Obbligo DI ADEGUAMENTO per i Titolari o Gestori di Siti Web entro il 03 Giugno 2015

La pubblicazione sulla Gazzetta Ufficiale del n 126 del 03.06.2014 del Provvedimento del Garante della Privacy intitolato: “Individuazione delle modalità semplificate per l’informativa e l’acquisizione del consenso per l’uso dei cookie – 8 maggio 2014”, c.d. Cookie Law (in attuazione della direttiva comunitaria 09/136/CE) ha segnato il decorso del termine di un anno  per gli editori dei siti web al fine di regolarizzare la loro posizione.In estrema sintesi la normativa ha posto sugli editori l’obbligo di acquisire il consenso preventivo e informato degli utenti alla installazione di cookie usati per fini diversi da quelli meramente tecnici.Le conseguenze del mancato rispetto di detta disciplina prevedono  sanzioni amministrative  il cui valore oscilla dai seimila ai centoventimila euro.

“Con questo provvedimento, maturato anche attraverso la consultazione dei vari stakeholders, diventa più facile il rispetto degli obblighi previsti dalla normativa europea. La procedura semplificata consentirà agevolmente ai navigatori di manifestare un consenso davvero libero e consapevole” Antonello Soro, presidente del Garante privacy.

Conseguenze del mancato rispetto della disciplina in materia di cookie.Si ricorda che per il caso di omessa informativa o di informativa inidonea, ossia che non presenti gli elementi indicati, oltre che nelle previsioni di cui all’art. 13 del Codice, nel presente provvedimento, è prevista la sanzione amministrativa del pagamento di una somma da seimila a trentaseimila euro (art. 161 del Codice).L’installazione di cookie sui terminali degli utenti in assenza del preventivo consenso degli stessi comporta, invece, la sanzione del pagamento di una somma da diecimila a centoventimila euro (art. 162, comma 2-bis, del Codice).L’omessa o incompleta notificazione al Garante, infine, ai sensi di quanto previsto dall’art. 37, comma 1, lett. d), del Codice, è sanzionata con il pagamento di una somma da ventimila a centoventimila euro (art. 163 del Codice – Individuazione delle modalità semplificate per l’informativa e l’acquisizione del consenso per l’uso dei cookie – 8 maggio 2014 (Pubblicato sulla Gazzetta Ufficiale n. 126 del 3 giugno 2014).

Orbene, al fine di comprendere il provvedimento in esame appare opportuno rammentare che i cookies, dall’inglese biscotti, sono file di testo che i siti web visitati durante la navigazione  inviano al terminale (computer, tablet, smartphone, notebook) dell’utente, ove vengono memorizzati, per poi essere ritrasmessi agli stessi siti alla visita successiva, al fine di identificare chi ha già visitato il portale web in precedenza e, ad esempio, ricordare la lingua predefinita o le credenziali di accesso ad una area riservata. Posta la varietà e complessità di tali file di informazioni lo stesso legislatore ha deciso di suddividerli in due macro-categorie:cookie “tecnici” e c.d. cookie “di profilazione”.

Alcuni cookie vengono definiti
cookie tecnici e si intendono “ quelli utilizzati al solo fine di “effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della società dell’informazione esplicitamente richiesto dall’abbonato o dall’utente a erogare tale servizio” –  cfr. art. 122, comma 1, del Codice – Individuazione delle modalità semplificate per l’informativa e l’acquisizione del consenso per l’uso dei cookie – 8 maggio 2014 (Pubblicato sulla Gazzetta Ufficiale n. 126 del 3 giugno 2014) .

