Cookie Law

Cookie law, tecnici, di profilazione, di terze parti, normativa cookie, informativa, notifica, consenso...

Cookie Law Italia

Cookie Law – la Legge sui Cookie – è un termine con il quale di solito si indica una normativa varata nel 2011 dal Parlamento Europeo (conosciuta anche con il nome di Eu Cookie Law) riguardante la tutela della privacy sul web.
In Italia recentemente si parla di Cookie Law in riferimento al provvedimento n. 229 "Individuazione delle modalità semplificate per l'informativa e l'acquisizione del consenso dei cookie" emanato dal Garante della Privacy l'8 Maggio 2014 ma entrato in vigore solo dal 3 Giugno 2015.
Come è facile intuire già dal nome, protagonisti di questo provvedimento sono quegli elementi virtuali sui quali spesso troviamo avvisi mentre navighiamo in rete, ma le cui caratteristiche sfuggono ancora a molti tra noi: i cookie.

Cosa sono i cookie?
I cookie non sono altro che piccoli file attraverso i quali un sito web può entrare in possesso di alcuni dati delle persone che lo stanno visitando.
Il meccanismo seguito è molto semplice: nel momento in cui visitiamo un sito per la prima volta, automaticamente questi file si installano sul nostro pc e, successivamente, vengono rispediti al mittente con alcune nostre informazioni memorizzate.
I cookie, quindi, in un certo senso invadono la privacy di un utente, motivo per il quale si è pensato di regolamentare il modo in cui chi fornisce servizi web può utilizzarli.

La normativa sui cookie fornisce indicazioni precise sugli obblighi che il gestore di un sito è tenuto a rispettare nel momento in cui si serve di questi file, prevedendo sanzioni particolarmente pesanti dal punto di vista economico in caso di violazioni.

Prima di tutto il Garante distingue 3 categorie generali di cookie che possono essere trasmessi agli utenti:

cookie tecnici, necessari per il funzionamento stesso del sito. Si tratta, infatti, di file che servono per permettere all'utente di navigare nel miglior modo possibile. Sono cookie tecnici, per esempio, quelli grazie ai quali possiamo essere "ricordati" automaticamente da un portale sul quale siamo registrati (cookie di sessione/cookie di navigazione), oppure quelli che memorizzano criteri per la navigazione che abbiamo scelto precedentemente come la lingua selezionata (cookie funzionali).
Vengono considerati cookie tecnici anche quelli che raccolgono informazioni molto generiche sugli utenti, come numero di visitatori e modo in cui navigano sulle pagine del sito (cookie analitici);
cookie di profilazione, il cui scopo è invece raccogliere informazioni personali come gusti e preferenze d'acquisto di un utente, al fine di creare un vero e proprio profilo sulle sue tendenze e dar vita successivamente a campagne di marketing o a messaggi pubblicitari mirati. Per capire bene di cosa si tratta, pensiamo a quante volte, dopo aver cercato per esempio il prezzo di un oggetto su un portale, ci accorgiamo che nei banner pubblicitari lì presenti iniziano a comparire quasi esclusivamente offerte proprio su quel tipo di prodotto;
cookie di terze parti, così chiamati in quanto si tratta di file che in realtà non partono dal sito che stiamo visitando, non sono cioè voluti dall'editore del sito (come lo definisce il Garante), bensì da "terze parti", ovvero da altri spazi virtuali. Pensiamo per esempio ad un sito web che riporta i classici pulsanti per condividere notizie sui social network oppure video provenienti da altri portali: i cookie di terze parti partono proprio da quei social e/o quei portali video.

Per rispettare correttamente la normativa e non rischiare sanzioni amministrative, chi intende fornire un servizio web che fa uso di cookie deve seguire le indicazioni del Garante sui 3 elementi più importanti sui quali si concentra il provvedimento: informativa, consenso e notifica.

L'informativa serve per comunicare agli utenti in visita la possibilità che attraverso il sito vengano installati cookie.
Nel caso in cui si tratti di cookie di profilazione, deve essere obbligatoriamente "doppia". Si parla, infatti, di:

informativa breve, ovvero un banner, un riquadro che riporta un messaggio (di cui il Garante stesso ha fornito un esempio). Questo riquadro deve comparire non appena l'utente accede al sito per la prima volta, qualunque sia la pagina aperta. Deve riportare un breve avviso sull'utilizzo dei cookie con il link alla pagina in cui è riportata l'informativa completa nel dettaglio, deve comunicare all'utente che il consenso è facoltativo (cioè può anche scegliere di non accettare cookie) e deve avvisarlo sul fatto che, qualora l'avviso venisse del tutto ignorato, continuando ugualmente a navigare sul sito fornirebbe di fatto un consenso per così dire tacito;
informativa estesa, la pagina in cui devono essere riportate tutte le informazioni dettagliate sul tipo di cookie utilizzati, sul modo in cui verranno trattati i dati dell'utente e per quale motivo sono stati raccolti, la possibilità che vengano trasmessi ad altri, chi è il titolare del trattamento, ecc.
Inoltre, nell'informativa estesa bisogna dare informazioni su come disattivare i cookie, sottolineando come l'utente abbia sempre comunque diritto di revoca. Se si tratta di cookie di terze parti, l'editore deve riportare qui anche i link alle informative di quei siti che materialmente li trasmettono all'utente.

Il consenso corrisponde al permesso che l'utente dà al sito di installare i cookie sul suo pc. Non è necessario se si tratta di cookie tecnici, ma è obbligatorio quando ci sono cookie di profilazione. In quest'ultimo caso, infatti, l'editore non può trasmetterli all'utente senza aver prima ottenuto il consenso che, come anticipato, può anche essere tacito.

La notifica al Garante, infine, è un avviso che il gestore di un sito è sempre obbligato ad inviare all'autorità nel caso in cui si serva di cookie di profilazione.

Il Garante ha previsto obblighi diversi, quindi, per chi fornisce servizi web in base al tipo di cookie utilizzato.

Per i cookie tecnici, infatti, dal momento che sono file il cui unico scopo è quello di far sì che il sito funzioni nel migliore dei modi, non è richiesto il consenso dell'utente, ma è necessario avvisarlo della loro presenza tramite l'informativa.

Per quelli di profilazione, invece, essendo più invasivi e finalizzati a future campagne pubblicitarie, non solo bisogna informare l'utente in modo minuzioso ed ottenere il suo consenso, ma è anche obbligatorio notificare il loro utilizzo allo stesso Garante.

Per i cookie di terze parti, infine, è tuttora aperto un dibattito in quanto, se da un lato è chiaro dal provvedimento che l'editore deve avvisare l'utente sulla loro presenza e riportare i link alle informative dei siti che materialmente li installano, dall'altro ci sono ancora molti dubbi su quali siano eventuali ulteriori obblighi in questo caso.
L'ultimo chiarimento dato dal Garante su questo punto, tuttavia, sottolinea come, dal momento che è il sito ad aver scelto di utilizzare servizi di altri attraverso i quali possono essere trasmessi cookie di profilazione, è allora tenuto anche a chiedere il consenso all'uso di cookie di terze parti.

Le sanzioni previste dal provvedimento in caso di non rispetto della normativa consistono nel pagamento di multe che vanno da un minimo di 6.000 € fino a 36.000 € e possono raggiungere addirittura le 120.000 € se sono stati installati cookie di profilazione senza consenso dell'utente o se non è stato notificato al Garante il loro utilizzo.

Cookie Law: Elenco Avvocati e Studi Legali

Cookie di profilazione
File che raccolgono informazioni personali sulle preferenze di acquisto e i gusti di chi sta visitando un sito web. Lo scopo è creare un profilo sulle tendenze dei visitatori e dar vita, quindi, a campagne pubblicitarie mirate.

Profilazione
Operazione tipica delle campagne di marketing, che consiste nel raccogliere informazioni su abitudini, gusti, preferenze di acquisto delle persone per creare un profilo su di loro e dar vita in seguito a messaggi pubblicitari mirati. Su internet questa attività avviene servendosi per es. di cookie di profilazione e/o social network.

Sicurezza informatica aziendale: il DPS
Il "Documento Programmatico sulla Sicurezza" era un documento che, stando al Codice della Privacy, un’azienda era obbligata a compilare. La informazioni in esso contenute riguardavano per es. tipo di trattamento dei dati, strumenti utilizzati, natura dei dati, ecc. Dal 2011 non è più l’obbligatorio.

Sicurezza informatica aziendale: autenticazione
In base al Codice della Privacy, un’azienda deve sempre assicurarsi che sia proprio il responsabile del trattamento dei dati ad aver accesso agli stessi. Questa persona deve essere, quindi, sempre identificata ed identificabile, tramite l’utilizzo di Username e Password (autenticazione informatica).

Privacy: soft spam, cos’è
Si intende una forma di pubblicità via email per la quale un’azienda ha ottenuto il permesso dal Garante della Privacy: l’azienda può inviare ai propri clienti messaggi commerciali relativi a prodotti, servizi e beni, simili a quelli che già hanno acquistato in passato.