La disciplina relativa all’uso dei c.d. “cookie” e di altri strumenti analoghi (web beacon/web bug, clear GIF, ecc.) nei terminali (personal computer, notebook, tablet pc, smartphone, ecc.) utilizzati dagli utenti, è stata recentemente modificata a seguito dell’attuazione della direttiva 2009/136 che ha modificato la direttiva “e-Privacy” (2002/58/CE). Il presente documento mira a fornire tramite lo strumento delle FAQ chiarimenti sulla nuova disciplina italiana e europea con particolare riguardo, appunto, ai cookie.

1. Cosa si intende quando si parla di cookie?
I cookie sono piccoli file di testo che i siti visitati dall’utente inviano al suo terminale (solitamente al browser), dove vengono memorizzati per essere poi ritrasmessi agli stessi siti alla successiva visita del medesimo utente. Nel corso della navigazione su un sito, l’utente può ricevere sul suo terminale anche cookie di siti o di web server diversi (c.d. cookie di “terze parti”); ciò accade perché sul sito web visitato possono essere presenti elementi come, ad esempio, immagini, mappe, suoni, specifici link a pagine web di altri domini che risiedono su server diversi da quello sul quale si trova la pagina richiesta. In altre parole, sono quei cookie che vengono impostati da un sito web diverso da quello che si sta attualmente visitando.

I cookie sono usati per eseguire autenticazioni informatiche, monitoraggio di sessioni e memorizzazione di informazioni specifiche riguardanti gli utenti che accedono al server e di norma sono presenti nel browser di ciascun utente in numero molto elevato.

Alcune operazioni non potrebbero essere compiute senza l’uso dei cookie, che in alcuni casi sono quindi tecnicamente necessari: a titolo esemplificativo, l’accesso all’home banking e le attività che possono essere svolte sul proprio conto corrente online (visualizzazione dell’estratto conto, bonifici, pagamento di bollette, ecc.) sarebbero molto più complesse da svolgere e meno sicure senza la presenza di cookie che consentono di identificare l’utente e mantenerne l’identificazione nell’ambito della sessione.

I cookie possono rimanere nel sistema anche per lunghi periodi e possono contenere anche un codice identificativo unico. Ciò consente ai siti che li utilizzano di tenere traccia della navigazione dell’utente all’interno del sito stesso, per finalità statistiche o pubblicitarie, per creare cioè un profilo personalizzato dell’utente a partire dalle pagine che lo stesso ha visitato e mostrargli quindi pubblicità mirate (c.d. Behavioural Advertising).

2. Cosa prevede adesso la direttiva e-Privacy?
La direttiva e-Privacy (2002/58/CE) è stata modificata nel 2009 da un’altra direttiva (2009/136) che ha introdotto il principio dell'”opt-in” in tutti i casi in cui si accede a o si registrano “informazioni” (compresi quindi i cookie) sul terminale dell’utente o dell’abbonato. Pertanto, affinché i cookie possano essere archiviati sul terminale dell’utente nel corso della sua navigazione in Internet, è necessario che l’utente stesso sempre sulla base di un’informativa chiara e completa in merito alle modalità e finalità del trattamento dei suoi dati esprima un valido consenso, preliminare al trattamento (cfr. nuovo art. 5, paragrafo 3, della direttiva 2002/58/CE).

Resta comunque ferma la possibilità di utilizzare liberamente i cookie (o simili dispositivi) se questi sono utilizzati “al solo fine di effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della società dell’informazione esplicitamente richiesto dall’abbonato o dall’utente a erogare tale servizio”. In questo caso, si parla di cookie “tecnici”.

3. Come cambia la disciplina in Italia?
La modifica della disciplina in materia di cookie in Italia appare meno radicale rispetto al resto d’Europa. Già in precedenza vigeva, infatti, la regola dell’opt-in (consenso preventivo) ma soltanto per i cookie “tecnici”, sopra citati.

Ogni altro accesso ed ogni altra registrazione non autorizzati sul terminale dell’utente/abbonato erano vietati. Pertanto, in precedenza i fornitori dei servizi di comunicazione elettronica potevano utilizzare solo i cookie “tecnici” e solo nei confronti degli utenti che avessero espresso il proprio consenso sulla base di una idonea informativa sulle finalità e la durata del trattamento. La concreta regolamentazione dell’uso di tali cookie era poi demandata ad un codice di deontologia e di buona condotta.

