Cookie

GliHTTP cookie(pron./ˈkuki/; più precisamente denominaticookie web, o per antonomasiacookie)sono un tipo particolare dimagic cookie(una sorta di gettone identificativo) e vengono utilizzati dalleapplicazioniweblato serverper archiviare e recuperareinformazionia lungo termine sullato client.
Il concetto e il terminecookie, che letteralmente significa "biscotto", derivano dalmagic cookie(biscotto magico) una tecnica nota in ambienteUNIXgià negli anni '80 e tipicamente utilizzata per implementare meccanismi di identificazione di unclientpresso unserver, come ad esempio l'autenticazione del serverX Window System.
Il primo uso di cookie inHTTPrisale al 1994, quando furono usati per controllare se i lettori del sito diNetscapelo avessero già visitato in precedenza.
Nel 1995 la gestione dei cookie è stata integrata in Internet Explorer 2.
L'introduzione dei cookie inizialmente non è stata conosciuta da un ampio pubblico, ma se ne iniziò a parlare dopo un articolo pubblicato sulFinancial Timesil 12 febbraio 1996.
Il dibattito che si scatenò aveva come tema le implicazioni dei cookie sulla segretezza.
Icookiefurono oggetto di due udienze della Commissione degli Stati Uniti in commercio federale nel 1996 e nel 1997.
Da queste date si incominciò a regolare gli utilizzi dei cookie.
Oggi le applicazioni più comuni riguardano la memorizzazione di informazioni sulle abitudini dell'utente stesso all'interno deisiti webche visita.
Tali applicazioni hanno spesso sollevato dubbi da parte dei difensori dellaprivacydei navigatori, infatti un cookie potrebbe aiutarci nella navigazione oppure spiarci.
In questo secondo caso rientrano molte catene di pubblicitari (che vendonopubblicitàa molti siti differenti) i quali usano uncookieaccluso all'immagine pubblicitaria per correlare le visite di uno stesso utente a più siti diversi, costruendo quindi una specie di profilo dei siti più graditi.
Altri usi considerati convenienti perché utilizzano il cookie come servizio per l'utente sono per esempio la registrazione dei dati di una sessione per evitare la necessità di una nuova autenticazione in una visita successiva (come fa ancheWikipediaper i suoi utenti registrati), o per mantenere il contenuto del "carrello della spesa" nei siti dicommercio elettronico.
I server inviano i cookie nella rispostaHTTPalcliente ci si aspetta che iweb browsersalvino e inviino i cookie al server, ogni qual volta si facciano richieste aggiuntive alweb server.
Tale riconoscimento permette di realizzare meccanismi diautenticazioneusati ad esempio per ilogin; di memorizzare dati utili allasessionedi navigazione, come le preferenze sull'aspetto grafico o linguistico delsito; di tracciare la navigazione dell'utente, ad esempio per finistatisticio pubblicitari; di associare dati memorizzati dal server, ad esempio il contenuto del carrello di unnegozio elettronico.
Date le implicazioni per lariservatezzadei naviganti del web, l'uso dei cookie è categorizzato e disciplinato negliordinamenti giuridicidi numerosi paesi, tra cui quelli europei, inclusa l'Italia. La sicurezza di uncookiedi autenticazione dipende generalmente dalla sicurezza del sito che lo emette, dal browser web dell'utente, e dipende dal fatto che ilcookiesia criptato o meno. Le vulnerabilità di sicurezza possono permettere agli hacker di leggere i dati delcookie, che potrebbe essere usato per ottenere l'accesso ai dati degli utenti, o per ottenere l'accesso (con le credenziali dell'utente) al sito web a cui ilcookieappartiene (vedicross-site scriptingecross-site request forgeryper esempio).
Icookie, e in particolare icookiedi terza parte, sono comunemente usati per memorizzare le ricerche di navigazione degli utenti; questidati sensibilipossono essere una potenziale minaccia alla privacy degli utenti; proprio questo ha indotto le autorità europeee degli Stati Uniti a regolamentarne l'uso mediante una legge nel 2011. Infatti la legislazione europea impone a tutti i siti degli stati membri di informare gli utenti che il sito usa certi tipi dicookie.
In termini pratici e non specialistici, un cookie è simile ad un piccolo file, memorizzato nelcomputerda siti web durante la navigazione, utile a salvare le preferenze e a migliorare le prestazioni dei siti web. In questo modo si ottimizza l'esperienza di navigazione da parte dell'utente.
