Consenso ai cookie: che cosa richiedono le norme ePrivacy

I banner dei cookie sono la parte più visibile del diritto europeo in materia di protezione dei dati e quella più spesso realizzata in modo errato. Le norme derivano da due strumenti che operano insieme: la direttiva ePrivacy 2002/58/CE stabilisce quando è necessario il consenso, e il GDPR definisce che cosa vale come consenso.

La regola in una frase

L’articolo 5, paragrafo 3, della direttiva ePrivacy, come modificato nel 2009, consente di archiviare informazioni sul dispositivo di un utente, o di accedere a informazioni già archiviate, solo se l’utente ha espresso il proprio consenso dopo essere stato informato in modo chiaro e completo, a meno che l’archiviazione o l’accesso servano esclusivamente a effettuare la trasmissione di una comunicazione o siano strettamente necessari per fornire un servizio esplicitamente richiesto dall’utente. In Italia la regola è recepita nell’art. 122 del Codice privacy (d.lgs. 196/2003).

Ne derivano tre conseguenze:

• È tecnologicamente neutra. Cookie, local storage, pixel di tracciamento, fingerprinting del dispositivo e tecniche analoghe sono tutti inclusi. Le Linee guida EDPB 2/2023 spiegano quanto ampiamente vadano intesi i concetti di «archiviazione» e «accesso».
• Non si limita ai dati personali. Nella sentenza Planet49 (C-673/17) la Corte di giustizia ha confermato che l’articolo 5, paragrafo 3, si applica a prescindere dal fatto che le informazioni archiviate siano o meno dati personali.
• Il consenso viene prima. Gli script non essenziali non devono essere eseguiti prima che il visitatore abbia deciso.

Che cosa rende valido il consenso

Poiché la direttiva ePrivacy riprende la definizione di consenso dal diritto della protezione dei dati, si applica lo standard del GDPR (articolo 4, punto 11, articolo 7 e articolo 94, paragrafo 2, che reindirizza al GDPR i riferimenti alla precedente direttiva 95/46/CE). Il consenso deve essere:

1. Libero: rifiutare non deve comportare condizioni peggiori rispetto ad accettare, oltre quanto strettamente necessario. I cookie wall che bloccano l’accesso finché il visitatore non accetta sono ampiamente considerati dalle autorità di controllo dell’UE incompatibili con questo requisito.
2. Specifico: finalità distinte (analisi statistiche, pubblicità, personalizzazione) richiedono scelte distinte.
3. Informato: il visitatore deve sapere chi raccoglie che cosa, per quale finalità e per quanto tempo. Secondo la sentenza Planet49 ne fanno parte le informazioni sulla durata dei cookie e sulla possibilità che terzi vi abbiano accesso.
4. Inequivocabile: un’azione positiva chiara. La sentenza Planet49 ha escluso le caselle preselezionate; nemmeno lo scorrimento della pagina o il «proseguire la navigazione» costituiscono consenso (Linee guida EDPB 05/2020).

Il GDPR aggiunge due obblighi operativi: il titolare del trattamento deve essere in grado di dimostrare il consenso (articolo 7, paragrafo 1), e revocare il consenso deve essere semplice quanto prestarlo (articolo 7, paragrafo 3). In pratica ciò significa conservare una registrazione del consenso e offrire un modo permanente per riaprire il banner.

Il design del banner: che cosa hanno contestato le autorità

Nel gennaio 2023 l’EDPB ha pubblicato la relazione della sua task force sui banner dei cookie, che riassume le posizioni comuni delle autorità nazionali. Tra le pratiche che la maggior parte delle autorità ha ritenuto problematiche figurano:

• l’assenza di un pulsante «rifiuta» al primo livello quando vi è un pulsante «accetta»;
• caselle di finalità o di fornitori preselezionate al secondo livello;
• un link ingannevole al posto di un pulsante per l’opzione di rifiuto;
• colori e contrasti ingannevoli dei pulsanti che rendono «accetta» l’unica scelta evidente;
• l’invocazione del «legittimo interesse» per un tracciamento che richiede il consenso;
• la classificazione come «essenziali» di cookie non essenziali;
• l’assenza di un modo semplice per revocare successivamente il consenso.

Le autorità nazionali seguono la stessa linea. La CNIL francese, ad esempio, ha sanzionato Google e Facebook alla fine del 2021 (con annuncio nel gennaio 2022) perché rifiutare i cookie richiedeva più clic che accettarli.

Che cosa è esente

L’esenzione per ciò che è «strettamente necessario» è ristretta e va valutata dal punto di vista del visitatore: un’archiviazione senza la quale il servizio non può funzionare. Esempi tipici sono un cookie del carrello, un cookie di sessione dopo l’accesso, un cookie di bilanciamento del carico o il cookie che memorizza la scelta di consenso stessa. Analisi statistiche, test A/B, pubblicità e pixel dei social media in genere non sono strettamente necessari, anche quando sono di prima parte o «anonimizzati». Alcune autorità nazionali accettano senza consenso una misurazione dell’audience configurata in modo restrittivo; prima di farvi affidamento, verifichi le norme del Paese a cui si rivolge.

Framework di consenso e tag manager

Le piattaforme di gestione del consenso (CMP) e l’IAB Transparency & Consent Framework standardizzano il modo in cui le scelte vengono trasmesse agli inserzionisti. Nella sentenza IAB Europe (C-604/22) la Corte di giustizia ha stabilito che la «TC String» che codifica le preferenze di un utente può costituire un dato personale e che l’organizzazione che gestisce un simile framework può essere contitolare del trattamento. Una CMP è uno strumento, non una garanzia: se configurata male, carica comunque i tracker troppo presto. Allo stesso modo, le «consent mode» lato browser che adattano il comportamento dei tag non sostituiscono il consenso; modificano soltanto ciò che viene inviato dopo la decisione.

Come testare il proprio banner in dieci minuti

1. Apra una finestra di navigazione privata, apra gli strumenti per sviluppatori sulle schede Rete e Applicazione e carichi la home page. Non clicchi nulla.
2. Annoti ogni cookie, voce di archiviazione e richiesta a terze parti. Tutto ciò che va oltre lo strettamente necessario è un rilievo.
3. Clicchi su «rifiuta». Navighi su altre due pagine. Le richieste non essenziali devono restare disattivate.
4. Cancelli tutto, ricarichi la pagina e clicchi su «accetta». Confronti: la differenza è ciò che il Suo banner controlla davvero.
5. Cerchi il modo per tornare indietro: un link o un’icona che riapra il banner su ogni pagina.

Gli scanner automatizzati fanno esattamente questo su larga scala e lo ripetono dopo ogni rilascio; è qui che giustificano il loro prezzo. Confronti i servizi che valutiamo nella pagina di confronto.