Il nuovo art. 122 (comma 1) prevede oggi, viceversa, che i cookie “tecnici” possano essere utilizzati anche in assenza del consenso, ferma restando naturalmente l’informativa. È evidente, quindi, che limitatamente a tali cookie, l’attività degli operatori online risulta semplificata, in quanto essi non devono ottenere un consenso preventivo in tutti quei casi in cui l’utilizzo di cookie o altri dispositivi memorizzati sui terminali degli utenti o dei contraenti serva esclusivamente a scopi tecnici oppure risponda a specifiche richieste dell’utente o del contraente di un servizio Internet. L’assenza del consenso riduce la consapevolezza dell’interessato, che deve essere necessariamente fondata su una informativa chiara e di immediata comprensione.

A titolo esemplificativo –come chiarito anche dal Gruppo “Articolo 29” in un recente parere (WP194)– sono cookie per i quali non è necessario acquisire il consenso preventivo e informato dell’utente:

• i cookie impiantati nel terminale dell’utente/contraente direttamente dal titolare del singolo sito web, se non sono utilizzati per scopi ulteriori: è il caso dei cookie di sessione utilizzati per “riempire il carrello” negli acquisti online, di quelli di autenticazione, dei cookie per contenuti multimediali tipo flash player se non superano la durata della sessione, dei cookie di personalizzazione (ad esempio, per la scelta della lingua di navigazione), ecc.;

• i cookie utilizzati per analizzare statisticamente gli accessi/le visite al sito (cookie cosiddetti “analytics”) se perseguono esclusivamente scopi statistici e raccolgono informazioni in forma aggregata; occorre però che l’informativa fornita dal sito web sia chiara e adeguata e si offrano agli utenti modalità semplici per opporsi (opt-out) al loro impianto (compresi eventuali meccanismi di anonimizzazione dei cookie stessi).

Esclusi i cookie tecnici, anche nella nuova normativa la regola generale per “L’archiviazione delle informazioni nell’apparecchio terminale di un contraente o di un utente o l’accesso a informazioni già archiviate” resta quella del consenso preventivo e informato dell’utente (opt-in). Ciò vuol dire che tutti i cookie non qualificabili come “tecnici” che presentano peraltro maggiori criticità dal punto di vista della protezione della sfera privata degli utenti, come ad esempio, quelli usati per finalità di profilazione e marketing non possono essere installati sui terminali degli utenti stessi se questi non siano stati prima adeguatamente informati e non abbiano prestato al riguardo un valido consenso.

4. Quali caratteristiche deve avere l’informativa agli utenti?
Come si è detto, l’archiviazione di cookie sui terminali degli utenti deve essere preliminarmente portata a conoscenza degli stessi mediante una chiara informativa, resa con le modalità semplificate di cui all’art. 13, comma 3 del Codice. Ciò vale a prescindere dalla necessità di ottenere il consenso degli utenti o dei contraenti (vedi punto precedente).

Al riguardo, il nuovo art. 122, comma 1, stabilisce che il Garante, ai fini della determinazione delle suindicate modalità semplificate, “tiene anche conto delle proposte formulate dalle associazioni maggiormente rappresentative a livello nazionale dei consumatori e delle categorie economiche coinvolte, anche allo scopo di garantire l’utilizzo di metodologie che assicurino l’effettiva consapevolezza del contraente o dell’utente”.

L’Autorità, quindi, oltre a predisporre le presenti FAQ, ha avviato una consultazione pubblica diretta ai consumatori e ai principali operatori del settore, proprio al fine di acquisirne le proposte e individuare idonee modalità per informare gli utenti con messaggi che siano al tempo stesso chiari e snelli. Pur se resa con modalità semplificate, infatti, l’informativa deve indicare chiaramente quali sono le finalità perseguite mediante il ricorso ai cookie.

A titolo esemplificativo, la finalità consistente nel creare profili degli utenti al fine di inviare loro messaggi pubblicitari mirati, non potrà essere indicata nell’informativa con il riferimento alla mera finalità pubblicitaria dell’uso dei cookie, ma occorrerà specificare che gli stessi consentiranno al gestore del sito di realizzare appunto una profilazione finalizzata alla successiva attività di direct marketing.

5. Come si esprime il consenso preventivo all’uso dei cookie?
Nell’ottica della semplificazione va letta anche la disposizione secondo la quale, ai fini dell’espressione del consenso dell’utente all’uso dei cookie, possono essere utilizzate “specifiche configurazioni di programmi informatici o di dispositivi che siano di facile e chiara utilizzabilità per il contraente o l’utente”.