Nel dettaglio, un cookie è una stringa di testo di piccole dimensioni inviata da unweb serverad un webclient(di solito unbrowser) e poi rimandata indietro dal client al server (senza subire modifiche) ogni volta che il client accede alla stessa porzione dello stessodominio web. I cookie sono stati originariamente introdotti per fornire un modo agli utenti di memorizzare gli oggetti che volevano acquistare, mentre navigavano nel sito web (il cosiddetto "carrello della spesa").
Oggi, tuttavia, il contenuto del carrello di un utente viene immagazzinato in un database sul server, piuttosto che in un cookie sul client. Per tenere traccia a quale utente è assegnato il carrello della spesa, il server Web invia un cookie al client che contiene un identificatore di sessione univoco (tipicamente, una lunga serie di lettere e numeri). Poiché i cookie vengono inviati al server ad ogni richiesta del client, l'identificatore di sessione sarà inviato al server ogni volta che l'utente visita una pagina sul sito web, ciò permette al server di sapere quale carrello deve fornire all'utente.
Poiché i cookie di sessione contengono solo un identificatore di sessione univoco, questo rende la quantità di informazioni personali che un sito web può memorizzare virtualmente illimitata. Il sito non si limita alle restrizioni in materia di quanto possa essere lunga la stringa di testo che compone un cookie. I cookie di sessione possono anche contribuire a migliorare i tempi di caricamento delle pagine, dal momento che la quantità di informazioni in un cookie di sessione è piccolo e richiede poca banda.
Il cookie principale, quello che serve per memorizzare le opzioni per tutti gli altri cookie, si chiamacookie tecnico(di consenso) ovvero quello che presiede all'invio e ricezione del pacchetto di informazioni (marcatori).
Ogni dominio o sua porzione che viene visitata colbrowserpuò impostare dei cookie. Poiché una tipica paginaInternet, ad esempio quella di un giornale in rete, contiene oggetti che provengono da molti domini diversi e ognuno di essi può impostare cookie, è normale ospitare nel proprio browser molte centinaia di cookie.
I cookie vengono spesso erroneamente ritenuti veri e propriprogrammie ciò genera errate convinzioni. In realtà essi sono semplici blocchi di dati, incapaci, da soli, di compiere qualsiasi azione sulcomputer. In particolare non possono essere néspyware, névirus. Ciononostante i cookie provenienti da alcuni siti sono catalogati come spyware da molti prodotti anti-spyware perché rendono possibile l'individuazione dell'utente. I moderni browser permettono agli utenti di decidere se accettare o no i cookie, ma l'eventuale rifiuto rende alcunioggettiinutilizzabili. Ad esempio, gli shopping cart implementati con i cookie non funzionano in caso di rifiuto.
I cookie non sono solo utilizzati suiPCo simili, ma anche suglismartphone, suitablete suglismart TV.
Un cookie è unheaderaggiuntivo presente in una richiesta (Cookie:) o risposta (Set-cookie:)HTTP: nel caso ilservervoglia assegnare un cookie all'utente, lo aggiungerà tra gli header di risposta. Il client deve notare la presenza del cookie e memorizzarlo in un'area apposita (in genere, si utilizza unadirectorydove ogni cookie viene memorizzato in unfile). Il cookie è composto da una stringa di testo arbitraria, una data di scadenza (oltre la quale non deve essere considerato valido) e unpatternper riconoscere i domini a cui rimandarlo. È possibile impostare più cookie in una sola risposta HTTP.
Ilbrowser webclient rimanderà il cookie, senza alcuna modifica, allegandolo a tutte le richieste HTTP che soddisfano il pattern, entro la data di scadenza. Il server può quindi scegliere di assegnare il cookie di nuovo, sovrascrivendo quello vecchio. Il reinvio tramite pattern permette a tutti i sottodomini di un dato dominio di ricevere il cookie, se così si vuole.
I cookie vengono utilizzati per aggiungere uno stato ad un protocollo privo di stato. Senza i cookie non vi sarebbe differenza in una pagina caricata prima di effettuare unlogin, dalla stessa pagina caricata dopo. Dato che i cookie permangono nel sistema per lunghi periodi, i siti possono assegnare un indice all'utente e tenere traccia della sua navigazione all'interno del sito, solitamente allo scopo di creare statistiche. Possono essere utilizzati anche per tracciare la navigazione su siti terzi, nel caso in cui questi siti terzi utilizzino contenuti provenienti dal sito che ha impostato il cookie. Solitamente la pubblicità sui siti viene gestita da compagnie che hanno inserzioni su svariati siti internet.
