LUNCH IL PROVVEDIMENTO DEL GARANTE PRIVACY IN MATERIA DI COOKIES MILANO 23 GIUGNO COMMUNICATION 2014

Transcript

1 COMMUNICATION LUNCH IL PROVVEDIMENTO DEL GARANTE PRIVACY IN MATERIA DI COOKIES MILANO 23 GIUGNO COMMUNICATION 2014 LUNCH

2 IL PERCORSO

3 La Direttiva 2009/136/CE, direttiva sui servizi di comunicazione elettronica, ha emendato la direttiva 2002/58/CE e-privacy directive CONSIDERANDO 66 DIRETTIVA 136 DEL 2009 Possono verificarsi tentativi da parte di terzi di archiviare le informazioni sull apparecchiatura di un utente o di ottenere l accesso a informazioni già archiviate, per una varietà di scopi che possono essere legittimi (ad esempio alcuni tipi di marcatori, «cookies») o implicare un intrusione ingiustificata nella sfera privata (ad esempio software spia o virus). Conseguentemente è di fondamentale importanza che gli utenti siano informati in modo chiaro e completo quando compiono un attività che potrebbe implicare l archiviazione o l ottenimento dell accesso di cui sopra. Le modalità di comunicazione delle informazioni e di offerta del diritto al rifiuto dovrebbero essere il più possibile chiare e comprensibili. Eccezioni all obbligo di comunicazione delle informazioni e di offerta del diritto al rifiuto dovrebbero essere limitate a quei casi in cui l archiviazione tecnica o l accesso siano strettamente necessari al fine legittimo di consentire l uso di un servizio specifico esplicitamente richiesto dall abbonato o dall utente. Il consenso dell utente al trattamento può essere espresso mediante l uso delle opportune impostazioni di un motore di ricerca o di un altra applicazione, qualora ciò si riveli tecnicamente fattibile ed efficace, conformemente alle pertinenti disposizioni della direttiva 95/46/CE. L esecuzione di detti requisiti dovrebbe essere resa più efficace tramite i maggiori poteri conferiti alle autorità nazionali competenti.

4 La Direttiva 2009/136/CE, direttiva sui servizi di comunicazione elettronica, ha emendato la direttiva 2002/58/CE e-privacy directive ART.3 COMMA 5 DIRETTIVA 136 DEL ) all articolo 5, il paragrafo 3 è sostituito dal seguente: «3. Gli Stati membri assicurano che l archiviazione di informazioni oppure l accesso a informazioni già archiviate nell apparecchiatura terminale di un abbonato o di un utente sia consentito unicamente a condizione che l abbonato o l utente in questione abbia espresso preliminarmente il proprio consenso, dopo essere stato informato in modo chiaro e completo, a norma della direttiva 95/46/CE, tra l altro sugli scopi del trattamento. Ciò non vieta l eventuale archiviazione tecnica o l accesso al solo fine di effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della società dell informazione esplicitamente richiesto dall abbonato o dall utente a erogare tale servizio.»

5 TRASPOSIZIONE ITALIANA, DLGS 69/ All'articolo 122, del decreto legislativo 30 giugno 2003, n. 196, sono apportate le seguenti modificazioni: a) il comma 1, e' sostituito dal seguente: «1. L'archiviazione delle informazioni nell'apparecchio terminale di un contraente o di un utente o l'accesso a informazioni gia' archiviate sono consentiti unicamente a condizione che il contraente o l'utente abbia espresso il proprio consenso dopo essere stato informato con le modalita' semplificate di cui all'articolo 13, comma 3. Cio' non vieta l'eventuale archiviazione tecnica o l'accesso alle informazioni gia' archiviate se finalizzati unicamente ad effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della societa' dell'informazione esplicitamente richiesto dal contraente o dall'utente a erogare tale servizio. Ai fini della determinazione delle modalita' semplificate di cui al primo periodo il Garante tiene anche conto delle proposte formulate dalle associazioni maggiormente rappresentative a livello nazionale dei consumatori e delle categorie economiche coinvolte, anche allo scopo di garantire l'utilizzo di metodologie che assicurino l'effettiva consapevolezza del contraente o dell'utente.»; b) il comma 2, e' sostituito dal seguente: «2. Ai fini dell'espressione del consenso di cui al comma 1, possono essere utilizzate specifiche configurazioni di programmi informatici o di dispositivi che siano di facile e chiara utilizzabilita' per il contraente o l'utente.»; c) dopo il comma 2, e' aggiunto il seguente: «2-bis. Salvo quanto previsto dal comma 1, e' vietato l'uso di una rete di comunicazione elettronica per accedere a informazioni archiviate nell'apparecchio terminale di un contraente o di un utente, per archiviare informazioni o per monitorare le operazioni dell'utente.».