L’idea è di ricorrere a tali strumenti per permettere agli operatori di acquisire in maniera snella dall’utente il consenso all’uso dei cookie, che però, per poter essere valido, deve avere tutte le caratteristiche previste dalla legge. Deve, cioè, risultare in ogni caso specifico, libero ed espresso, come previsto dall’art. 23 del Codice. Anche la direttiva 2009/136/CE, del resto, nel prevedere il ricorso a forme alternative di manifestazione del consenso dell’utente, specifica che le stesse debbano essere comunque conformi alle pertinenti disposizioni della direttiva 95/46/CE.

In primo luogo, dunque, l’uso di qualunque strumento al fine di acquisire il consenso dell’utente all’installazione di cookie dovrebbe essere preceduto da un’idonea informativa, in modo tale da permettere all’utente di scegliere quali cookie accettare e per quali finalità.

Gli strumenti ai quali fa riferimento la previsione sopra richiamata sono, allo stato, diversi e non è escluso che, anche in poco tempo, la creatività dell’industria pubblicitaria e degli operatori della rete ne sviluppino di nuovi.

A titolo esemplificativo, si richiamano:
• le impostazioni presenti nei comuni browser, che consentono o meno la memorizzazione dei cookie nei terminali usati per la navigazione in Internet e che di norma permettono anche di impostare le regole dei cookie in modo che non vengano accettati quelli di “terze parti”. Alcuni consentono anche di bloccare i cookie di alcune terze parti e non di altre, tramite una funzione che permette di indicare da quali domini consentire l’invio di cookie;

• gli specifici programmi che possono essere aggiunti al browser (c.d. plug-in), che specializzano le funzioni comunemente rese disponibili dai software per la navigazione e che possono essere configurati dall’utente per effettuare una selezione dei cookie sulla base dei domini di provenienza;

• il c.d. “do not track”, che consente all’utente di segnalare a ciascun sito visitato la sua volontà di essere o meno tracciato nel corso della navigazione. Questa modalità tecnica è ancora oggi in fase di discussione all’interno degli organismi di standardizzazione internazionali; inizia ad essere resa disponibile su alcuni browser di ultima generazione, ma, non essendo per l’appunto standardizzata, non vi è la certezza che i segnali che attraverso tale funzionalità l’utente invia ai server siano da questi effettivamente “ascoltati”.

6. Chi è tenuto a informare gli utenti e ad acquisirne il consenso?
L’obbligo di informare l’utente sull’uso dei cookie e di acquisirne il preventivo consenso incombe sul gestore del sito che li usa, in qualità di titolare del trattamento.

Nel caso in cui un sito consenta la trasmissione anche di cookie di “terze parti” (v. punto 1), l’informativa e l’acquisizione del consenso sono di norma a carico del terzo. È necessario che l’utente venga adeguatamente informato, seppur con le modalità semplificate previste dalla legge, nel momento in cui accede al sito che consente la memorizzazione dei cookie terze parti, ovvero quando accede ai contenuti forniti dalle terze parti e, comunque, prima che i cookie vengano scaricati sul suo terminale.

Non è escluso che, anche sulla base di accordi con i siti terze parti, l’informativa fornita agli utenti dal sito “prima parte” contenga anche le informazioni sui cookie trasmessi automaticamente dalle terze parti. Anche in tal caso, l’informativa dovrà specificare la finalità dei cookie utilizzati e, quindi, indicare se gli stessi siano finalizzati a creare profili degli utenti e a inviare loro pubblicità mirate ovvero a effettuare misure di traffico per la valutazione delle prestazioni del sito.

Analogamente, non si può escludere che anche il consenso venga acquisito dalle terze parti per il tramite del sito “prima parte”. Occorre tenere presente, infatti, che la richiesta del consenso dell’utente deve essere fatta in stretta relazione all’informativa resa allo stesso, in modo tale da consentirgli di fare scelte realmente consapevoli. Sarà, poi, cura dei diversi gestori coinvolti disciplinare i propri rispettivi ruoli con particolare riguardo ai rapporti tra titolare e responsabile del trattamento conformemente alla normativa in materia di protezione dei dati personali.

In base alle caratteristiche e all’utilizzo dei cookie possiamo distinguere diverse categorie:

• Cookie Tecnici: sono quelli utilizzati al solo fine di effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della società dell’informazione esplicitamente richiesto dall’abbonato o dall’utente a erogare tale servizio. Essi non vengono utilizzati per scopi ulteriori e sono normalmente installati direttamente dal titolare o gestore del sito web.