Il contenuto della pubblicità stessa viene caricato direttamente dal loro server (tramite una richiesta HTTP) e visualizzato in maniera integrata nel sito che l'utente desidera visitare. In questo modo il server della compagnia pubblicitaria riceverà dal browser dell'utente l'indirizzo della pagina che si sta visualizzando, e potrà inviare un cookie al client. Tramite questo meccanismo le società pubblicitarie possonoaggregare informazioni sugli utenti e costruirne profilie mostrare loro pubblicità mirate.
Poiché possono essere usati per monitorare la navigazione suInternet, i cookie sono oggetto di discussioni concernenti il diritto allaprivacy. Molti paesi ed organizzazioni, fra cui gliStati Unitie l'Unione europea, hanno legiferato in merito. I cookie sono stati inoltre criticati perché non sempre sono in grado di identificare l'utente in modo accurato ed inoltre perché possono potenzialmente essere oggetto diattacchi informatici. Esistono alcune alternative ai cookie, ma tutte, insieme ad alcuni vantaggi, presentano controindicazioni.
Nellacookie policyi gestori di un sito web devono specificare nel dettaglio la politica dei propricookieo di quelli di terze parti.
Le attività per le quali sono utilizzate sono diautenticazione, tracciatura disessionie memorizzazione di informazioni specifiche riguardanti gli utenti che accedono alserver, come ad esempiositi webpreferiti o, in caso di acquisti via internet, il contenuto dei loro "carrelli della spesa".
Anche ilmotore di ricercaGooglespedisce un cookie che immagazzina dati riguardanti le ricerche, le parole chiave delle ricerche e le abitudini dell'utente.
Più in dettaglio i diversi utilizzi deicookiesono dunque:
Molti dei modernibrowserpermettono all'utente di decidere quando accettare cookie, ma respingere alcuni cookie non permette l'utilizzo di alcuni siti (prendiamo come esempio l'iscrizione ad un sito web come Wikipedia).
Le impostazioni possono essere personalizzate per abilitarli o bloccarli sempre, entro un determinato periodo di permanenza, per filtrare i siti in base a liste bianche eliste nere, e per filtrare cookie che sono utilizzati dallo stesso server o anche da collegamenti (spesso pubblicitari) a siti ospitati su server differenti.
È da notare che il funzionamento dei cookie è totalmente dipendente dal browser di navigazione che l'utente usa: in teoria, tale programma può dare all'utente il controllo completo dei cookie e permettere o rifiutare la loro creazione e diffusione.Internet Explorerha solo una gestione rudimentale dei cookie, mentre alternative comeOperaoMozilla Firefoxdanno un maggiore controllo all'utente e permettono di accettare/rifiutare cookie da siti specifici. Anche altri programmi, da usare comeproxy, permettono all'utente un grado maggiore di controllo su cosa succede.
UnToro un proxy server hanno l'effetto finale, non di cancellare l'indirizzo IP, ma di farne apparire uno differente da quello del proprio computer. Nel caso di rilevazione dell'indirizzo IP, con questi accorgimenti, non si incontra alcuna limitazione nel numero di siti navigabili.
Contrariamente a quanto comunemente si crede, un cookie non è un piccolo file di testo: può essere sì memorizzato in un file di testo, ma non necessariamente. Nel cookie solitamente possiamo trovare quattro attributi:
Il dominio (domain) e il percorso (path), definiscono l'ambito di visibilità del cookie, indicano al browser che il cookie può essere inviato al server solo per il dominio e il percorso indicati. Se non specificati, come predefiniti prendono il valore del dominio e del percorso che li ha inizialmente richiesti. Un esempio di direttiva per la creazione dei cookie da parte di un sito web in seguito al logon di un utente è la seguente:
Il primo cookieLSIDha come dominio predefinitodocs.foo.come percorso/accounts, che indicheranno al browser di usare il cookie solo quando la pagina richiesta contienedocs.foo.com/accounts. Gli altri 2 cookieHSIDeSSIDpotranno essere inviati dal browser al server quando sono visitati, qualsiasi dei sottodomini in.foo.comcon qualsiasi percorso, ad esempiowww.foo.com/. I cookie possono essere impostati solo dai domini principali e dai loro sottodomini.
