Source: http://www.gazzettadisanta.eu/articoli/ri_180216.html
Timestamp: 2018-03-19 05:22:19+00:00
Document Index: 128930181

Matched Legal Cases: ['art. 1', 'art. 122', 'art. 154', 'art. 143', 'art. 37', 'art. 37', 'art. 13', 'art. 161', 'art. 162', 'art. 37', 'art. 163']

Cookie: gli obblighi per i siti internet
Studio Cataldi – 11 febbraio 2018
Guida completa alla disciplina sui cookie e alle conseguenze del mancato rispetto della stessa
Il 2 giugno 2015 è entrato in vigore l'obbligo per i gestori e/o proprietari di siti internet, di inserire in home page, un "banner" in cui si comunica che il sito web ovvero la pagina internet, utilizza i cookie.
Tale normativa si applicherà a tutti i siti internet, compresi quelli responsive, ed interesserà la loro navigazione da qualsiasi terminale/device utilizzato.
I cookie [in inglese biscotto] sono stringhe di testo di piccole dimensioni che i siti visitati dall'utente inviano al terminale di quest'ultimo, solitamente al browser (a titolo esemplificativo Mozilla, Internet Explorer, Chrome ed altro), quando si visita un sito web o si utilizza un Social Network (ad esempio: Facebook, Twitter, etc.) con il pc, smartphone o tablet.
Gli stessi vengono memorizzati per essere poi ritrasmessi ai medesimi siti, alla successiva visita del medesimo utente.
Nel corso della navigazione su di un sito, l'utente può ricevere sul suo terminale anche cookie che vengono inviati da siti o da web server diversi (cosiddette "terze parti"), sui quali possono risiedere alcuni elementi (quali, ad esempio, immagini, mappe, suoni, specifici link a pagine di altri domini) presenti sul sito che lo stesso sta visitando.
Ogni cookie contiene diversi dati come, ad esempio, il nome del server da cui proviene, un identificatore numerico ed altro, i quali possono rimanere nel sistema per la durata di una sessione (cioè fino a quando non si "chiude il browser" utilizzato per la navigazione sul web) oppure per lunghi periodi e possono contenere un codice identificativo unico.
Alcuni cookie sono utilizzati per eseguire autenticazioni informatiche, monitoraggio di sessioni e memorizzazione di informazioni specifiche sugli Utenti che accedono ad una certa pagina web.
Il Legislatore, in attuazione delle disposizioni contenute nella direttiva 2009/136/CE, ha ricondotto l'obbligo di acquisire il consenso preventivo ed informato degli Utenti all'installazione di cookie utilizzati per finalità diverse da quelle meramente tecniche (cfr. art. 1, comma 5, lett. a), del D. Lgs. 28 maggio 2012, n. 69, che ha modificato l'art. 122 del Codice).
tecnici: i quali sono spesso utili, perché possono rendere più veloce e rapida la navigazione e la fruizione del web. Questi ultimi intervengono a rendere più semplice alcune procedure, come quelle relative aegli acquisti online (autentificazione ad aree con accesso riservato) oppure quando un sito web riconosce in automatico la lingua che l'Utente utilizza nella navigazione.
Una particolare tipologia di cookie, detti analytics, sono poi utilizzati dai gestori dei siti web per raccogliere informazioni, in forma aggregata, sul numero degli Utenti e su come questi ultimi visitano il sito stesso, permettendo in seguito di elaborare statistiche generali sul servizio e sul suo utilizzo;
di profilazione: i quali possono essere utilizzati per monitorare e profilare gli Utenti durante la navigazione, studiare i loro movimenti ed abitudini di consultazione del web o di consumo (cosa comprano, cosa leggono, etc.), anche allo scopo di inviare pubblicità di servizi mirati e personalizzati (c.d. Behavioural Advertising);
di terze parti: sono cookie utilizzati ai fini di profilazione e provengono da altri siti, ad esempio i banner pubblicitari, immagini, video od altro.
Considerata la particolare invasività che i cookie di profilazione (soprattutto quelli terze parti) possono avere nell'ambito della sfera privata del singolo Utente, la normativa prevede che quest'ultimo debba essere adeguatamente informato sull'uso degli stessi ed esprimere il proprio valido consenso all'inserimento dei cookie sul suo terminale.
Cookie: la nuova disciplina
In particolare, con il provvedimento "Individuazione delle modalità semplificate per l'informativa e l'acquisizione del consenso per l'uso dei cookie" dell'8 maggio 2014, il Garante ha voluto precisare che: «nel momento in cui si accede alla home page (o ad altra pagina) di un sito web, deve immediatamente comparire in primo piano un banner» con cui si avverte «che il sito utilizza cookie di profilazione al fine di inviare messaggi pubblicitari in linea con le preferenze manifestate dall'utente nell'ambito della navigazione in rete» e «che il sito consente anche l'invio di cookie "terze parti"».