  • Cookie di Navigazione o di Sessione: garantiscono la normale navigazione e fruizione del sito web

    FINALITÀ	PROVENIENZA	DURATA
    Sessioni di navigazione	Propri	Sessione
    Permette di navigare dalla versione mobile a quella classica	Propri	Sessione

  • Cookie Analytics: sono utilizzati direttamente dal gestore del sito per raccogliere informazioni, in forma aggregata, sul numero degli utenti e su come questi visitano il sito stesso

    FINALITÀ	PROVENIENZA	INFORMATIVA	DURATA
    Navigazione utenti	Propri	n.a.	Persistenti
    Tracciamento visite	Google Analytics	https://www.google.it/policies/privacy/partners/	Persistenti

  • Cookie di Funzionalità: permettono all’utente la navigazione in funzione di una serie di criteri selezionati (ad esempio, la lingua, i prodotti selezionati per l’acquisto) al fine di migliorare il servizio reso allo stesso.

FINALITÀ	PROVENIENZA	INFORMATIVA	DURATA
Accettazione informativa cookie e scelte utente	Proprio		Persistenti

Tipi di cookie usati da google.

Gestione dei cookie

L’utente può decidere se accettare o meno i cookie anche utilizzando le impostazioni del proprio browser.

La disabilitazione dei cookie “terze parti” non pregiudica in alcun modo la navigabilità.

L’impostazione può essere definita in modo specifico per i diversi siti e applicazioni web. Inoltre i migliori browser consentono di definire impostazioni diverse per i cookie “proprietari” e per quelli di “terze parti”.

A titolo di esempio, in Firefox, attraverso il menu Strumenti->Opzioni ->Privacy, è possibile accedere ad un pannello di controllo dove è possibile definire se accettare o meno i diversi tipi di cookie e procedere alla loro rimozione.

Chrome: https://support.google.com/chrome/answer/95647?hl=it

Firefox: https://support.mozilla.org/it/kb/Gestione%20dei%20cookie

Internet Explorer: http://windows.microsoft.com/it-it/windows7/how-to-manage-cookies-in-internet-explorer-9

Opera: http://help.opera.com/Windows/10.00/it/cookies.html

Safari: http://support.apple.com/kb/HT1677?viewlocale=it_IT

Informativa Privacy (art.13 D.Lgs. 196/2003): i dati che i partecipanti al Blog conferiscono all’atto della loro iscrizione sono limitati all’ indirizzo e-mail oltre a un nome.

Le opinioni ed i commenti postati dagli utenti e le informazioni e i dati in esso contenuti non saranno destinati ad altro scopo che alla loro pubblicazione sul Blog, in particolare, non ne è prevista l’aggregazione o selezione in specifiche banche dati. Eventuali trattamenti a fini statistici che in futuro possa essere intenzione del sito eseguire saranno condotti esclusivamente su base anonima.

Mentre la diffusione dei dati anagrafici dell’utente e di quelli rilevabili dai commenti postati deve intendersi direttamente attribuita alla iniziativa dell’utente medesimo, garantiamo che nessuna altra ipotesi di trasmissione o diffusione degli stessi è, dunque, prevista. In ogni caso, l’utente ha in ogni momento la possibilità di esercitare i diritti di cui all’ art. 7 del D.Lgs. 196/2003. Per far valere tali diritti, l’Utente può contattarci QUI

Questo blog non rappresenta una testata giornalistica in quanto viene aggiornato senza alcuna periodicità . Non può pertanto considerarsi un prodotto editoriale ai sensi della legge n° 62 del 7.03.2001. L’autore non è responsabile per quanto pubblicato dai lettori nei commenti ad ogni post. Verranno cancellati i commenti ritenuti offensivi o lesivi dell’immagine o dell’onorabilità di terzi, di genere spam, razzisti o che contengano dati personali non conformi al rispetto delle norme sulla Privacy.

Alcuni testi o immagini inserite in questo blog sono tratte da internet e, pertanto, considerate di pubblico dominio; qualora la loro pubblicazione violasse eventuali diritti d’autore, vogliate comunicarlo QUI. Saranno immediatamente rimossi. L’autore del blog non è responsabile dei siti collegati tramite link né del loro contenuto che può essere soggetto a variazioni nel tempo.

 

Informativa Privacy Blog.

