Source: https://www.commercianti.online/blog/cookie-law-tipi-di-cookie-previsti/
Timestamp: 2020-02-16 20:52:32+00:00
Document Index: 142315760

Matched Legal Cases: ['art. 13', 'art. 13', 'art. 122', 'art. 1', 'art. 13', 'art. 122']

E qui casca l’asino: la confusione sui cookie
I tipi di cookie previsti dalla Cookie Law: “cookie tecnici”, “cookie di profilazione” e “cookie di terza parte”
Cosa sono i “cookie di terza parte”
Le regole cui sottostanno i “cookie tecnici”
Le regole cui sottostanno i “cookie di profilazione”
Il cookie, in se e per se, è un semplice file di testo, quindi è uno strumento, un medium. Però, sebbene tutti i cookie siano “solo” file di testo, ne esistono di vari tipi.
I tipi di cookie sono individuati sulla base di criteri differenti. Uno di questi criteri riguarda lo scopo per il quale il cookie è creato. Gli scopi per cui si creano cookie, memorizzandovi all’interno varie e diverse informazioni personali, sono i più disparati: si va dal sapere se un utente è loggato o meno su un sito fino alla memorizzazione dei prodotti visti dal navigatore.
Stupito per questo titolo? Gli sviluppatori, i giuristi, il Garante… ma quanta gente decide?
Con l’ascesa di Internet, anche i giuristi (giudici, avvocati, commentatori, Istituzioni) ci si sono trovati a fare i conti e hanno creato a propria volta altre categorie concettuali (si parla sempre di codici, ma i giuristi ne hanno usati di diversi!).
Ora il Garante, seguendo le “linee guida” dell’Unione Europea, ha messo ordine (l’ultima parola è la sua visto che le sue parole, in questo caso, sono diventate Legge).
Dunque, mettiamo un po’ d’ordine anche noi.
I primi esistono fintanto che la finestra del browser è aperta (indipendentemente dal sito visitato), cancellandosi automaticamente all’uscita dal browser; i secondi, invece, i cookie persistenti, rimangono sul computer del navigatore per un tempo più lungo e non si cancellano automaticamente quando si esce dal browser (e in questo senso “persistono”, poiché rimangono sul computer per ore, giorni, mesi, anni, all’infinito!).
Quando Internet è arrivato “nel nostro mondo”, inevitabilmente i giuristi hanno iniziato a cercare di capire come le regole esistenti potessero essere applicate al nuovo strumento.
Così, riflessione dopo riflessione, hanno creato una varietà di cookie tale da far invidia alla classe degli insetti (ok, ora sto esagerando un po’ 🙂 ): cookie di profilazione, cookie di analisi statistiche, cookie di sessione, cookie che memorizzano dati sensibili o che memorizzano solo dati personali, cookie strumentali al funzionamento di Internet e cookie strumentali al behavioral advertising, ecc.
Probabilmente è anche da qui che deriva tutta la confusione sulla Legge Cookie che si è creata in Rete, sia in Italia che all’estero: dall’uso di parole differenti per descrivere la stessa cosa e dall’uso di parole identiche per descrivere cose diverse.
Ma in realtà il cookie è solo uno strumento e intrinsecamente non possiede qualità “buone” o “cattive”: è uno strumento e la sua bontà dipende solo da come lo si usa. Niente di più e niente di meno.
Per riportare un po’ d’ordine sui tipi di cookie previsti e regolati dalla Legge Cookie, non ci resta che leggere il Regolamento del Garante per la Protezione dei Dati Personali, quello che è stato, appunto, ribattezzato “Legge Cookie”.
Nella premessa 1, “Considerazioni preliminari”, del Regolamento per l’Individuazione delle modalità semplificate per l’informativa e l’acquisizione del consenso per l’uso dei cookie, il Garante Privacy scrive:
È su questa distinzione tra “cookie tecnico” e “cookie di profilazione” che si fonda l’individuazione delle modalità concrete con cui si deve mettere in regola il proprio sito di commercio elettronico (o un qualsiasi altro sito web).
A seconda dei tipi di cookie che il nostro sito crea e legge (“tecnici” oppure “di profilazione”), infatti, dobbiamo fornire solo una generica informativa oppure offrire anche la possibilità di cancellare i cookie.
Da questa distinzione tra “cookie tecnici” e “cookie di profilazione” dipende anche la modalità con cui informiamo i navigatori circa l’uso che facciamo dei cookie: una semplice privacy policy ovvero una modal box (quella che ora si può tranquillamente chiamare cookie box) o altro tipo di banner che causi una discontinuità nella fruizione del servizio.
Fatta questa prima distinzione (che puoi tranquillamente non aver ancora capito! Alla fine di questo post c’è un link a un post che tratta solo questo argomento…) tra “cookie tecnici” e “cookie di profilazione”, il Regolamento specifica ulteriori sotto-categorie di cookie nella macro-categoria Cookie Tecnici:
Oltre a questi due tipi di cookie, individuati secondo il profilo dello scopo (un giurista lo definirebbe “profilo teleologico”), il Garante prevede un terzo tipo di cookie: il “cookie di terza parte”.
Nella premessa 2, “Soggetti coinvolti: editori e terze parti”, il Garante Privacy scrive:
Un ulteriore elemento da considerare, ai fini della corretta definizione della materia in esame, è quello soggettivo. Occorre, cioè, tenere conto del differente soggetto che installa i cookie sul terminale dell’utente, a seconda che si tratti dello stesso gestore del sito che l’utente sta visitando (che può essere sinteticamente indicato come “editore“) o di un sito diverso che installa cookie per il tramite del primo (c.d. “terze parti“).
