#cookielaw: the day after (v. 0.9)

Nell’articolo di qualche giorno fa dal titolo Cookie: la disciplina applicabile e le criticità del provvedimento del Garante avevamo manifestato le nostre perplessità sul provvedimento del Garante recante “Individuazione delle modalità semplificate per l’informativa e l’acquisizione del consenso per l’uso dei cookie”.

Attenzione: le reazioni che abbiamo osservato sul web (segnatamente quelle di blog e forum che chiudono perché dichiarano di non voler rischiare sanzioni per l’odiata #cookielaw) ci hanno spinto ad accorciare i tempi per cercare di dare una mano a quanti si sentono disorientati e stanno prendendo decisioni drastiche e affrettate. Abbiamo ricevuto tante domande e richieste di aiuto, a qualcuna abbiamo risposto direttamente ma abbiamo pensato di farvi cosa gradita nel condividere con voi il nostro punto di vista. Ci riserviamo di ampliare l’articolo con successive release 😉 anche in base alle vostre osservazioni e richieste e di precisare meglio alcuni passaggi dell’articolo.

Gli adempimenti previsti dal provvedimento hanno destato molte preoccupazioni nei gestori di siti web di vario genere, soprattutto in coloro che, non avendo né una specifica preparazione giuridica, né uno stuolo di giuristi alle spalle che potesse aiutarli all’interpretazione delle disposizioni in materia di protezione dei dati personali, hanno dovuto barcamenarsi in prima persona per mettersi in regola.
Ieri, 2 giugno, è infatti scaduto il termine fissato dal Garante per adeguarsi ed oggi, senza tornare di nuovo sulle critiche di carattere più strettamente giuridico già evidenziate in linea teorica nell’articolo, riteniamo utile soffermarci sugli effetti pratici che il provvedimento in questione ha in concreto avuto sugli adempimenti in materia di cookie nel nostro Paese, esaminando alcuni casi esemplificativi che potranno aiutarci a comprendere gli errori più comuni e ad individuare le migliori prassi da seguire.

---

1. L’esempio di banner predisposto dal Garante
2. Esaminiamo il sito web del Garante (il caso dei soli cookie di sessione)
3. Blog e forum gestiti su piattaforme CMS (content management system)

1. piattaforme CMS in modalità hosted
2. piattaforme CMS e siti web gestiti in proprio

4. I pulsanti “social”

Per ciascun esempio esaminato verrà indicato se la soluzione seguita è, a parere di chi scrive, conforme alla legge e/o al provvedimento del Garante (che nel precedente articolo viene in alcune parti criticato poiché ritenuto non in linea con la legge, in quanto più permissivo per i “grandi operatori” rispetto a quanto consentito dal legislatore nazionale ed europeo e più invasivo e vessatorio per i piccoli operatori) ed evidenziando, infine, se ciascuna soluzione è conforme o meno anche rispetto alla lettura più stringente (e più garantista per l’utente) delle predette disposizioni.

⇑ torna all’inizio ⇑

1. L’esempio di banner predisposto dal Garante

Il Garante ha pubblicato già dal giugno 2014 il seguente modello di banner esemplificativo dei requisiti che l’Autorità ritiene sufficienti affinché il trattamento di dati personali effettuato da gestori di siti web mediante l’uso di cookie risulti conforme al proprio provvedimento.

Secondo il Garante nel banner contenente l’informativa sintetica sarebbe sufficiente inserire:

Questo sito utilizza cookie di profilazione [propri e di altri siti] per inviarti pubblicità in linea con le tue preferenze...