Informativa Privacy (art.13 D.Lgs. 196/2003): i dati che i partecipanti al Blog conferiscono all’atto della loro iscrizione sono limitati all’ indirizzo e-mail e sono obbligatori al fine di ricevere la notifica di pubblicazione di un post. Per poter postare un commento invece, oltre all’email, è richiesto l’inserimento di nome e cognome, che possono anche non essere pubblicati insieme al commento postato dall’utente, mentre l’indirizzo e-mail viene utilizzato esclusivamente per l’invio delle news del sito.

Le opinioni ed i commenti postati dagli utenti e le informazioni e i dati in esso contenuti non saranno destinati ad altro scopo che alla loro pubblicazione sul Blog, in particolare, non ne è prevista l’aggregazione o selezione in specifiche banche dati. Eventuali trattamenti a fini statistici che in futuro possa essere intenzione del sito eseguire saranno condotti esclusivamente su base anonima.

Mentre la diffusione dei dati anagrafici dell’utente e di quelli rilevabili dai commenti postati deve intendersi direttamente attribuita alla iniziativa dell’utente medesimo, garantiamo che nessuna altra ipotesi di trasmissione o diffusione degli stessi è, dunque, prevista. In ogni caso, l’utente ha in ogni momento la possibilità di esercitare i diritti di cui all’ art. 7 del D.Lgs. 196/2003.

 

Licenza.

Il blog è sotto licenza creative commons. La sua riproduzione, distribuzione, comunicazione al pubblico ed esposizione in pubblico sono consentite a patto che ne venga citata la fonte. Il testo della licenza è su http://creativecommons.org/licenses/by-nc-nd/2.5/it/

 

ADV

Questo sito non fa uso di pubblicità (banner e google adsense ecc).

Per pubblicare gli annunci sul nostro sito web utilizziamo aziende pubblicitarie indipendenti. Le aziende possono utilizzare questi dati (che non includono il tuo nome, indirizzo, indirizzo email o numero di telefono) sulle tue visite a questo e altri siti web per creare annunci pubblicitari su prodotti e servizi che potrebbero interessarti. Se desideri ulteriori informazioni a questo proposito e per conoscere le opzioni disponibili per impedire l'utilizzo di tali dati da parte di queste aziende, fai clic qui.

 

Cookie.

La disciplina relativa all’uso dei c.d. “cookie” e di altri strumenti analoghi (web beacon/web bug, clear GIF, ecc.) nei terminali (personal computer, notebook, tablet pc, smartphone, ecc.) utilizzati dagli utenti, è stata recentemente modificata a seguito dell’attuazione della direttiva 2009/136 che ha modificato la direttiva “e-Privacy” (2002/58/CE). Il presente documento mira a fornire tramite lo strumento delle FAQ chiarimenti sulla nuova disciplina italiana e europea con particolare riguardo, appunto, ai cookie.

1. Cosa si intende quando si parla di cookie?
I cookie sono piccoli file di testo che i siti visitati dall’utente inviano al suo terminale (solitamente al browser), dove vengono memorizzati per essere poi ritrasmessi agli stessi siti alla successiva visita del medesimo utente. Nel corso della navigazione su un sito, l’utente può ricevere sul suo terminale anche cookie di siti o di web server diversi (c.d. cookie di “terze parti”); ciò accade perché sul sito web visitato possono essere presenti elementi come, ad esempio, immagini, mappe, suoni, specifici link a pagine web di altri domini che risiedono su server diversi da quello sul quale si trova la pagina richiesta. In altre parole, sono quei cookie che vengono impostati da un sito web diverso da quello che si sta attualmente visitando.

I cookie sono usati per eseguire autenticazioni informatiche, monitoraggio di sessioni e memorizzazione di informazioni specifiche riguardanti gli utenti che accedono al server e di norma sono presenti nel browser di ciascun utente in numero molto elevato.

Alcune operazioni non potrebbero essere compiute senza l’uso dei cookie, che in alcuni casi sono quindi tecnicamente necessari: a titolo esemplificativo, l’accesso all’home banking e le attività che possono essere svolte sul proprio conto corrente online (visualizzazione dell’estratto conto, bonifici, pagamento di bollette, ecc.) sarebbero molto più complesse da svolgere e meno sicure senza la presenza di cookie che consentono di identificare l’utente e mantenerne l’identificazione nell’ambito della sessione.

I cookie possono rimanere nel sistema anche per lunghi periodi e possono contenere anche un codice identificativo unico. Ciò consente ai siti che li utilizzano di tenere traccia della navigazione dell’utente all’interno del sito stesso, per finalità statistiche o pubblicitarie, per creare cioè un profilo personalizzato dell’utente a partire dalle pagine che lo stesso ha visitato e mostrargli quindi pubblicità mirate (c.d. Behavioural Advertising).