Infatti, ogni volta che trovi in giro per il web i vari pulsanti per lasciare un Like, un G+ o per fare un retweet quello che sta succedendo veramente è questo: Facebook, Google o Twitter (o chi per esso!), attraverso il codice del pulsante, stanno leggendo i propri cookie memorizzati sul tuo computer per capire se possono o non possono farti compiere l’azione: lasciare il Like, il G+ o fare il retweet.
Compresa l’importanza dei cookie, il Garante Privacy è perfettamente consapevole che, da un punto di vista tecnico-informatico, è difficile, se non impossibile, controllare come usano i cookie i servizi terzi che usiamo tutti i giorni sui nostri siti web. E si rende conto anche che usare questi strumenti è imprescindibile per chi gestisce un e-commerce o un qualunque altro sito (e anche per chi questi siti semplicemente li naviga).
È proprio per questo che ha previsto questo terzo tipo di cookie: il “cookie di terza parte”, appunto, e lo ha assoggettato alle stringenti regole previste per i cookie di profilazione.
Cookie analytics (se gestiti dall’Editore stesso);
A questo punto, probabilmente ti starai ponendo un po’ di domande: come faccio a sapere se i cookie che il mio e-commerce crea sono semplicemente “tecnici” oppure sono anche “di profilazione”? E subito, legata a questa domanda, come faccio a sapere quali sono i cookie creati dal mio sito? E, peggio, come faccio a sapere a che servono!?
Se, invece, vuoi sapere subito come si distingue in concreto un “cookie tecnico” da un “cookie di profilazione” e come questi si distinguono dai “cookie di terze parti” puoi leggere questo post.
La corretta individuazione della natura del cookie è importantissima perché i “cookie di profilazione” richiedono forme di acquisizione del consenso differenti e, soprattutto, sottostanno al principio dell’opt-in: prima si ottiene un consenso espresso E INFORMATO e solo dopo si può procedere al trattamento del dato (le informazioni contenute nel cookie sono esattamente questo: un dato personale – il cookie è solo un medium).
Nel caso si usino solo “cookie tecnici”, invece, sarà sufficiente una semplice informativa ai sensi dell’art. 13 del Codice Privacy, la privacy policy che già abbiamo, in sostanza.
Nessun banner, nessuna barra persistente, nessuna cookie policy ad hoc: solo un’informativa, che segua le regole dell’art. 13, ma pur sempre una semplice informativa sulla privacy come già ce l’abbiamo tutti sui nostri e-commerce, dobbiamo solo aggiornarla (in realtà doveva già contenere queste informazioni, ma di questo parleremo prossimamente).
Infatti, l’art. 122, comma 1, secondo periodo, del Codice in Materia di Protezione dei Dati Personali (così come modificato dall’art. 1, comma 4, del decreto legislativo 28 maggio 2012, n. 69 – che, per inciso, fino a questa nuova Legge Cookie, era la norma principale a regolare i cookie e, di fatto, rendeva molto complicato usarli in modo legale), dopo aver disciplinato in via generica l’uso di cookie et similia (web beacon, web bug, clear GIF, ecc.) assoggettandoli in via generica al regime dell’opt-in, stabilisce che:
[…] Ciò non vieta l’eventuale archiviazione tecnica o l’accesso alle informazioni già archiviate se finalizzati unicamente ad effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della società dell’informazione esplicitamente richiesto dal contraente o dall’utente a erogare tale servizio. […]
Ancora una volta, semplificando: l’uso dei cookie tecnici è assolutamente libero e richiede solo che il navigatore ne sia informato nella privacy policy o nella cookie policy.
Non serve nessun altro accorgimento e nessun altro adempimento. Basta l’informativa fornita ai sensi dell’art. 13 del Codice in Materia di Protezione dei Dati Personali.
E infatti, sempre l’art. 122, comma 1, al primo periodo recita:
L’archiviazione delle informazioni nell’apparecchio terminale di un contraente o di un utente o l’accesso a informazioni già archiviate sono consentiti unicamente a condizione che il contraente o l’utente abbia espresso il proprio consenso dopo essere stato informato con le modalità semplificate di cui all’articolo 13, comma 3. […]
Nel caso il tuo sito e-commerce usi “cookie di profilazione” o “cookie di terze parti” (quindi se hai i pulsanti sociali di Facebook, Twitter, Google+, ecc.) devi rispettare gli obblighi di informativa e il principio dell’opt-in: prima chiedi il consenso, lo ottieni e solo dopo puoi iniziare a memorizzare i cookie sui computer dei tuoi navigatori.
Gli obblighi a cui devi sottostare se usi “cookie di profilazione” o “di terze parti” sono:
Rispetto del principio dell’opt-in.
Per maggiori dettagli su ognuno di questi tre obblighi (e per gli altri previsti) vai all’indice della Guida per commercianti alla Legge sui Cookie: troverai tutte le informazioni di cui hai bisogno.
In più, iscriviti alla nostra newsletter perchè nei prossimi giorni pubblicheremo molte altre risorse sulla Cookie Law così che tutti possiamo arrivare preparati a Giugno 2015, termine entro il quale dovremo avere i nostri siti “in riga” e rispettosi della nuova Legge Cookie.