Gli artt. 122, comma 1 e 154, comma 1, lett. h), del Codice Privacy, stabiliscono che, nel momento in cui si accede alla home page (o ad altra pagina) di un sito web, compaia un banner di idonee dimensioni contenente le seguenti indicazioni:
che il sito consente anche l'invio di cookie "terze parti";
possibilità per l'Utente di manifestare le proprie opzioni in merito all'uso dei cookie da parte del sito, anche attraverso le impostazioni del browser, indicando almeno la procedura da eseguire per configurare tali impostazioni;
L'art. 154, comma 1, lett. c), del Codice Privacy, statuisce che i titolari del trattamento dei dati debbano anche d'ufficio applicare le misure necessarie od idonee al fine di rendere il trattamento dei suddetti dati conforme alle disposizioni vigenti, ai sensi dell'art. 143 (i collegamenti - link - alle pagine web contenenti le informative e i moduli per l'acquisizione del consenso relativo ai cookie delle terze parti, con ciò intendendosi anche i concessionari).
L'Autorità di protezione dei dati personali ha, inoltre, indicato che il predetto banner debba contenere «il link all'informativa estesa, ove vengono fornite indicazioni sull'uso dei cookie tecnici e analytics» (dando «la possibilità di scegliere quali specifici cookie autorizzare») e deve indicare «che alla pagina dell'informativa estesa è possibile negare il consenso all'installazione di qualunque cookie», nonché «che la prosecuzione della navigazione mediante accesso ad altra area del sito o selezione di un elemento dello stesso (ad esempio, di un'immagine o di un link) comporta la prestazione del consenso all'uso dei cookie».
Resta fermo che nel caso in cui l'utilizzo dei cookie è «finalizzato a "definire il profilo o la personalità dell'interessato, o ad analizzare abitudini o scelte di consumo, ovvero a monitorare l'utilizzo di servizi di comunicazione elettronica con esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli utenti"» è necessario, comunque, provvedere alla notifica del trattamento al Garante ai sensi dell'art. 37, comma 1, lett. d, del D. Lgs. n. 196/2003.
Cookie: che succede se non si accettano
La navigazione può essere, comunque, effettuata ugualmente dall'Utente senza accettare i cookie, nel seguente modo:
blocca i cookie di terze parti: i cookie di terze parti non sono generalmente indispensabili per navigare, quindi possono essere rifiuta per default, attraverso apposite funzioni del proprio browser;
attiva l'opzione Do Not Track: l'opzione Do Not Track è presente nella maggior parte dei browser di ultima generazione. I siti web progettati in modo da rispettare questa opzione, quando viene attivata, dovrebbero automaticamente smettere di raccogliere alcuni tuoi dati di navigazione;
attiva la modalità di "navigazione anonima": mediante questa funzione si può navigare, senza lasciare traccia nel browser dei dati di navigazione. I siti non si ricorderanno del passaggio dell'Utente e le pagine visitate non saranno memorizzate nella cronologia. La funzione "navigazione anonima", però, non garantisce con sicurezza l'anonimato, in quanto il suo utilizzo serve solo a non mantenere i dati di navigazione nel browser, mentre i dati di navigazione continueranno ad essere disponibili ai gestori dei siti web e ai provider di connettività;
eliminazione dei cookie: vi sono apposite funzioni per applicarlo a tutti i browser. Si deve rammentare però che ad ogni collegamento ad Internet vengono scaricati nuovi cookie, per cui tale operazione dovrà essere effettuata costantemente.
Cookie: obbligo di notifica al Garante
L'uso dei cookie rientra tra i trattamenti soggetti all'obbligo di notificazione al Garante ai sensi dell'art. 37, comma 1, lett. d), del Codice Privacy, laddove lo stesso sia finalizzato a "definire il profilo o la personalità dell'interessato, o ad analizzare abitudini o scelte di consumo, ovvero a monitorare l'utilizzo di servizi di comunicazione elettronica con esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli Utenti".
L'uso dei cookie è, invece, sottratto all'obbligo di notificazione sulla base di quanto previsto dal provvedimento del Garante del 31 marzo 2004, che ha inserito espressamente, tra i trattamenti esonerati dal suindicato obbligo, quelli «relativi all'utilizzo di marcatori elettronici o di dispositivi analoghi installati, oppure memorizzati temporaneamente, e non persistenti, presso l'apparecchiatura terminale di un utente, consistenti nella sola trasmissione di identificativi di sessione in conformità alla disciplina applicabile, all'esclusivo fine di agevolare l'accesso ai contenuti di un sito Internet» (deliberazione n. 1 del 31 marzo 2004, pubblicato in Gazzetta Ufficiale del 6 aprile 2004 n. 81).
