Il Garante Privacy regolamenta l'uso dei cookie sul web

L’Autorità Garante per la protezione dei dati personali ha reso pubblico un provvedimento col quale si vuol porre un formale “stop” all’utilizzo dei cookie adoperati per profilare gli utenti ossia per stabilire quali tipologie di siti web è solito consultare un individuo e, di conseguenza, per mostrargli messaggi pubblicitari pertinenti ai suoi interessi ed alle sue preferenze.

Ogniqualvolta si visita un qualunque sito web, oltre alla memorizzazione automatica – sul sistema locale – degli elementi che compongono le sue pagine (composizione della cosiddetta “cache“), ogni browser web è in grado di gestire e di accettare la creazione o la modifica (sempre sulla macchina in uso) dei cookies, file di testo, di dimensioni estremamente compatte.

I cookie consentono di annotare, sul sistema dell’utente che si collega al sito web, alcune informazioni successivamente riutilizzabili; il contenuto dei cookie generati sul sistema dell’utente da parte del sito “X” vengono ritrasmessi al server web remoto ogniqualvolta l’utente si connette al medesimo sito “X”.

Nell’articolo Che cosa sono i cookie: la verità su come gestirli, rimuoverli e difendere la privacy sul web abbiamo spiegato nel dettaglio che cosa sono i cookie e le differenze tecniche fra le diverse tipologie di cookie utilizzate oggi sul web.

I cookie “tecnici”, così come sono chiamati dal Garante, consentono ad esempio di annotare – sul sistema dell’utente – un codice di autorizzazione affinché, successivamente, il medesimo soggetto non debba ripetere una procedura di login oppure salvare i prodotti selezionati su un sito di e-commerce.
Si pensi ad un “carrello della spesa”: si supponga di selezionare alcuni prodotti su un sito di e-commerce e di inserirli nel proprio “carrello virtuale”. Chiudendo il browser, senza l’impiego di un cookie, tutto il carrello andrebbe inesorabilmente perduto. Invece, non appena si aprirà il browser e si tornerà a visitare lo stesso sito di e-commerce, il contenuto del carrello apparirà invariato, così come lo si era lasciato in precedenza. Senza i cookie, alcune operazioni online risulterebbero quindi molto complesse od addirittura impossibili da eseguirsi.

Un cookie non può – proprio in forza della sua natura di semplice file di testo – monitorare tutti i siti web visitati e raccogliere informazioni personali relative all’utente. I cookie possono essere infatti tecnicamente generati, consultati e modificati solo da quel sito che ne ha richiesto l’impiego. Tale sito web non può leggere il contenuto di quei cookie che non gli “appartengono” o che comunque non sono stati generati sul sistema dell’utente visitando una delle sue pagine.

Da che cosa derivano le preoccupazioni del Garante?

Il Garante privacy italiano focalizza la sua attenzione non tanto sui “cookie tecnici” ma su quelli che vengono chiamati “cookie di profilazione“. Dal punto di vista tecnico, non v’è differenza alcuna fra le due tipologie di cookie: si tratta sempre di semplici file di testo la cui vita (ossia il periodo di tempo durante il quale possono essere conservati sul sistema dell’utente) è determinata dal sito web che li ha generati o dall’utente stesso.
L’utente, infatti, accedendo alla finestra delle opzioni del browser ha la possibilità di negare la creazione di cookie da parte di specifici siti web oppure di eliminarli, in toto od in parte, in qualunque momento (vedere Che cosa sono i cookie: la verità su come gestirli, rimuoverli e difendere la privacy sul web).

Eppure, sulla base delle indicazioni provenienti dall’Unione Europea (direttiva 2009/136) e – dopo aver avviato una consultazione pubblica, iniziata a fine 2012 – il Garante ha ritenuto opportuno normare la materia. Vediamo perché.

Alcune società pubblicitarie hanno da tempo creato dei sistemi, basati sull’utilizzo di cookie, per effettuare una sorta di “profilazione” degli utenti che “navigano” in Rete (da qui l’utilizzo del termine “cookie di profilazione” da parte del Garante).
Tali cookie, creati secondo specifiche standard, vengono distribuiti tra i vari siti web costituenti il network pubblicitario. In questo modo ogni volta che lo stesso utente visita uno dei siti web appartenenti al network, gli vengono proposti esclusivamente banner pubblicitari che possono potenzialmente essere più vicini ai suoi interessi.
Dal punto di vista grafico, i banner pubblicitari che compaiono sui siti web che utilizzano il sistema dei cookie, sono esattamente uguali a tutti gli altri. In realtà esiste una importante quanto, “ad occhio nudo”, invisibile differenza… Quando un utente si connette per la prima volta al server pubblicitario (ciò avviene non appena egli visita un sito web che fa uso dei cookie per la gestione dei banner pubblicitari), questo crea sul suo computer un cookie, all’interno del quale viene memorizzato un codice identificativo. Dopo un certo periodo di tempo, il server pubblicitario stila un elenco di tutti i siti web – facenti parte del network pubblicitario – che quello stesso utente ha visitato utilizzando così queste informazioni per creare un dettagliato profilo dell’utente con lo scopo di proporgli, successivamente, banner che possano attrarre maggiormente la sua attenzione.