2. Cosa prevede adesso la direttiva e-Privacy?
La direttiva e-Privacy (2002/58/CE) è stata modificata nel 2009 da un’altra direttiva (2009/136) che ha introdotto il principio dell'”opt-in” in tutti i casi in cui si accede a o si registrano “informazioni” (compresi quindi i cookie) sul terminale dell’utente o dell’abbonato. Pertanto, affinché i cookie possano essere archiviati sul terminale dell’utente nel corso della sua navigazione in Internet, è necessario che l’utente stesso sempre sulla base di un’informativa chiara e completa in merito alle modalità e finalità del trattamento dei suoi dati esprima un valido consenso, preliminare al trattamento (cfr. nuovo art. 5, paragrafo 3, della direttiva 2002/58/CE).

Resta comunque ferma la possibilità di utilizzare liberamente i cookie (o simili dispositivi) se questi sono utilizzati “al solo fine di effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della società dell’informazione esplicitamente richiesto dall’abbonato o dall’utente a erogare tale servizio”. In questo caso, si parla di cookie “tecnici”.

3. Come cambia la disciplina in Italia?
La modifica della disciplina in materia di cookie in Italia appare meno radicale rispetto al resto d’Europa. Già in precedenza vigeva, infatti, la regola dell’opt-in (consenso preventivo) ma soltanto per i cookie “tecnici”, sopra citati.

Ogni altro accesso ed ogni altra registrazione non autorizzati sul terminale dell’utente/abbonato erano vietati. Pertanto, in precedenza i fornitori dei servizi di comunicazione elettronica potevano utilizzare solo i cookie “tecnici” e solo nei confronti degli utenti che avessero espresso il proprio consenso sulla base di una idonea informativa sulle finalità e la durata del trattamento. La concreta regolamentazione dell’uso di tali cookie era poi demandata ad un codice di deontologia e di buona condotta.

Il nuovo art. 122 (comma 1) prevede oggi, viceversa, che i cookie “tecnici” possano essere utilizzati anche in assenza del consenso, ferma restando naturalmente l’informativa. È evidente, quindi, che limitatamente a tali cookie, l’attività degli operatori online risulta semplificata, in quanto essi non devono ottenere un consenso preventivo in tutti quei casi in cui l’utilizzo di cookie o altri dispositivi memorizzati sui terminali degli utenti o dei contraenti serva esclusivamente a scopi tecnici oppure risponda a specifiche richieste dell’utente o del contraente di un servizio Internet. L’assenza del consenso riduce la consapevolezza dell’interessato, che deve essere necessariamente fondata su una informativa chiara e di immediata comprensione.

A titolo esemplificativo –come chiarito anche dal Gruppo “Articolo 29” in un recente parere (WP194)– sono cookie per i quali non è necessario acquisire il consenso preventivo e informato dell’utente:

• i cookie impiantati nel terminale dell’utente/contraente direttamente dal titolare del singolo sito web, se non sono utilizzati per scopi ulteriori: è il caso dei cookie di sessione utilizzati per “riempire il carrello” negli acquisti online, di quelli di autenticazione, dei cookie per contenuti multimediali tipo flash player se non superano la durata della sessione, dei cookie di personalizzazione (ad esempio, per la scelta della lingua di navigazione), ecc.;

• i cookie utilizzati per analizzare statisticamente gli accessi/le visite al sito (cookie cosiddetti “analytics”) se perseguono esclusivamente scopi statistici e raccolgono informazioni in forma aggregata; occorre però che l’informativa fornita dal sito web sia chiara e adeguata e si offrano agli utenti modalità semplici per opporsi (opt-out) al loro impianto (compresi eventuali meccanismi di anonimizzazione dei cookie stessi).

Esclusi i cookie tecnici, anche nella nuova normativa la regola generale per “L’archiviazione delle informazioni nell’apparecchio terminale di un contraente o di un utente o l’accesso a informazioni già archiviate” resta quella del consenso preventivo e informato dell’utente (opt-in). Ciò vuol dire che tutti i cookie non qualificabili come “tecnici” che presentano peraltro maggiori criticità dal punto di vista della protezione della sfera privata degli utenti, come ad esempio, quelli usati per finalità di profilazione e marketing non possono essere installati sui terminali degli utenti stessi se questi non siano stati prima adeguatamente informati e non abbiano prestato al riguardo un valido consenso.