Al contrario vengono definiti cookie di profilazione quelli “volti a creare profili relativi all’utente e vengono utilizzati al fine di inviare messaggi pubblicitari in linea con le preferenze manifestate dallo stesso nell’ambito della navigazione in rete”- Individuazione delle modalità semplificate per l’informativa e l’acquisizione del consenso per l’uso dei cookie – 8 maggio 2014 (Pubblicato sulla Gazzetta Ufficiale n. 126 del 3 giugno 2014)  In virtù della differenza e della diversa invasività che tali strumenti compiono nella sfera privata degli utenti, la normativa  prevede che, mentre per i cookie tecnici l’utente debba semplicemente essere informato della informativa della privacy art. 13 D.lgs. 196/2003,  per il caso dei cookies di profilazione lo stesso utente debba essere adeguatamente informato sull’uso degli stessi ed esprimere così il proprio valido consenso preventivo (opt-in).(art. 122, comma 1, del Codice). 

Si ricorda, inoltre, che l’uso dei cookie  finalizzato a

“definire il profilo o la personalità dell’interessato, o ad analizzare abitudini o scelte di consumo, ovvero a  monitorare l’utilizzo di servizi di comunicazione elettronica con esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli utenti” [1] è compreso fra i trattamenti soggetti all’obbligo di notificazione al Garante ai sensi dell’art. 37, comma 1, lett. d), del Codice della Privacy che ritualmente recita: 

“Il titolare notifica al Garante  il trattamento di dati personali cui intende procedere solo se il trattamento riguarda…. dati trattati con l’ausilio di strumenti elettronici volti a definire il profilo o la personalità dell’interessato, o ad analizzare abitudini o scelte di consumo, ovvero a monitorare l’utilizzo di servizi di comunicazione elettronica con esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli utenti; Quindi, nel momento in cui l’utente accederà ad un sito web,( sia essa la pagina iniziale o altra pagina) deve pertanto essergli presentato un banner con la c.d. prima informativa “breve”, contenente le seguenti indicazioni: a)  che il sito utilizza cookie di profilazione al fine di inviare messaggi pubblicitari in linea con le preferenze manifestate dall’utente nell’ambito della navigazione in rete; b) che il sito consente anche l’invio di cookie “terze parti” (laddove ciò ovviamente accada); c) il link all’informativa estesa, che deve contenere le seguenti ulteriori indicazioni relative a: d) l’indicazione che alla pagina dell’informativa estesa è possibile negare il consenso all’installazione di qualunque cookie; e) l’indicazione che la prosecuzione della navigazione mediante accesso ad altra area del sito o selezione di un elemento dello stesso (ad esempio, di un’immagine o di un link) comporta la prestazione del consenso all’uso dei cookie 

L’informativa estesa, adeguatamente redatta in una altra pagina del sito, deve contenere le indicazioni relative a:- uso dei cookie tecnici e analytics – possibilità di scegliere quali specifici cookie autorizzare;- possibilità per l’utente di manifestare le proprie opzioni in merito all’uso dei cookie da parte del sito anche  attraverso le impostazioni del browser, indicando almeno la procedura da eseguire per configurare tali  impostazioni;” – Individuazione delle modalità semplificate per l’informativa e l’acquisizione del consenso per l’uso dei Cookie – 8 Maggio 2014 ( Pubblicato sulla Gazzetta Ufficiale n. 126 del 13 Giugno 2014 )

Infine, si rileva che la  disciplina tiene in conto il differente soggetto che installa i cookie sul terminale dell’utente, a seconda che si tratti dello stesso gestore del sito che l’utente sta visitando (c.d. “editore”) o di un sito diverso che installa cookie per il tramite del primo (c.d. “terze parti”).

L’editore, infatti, viene a rivestire una duplice veste: per un lato è il titolare del trattamento dei cookies installati direttamente sul proprio sito; dall’altro è un intermediario tecnico fra l’utente ed i terzi (poiché non è contitolare con le terze parti per i cookies che le stesse installano per il loro tramite).In virtù di tale distinzione, dunque, l’editore non viene obbligato ad inserire sull’ home page del proprio sito anche il testo delle informative relative ai cookie installati per il suo tramite dalle terze parti.

[1] Individuazione delle modalità semplificate per l’informativa e l’acquisizione del consenso per l’uso dei cookie – 8 maggio 2014(Pubblicato sulla Gazzetta Ufficiale n. 126 del 3 giugno 2014)

Avv. Fabio Maggesi

Dott.ssa Eleonora Mattia