Informativa sui cookie

Da definire da un avvocato

nermio_cookies e nermio_actief sono correttamente qualificati come cookie tecnici ai sensi dell’articolo 122 del Codice Privacy, e basta un banner con due pulsanti equivalenti, senza la X in alto a destra e senza un’area di scelta analitica?

Per i cookie di sessione è chiaro: senza di essi non si può accedere. Per il cookie della scelta la risposta la dà il Garante stesso, ed è più solida che altrove: nelle sue FAQ sui cookie dice che per tenere traccia del consenso il titolare del sito può avvalersi di un apposito cookie tecnico, sistema non particolarmente invasivo e che non richiede a sua volta un ulteriore consenso. Per nermio_actief il ragionamento è nostro: il Garante definisce tecnici i cookie che servono a effettuare la navigazione o a fornire un servizio richiesto dall’utente, e un orologio che chiude una sessione dimenticata ci somiglia — ma è un’applicazione di quella definizione, non una decisione sul nostro caso. Sul banner: il Garante suggerisce un modello con la X in alto a destra, di evidenza grafica pari agli altri comandi, un link all’informativa estesa in un second layer raggiungibile anche dal footer di ogni pagina, un comando per accettare tutto e un link a un’area separata per la scelta analitica. Il nostro banner ha due pulsanti e nessuna X, e il pulsante che accetta è pieno mentre quello che rifiuta è contornato. Le FAQ aggiungono due cose che tirano in direzioni opposte: che si possono usare modalità diverse purché il consenso sia valido, e che un sito con soli cookie tecnici non ha nemmeno l’obbligo del banner. Quale delle due vale per noi è esattamente la domanda.

Da definire da un avvocato

FUORI DAL DIRITTO OLANDESE — un pulsante di revoca che sta solo su questa pagina basta a soddisfare la possibilità di modificare le proprie opzioni «in ogni momento e in maniera agevole»?

Il Garante lascia ferma la possibilità per l’utente di modificare in ogni momento e in maniera agevole le proprie opzioni, e indica come buona prassi un accorgimento tecnico — per esempio un’icona o un segno grafico — che mostri in ogni momento lo stato dei consensi già dati. Da noi il pulsante che revoca la scelta sta qui, su questa pagina, raggiungibile dal piè di pagina di ogni pagina del sito: due clic, e nessun segno che mostri lo stato altrove. Da decidere: se quei due clic valgono come «agevole», e se serve un segno grafico permanente — che sarebbe una modifica alla cornice del sito in tutte le lingue e non una scelta da prendere in una pagina italiana.

Da definire da un avvocato

FUORI DAL DIRITTO OLANDESE — nermio_thema e nermio_zijbalk sono cookie tecnici in Italia o cookie per i quali serve il consenso? La classificazione del Garante non prevede una terza categoria.

Le Linee guida del Garante classificano i cookie in due macrocategorie: quelli tecnici, usati al solo fine di effettuare la trasmissione di una comunicazione o nella misura strettamente necessaria a erogare un servizio esplicitamente richiesto, e quelli di profilazione. Un cookie che ricorda la vista scura per un anno non profila nessuno, e se «serve a effettuare la navigazione o a fornire un servizio richiesto dall’utente» è precisamente il punto da decidere. Altrove la risposta esiste e va in due direzioni opposte: l’autorità spagnola conta la personalizzazione dell’interfaccia tra le finalità esenti, riprendendo l’Opinion 04/2012 del Gruppo articolo 29 — documento che il Garante elenca tra i materiali sulla sua pagina dedicata ai cookie ma non riprende nelle Linee guida — mentre l’autorità belga limita lo stesso tipo di cookie alla durata di una visita. Tre cose da decidere: se ci appoggiamo a una lettura italiana che la fonte non offre; se un visitatore in Italia può vedere un banner diverso da quello di un visitatore in Belgio, sapendo che i due cookie escono dallo stesso codice; e che fare del consenso già raccolto. Finché non è deciso continuiamo a chiedere, che è l’opzione che non è mai troppo poco.

Da definire da un avvocato

FUORI DAL DIRITTO OLANDESE — in Italia il banner non va riproposto prima di sei mesi: il nostro anno sta dentro quella soglia, ma esiste un limite massimo di validità del consenso, e accettare e rifiutare devono durare lo stesso?

