Il mio sito utilizza. Cosa devo fare? GL CONSULTING info@glconsulting.com

Transcript

1 Il mio sito utilizza Cosa devo fare? GL CONSULTING info@glconsulting.com

2 Il contesto Il 2 giugno 2015 è scaduto il termine per attuare le prescrizioni del Garante in termini di cookie. È infatti entrata in vigore in Italia la tanto discussa cookie law conformemente a quanto stabilito nel provvedimento n del Garante per la protezione dei dati personali dell'8 maggio 2014, recante "Individuazione delle modalità semplificate per l'informativa e l'acquisizione del consenso per l'uso dei cookie". Ma da dove arriva questa cookie law? Quello del Garante della Privacy non è altro che un adeguamento della normativa Italiana a quanto disposto in sede europea: la cookie law, infatti, è un provvedimento nato a livello comunitario (direttiva 2009/136/CE) con l'intento di arginare la diffusione dei cosiddetti cookie di profilazione e dei connessi rischi per la privacy degli utenti di Internet. Il Codice in materia di protezione dei dati personali (anche detto Codice della Privacy) prevede, all'articolo 122 comma 1, che "l'archiviazione delle informazioni nell'apparecchio terminale di un contraente o di un utente o l'accesso a informazioni già archiviate sono consentiti unicamente a condizione che il contraente o l'utente abbia espresso il proprio consenso dopo essere stato informato (...)". In buona sostanza l'utilizzo dei cookie all'interno di un sito web deve essere preventivamente accettato dall'utente, il quale deve esprimere il proprio consenso informato (tale consenso NON è necessario qualora un sito utilizzi esclusivamente "cookie tecnici"). Per informare adeguatamente l utente è necessario quindi un documento, reso disponibile online, che fornisca indicazioni chiare e comprensibili circa il trattamento dei dati. Ecco perché risulta essere particolarmente importante, nel contesto della normativa sui cookie, il concetto di informativa che consente all'utente di essere adeguatamente informato circa l'utilizzo che il sito fa dei cookie. Ciò, sempre secondo le disposizioni del Garante, deve avvenire in due fasi distinte che analizziamo di seguito.

3 Cosa sono i cookie? I cookie sono informazioni immesse sul tuo browser quando visiti un sito web o utilizzi un social network con il tuo pc, smartphone o tablet. Ogni cookie contiene diversi dati come, ad esempio, il nome del server da cui proviene, un identificatore numerico, ecc. I cookie possono rimanere nel sistema per la durata di una sessione (cioè fino a che non si chiude il browser utilizzato per la navigazione sul web) o per lunghi periodi e possono contenere un codice identificativo unico. Cookie tecnici Si tratta di cookie normalmente trasmessi in prima persona dal gestore del sito per finalità strettamente connesse al buon e corretto funzionamento del sito stesso. Questa famiglia di cookie comprende: Cookie di navigazione (o di sessione) Questi cookie sono necessari per garantire la normale fruizione del sito web e dei suoi servizi permettendo, ad esempio, di autenticarsi ad aree riservate o di effettuare un acquisto. Cookie di funzionalità Questi cookie, pur non essendo essenziali, migliorano la funzionalità del sito in quanto consentono all'utente di esprimere delle preferenze persistenti circa alcuni aspetti della navigazione (ad esempio selezionare la lingua o memorizzare alcuni prodotti preferiti all'interno di un e-commerce). Cookie di Analytics (o statistici) Sono considerati "cookie tecnici" laddove utilizzati direttamente dal gestore del sito per raccogliere informazioni, in forma aggregata, sul numero degli utenti e su come questi visitano il sito. In molti casi i siti utilizzano cookie analitici realizzati e messi a disposizione da terze parti. In questi casi, si ritiene che tali siti non siano soggetti agli obblighi e agli adempimenti previsti dalla normativa qualora vengano adottati strumenti idonei a ridurre il potere identificativo dei cookie analitici che utilizzano (ad esempio, mediante il mascheramento di porzioni significative dell'indirizzo IP). È bene inoltre sottolineare che, se sul sito ci sono link a siti terze parti (es. banner pubblicitari; collegamenti a social network) che non richiedono l'installazione di cookie di profilazione non c'è bisogno di informativa e consenso. Cookie di profilazione I cookie di profilazione sono volti a creare profili relativi all'utente e vengono utilizzati al fine di inviare messaggi pubblicitari in linea con le preferenze manifestate dallo stesso nell'ambito della navigazione in rete. In ragione della particolare invasività che tali dispositivi possono avere nell'ambito della sfera privata degli utenti, la normativa europea e italiana prevede che l'utente debba essere adeguatamente informato sull'uso degli stessi ed esprimere così il proprio valido consenso. Ad essi si riferisce l'art. 122 del Codice laddove prevede che "l'archiviazione delle informazioni nell'apparecchio terminale di un contraente o di un utente o l'accesso a informazioni già archiviate sono consentiti unicamente a condizione che il contraente o l'utente abbia espresso il proprio consenso dopo essere stato informato con le modalità semplificate di cui all'articolo 13, comma 3" (art. 122, comma 1, del Codice).