La grande varietà esistente di cookie nel mondo del web rende difficile una loro classificazione. È possibile comunque stilarne una tassonomia generale separandoli in diverse categorie.L'attributo principale tramite cui possiamo dividere i cookie è il lorociclo di vita, il quale ci permette di distinguerli in:
È possibile poi classificare i cookie in base allaprovenienzain:
Infine, è possibile distinguerli dal punto di vista dell'utilizzo(ofinalità) in:
Altri tipi utili di cookie:
Una procedura di manipolazione sui cookie è lacookie poisoning. Consiste nel modificare i contenuti di un cookie (per esempio le informazioni personali salvate nel computer dell'utente) al fine di eludere i meccanismi disicurezza.
Attraverso questa tecnica, chi attacca può ottenere informazioni private e non autorizzate da un utente, nonché rubare la suaidentità digitale. I cookie immagazzinati nel computer dell'utente contengono le informazioni che permettono alle applicazioni di autenticare lo userID, monitorare i comportamenti dell'utente, e personalizzare i contenuti di un sito. In genere, questi dati sono sottoposti acifratura, ma non sempre gli algoritmi sono sicuri per cui qualche utente con intenzioni malevole potrebbe carpire i nostri dati e utilizzarli o modificarli. Secondo l'organizzazione The Open Web Application Security Project, comunemente dettaOWASP, la manipolazione dei cookie è uno dei 20 attacchi più utilizzati dagli hacker, soprattutto nei sistemi dicommercio elettronico, e serve per identificare l'utente.
La maggior parte dei siti web utilizzano i cookie come unici identificatori per le sessioni degli utenti, in quanto altri metodi di identificazione hanno dei limiti e delle vulnerabilità. Esiste comunque un rischio, infatti, potrebbe permettere agli aggressori di rubare ed impersonare le richieste degli utenti. Dal punto di vista del server web, una richiesta effettuata da un utente con intenzioni malevole (cioè un utente che ha rubato i cookie di altri utenti) non ha alcuna differenza rispetto alla richiesta effettuata dalla vittima.
Qui elencate vi sono diverse tecniche di furto di cookie che funzionano esclusivamente con i siti web che si basano sui cookie HTTP per l'autenticazione degli utenti.
Il traffico di una rete può essere intercettato e letto da un computer connesso ad una rete diversa rispetto a quella del mittente e destinatario (in particolare quando si è connessi ad una reteWi-Finon criptata). Questo traffico include cookie inviati su sessioni HTTP non cifrate, e può permette agli aggressori di leggere le comunicazioni di altri utenti della rete, inclusi i cookieHTTP, nonché l'intero contenuto delle conversazioni, ai fini di un attaccoman-in-the-middle.
Un utente malintenzionato potrebbe utilizzare i cookie intercettati per impersonare l'utente proprietario dei cookie, ed effettuare operazioni dannose, come ad esempio trasferire somme di denaro dal conto bancario della vittima su altri conti, spesso e volentieri non rintracciabili.
Questo problema può essere risolto attraverso una comunicazione cifrata, tra il computer dell'utente e il web server, utilizzandoTransport Layer Security(protocolloHTTPS). Il server può specificare il flag Secure durante l'impostazione dei cookie, in modo che il browser possa inviare i cookie solo su un canale crittografato, come ad esempio una connessioneSSL.
Se un utente malintenzionato è in grado di nascondere unserver DNS, e di far utilizzare all'utente un server DNS fittizio/fasullo (DNS cache poisoning), allora questo potrebbe consentire al malintenzionato di ottenere l'accesso ai cookie dell'utente. Ad esempio, un utente malintenzionato potrebbe utilizzare DNS cache poisoning per creare un DNS fasullo dif12345.www.example.comche in realtà punta all'indirizzo IPdel server dell'attaccante. Quest'ultimo può quindi inserire l'immagine URL del proprio server (ad esempio,http://f12345.www.example.com/img_4_cookie.jpg). Le vittime leggendo il messaggio dell'attaccante andranno a scaricare questa immagine daf12345.www.example.com. Dal momento chef12345.www.example.comè un sottodominio diwww.example.com, il browser delle vittime provvederà ad inviare tutti i cookieexample.comal server dell'attaccante.
