Cookie: un anno ai titolari di siti web per adeguarsi
19/06/2014
È stato pubblicato il 3 giugno scorso in Gazzetta Ufficiale n. 126, il provvedimento generale del Garante per la protezione dei dati personali in materia di cookie. Comincia così il conto alla rovescia di un anno per l'adeguamento dei siti web alla nuova disciplina.
Agli inadempienti sono applicabili le sanzioni amministrative previste dal Codice privacy in caso di omessa/inidonea informativa (da 6.000 euro a 36 mila euro), carenza dei requisiti del consenso (da 10 mila euro a 120 mila euro) e omessa/incompleta notificazione (da 20 mila euro a 120 mila euro), anche in cumulo tra loro. Possibile la riduzione a due quinti, ma anche il raddoppio o l'aumento fino al quadruplo, ricorrendone le condizioni.
Che cosa sono i cookie? Si tratta di brevi porzioni di testo rilasciate da un sito sul terminale dell'utente. Servono a memorizzarne preferenze e azioni, ma appunto per questo pongono in essere trattamenti di dati personali. I cookie non sono tutti uguali. Si parla di cookie tecnici quando sono funzionali alla navigazione e alla migliore fruizione del sito che li rilascia. È il caso, ad esempio, dei cookie di autenticazione, che evitano ripetizioni del log-in.
Il provvedimento del Garante non riguarda i cookie tecnici, se non per ribadire gli obblighi di completezza dell'informativa anche in tali casi.
Riguarda invece specificamente i cookie di profilazione e quelli rilasciati da terze parti. Quando, accedendo a un sito, ci appaiono promozioni di beni e servizi che abbiamo cercato in precedenza su altri siti, la ragione risiede spesso nella presenza, sul nostro terminale, di cookie di profilazione, che tengono traccia delle nostre precedenti scelte di consumo, permettendo l'invio di pubblicità mirata.
Attività lecita solo se l'interessato viene adeguatamente informato e presta consenso. Dispone il Garante che i cookie di profilazione siano segnalati immediatamente all'apertura di un sito con una prima informativa breve su banner a comparsa. All'utente la scelta se accettarli in blocco oppure accedere a un'informativa estesa e selezionarli granularmente. Il link all'informativa estesa deve trovarsi in calce a ogni pagina.
Stessa disciplina per i cookie di terze parti, ossia quelli rilasciati attraverso il sito da soggetti diversi dal titolare dello stesso. Meno chiaro come comportarsi se si tratta di cookie di analytics di terza parte, coesistendo in questo caso la natura di cookie tecnici con la provenienza da soggetto terzo (si pensi al servizio di analytics di Google Inc.). Prudenzialmente, e salvo che il Garante chiarisca altrimenti, si suggerisce di attenersi alla nuova disciplina.
Il provvedimento riguarda titolari persone fisiche, associazioni, persone giuridiche, amministrazioni ed enti stabiliti in Italia, indipendentemente dall'estensione .com, .net, ecc. piuttosto che .it del dominio. Valgono infatti al riguardo le regole generali del Codice privacy (art. 5, co. 1). Una disciplina tutta italiana e particolarmente sanzionatoria? Niente affatto: riflette l'analoga disciplina europea, da tempo trasposta nel Codice privacy.
Luciana Grieco, avv.lucianagrieco@griecopelino.com
Enrico Pelino, avv.enricopelino@griecopelino.com
avvocati in Bologna
Agli inadempienti sono applicabili le sanzioni amministrative previste dal Codice privacy in caso di omessa/inidonea informativa (da 6.000 euro a 36 mila euro), carenza dei requisiti del consenso (da 10 mila euro a 120 mila euro) e omessa/incompleta notificazione (da 20 mila euro a 120 mila euro), anche in cumulo tra loro. Possibile la riduzione a due quinti, ma anche il raddoppio o l'aumento fino al quadruplo, ricorrendone le condizioni.
Che cosa sono i cookie? Si tratta di brevi porzioni di testo rilasciate da un sito sul terminale dell'utente. Servono a memorizzarne preferenze e azioni, ma appunto per questo pongono in essere trattamenti di dati personali. I cookie non sono tutti uguali. Si parla di cookie tecnici quando sono funzionali alla navigazione e alla migliore fruizione del sito che li rilascia. È il caso, ad esempio, dei cookie di autenticazione, che evitano ripetizioni del log-in.
Il provvedimento del Garante non riguarda i cookie tecnici, se non per ribadire gli obblighi di completezza dell'informativa anche in tali casi.
Riguarda invece specificamente i cookie di profilazione e quelli rilasciati da terze parti. Quando, accedendo a un sito, ci appaiono promozioni di beni e servizi che abbiamo cercato in precedenza su altri siti, la ragione risiede spesso nella presenza, sul nostro terminale, di cookie di profilazione, che tengono traccia delle nostre precedenti scelte di consumo, permettendo l'invio di pubblicità mirata.
Attività lecita solo se l'interessato viene adeguatamente informato e presta consenso. Dispone il Garante che i cookie di profilazione siano segnalati immediatamente all'apertura di un sito con una prima informativa breve su banner a comparsa. All'utente la scelta se accettarli in blocco oppure accedere a un'informativa estesa e selezionarli granularmente. Il link all'informativa estesa deve trovarsi in calce a ogni pagina.
Stessa disciplina per i cookie di terze parti, ossia quelli rilasciati attraverso il sito da soggetti diversi dal titolare dello stesso. Meno chiaro come comportarsi se si tratta di cookie di analytics di terza parte, coesistendo in questo caso la natura di cookie tecnici con la provenienza da soggetto terzo (si pensi al servizio di analytics di Google Inc.). Prudenzialmente, e salvo che il Garante chiarisca altrimenti, si suggerisce di attenersi alla nuova disciplina.
Il provvedimento riguarda titolari persone fisiche, associazioni, persone giuridiche, amministrazioni ed enti stabiliti in Italia, indipendentemente dall'estensione .com, .net, ecc. piuttosto che .it del dominio. Valgono infatti al riguardo le regole generali del Codice privacy (art. 5, co. 1). Una disciplina tutta italiana e particolarmente sanzionatoria? Niente affatto: riflette l'analoga disciplina europea, da tempo trasposta nel Codice privacy.
Luciana Grieco, avv.lucianagrieco@griecopelino.com
Enrico Pelino, avv.enricopelino@griecopelino.com
avvocati in Bologna
© RIPRODUZIONE RISERVATA
web,
👥