Se vuoi saperne di più o negare il consenso a tutti o ad alcuni cookie clicca qui

Se accedi a un qualunque elemento sottostante questo banner acconsenti all'uso dei cookie

Peccato che questo esempio, per i motivi ampiamente esposti nel precedente articolo, non sia in linea con le disposizioni europee contenute nella direttiva 95/46/CE e da ultimo nella direttiva 2009/136/CE e nemmeno con quelle della normativa nazionale, di cui all’art. 122 del Codice privacy, nel quale sono state recepite la predette disposizioni europee; e ciò per i seguenti motivi:

• viene richiesto all’utente di effettuare specifiche azioni per negare il consenso all’utilizzo – totale o parziale – dei cookie “di profilazione”, quando invece il loro utilizzo dovrebbe essere subordinato al rilascio preventivo del consenso da parte dell’interessato con una azione positiva (vuol dire che di default i cookie “non necessari” dovrebbero essere disabilitati e  che dovrebbe essere data comunque la possibilità di accedere al sito/servizio anche se non viene consentito il loro utilizzo);
• viene indicato che l’accesso ad un qualunque elemento sottostante al banner comporta l’assenso all’uso dei cookie, quando invece la disciplina generale sull’acquisizione del consenso prevede che l’azione che l’interessato deve compiere per dare il proprio consenso debba essere inequivocabilmente ricollegabile a quella specifica volontà (ad esempio, se si clicca su una immagine presente nel sito lo si fa sicuramente perché si vuole visualizzare quella immagine e non è detto che questa azione sia anche indicativa della volontà di chi la compie di accettare i cookie “di profilazione”).

La gran parte della confusione sull’argomento trae origine – a nostro avviso – da questa fuorviante lettura data dal Garante alle disposizioni in questione, su cui non torniamo ulteriormente perché ne abbiamo già scritto abbondantemente nel precedente articolo.

Conclusione: l’esempio di banner predisposto dal Garante è fuorviante e risulta maggiormente in linea con il quadro normativo vigente un meccanismo di acquisizione del consenso:

1. che ammetta quale ordinaria modalità di fruizione dei contenuti del sito quella che non prevede il rilascio del consenso dell’interessato per l’uso di cookie non indispensabili (quali quelli di profilazione);
2. che richieda una azione positiva e non equivoca dell’utente per il rilascio del proprio consenso (quindi, niente scroll o click sotto il banner ma solo se si clicca OK nel banner);
3. in sostanza, il rilascio del consenso deve costituire un scelta positiva (opt-in) e non una mera opzione negativa da esercitare per esprimere la propria opposizione al trattamento mediante cookie (opt-out);
4. tale consenso dovrebbe riguardare i solo cookie gestiti direttamente dal gestore del sito e non anche quelli di terze parti, per i quali le rispettive informative e i relativi consensi fanno capo a tali terze parti (in assenza di tali adempimenti, le terze parti non dovrebbero usare cookie e, in ogni casi, esse dovranno essere ritenute le uniche responsabili di eventuali abusi).

⇑ torna all’inizio ⇑

2. Esaminiamo il sito web del Garante (il caso dei soli cookie di sessione)

Abbiamo letto molte critiche sul fatto che sul sito del Garante non sia presente il banner relativo all’uso dei cookie, è questo in effetti è un problema. La criticità però non riguarda l’assenza del banner (che, come vedremo, nel caso specifico non è richiesto), ma il vero problema è che le critiche rivolte al sito del Garante dimostrano palesemente che, da un lato, la gran parte delle persone non ha capito quale sia il modo corretto per adempiere alle disposizioni sui cookie e che, dall’altro, il Garante ha fallito clamorosamente nell’adempiere ad uno dei suoi compiti principali, ossia quello di “curare la conoscenza tra il pubblico della disciplina rilevante in materia di trattamento dei dati personali e delle relative finalità” (art. 154, comma 1, lett. h), del Codice in materia di protezione dei dati personali.

Il banner non è richiesto poiché il sito del Garante utilizza solo due cookie di sessione, che rientrano tra quelli “finalizzati unicamente ad effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della società dell’informazione esplicitamente richiesto dal contraente o dall’utente a erogare tale servizio”.

In questo caso è possibile utilizzare i cookie senza richiedere il preventivo consenso dell’utente e l’informativa può essere fornita anche con modalità tradizionali, ossia inserendo le informazioni necessarie nella normale informativa privacy, proprio come ha fatto il Garante nella sua informativa raggiungibile attraverso il link presente in calce ad ogni pagina del proprio sito. In tale informativa, nella parte relativa ai cookie, si legge:

Cookies
Nessun dato personale degli utenti viene in proposito acquisito dal sito.

