il danno anche se non patrimoniale, ecc.), i procedimenti incardinati presso la competente autorità giudiziaria saranno ben pochi).
La distinzione fra “editor” e “terze parti” è sicuramente positiva, perché distingue fra soggetti diversi; ma vi sono problematiche conseguenti alla mancata distinzione fra soggetti di grandi e grandissime dimensioni rispetto a tutti gli altri, anche per ciò che concerne il trattamento sanzionatorio (per quanto le sanzioni all’uopo applicabili siano abbastanza differenziate nella loro misura minima e nella loro misura massima). Inoltre, il riferimento alla possibilità di selezionare/deselezionare i singoli cookie direttamente dalla informativa estesa, e non solo dai comandi del proprio browser o servizi eventualmente disponibili, dovrebbe essere inteso in senso fortemente restrittivo; per quanto ciò derivi dalla necessità di garantire la possibilità di revocare il consenso, sembra un obbligo tecnicamente troppo gravoso e troppo invasivo per il gestore di un sito web. Dal momento che l’editore è comunque obbligato a informare l’utente e a spiegargli come disabilitare i cookie dal proprio browser, sarebbe più opportuno ritenere ciò sufficiente per la compliance alla normativa: in tal senso la parola spetterà al Garante privacy e, in ultima analisi, all’autorità giudiziaria.
Informativa sul trattamento dei dati personali, ex art. 13, d.lgs. 196/2003 Informativa specifica sui cookie:
Il sito del residence ORMEGGIO, NON utilizza cookies di profilazione ma solo, eventualmente qualora i sistemi informatici su cui poggia l’infrastruttura del sito stesso li utilizzino,
Per quanto riguarda il trattamento dei dati personali che vengono, invece, raccolti e trattati mediante richiesta di prenotazione tramite il sito si rimanda alla Privacy Policy (aggiungere link alla pagina della privacy policy) dello stesso.
Lo staff del residence ORMEGGIO Vi ringrazia quindi di aver letto la presente informativa e Vi augura una buona navigazione sul proprio sito.