Se un utente malintenzionato è in grado di raggiungere questo obiettivo, di solito la colpa è deifornitori dei servizi Internet(ISP) che non hanno garantito una connessione sicura dei server DNS. Tuttavia, la gravità di questo attacco può essere ridotta se il sito destinatario utilizza i cookie protetti. In questo caso, l'utente malintenzionato avrà un ulteriore ostacolo, quello di ottenere il certificatoSSLdel sito Web di destinazione da un'autorità di certificazione, dal momento che i cookie sicuri possono essere trasmessi solo tramite una connessione criptata. Senza un certificato SSL, i browser delle vittime avrebbero visualizzato un messaggio di avviso relativo al certificato non valido del sito web dell'attaccante, che potrebbe aiutare gli utenti a non visitarlo, evitando così di inviare i cookie ad un sito non sicuro.
I cookie possono anche essere rubati utilizzando una tecnica chiamatacross-site scripting. Ciò si verifica quando un attaccante sfrutta un sito web che permette agli utenti di inviare contenuto non filtrato HTML e JavaScript. Inviando dei contenuti malevoli HTML e JavaScript, l'attaccante può servirsi del browser della vittima per prendere il controllo dei suoi cookie.
A titolo di esempio, un utente malintenzionato può inviare un messaggio sulwww.example.comcon il seguente link:
Quando un altro utente clicca su questo link, il browser esegue un pezzo di codice all'interno dell'attributoonclick, sostituendo così la stringadocument.cookiecon la lista dei cookie che sono accessibili dalla pagina corrente. Come risultato, questo elenco di cookie viene inviato al serverattacker.com. Se la connessione avviene medianteHTTPShttps://www.example.com, i Secure cookie saranno inviati lo stesso adattacker.comin formato testo.
È responsabilità degli sviluppatori dei siti web filtrare tale codice dannoso.
Tali attacchi possono essere ridotti utilizzando i cookieHttpOnly. Questi cookie non saranno accessibili dal lato client attraverso linguaggi di scripting come JavaScript e, quindi, l'attaccante non sarà in grado di rubare questi cookie.
Nelle versioni più vecchie di molti browser, ci furono buchi di sicurezza che permisero agli attaccanti di sporcare gli script di una richiesta proxy, dal lato client, tramiteXMLHttpRequestAPI. Ad esempio, la vittima sta leggendo un post di un attaccante suwww.example.com, e lo script dell'attaccante viene eseguito nel browser della vittima. Lo script genera una richiesta perwww.example.comconattacker.comcome server proxy. Dal momento che la richiesta è perwww.example.com, tutti i cookie diexample.comverranno inviati insieme alla richiesta, tuttavia verranno instradati attraverso il server proxy dell'attaccante. Quindi, l'attaccante sarebbe in grado di intercettare i cookie della vittima.
Questo attacco non avrebbe funzionato con i Secure cookie, in quanto possono essere trasmessi solo su connessioniHTTPS, e il protocollo HTTPS implementa una crittografia end-to-end (vale a dire che le informazioni sono crittografate sul browser dell'utente e decifrate sul server di destinazione). In questo caso, il server proxy avrebbe visto solo i primi byte cifrati della richiesta HTTP.
Ad esempio, Bob potrebbe navigare in un forum in cui un altro utente, Mallory, ha postato un messaggio. Supponiamo che Mallory abbia realizzato un'immagine HTML che fa riferimento ad un'operazione sul sito web della banca di Bob, (piuttosto che un file immagine) ad esempio:
Se la banca di Bob mantiene le sue informazioni di autenticazione in un cookie, e se il cookie non è scaduto, allora il tentativo da parte del browser di Bob di caricare l'immagine presenterà il modulo di rinuncia del suo cookie, autorizzando in tal modo una transazione senza l'approvazione di Bob.
Una volta che si è impostato ilbrowserperché accetti i cookie, essi sono archiviati in una speciale cartella del sistema, solitamente nel percorso dell'utente. Il percorso ove materialmente sono memorizzati i file corrispondenti dipende dalla combinazione tipologia dispositivo/sistema operativo/browser. Si possono facilmente cancellare sia agendo sui comandi previsti dal browser (i medesimi che permettono di cancellare la cronologia, lacache, le informazioni dilogin, i dati di compilazione dei moduli, ecc.) oppure utilizzando uno dei tanti "pulitori" di terze parti, quali ad esempioCCleaner,Spybot- Search & Destroy. Oltre alla eliminazione massiva si può ricorrere a quella dei singoli file ma allora occorre riconoscerli agendo (nella cartella relativa) sugli specifici cookie di interesse.