I cookie che invece hanno finalità diverse e che rientrano nella categoria dei cookie tecnici, ai quali sono assimilabili anche i cookie analytics (ad esempio per chi utilizza Google Analytics), non debbono essere notificati al Garante.
Le conseguenze del mancato rispetto della disciplina sui cookie
In caso di omessa informativa o di informativa inidonea, ossia che non presenti gli elementi indicati, oltre che nelle previsioni di cui all'art. 13 del Codice Privacy, nel presente provvedimento, è prevista la sanzione amministrativa del pagamento di una somma da seimila a trentaseimila euro (art. 161 del Codice Privacy).
L'installazione di cookie sui terminali degli utenti in assenza del preventivo consenso degli stessi comporta, invece, la sanzione del pagamento di una somma da diecimila a centoventimila euro (art. 162, comma 2-bis, del Codice Privacy).
L'omessa o incompleta notificazione al Garante, infine, ai sensi di quanto previsto dall'art. 37, comma 1, lett. d), del Codice, è sanzionata con il pagamento di una somma da ventimila a centoventimila euro (art. 163 del Codice Privacy).
In data 5 giugno 2015 il Garante, a seguito di notevoli quesiti posti dai gestori, ha provveduto ad integrare ed esplicitare alcuni punti, trattati nel provvedimento dell'8 maggio 2014.
Nel suddetto documento viene confermato che, per l'uso di cookie tecnici è sufficiente la comunicazione dell'informativa con le modalità ritenute più idonee (ad es. inserendo il riferimento nella privacy policy del sito) senza necessità di realizzare il banner previsto dal provvedimento.
In merito ai cookie analitici di terze parti, questi ultimi possono essere assimilati ai cookie tecnici, quando siano realizzati e utilizzati direttamente dal sito prima parte (senza, dunque, l'intervento di soggetti terzi).
Al riguardo, la consapevolezza dei vincoli tecnologici esistenti ha portato il Garante a indicare il termine di dodici mesi per attuare le indicazioni contenute nel provvedimento dell'8 maggio 2014 onde consentire una compiuta attuazione degli obblighi normativi. Si ritiene che tale obiettivo, in considerazione della vasta platea di utilizzatori e sviluppatori di piattaforme (molte delle quali open source), possa essere raggiunto mediante l'applicazione di strumenti di cosiddetti privacy-by-design realizzati sulla piattaforme medesime e messi a disposizione degli utilizzatori e gestori di siti. Tali interventi dovranno essere volti a permettere il più ampio margine possibile di azione da parte degli utilizzatori sull'installazione dei cookie, consentendo loro di inibire l'installazione di quelli a loro non necessari, e in ogni caso dovranno prevedere opzioni di default che subordinino l'installazione dei cookie non tecnici alla manifestazione del consenso preventivo nelle forme semplificate previste dal Provvedimento.
E' bene precisare, tuttavia, che per la natura "distribuita" di tale trattamento, che vede il sito prima parte comunque coinvolto nel processo, il consenso all'uso dei cookie terze parti si sostanzia nella composizione di due elementi entrambi necessari: da un lato la presenza del banner, che genera l'evento idoneo a rendere il consenso documentabile (a carico della prima parte) e, dall'altro, la presenza dei link aggiornati ai siti gestiti dalle terze parti in cui l'utente potrà effettuare le proprie scelte in merito alle categorie e ai soggetti da cui ricevere cookie di profilazione.
Si ritiene condivisibile la richiesta presentata da alcuni editori titolari in merito alla possibilità di effettuare una sola notificazione per tutti i diversi siti web che gli stessi gestiscono, in linea con le previsioni normative. In tal caso nella notificazione del trattamento andranno indicati tutti i domini nei quali il trattamento effettuato attraverso i cookie si realizza mantenendone aggiornato - attraverso eventuali modifiche della notificazione - il relativo elenco.
Cookie in pillole
I siti che non utilizzano cookie non sono soggetti ad alcun obbligo [La Gazzetta di Santa non utilizza cookie].
Per l'utilizzo di cookie tecnici è richiesta la sola informativa (ad esempio nella privacy policy del sito). Non è necessario realizzare specifici banner.
siano adottati strumenti che riducono il potere identificativo dei cookie (ad esempio tramite il mascheramento di porzioni significative dell'IP);
E' possibile effettuare una sola notificazione per tutti i diversi siti web che vengono gestiti nell'ambito dello stesso dominio.