4. Quali caratteristiche deve avere l’informativa agli utenti?
Come si è detto, l’archiviazione di cookie sui terminali degli utenti deve essere preliminarmente portata a conoscenza degli stessi mediante una chiara informativa, resa con le modalità semplificate di cui all’art. 13, comma 3 del Codice. Ciò vale a prescindere dalla necessità di ottenere il consenso degli utenti o dei contraenti (vedi punto precedente).

Al riguardo, il nuovo art. 122, comma 1, stabilisce che il Garante, ai fini della determinazione delle suindicate modalità semplificate, “tiene anche conto delle proposte formulate dalle associazioni maggiormente rappresentative a livello nazionale dei consumatori e delle categorie economiche coinvolte, anche allo scopo di garantire l’utilizzo di metodologie che assicurino l’effettiva consapevolezza del contraente o dell’utente”.

L’Autorità, quindi, oltre a predisporre le presenti FAQ, ha avviato una consultazione pubblica diretta ai consumatori e ai principali operatori del settore, proprio al fine di acquisirne le proposte e individuare idonee modalità per informare gli utenti con messaggi che siano al tempo stesso chiari e snelli. Pur se resa con modalità semplificate, infatti, l’informativa deve indicare chiaramente quali sono le finalità perseguite mediante il ricorso ai cookie.

A titolo esemplificativo, la finalità consistente nel creare profili degli utenti al fine di inviare loro messaggi pubblicitari mirati, non potrà essere indicata nell’informativa con il riferimento alla mera finalità pubblicitaria dell’uso dei cookie, ma occorrerà specificare che gli stessi consentiranno al gestore del sito di realizzare appunto una profilazione finalizzata alla successiva attività di direct marketing.

5. Come si esprime il consenso preventivo all’uso dei cookie?
Nell’ottica della semplificazione va letta anche la disposizione secondo la quale, ai fini dell’espressione del consenso dell’utente all’uso dei cookie, possono essere utilizzate “specifiche configurazioni di programmi informatici o di dispositivi che siano di facile e chiara utilizzabilità per il contraente o l’utente”.

L’idea è di ricorrere a tali strumenti per permettere agli operatori di acquisire in maniera snella dall’utente il consenso all’uso dei cookie, che però, per poter essere valido, deve avere tutte le caratteristiche previste dalla legge. Deve, cioè, risultare in ogni caso specifico, libero ed espresso, come previsto dall’art. 23 del Codice. Anche la direttiva 2009/136/CE, del resto, nel prevedere il ricorso a forme alternative di manifestazione del consenso dell’utente, specifica che le stesse debbano essere comunque conformi alle pertinenti disposizioni della direttiva 95/46/CE.

In primo luogo, dunque, l’uso di qualunque strumento al fine di acquisire il consenso dell’utente all’installazione di cookie dovrebbe essere preceduto da un’idonea informativa, in modo tale da permettere all’utente di scegliere quali cookie accettare e per quali finalità.

Gli strumenti ai quali fa riferimento la previsione sopra richiamata sono, allo stato, diversi e non è escluso che, anche in poco tempo, la creatività dell’industria pubblicitaria e degli operatori della rete ne sviluppino di nuovi.

A titolo esemplificativo, si richiamano:
• le impostazioni presenti nei comuni browser, che consentono o meno la memorizzazione dei cookie nei terminali usati per la navigazione in Internet e che di norma permettono anche di impostare le regole dei cookie in modo che non vengano accettati quelli di “terze parti”. Alcuni consentono anche di bloccare i cookie di alcune terze parti e non di altre, tramite una funzione che permette di indicare da quali domini consentire l’invio di cookie;

• gli specifici programmi che possono essere aggiunti al browser (c.d. plug-in), che specializzano le funzioni comunemente rese disponibili dai software per la navigazione e che possono essere configurati dall’utente per effettuare una selezione dei cookie sulla base dei domini di provenienza;

• il c.d. “do not track”, che consente all’utente di segnalare a ciascun sito visitato la sua volontà di essere o meno tracciato nel corso della navigazione. Questa modalità tecnica è ancora oggi in fase di discussione all’interno degli organismi di standardizzazione internazionali; inizia ad essere resa disponibile su alcuni browser di ultima generazione, ma, non essendo per l’appunto standardizzata, non vi è la certezza che i segnali che attraverso tale funzionalità l’utente invia ai server siano da questi effettivamente “ascoltati”.