Ecco perché se si cerca un volo di linea, spesso – visitando altri siti web – appaiono riferimenti ad offerte che pubblicizzano compagnie aeree; se si cercano informazioni su Parigi appaiono – anche su altre pagine web – inserzioni che offrono vantaggi per l’organizzazione di un viaggio nella capitale francese; se si è alla ricerca di suggerimenti sugli pneumatici invernali o sulle catene da neve è assai probabile che, successivamente, si vedano comparire pubblicità di famose aziende che producono gomme. È il noto concetto di remarketing.

Solitamente nomi e cognomi e/o indirizzi e-mail non fanno parte delle informazioni che le aziende pubblicitarie che fanno uso di questi sistemi gestiscono, tuttavia, altre informazioni che il browser fornisce (combinate con altri dati relativi a precedenti attività di uno stesso individuo), possono essere sufficienti per identificare uno stesso utente.

Il Garante ha stabilito che l’utente deve essere “adeguatamente informato sull’uso degli stessi (dei cookie di profilazione, n.d.r.) ed esprimere così il proprio valido consenso“.

Un banner-informativa per l’acquisizione dell’esplicito consenso

Da qui ad un anno (l’effettiva applicazione delle nuove regole sarà verificata tra dodici mesi), quindi, chiunque gestisca un sito web (il Garante non fa differenza tra soggetti privati che gestiscano siti web a livello hobbystico, professionisti e grandi aziende editoriali) dovrà attrezzarsi per esporre un banner contenente una breve informativa sull’utilizzo dei cookie.
L’obbligo riguarda esclusivamente i soggetti che si avvalgono di uno o più cookie di profilazione, in proprio oppure appoggiandosi a terze parti. In altre parole, chiunque sul proprio sito web abbia semplicemente caricato il codice di Google Adsense o di altri circuiti di advertising sarà tenuto a raccogliere il consenso di ciascun utente prima che i cookie di profilazione vengano generati sul suo sistema, nella directory di lavoro del browser web.

Non sembra avere rilevanza alcuna che le società di advertising (le “terze parti” a cui si riferisce il Garante nel suo provvedimento) possano avere sede fuori dai confini nazionali o che, già oggi, com’è facilmente rilevabile sul sito ufficiale di Google, vengano messi a disposizione degli utenti strumenti (vedere questa pagina) per esercitare il cosiddetto opt out, ossia per negare il consenso alla ricezione dei cookie di profilazione (maggiori informazioni, a questo indirizzo).
Il Garante introduce un obbligo in capo ai singoli editori (intesi anche come soggetti privati) che dovranno astenersi dal visualizzare materiale che possa generare cookie di profilazione fintanto che non verrà acquisito un esplicito consenso alla loro memorizzazione da parte degli utenti.
Non importa che il cookie di profilazione non sia generato e gestito sui propri server o a livello del proprio dominio. In altre parole, leggendo fra le righe, nessun gestore di alcun sito web potrà di fatto esporre banner pubblicitari simil-Ad Sense fintanto che non avrà raccolto il consenso da parte di ogni visitatore.

L’editore potrà evitare di riproporre allo stesso utente la medesima informativa, una volta raccolto il consenso, utilizzando un semplice cookie “tecnico”. Egli è poi tenuto a preparare un’informativa estesa. Essa deve “contenere tutti gli elementi previsti dall’art. 13 del Codice, descrivere in maniera specifica e analitica le caratteristiche e le finalità dei cookie installati dal sito e consentire all’utente di selezionare/deselezionare i singoli cookie. Deve essere raggiungibile mediante un link inserito nell’informativa breve, come pure attraverso un riferimento su ogni pagina del sito, collocato in calce alla medesima. All’interno di tale informativa, deve essere inserito anche il link aggiornato alle informative e ai moduli di consenso delle terze parti con le quali l’editore ha stipulato accordi per l’installazione di cookie tramite il proprio sito. Qualora l’editore abbia contatti indiretti con le terze parti, dovrà linkare i siti dei soggetti che fanno da intermediari tra lui e le stesse terze parti“.

Il provvedimento del garante è consultabile, in sintesi, a questo indirizzo mentre, nella versione più ampia, in questa pagina.