4 Modalità di acquisizione del consenso Nel momento in cui l utente accede a un sito web su cui sono installati cookie di profilazione, deve essergli presentato un banner a comparsa immediata e di idonee dimensioni. Il banner deve essere impostato così da comparire immediatamente all ingresso dell utente al sito, a prescindere dalla pagina di accesso. Con dimensioni idonee si intende che il banner debba costituire una percettibile discontinuità nella fruizione dei contenuti della pagina web, ossia deve essere visualizzabile e deve parzialmente ostacolare la visualizzazione dei contenuti del sito in modo da costituire un impedimento per l utente. Cosa inserire nel banner? Viene definito informativa breve l insieme di elementi che devono essere inseriti nel banner, ovvero: a) Che il sito utilizza cookie di profilazione al fine di inviare messaggi pubblicitari in linea con le preferenze manifestate dall'utente nell'ambito della navigazione in rete; b) Che il sito consente anche l'invio di cookie "terze parti" (laddove ciò ovviamente accada); c) Il link all'informativa estesa, ove vengono fornite indicazioni sull'uso dei cookie tecnici e analytics, viene data la possibilità di scegliere quali specifici cookie autorizzare; d) L'indicazione che alla pagina dell'informativa estesa è possibile negare il consenso all'installazione di qualunque cookie; e) L'indicazione che la prosecuzione della navigazione mediante accesso ad altra area del sito o selezione di un elemento dello stesso (ad esempio, di un'immagine o di un link), oppure mediante scroll o chiusura del banner, comporta la prestazione del consenso all'uso dei cookie.

5 Come fa l utente a dare il consenso? Il superamento della presenza del banner deve essere possibile solo mediante un intervento attivo dell'utente: il click su un apposito pulsante nel banner, la chiusura dello stesso banner cliccando sulla X ove essa sia presente, lo scroll, la selezione di un qualsiasi elemento nella pagina sottostante, ecc. In altre parole, il consenso dell'utente può essere validamente manifestato non solo con il click su un eventuale pulsante di accettazione esplicita presente all'interno del banner d'informativa, ma anche in altri modi "taciti". Il primo di questi è indicato chiaramente: se l'utente clicca su un link o accede, anche in altro modo, in un'altra pagina del sito il consenso s'intende acquisito. Oltre a questo il Garante ha ritenuto doveroso soffermarsi anche su un'altra modalità molto utilizzata, quella dello scroll di pagina: Al riguardo, si rappresenta che soluzioni per l'acquisizione del consenso basate su "scroll", ovvero sulla prosecuzione della navigazione all'interno della medesima pagina web, da molti prospettate e in effetti particolarmente rilevanti nel caso di dispositivi mobili, sono considerate in linea con i requisiti di legge, qualora queste siano chiaramente indicate nell'informativa e siano in grado di generare un evento, registrabile e documentabile presso il server del gestore del sito (prima parte), che possa essere qualificato come azione positiva dell'utente. Da questo passaggio possiamo trarre alcune informazioni importanti, innanzitutto che lo scroll è considerata una valida forma di prestazione del consenso a condizione che: Ciò sia chiaramente indicato nell'informativa breve; Che l'evento scroll possa essere registrato, documentato e chiaramente identificato come un'azione positiva dell'utente. In conformità con i principi generali, è necessario che l editore tenga traccia dell'avvenuta prestazione del consenso dell'utente: a tal fine è possibile avvalersi di un apposito cookie tecnico, sistema che non sembra particolarmente invasivo. Quindi l utente che dà il proprio consenso NON troverà il banner in caso di ulteriore accesso al sito grazie all utilizzo di cookie tecnici che terranno traccia della sua scelta. Ovviamente bisogna dare all utente la possibilità di negare il consenso e/o modificare le proprie opzioni relative all'uso dei cookie da parte del sito, ad esempio tramite accesso all'informativa estesa, che deve essere linkata e raggiungibile da ogni pagina del sito (e che consigliamo per questo motivo di inserire nel footer). Esempi di informativa breve Vediamo di seguito alcuni esempi di informativa breve che possiamo utilizzare (con i dovuti adattamenti del caso) all'interno del nostro sito web: Esempio n.1 Questo sito o gli strumenti terzi da questo utilizzati si avvalgono di cookie necessari al funzionamento ed utili alle finalità illustrate nella cookie policy. Se vuoi saperne di più o negare il consenso a tutti o ad alcuni cookie, consulta la cookie policy (link). Chiudendo questo banner, scorrendo questa pagina o cliccando qualunque suo elemento acconsenti all'uso dei cookie.