Non viene fatto uso di cookies per la trasmissione di informazioni di carattere personale, né vengono utilizzati c.d. cookies persistenti di alcun tipo, ovvero sistemi per il tracciamento degli utenti.

L'uso di c.d. cookies di sessione (che non vengono memorizzati in modo persistente sul computer dell'utente e svaniscono con la chiusura del browser) è strettamente limitato alla trasmissione di identificativi di sessione (costituiti da numeri casuali generati dal server) necessari per consentire l'esplorazione sicura ed efficiente del sito.

I c.d. cookies di sessione utilizzati in questo sito evitano il ricorso ad altre tecniche informatiche potenzialmente pregiudizievoli per la riservatezza della navigazione degli utente e non consentono l'acquisizione di dati personali identificativi dell'utente.

Conclusione: se si utilizzano solo cookie di sessione, non è necessario acquisire uno specifico consenso dagli interessati né rendere loro l’informativa mediante banner sull’uso dei cookie e si può usare la classica informativa attraverso appositi link visibili sul sito.

⇑ torna all’inizio ⇑

3. Blog e forum gestiti su piattaforme CMS (content management system)

La gran parte di coloro che, come noi, gestisce un blog o un forum in modo amatoriale lo fa usufruendo dei servizi resi da gestori di piattaforme CMS (content management system) come WordPress, Joomla, Drupal, Blogger, ecc.

Sebbene alcune di queste piattaforme siano disponibili solo per l’installazione del relativo software CMS su proprie macchine, altre (come WordPress nella versione MU – multi utente gestita da Automattic) rendono possibile creare blog senza disporre di propri server e senza dovere gestire l’installazione e la manutenzione del relativo software, lasciando agli autori la possibilità di concentrare le proprie energie sui contenuti. I due casi vanno esaminati distintamente.

⇑ torna all’inizio ⇑

3.a piattaforme CMS in modalità hosted

Il modo più semplice e anche sempre più frequente per avviare un blog (soprattutto per gli utenti non professionali) è quello di utilizzare un servizio in versione hosted come quello reso disponibile da Automattic tramite il sito https://it.wordpress.com/.

In tale tipologia di blog ospitata su questo genere di CMS gli autori non trattano direttamente i dati personali di chi fruisce dei contenuti del blog stesso ma si affidano, al pari degli altri utenti del blog, ai servizi resi – e ai trattamenti effettuati – dal gestore della piattaforma. Quindi, in linea di principio, il “gestore” di un blog collocato su un CMS “ospitato” non assume – generalmente – la qualifica di titolare del trattamento dei dati personali di quanti accedono al blog ed eventualmente lo alimentano, poiché anch’egli si rivolge al gestore della piattaforma CMS in modo analogo a un qualsiasi altro utente, con in più la possibilità di alimentarne i contenuti.
Da ciò deriva che, a parere di chi scrive, l’onere di rendere l’informativa (e anche di acquisire i consensi eventualmente necessari) per l’eventuale uso di cookie – di cui gli autori del blog possono legittimamente non conoscere l’esistenza – ricade sul fornitore del servizio CMS, che è il soggetto che effettivamente tratta i dati di navigazione dell’utente e gestisce i cookie e che rispetto a tali trattamenti di dati personali riveste la qualità di titolare del trattamento.

Più in generale, a parere di chi scrive i gestori di siti web non sono tenuti a dare una informativa (e ad acquisire eventuali consensi) per quei servizi che vengono offerti da un terzo (il gestore della piattaforma CMS) attraverso tali siti, salvo fornire – eventualmente e per eccesso di zelo – un generico riferimento alla presenza di cookie e/o servizi terzi e, nei casi di CMS “ospitati”, eventualmente all’informativa del gestore della piattaforma CMS.