Il Garante dice che la scelta va registrata e che il consenso non va più sollecitato, salvo tre casi: quando mutano significativamente le condizioni del trattamento, quando è impossibile sapere se un cookie tecnico è già stato posizionato, e quando sono trascorsi almeno sei mesi dalla precedente presentazione del banner. Qui i sei mesi sono dunque un minimo e non un massimo, al contrario di quanto dicono l’autorità belga — per cui sei mesi è la durata ragionevole massima — e quella spagnola, che indica ventiquattro mesi. Nermio conserva la scelta un anno, senza distinguere tra accettazione e rifiuto: per l’Italia è dalla parte giusta della soglia. Quello che NON abbiamo trovato, né nelle Linee guida né nelle FAQ, è un limite massimo di validità del consenso: non averlo trovato non vuol dire che non esista, e nemmeno che un anno sia al sicuro. Resta da decidere se le due direzioni mantengono la stessa durata (rispettare un rifiuto per un anno va a vantaggio del visitatore; conservare un’accettazione per un anno vuol dire anche non chiedere più per un anno) e se questa pagina deve indicare il momento del rinnovo e non solo la durata del cookie.

Da definire da un avvocato

FUORI DAL DIRITTO OLANDESE — che cosa concordiamo per il giorno in cui un servizio di statistica verrà aggiunto davvero?

Allora la risposta di questa pagina cambia, e la richiesta di consenso deve arrivare PRIMA del caricamento di quello script, non dopo. Il banner esiste già e può sostenerlo; la categoria e il testo devono seguirlo. Per l’Italia il regime è specifico: alla domanda se i cookie analytics siano cookie tecnici il Garante risponde «No», ma aggiunge che possono essere assimilati ai tecnici se usati per l’ottimizzazione del sito direttamente dal titolare del sito stesso, che raccoglie informazioni statistiche in forma aggregata. Se l’elaborazione è affidata a terzi, i dati vanno prima minimizzati, non possono essere combinati con altre elaborazioni né trasmessi ad altri terzi, e le Linee guida indicano come misura il mascheramento almeno della quarta componente dell’indirizzo IPv4, che porta l’incertezza nell’attribuzione del cookie a una persona determinata a 1/256, circa lo 0,4 per cento; le statistiche devono restare aggregate e riferite a un solo sito o a una sola app. Quattro ordinamenti, quattro risposte: i Paesi Bassi concedono l’esenzione a condizioni, il Belgio dice che non esiste affatto, la Spagna ha una guida propria con tredici e venticinque mesi, l’Italia assimila ma impone la minimizzazione. Si verifica prima di installare lo strumento, non dopo.

Da definire da un avvocato

FUORI DAL DIRITTO OLANDESE — l’articolo 122 del Codice Privacy obbliga un fornitore stabilito nei Paesi Bassi, o lo obbliga la norma olandese anche quando il visitatore è in Italia?

Qui non c’è un articolo da leggere, e questa è già una risposta parziale. La legge spagnola delimita da sé il proprio ambito territoriale con un elenco chiuso di materie; il Codice Privacy, invece, non ha più una norma sull’ambito di applicazione da quando il decreto legislativo 10 agosto 2018, n. 101 ha abrogato il suo articolo 5, e nel resto del Codice non ne abbiamo trovata una sostitutiva. Quello che resta è interpretazione, e la risolve un giurista: il GDPR si applica comunque al trattamento, e un’autorità può guardare la questione dal lato dell’apparecchio terminale del visitatore e non dallo stabilimento del fornitore. Questa pagina descrive la regola italiana perché è quella che un lettore in Italia andrà a cercare; il fatto che non sia deciso quale obblighi formalmente non è un motivo per abbassarla, e non viene usato come tale.

Da definire da un avvocato

FUORI DAL DIRITTO OLANDESE — quale persona giuridica è il titolare del trattamento che questa informativa deve identificare, e la rubrica sui criteri di codifica basta a soddisfare quello che il Garante chiede?

Il primo pezzo è lo stesso vuoto che apre l’informativa privacy, le condizioni generali e il contratto con il responsabile del trattamento: quale persona giuridica sia il titolare non è fissato in nessun posto, e finché resta così questa pagina nomina un marchio e non un soggetto. Il secondo pezzo è italiano. Le FAQ del Garante elencano quello che l’informativa estesa deve contenere: tutti gli elementi previsti dalla legge, la descrizione analitica delle caratteristiche e delle finalità dei cookie installati, gli eventuali altri destinatari dei dati, i tempi di conservazione, le indicazioni su come esercitare i propri diritti e i criteri di codifica che distinguono i cookie tecnici dagli analytics e da quelli di profilazione. La tabella e la rubrica qui sopra provano a farlo cookie per cookie; se questo è quello che il Garante intende per criteri di codifica, o se si aspetta una classificazione formale distinta dalla tabella, è la domanda. Una cosa invece è stabilita e non è una gentilezza: le Linee guida impongono di dire anche come si propone reclamo a un’autorità di controllo, e per questo la possibilità è nominata sopra.