6 Esempio n.2 Usando questo sito si accetta l'utilizzo dei cookie anche di terze parti. Per maggiori informazioni vi invitiamo a leggere l'informativa (link). Esempio n.3 I cookie, anche di terze parti, ci permettono di migliorare la navigazione e la fornitura di annunci pubblicitari. Proseguendo nella navigazione accetti l'utilizzo dei cookie. Per maggiori informazioni invitiamo a leggere l'informativa estesa (link). Se l utente nega il consenso Per poter garantire il rispetto della privacy dell utente, è necessario prevedere opzioni di default che subordinino l'installazione dei cookie non tecnici alla manifestazione del consenso preventivo nelle forme semplificate previste dal Provvedimento. Dal momento di accesso dell utente al sito bisogna quindi prevedere questo tipo di interazione con l utente: Visualizzazione del banner/informativa; Tramite lo script: Rilascio dei cookie tecnici; Blocco dei cookie di terza parte e delle parti di codice di terzi che potrebbero rilasciare cookie; Alternativamente al suindicato blocco, rilascio dei cookie che non profilano l utente se non a seguito del consenso di quest ultimo; Verifica se l utente ha già espresso preferenze, analizzando se lo stesso è alla sua prima visita o meno; Salvataggio delle preferenze dell utente grazie a un cookie tecnico. Al primo accesso di un browser al sito, i cookie tecnici possono essere rilasciati, mentre i cookie non tecnici (di profilazione) non possono essere rilasciati (questi ultimi dovranno essere bloccati attraverso l intervento tecnologico sul codice del sito). I cookie di profilazione devono quindi essere bloccati fino all ottenimento del consenso dell utente. Teniamo in considerazione che il banner può essere programmato in modo che qualsiasi azione dell utente (click nel sito, scroll, ecc.) sia considerabile come prestazione del consenso. Va da sé che l utente che rifiuta i cookies debba rinunciare alla navigazione del sito. Come abbiamo anticipato, anche l utente che presta il consenso deve poter modificare le proprie preferenze mediante l informativa estesa.