6. Chi è tenuto a informare gli utenti e ad acquisirne il consenso?
L’obbligo di informare l’utente sull’uso dei cookie e di acquisirne il preventivo consenso incombe sul gestore del sito che li usa, in qualità di titolare del trattamento.

Nel caso in cui un sito consenta la trasmissione anche di cookie di “terze parti” (v. punto 1), l’informativa e l’acquisizione del consenso sono di norma a carico del terzo. È necessario che l’utente venga adeguatamente informato, seppur con le modalità semplificate previste dalla legge, nel momento in cui accede al sito che consente la memorizzazione dei cookie terze parti, ovvero quando accede ai contenuti forniti dalle terze parti e, comunque, prima che i cookie vengano scaricati sul suo terminale.

Non è escluso che, anche sulla base di accordi con i siti terze parti, l’informativa fornita agli utenti dal sito “prima parte” contenga anche le informazioni sui cookie trasmessi automaticamente dalle terze parti. Anche in tal caso, l’informativa dovrà specificare la finalità dei cookie utilizzati e, quindi, indicare se gli stessi siano finalizzati a creare profili degli utenti e a inviare loro pubblicità mirate ovvero a effettuare misure di traffico per la valutazione delle prestazioni del sito.

Analogamente, non si può escludere che anche il consenso venga acquisito dalle terze parti per il tramite del sito “prima parte”. Occorre tenere presente, infatti, che la richiesta del consenso dell’utente deve essere fatta in stretta relazione all’informativa resa allo stesso, in modo tale da consentirgli di fare scelte realmente consapevoli. Sarà, poi, cura dei diversi gestori coinvolti disciplinare i propri rispettivi ruoli con particolare riguardo ai rapporti tra titolare e responsabile del trattamento conformemente alla normativa in materia di protezione dei dati personali.

In base alle caratteristiche e all’utilizzo dei cookie possiamo distinguere diverse categorie:

• Cookie Tecnici: sono quelli utilizzati al solo fine di effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della società dell’informazione esplicitamente richiesto dall’abbonato o dall’utente a erogare tale servizio. Essi non vengono utilizzati per scopi ulteriori e sono normalmente installati direttamente dal titolare o gestore del sito web.

  • Cookie di Navigazione o di Sessione: garantiscono la normale navigazione e fruizione del sito web

    FINALITÀ	PROVENIENZA	DURATA
    Sessioni di navigazione	Propri	Sessione
    Permette di navigare dalla versione mobile a quella classica	Propri	Sessione

  • Cookie Analytics: sono utilizzati direttamente dal gestore del sito per raccogliere informazioni, in forma aggregata, sul numero degli utenti e su come questi visitano il sito stesso

    FINALITÀ	PROVENIENZA	INFORMATIVA	DURATA
    Navigazione utenti	Propri	n.a.	Persistenti
    Tracciamento visite	Google Analytics	https://www.google.it/policies/privacy/partners/	Persistenti

  • Cookie di Funzionalità: permettono all’utente la navigazione in funzione di una serie di criteri selezionati (ad esempio, la lingua, i prodotti selezionati per l’acquisto) al fine di migliorare il servizio reso allo stesso.

FINALITÀ	PROVENIENZA	INFORMATIVA	DURATA
Accettazione informativa cookie e scelte utente	Proprio		Persistenti

Tipi di cookie usati da google.

 

Gestione dei cookie

L’utente può decidere se accettare o meno i cookie anche utilizzando le impostazioni del proprio browser.

La disabilitazione dei cookie “terze parti” non pregiudica in alcun modo la navigabilità.

L’impostazione può essere definita in modo specifico per i diversi siti e applicazioni web. Inoltre i migliori browser consentono di definire impostazioni diverse per i cookie “proprietari” e per quelli di “terze parti”.

A titolo di esempio, in Firefox, attraverso il menu Strumenti->Opzioni ->Privacy, è possibile accedere ad un pannello di controllo dove è possibile definire se accettare o meno i diversi tipi di cookie e procedere alla loro rimozione.

 

Chrome: https://support.google.com/chrome/answer/95647?hl=it

 

Firefox: https://support.mozilla.org/it/kb/Gestione%20dei%20cookie

 

Internet Explorer: http://windows.microsoft.com/it-it/windows7/how-to-manage-cookies-in-internet-explorer-9

 

Opera: http://help.opera.com/Windows/10.00/it/cookies.html

 

Safari: http://support.apple.com/kb/HT1677?viewlocale=it_IT