I cookie, il fingerprinting e altri strumenti di tracciamento dell’utente sul Web dovranno sottostare a nuove regole: salvo casi particolari, dovranno scomparire i meccanismi di ottenimento del consenso tramite scrolling della pagina e dovranno scomparire anche i cookie wall, cioè i sistemi che di fatto costringono ad accettare i cookie per poter continuare a navigare sul sito Web. Due tecniche entrambe usate a profusione negli ultimi anni da quei siti e servizi che proprio non hanno voluto rinunciare al tracciamento, alla profilazione degli utenti o alla rivendita di dati a soggetti terzi.
Ora questo Far West sta per finire: il Garante della privacy ha pubblicato sulla Gazzetta Ufficiale le nuove linee guida sui cookie e altri strumenti di tracciamento, lasciando a titolari e gestori di siti Web sei mesi di tempo per adeguarsi. L’aggiornamento delle precedenti Linee guida del 2014, spiega il Garante, “si è reso necessario alla luce delle innovazioni introdotte dal Regolamento europeo in materia di privacy, ma ha le sue motivazioni anche in una serie di altri fattori: l’esperienza maturata in questi anni (in base ai numerosi reclami, segnalazioni e richieste di pareri pervenute agli Uffici) sulla non corretta attuazione delle modalità per rendere l’informativa agli utenti e per l’acquisizione del consenso all’uso dei loro dati; il crescente uso di tracciatori particolarmente invasivi; la moltiplicazione delle identità digitali degli utenti che favorisce l’incrocio dei loro dati e la creazione di profili sempre più dettagliati”.
Per quanto riguarda il meccanismo di acquisizione del consenso, esso dovrà garantire che “per impostazione predefinita, al momento del primo accesso a un sito web” non vengano posizionati cookie sul dispositivo dell’utente, fatta eccezione per quelli tecnici. Inoltre non potranno essere usate (a meno che l’utente non scelga di abilitarle) altre tecniche di tracciamento né attive, come i cookie di terze parti, né passive come il fingerprinting. Sempre in merito al consenso, i siti dovranno smetterla di riproporre il relativo banner all’utente ogni volta che ritorna: un fatto che purtroppo accade spesso, anche all’interno delle medesime sessioni di navigazione, e che rallenta e peggiora la user experience. “La scelta dell’utente, dunque, dovrà essere debitamente registrata e non più sollecitata, a meno che non mutino significativamente le condizioni del trattamento; sia impossibile sapere se un cookie sia già memorizzato nel dispositivo; siano trascorsi almeno sei mesi”, specifica il Garante. Ovviamente resta possibile, per l’utente, revocare in qualsiasi momento il consenso precedentemente espresso.
Nell’informativa, come previsto dal Regolamento Ue, bisognerà indicare gli eventuali altri soggetti destinatari dei dati personali e specificare per quanto tempo le informazioni verranno conservate. Sarà possibile veicolare tale informativa su elementi statici della pagina ma anche tramite pop up, video, interazioni vocali.
Le regole per i cookie tecnici, di analytics e di profilazione
La presenza di cookie tecnici (per cui non è richiesto l’ottenimento del consenso) può essere segnalata anche nell’informativa generale. In merito ai cookie di analytics, utili per valutare l’efficacia di un servizio, il Garante raccomanda poi che vengano impiegati solo a scopi statistici. Per i cookie di profilazione continuerà a essere obbligatoria la richiesta del consenso, tramite “banner ben distinguibile sulla pagina Web, attraverso il quale dovrà anche essere offerta agli utenti la possibilità di proseguire la navigazione senza essere in alcun modo tracciati, ad esempio chiudendo il banner cliccando sulla caratteristica X da inserire in alto a destra”.
Un problema irrisolto è il fatto che attualmente non esiste una codifica universalmente accettata dei cookie, che permetta di distinguere in modo oggettivo quelli tecnici da quelli di analytics e di profilazione. “In attesa di raggiungere questo obiettivo, il Garante richiama i publisher a rendere manifesti nell’informativa almeno i criteri di codifica dei tracciatori adottati da ciascuno”.
Scrolling e cookie wall
Per quanto riguarda lo scrolling, le nuove linee guida specificano che “il semplice spostamento in basso del cursore (scroll down) non rappresenta una idonea manifestazione del consenso. I titolari dei siti (publisher) dovranno eventualmente inserire lo scrolling in un processo più articolato nel quale l’utente sia in grado di generare un evento, registrabile e documentabile presso il server del sito, che possa essere qualificato come azione positiva idonea a manifestare in maniera inequivoca la volontà di prestare un consenso al trattamento”.
Il meccanismo dei cookie wall, che impedisce la navigazione a meno di non accettare lo stato di fatto, “deve essere considerato illegittimo salva l’ipotesi, da verificare caso per caso, nella quale il titolare del sito consenta comunque agli utenti l’accesso a contenuti o servizi equivalenti senza richiesta di consenso all’uso dei cookie o di altri tracciatori”.