Ciò in quanto un soggetto può essere ritenuto responsabile degli adempimenti rispetto ai quali riveste un ruolo “attivo” nel relativo trattamento di dati personali e che rientrano nell’ambito della propria sfera d’azione e non anche per quelli che altri soggetti effettuano attraverso apposite funzioni o aree presenti o ospitate sul proprio sito che siano al di fuori dell’ambito del rispettivo trattamento. In caso contrario, si arriverebbe ad un’ingiustificata attribuzione ai primi di una sorta di responsabilità oggettiva rispetto agli adempimenti dei secondi, circostanza questa che il nostro ordinamento in generale vede con particolare sfavore e che è riconosciuta solo in specifici ambiti e a particolari condizioni.

Conclusione: se si utilizza una piattaforma CMS in modalità hosted, gli adempimenti relativi alla gestione di cookie (informativa e consenso) ricadono in capo al gestore della piattaforma (che dovrà, se necessario, predisporre appositi banner, ecc.). Si suggerisce, per chiarezza, di indicare nella propria informativa, da fornire in modo “tradizionale” attraverso gli appositi link visibili sul sito, il link all’informativa del gestore della piattaforma.

⇑ torna all’inizio ⇑

3.b piattaforme CMS e siti web gestiti in proprio

Diverso, invece, è il caso di quei servizi per i quali anche la piattaforma tecnologica (CMS, ecc.) viene gestita dagli stessi gestori del servizio (blog, ecc.): in questi casi, siccome il funzionamento della piattaforma in genere comporta il trattamento di dati personali, il gestore deve rendere l’informativa su tali trattamenti e, dove necessario, acquisire il consenso ed eventualmente effettuare la notificazione al Garante (ad es., se intende effettuare attività di profilazione).

A nostro avviso, per gli stessi motivi indicati con riferimento ai CMS hosted, tali adempimenti devono riguardare i soli trattamenti di dati personali effettuati direttamente dai gestori e non anche quelli (quali i pulsanti social e sezioni del sito affidate alla gestione di terze parti) che ricadono in capo ad altri soggetti (fatto salvo, eventualmente, l’inserimento di un cenno nella propria informativa circa la presenza di tali trattamenti).

Conclusione: coloro che gestiscono in proprio piattaforme CMS e siti web gestiti in proprio, devono porre in essere gli adempimenti relativi alla gestione di cookie (informativa e consenso e, nei soli casi di profilazione degli utenti fatta direttamente da loro, alla notificazione al Garante).

⇑ torna all’inizio ⇑

4. I pulsanti “social”

Un breve accenno ai pulsanti “social” di condivisione presenti su un blog e ai relativi trattamenti di dati personali (sui quali torneremo): essi sono sicuramente al di fuori della portata degli autori del blog stesso e ricadono sicuramente in capo al fornitore del servizio di destinazione (Twitter, Facebook, Youtube, Vimeo, Google+, ecc.) e – a seconda dei casi – anche nella sfera di competenza del gestore della piattaforma CMS (nel caso di WordPress.com, in capo ad Automattic) o dell’autore del widget/plugin eventualmente utilizzati per gestire tali contenuti (se l’autore è diverso dal fornitore del servizio e se il suo funzionamento comporta il trattamento di dati da parte dell’autore stesso).
Non bisogna dimenticare, infatti, che le informative relative ai servizi offerti dai fornitori di piattaforme social (Youtube, Twitter, Vimeo, Facebook, Google+, ecc.) dovrebbero già essere state rese dai medesimi fornitori all’atto della registrazione a tali servizi e l’eventuale omissione di tale adempimento ricade nell’alveo della loro sfera di responsabilità (come anche l’acquisizione dei consensi necessari per determinati trattamenti).

Per oggi finiamo qui, attendiamo vostre domande e commenti. Prossimamente integreremo l’articolo con altri casi ed esempi.

---

Se questo articolo è stato di vostro interesse, ci farebbe piacere ricevere vostri like, reblog e condivisioni. Grazie. Seguiteci anche su: @lamiaprivacy su twitter lamiaprivacy su facebook lamiaprivacy su Google+ lamiaprivacy su Tumblr lamiaprivacy su Pinterest

⇑ torna all’inizio ⇑