Una volta eseguita la cancellazione dei cookie, è normale che il browser e i vari siti web si ripresentino con delle richieste, rispettivamente, di personalizzazione impostazione e di accettazione cookie oppure la navigazione su siti abituali sia leggermente e inizialmente un poco più lenta: questo è dovuto, appunto, alla pulizia eseguita.
In Italia la norma di riferimento relativamente ai cookie è l'art. 122delcodice della privacyche nella sua formulazione a fine maggio 2012 recepisce la direttiva comunitaria 2009/136/CEE-Privacy. È quindi necessario che l'utente, salvo casi particolari, sia informato e presti esplicitamente il consenso, prima che i cookie vengano salvati. Tale indicazione, pur se tesa a dare maggiori garanzie agli utenti, creò a suo tempo allerta negli operatori per il rischio che potesse compromettere le modalità di navigazione come le conosciamo oggi.
Il 2 giugno 2015 divenne obbligatorio per i gestori di siti web adeguarsi al Provvedimento “Individuazione delle modalità semplificate per l'informativa e l'acquisizione del consenso per l'uso dei cookie” (Gazzetta Ufficiale n. 126 del 3 giugno 2014) dell'8 maggio 2014, con cui ilGarante per la protezione dei dati personalidetta le regole sulle modalità di adempimento agli obblighi di rilascio dell'informativa e di acquisizione del consenso degli utenti in caso di utilizzo di cookie.
Per tutti i siti web che utilizzano cookie non tecnici (di profilazione) il Provvedimento stabilisce che nel momento in cui si accede ad una qualsiasi pagina del sito web deve immediatamente comparire in primo piano un banner(contenente l'informativa breve) di idonee dimensioni, con caratteristiche tali da determinare una discontinuità dell'esperienza di navigazione, indicante:
Al banner di informativa breve deve essere poi collegato un cookie tecnico che permetta di tenere traccia del consenso dell'utente per le successive navigazioni sul medesimo sito internet.
Attraverso il banner di informativa, e attraverso i riferimenti in calce ad ogni pagina del sito, l'utente deve quindi poter accedere all'informativa estesa (la cosiddettacookie policy) che deve contenere tutti gli elementi previsti dall'art. 13 del Codice, descrivere in maniera specifica e analitica le caratteristiche le finalità dei cookie installati dal sito, consentire all'utente di selezionare o deselezionare i singoli cookie, contenere i link aggiornati alle informative e ai moduli di consenso delle terze parti con le quali l'editore ha stipulato accordi per l'installazione di cookie tramite il proprio sito. Qualora l'editore abbia contatti indiretti con le terze parti, dovrà inserire i link dei siti che fanno da intermediari tra lui e le stesse terze parti.
L'informativa deve infine richiamare la possibilità per l'utente di manifestare le proprie opzioni in merito all'uso dei cookie da parte del sito anche attraverso le impostazioni del browser, indicando almeno la procedura da eseguire per configurare tali impostazioni.
In caso di omessa o inidonea informativa, oltre che nelle previsioni di cui all'art. 13 del Codice, nel provvedimento è prevista la sanzione amministrativa del pagamento di una somma da seimila a trentaseimila euro (art. 161 del Codice).
L'installazione di cookie sui terminali degli utenti in assenza del preventivo consenso degli stessi comporta, invece, la sanzione del pagamento di una somma da diecimila a centoventimila euro (art. 162, comma 2-bis, del Codice).
L'omessa o incompleta notifica al Garante da parte di soggetti che utilizzano cookie di 'profilazione' comporta una sanzione da venti mila a centoventi mila euro (art. 163 del Codice). Esclusi da tale obbligo sono coloro che non utilizzano direttamente i cookie di 'profilazione':
Il garante fornì, in merito ai casi in cui sia necessaria la notifica, ulteriori chiarimenti neldocumento web n. 993385. In merito ai chiarimenti richiesti sull'ambito di applicazione della normativa in materia di cookie, si evidenzia che la stessa riguarda tutti i siti che, a prescindere dalla presenza di una sede nel territorio dello Stato, installano cookie sui terminali degli utenti, utilizzando quindi per il trattamento "strumenti situati sul territorio dello Stato" (cfr. art. 5, comma 2, del Codice privacy).