6 C/O GARANTE PRIVACY Dicembre 2012 Marzo 2013: CONSULTAZIONE PUBBLICA DEL GARANTE PRIVACY, A CUI UPA HA RISPOSTO Giugno 2013 Febbraio 2014: AUDIZIONI E TAVOLI TECNICI PRESSO IL GARANTE, A CUI UPA HA PARTECIPATO Aprile 2014: ULTIMO POSITION PAPER UPA 3 GIUGNO 2014: PUBBLICAZIONE IN G.U. DEL PROVVEDIMENTO Il lavoro di UPA è avvenuto assieme ad altre associazioni interessate: Fedoweb, Assocom, Iab, Dma, Netcomm La posizione comune inviata al garante è a firma UPA-Iab-Netcomm

7 NEXT STEPS Oggi: Approfondimento tecnico del Provvedimento del Garante Privacy Cookie policy (informativa breve ed estesa) In autunno: Linee guida organica con FAQ e approfondimenti Campagna informativa Ongoing su altri tavoli: OBA in autodisciplina Regolamento Data Protection

8 IL PROVVEDIMENTO DEL GARANTE PRIVACY

9 Provvedimento Garante per la protezione dei dati personali 8 maggio 2014 (pubblicato sulla G.U. del 3 giugno), Individuazione delle modalità semplificative per l informativa e l acquisizione del consenso per l uso dei cookie. Ampliamento rispetto alla previsione dell art. 122 co. 1 Codice privacy: modalità semplificate non solo per l informativa, ma anche per il consenso, da trattarsi necessariamente in maniera congiunta, per evitare che il ricorso a modalità complesse per il rilascio del consenso vanifichi la semplificazione dell informativa.

10 Cookies Due diverse suddivisioni: - oggettiva: cookies tecnici e cookies di profilazione; - soggettiva: cookies provenienti dall editore (o di prima parte) e cookies di terze parti.

11 Cookies tecnici: sono quelli utilizzati al solo fine di effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della società dell informazione esplicitamente richiesto dall abbonato o dall utente a erogare tale servizio (art. 122 co. 1 Codice privacy).

12 Sono cookies tecnici: - i cookies di navigazione o di sessione; - i cookies analytics (purché utilizzati direttamente dal gestore del sito per raccogliere informazioni, in forma aggregata, sul numero degli utenti e su come questi visitano il sito); - i cookies di funzionalità

13 Per i cookies tecnici non è richiesto il preventivo consenso dell utente. Resta fermo l obbligo dell informativa. Il gestore del sito che utilizzi soltanto cookies tecnici potrà dare l informativa con le modalità che ritenga più opportune.

14 Cookies di profilazione: sono volti a creare profili dell utente e vengono utilizzati per inviargli messaggi pubblicitari in linea con le preferenze manifestate dallo stesso durante la navigazione. Per l utilizzazione di cookies di profilazione sono necessari: informativa e consenso preventivo dell utente.

15 Cookies di prima parte: installati direttamente dal gestore del sito che l utente sta visitando. Cookies di terze parti: installati da un sito diverso, per il tramite del sito che l utente sta visitando. L editore non ha l obbligo di fornire l informativa e di acquisire il consenso anche per i cookies di terza parte: non può essere responsabile della corrispondenza fra quanto dichiarato nell informativa e l utilizzo effettivo ad opera della terza parte, spesso non conosce tutte le terzi parti (intermediazione del concessionario), spesso è la parte debole del rapporto.

16 L editore è titolare del trattamento per i cookies installati direttamente dal proprio sito. Non è contitolare del trattamento per i cookies di terza parte, ma solo un intermediario tecnico fra le terze parti e l utente. In quanto intermediario tecnico rilascia l informativa e acquisisce il consenso anche per i cookies di terza parte.

17 Due livelli di informativa: - informativa breve, contenuta in un banner a comparsa immediata sulla home page o altra pagina tramite la quale l utente può accedere al sito e contente la richiesta di consenso - integrata da un informativa estesa, alla quale si accede attraverso un link cliccabile dall utente e che consente all utente di avere informazioni più dettagliate e di differenziare le sue scelte in relazione ai diversi cookies.

18 Caratteristiche del banner contenente informativa breve e richiesta di consenso - deve comparire in primo piano sulla home page o sulla landing page; - deve avere dimensioni tali da costituire una percettibile discontinuità nella fruizione dei contenuti della pagina web ; - deve contenere le seguenti indicazioni: a) che il sito utilizza cookies di profilazione al fine di inviare messaggi pubblicitari in linea con le preferenze manifestate dall utente nell ambito della navigazione in rete;

19 b) che il sito consente anche l invio di cookies di terza parte (ove ciò accada); c) un link all informativa estesa, dove vengono fornite anche indicazioni sull uso dei cookie tecnici e analytics e viene data la possibilità di scegliere quali specifici cookies (di profilazione) autorizzare; d) l indicazione che alla pagina dell informativa estesa è possibile negare il consenso all installazione di qualunque cookie; e) l indicazione che la prosecuzione della navigazione mediante accesso ad altra area del sito o selezione di un elemento dello stesso (es., un immagine o un link) comporta il consenso all uso dei cookies.

20

21 Il banner deve essere parte integrante dell azione positiva attraverso la quale si sostanzia la manifestazione del consenso dell utente ; il suo superamento deve determinare una discontinuità, seppur minima, dell esperienza di navigazione, e deve essere possibile solo mediante un intervento attivo dell utente. (es., selezione di un elemento contenuto nella pagina sottostante il banner)

22 Obblighi dell editore: - deve tenere traccia del consenso avvalendosi di un apposito cookie tecnico; - non è tenuto a riproporre l informativa breve in occasione di successive visite dello stesso utente sullo stesso sito; - deve fornire comunque all utente la possibilità di modificare in qualunque momento le proprie opzioni sull uso dei cookies, ad esempio tramite accesso all informativa estesa, linkabile da ogni pagina del sito.

23 Informativa estesa Deve essere raggiungibile attraverso un link inserito nell informativa breve e da ogni pagina del sito. Deve contenere: - tutti gli elementi previsti dall art. 13 del Codice (finalità e modalità del trattamento, natura obbligatoria o facoltativa del conferimento dei dati, conseguenze dell eventuale diniego, categorie di soggetti ai quali i dati possono venire comunicati, o ambito di diffusione degli stessi, i diritti dell interessato, gli estremi identificativi del titolare, o se designato del responsabile); - indicazioni sull uso dei cookies tecnici e analytics da parte del sito.

24 Deve consentire all utente di selezionare/deselezionare singoli cookies, e per rendere possibile ciò deve contenere: - un link aggiornato alle informative e ai moduli di consenso delle terze parti con cui l editore ha stipulato accordi per l installazione dei cookies tramite il proprio sito; - o in alternativa un link aggiornato ai siti dei concessionari (intermediari fra l editore e le terze parti).

25 Inoltre: - i collegamenti con le terze parti possono anche essere raccolti all interno di un unico sito web gestito da un soggetto diverso dall editore (youronlinechoices?); - deve essere richiamata la possibilità per l utente di manifestare le proprie opzioni in merito all uso dei cookies da parte del sito anche attraverso le impostazioni del browser.

26 Obblighi degli editori in relazione ai cookies di terza parte Per tenere distinte le responsabilità dell editore e le responsabilità delle terze parti, è necessario che gli editori acquisiscano i link dalle terze parti (o dai concessionari) già in fase contrattuale. Il contratto dovrà quindi prevedere l obbligo di fornire il link, di mantenere attivo il collegamento per tutta la durata del contratto, di comunicare anticipatamente all editore eventuali variazioni.

27 Notificazione del trattamento al Garante Obbligo di notificazione nel caso di trattamento di cookies di profilazione (art. 37 co. 1 lett. d) del Codice) Nessun obbligo di notificazione nel caso di cookies tecnici e analytics

28 Termine di adeguamento Un anno dal 3 giugno 2014

29 Sanzioni Omessa o incompleta informativa: sanzione amministrativa da a euro (art. 161 Codice privacy); Installazione di cookies (di profilazione) in assenza del preventivo consenso degli utenti: sanzione amministrativa da a euro (art. 162 comma 2-bis); Omessa o incompleta notificazione al garante per il caso di cookies di profilazione: sanzione amministrativa da a euro (art. 163)

30 FAQ Cosa succede ai miei cookies attuali? Se un utente non mi autorizza i cookies di profilazione, posso riproporgli l informativa breve nelle successive visite al sito? Sempre? Youronlinechoices.com va bene come portale di aggregazione di informative e moduli di consenso di terze parti?