7 Informativa estesa In merito all'informativa estesa, il Garante della Privacy sottolinea come questa debba contenere tutti gli elementi previsti dall'art. 13 del Codice. Tale informativa, quindi, deve esplicitare: Le finalità e le modalità del trattamento cui sono destinati i dati; La natura obbligatoria o facoltativa del conferimento dei dati; Le conseguenze di un eventuale rifiuto di rispondere; I soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, e l'ambito di diffusione dei dati medesimi; I diritti dell'interessato; Gli estremi identificativi del titolare del trattamento. Oltre a queste informazioni, l'informativa estesa deve fornire all'utente una descrizione dettagliata ed analitica delle caratteristiche e delle finalità dei cookie trasmessi dal sito e consentire all'utente di selezionare/deselezionare i singoli cookie. Deve inoltre includere il link aggiornato alle informative e ai moduli di consenso delle terze parti con le quali il titolare ha stipulato accordi per l'installazione di cookie tramite il proprio sito. Qualora l'editore abbia contatti indiretti con le terze parti, deve invece linkare i siti dei soggetti che fanno da intermediari tra lui e le stesse terze parti. Sempre all'interno dell'informativa estesa deve essere indicata la possibilità per l'utente di esprimere le proprie preferenze in merito ai cookie ed alla loro disattivazione: ciò può essere fatto anche mediante la semplice indicazione delle procedure necessarie al blocco totale e/o selettivo dei cookie mediante le impostazioni del browser di navigazione. In tal senso può ritenersi sufficiente anche l'inserimento dei link alle relative pagine d'istruzioni fornite dai produttori dei software. E' molto importante ricordare, infine, che questa informativa dev essere raggiungibile facilmente da parte degli utenti: 1) mediante un link all'interno dell'informativa breve; 2) mediante un link presente in calce ad ogni pagina del sito web. Chi è tenuto a fornire l'informativa e a richiedere il consenso per l'uso dei cookie? Il titolare del sito web che installa cookie di profilazione. Per i cookie di terze parti installati tramite il sito, gli obblighi di informativa e consenso gravano sulle terze parti, ma il titolare del sito, quale intermediario tecnico tra queste e gli utenti, è tenuto a inserire nell'informativa "estesa" i link aggiornati alle informative e ai moduli di consenso delle terze parti stesse. Applicazione della normativa italiana ai siti con sede in Paesi extra EU In merito ai chiarimenti richiesti sull'ambito di applicazione della normativa in materia di cookie, si evidenzia che la stessa riguarda tutti i siti che, a prescindere dalla presenza di una sede nel territorio dello Stato, installano cookie sui terminali degli utenti, utilizzando quindi per il trattamento "strumenti situati sul territorio dello Stato" (cfr. art. 5, comma 2, del Codice privacy).

8 Notificazione al Garante Un ulteriore adempimento previsto dalla normativa riguarda i soggetti che utilizzano cookie di profilazione. Tali soggetti, infatti, sono chiamati ad effettuare una notifica al Garante come disposto dall'art. 37 del Codice. E' bene precisare che sono esentati da tale adempimento tutti i siti che non facciano uso in maniera diretta di cookie per la profilazione dell'utenza: sono esclusi dall'obbligo di notifica, quindi, i siti che trasmettono cookie di profilazione di "terze parti" o che utilizzano direttamente cookie tecnici per i quali, ricordiamo nuovamente, non è richiesto alcun adempimento. Il Garante sottolinea che, qualora il medesimo gestore operi mediante una pluralità di siti web che trasmettono cookie di terze parti, non sarà necessario provvedere ad una notificazione per ciascun sito ma sarà sufficiente un unico atto di notifica contenente l'elenco di tutti i siti gestiti: Si ritiene condivisibile la richiesta presentata da alcuni editori titolari in merito alla possibilità di effettuare una sola notificazione per tutti i diversi siti web che gli stessi gestiscono, in linea con le previsioni normative. In tal caso nella notificazione del trattamento andranno indicati tutti i domini nei quali il trattamento effettuato attraverso i cookie si realizza mantenendone aggiornato attraverso eventuali modifiche della notificazione il relativo elenco. Sanzioni ll mancato e/o non corretto adeguamento alle disposizioni sancite dalla nuova normativa sui cookie può avere delle conseguenze davvero pesantissime. Il provvedimento dell'8 maggio 2014, infatti, prevede sanzioni amministrative salatissime da un minimo di fino ad un massimo di Euro per chi non è in regola. Ancora peggiori le conseguenze dell'installazione di cookie di profilazione senza il consenso dell'interessato: in questo caso, infatti, la sanzione va da un minimo di ad un massimo di Euro. La mancata notificazione al Garante, infine, prevede una sanzione da a Euro. Materiali utili Provvedimento n. 229 dell'8 maggio 2014 de Garante Privacy Clicca qui Chiarimenti in merito all'attuazione della normativa in materia di cookie Clicca qui FAQ del Garante in merito all informativa e consenso per l uso dei cookie Clicca qui Il presente documento non potrà essere inteso quale parere legale in merito all adozione della normativa relativa ai cookie, o in qualche modo sostitutivo delle linee guida impartite dal Garante, che suggeriamo di verificare puntualmente