Dal 25 maggio 2018 la regolamentazione sui cookie è prescritta dal GDPR (vedi paragrafo).
Dal 9 gennaio 2022 in Italia è in vigore una nuova prescrizione sui cookie (emanata nel luglio 2021 dal garante): i requisiti che deve osservare il web master di un sito assicurano all'utente maggiori diritti e facoltà di scelta informata (tra gli altri: possibilità di rifiutare in blocco tutte le categorie di cookie, a parte quello tecnico, e mantenere le scelte dell'utente). Inoltre, ha vietato lo strumento denominatocookie wall.
Sul finire del 2022 e nel 2023 si è consolidato il fenomeno editoriale dei mass media (avviato dalle principali testate giornalistiche nazionali) di richiedere l'accettazione dei cookie facoltativi (in particolare quelli legati alla pubblicità pagata dagli inserzionisti) per poter fruire gratuitamente dei contenuti, al posto dell'abbonamento. Tale strumento si chiamapaywall. Questo, in linea di principio, non è vietato dalla normazione vigente.
Dal 25 maggio 2018 è applicato ilregolamento generale sulla protezione dei dati(GDPR,General Data Protection Regulation- Regolamento UE 2016/679). Il GDPR sostituisce l’attuale legge italiana sulla protezione dei dati (ufficialmente Direttiva 95/46/EC)e abroga le norme delCodice per la protezione dei dati personali(dlgs.n. 196/2003) che risulteranno con esso incompatibili. Pertanto, gli articoli del codice italiano che non siano specificatamente coperti dal GDPR rimangono in vigore (a meno di futuri provvedimenti legislativi).
Secondo laCommissione Europea"i dati personali sono qualunque informazione relativa a un individuo, collegata alla sua vita sia privata, sia professionale o pubblica. Può riguardare qualunque dato personale: nomi, foto, indirizzi email, dettagli bancari, interventi su siti web di social network, informazioni mediche oindirizzi IPdi computer."
Per questo anche i cookie devono essere trattati comedati personalie devono essere gestiti come segue:
Inoltre la cookie policy deve contenere la lista di tutti i cookie presenti su tutte le pagine del sito e per ognuno di essi: chi riceve i dati, per cosa sono utilizzati e la data di scadenza.
Nel gennaio 2017 laCommissione Europeapropose un’alternativavolta a semplificare l’esperienza online, auspicando che siano gli stessi browser a poter gestire le preferenze degli utenti per il consenso/rifiuto dei cookie – eliminando quindi la necessità di gestire le singole accettazione dei cookie nei singoli siti. Questa proposta non ha avuto seguiti ed è stata molto criticata e giudicata non fattibile.
Tecnicamente i browser non riescono a leggere lo scopo di un cookie (come viene utilizzato) e non possono fornire una sua descrizione in un “linguaggio semplice” così come è richiesto nel GDPR. Inoltre i browser non possono registrare tutti i cookie presenti in un intero sito, ma solo uno per volta per pagina singola. I browser non possono gestire consensi differenti in base ai diversi siti (per cui sarebbe un’accettazione di tutti i cookie o di nessuno) e non possono inoltre fornire ilFormato della prova(il salvataggio dei consensi) così come richiesto dal GDPR. Alla luce di nessun nuovo sviluppo di questa proposta da parte dellaCommissione Europea, i gestori dei siti web dovranno attenersi a quanto richiesto dal GDPR.
Nel caso di un sito con la presenza di soli cookie tecnici/funzionali (carrello degli acquisti, selezione lingua, preferenze) o di cookie statistici di prima parte (es.Matomoe simili): rimane tutto come è ora e quindi non è necessario avere un cookie banner, il blocco preventivo dei cookie prima del consenso e il salvataggio dei consensi (formato della prova).
In questo caso rientrano anche i cookie di statistica di terza parte comeGoogle Analyticscon IP anonimizzato in modo tale che non possa essere ricostruito l’indirizzo IP con tecniche di “reverse engineering". Utilizzando Google Analytics bisogna quindi disattivare la condivisione dei dati con gli altri prodotti/servizi Google, altrimenti si rientra nel caso successivo.
Nel caso di presenza di altri tipi di cookie, e quindi quelli pubblicitari (Google Adsense, DoubleClick, retargeting, ecc) e tutti gli altri di terze parti (social network, YouTube, ecc) oltre al cookie banner il GDPR richiede: