Gruppo di Lavoro Garanti Privacy: linee guida per i cookies

Il Gruppo di lavoro costituito a norma dell’articolo 29 della Direttiva 95/46/CE (composto dai Garanti di ciascuno stato membro e dal Garante Europeo per la protezione dei dati personali, nonché da un rappresentante della Commissione) si è più volte pronunciato sul tema dei cookie o simili tecnologie di tracciamento dei comportamenti degli utenti sul web, in particolar modo in ordine (i) alla necessità del consenso degli utenti (sistema di opt-in), (ii) alla possibilità di utilizzare differenti mezzi per la sua raccolta, nonché (iii) ai requisiti necessari ai fini della sua validità.

Il 2 ottobre, con il Working Document WP 208 02/2013, il Gruppo di lavoro è tornato sull’argomento introducendo nuove indicazioni che dovranno essere tenute in considerazione da tutti i titolari del trattamento di dati personali e, in particolare, da chi esercita attività di storing information e da chi accede alle informazioni già conservate sul computer dell’utente.

(A) In merito al requisito della specific information – il consenso deve essere prestato per uno specifico trattamento e basato su appropriate informazioni – il Gruppo afferma che il meccanismo utilizzato per la raccolta del consenso deve consistere in un avviso presentato sulla homepage del sito nel momento in cui l’utente inizia la navigazione. Tale avviso deve indicare in modo chiaro e completo l’uso dei cookies, illustrare i differenti tipi utilizzati, gli scopi degli stessi, il periodo di conservazione dei dati (ad esempio la data di cancellazione dei cookies), nonché l’eventuale caricamento di cookies di terze parti ovvero la possibilità di queste ultime di accedere ai dati raccolti tramite questi.

(B) Per quanto attiene il requisito del timing – il consenso deve essere preventivo, prima dell’inizio del trattamento dei dati, pertanto prima che i cookies siano stati inviati o l’informativa sia stata prestata – il sito deve garantire un momento nel quale nessun tipo di cookies sia installato sul computer dell’utente, prima che lo stesso abbia avuto modo di esprimere la propria preferenza.

(C) In relazione al requisito dell’active behaviour – il consenso non deve essere ambiguo e deve essere prestato mediante un comportamento attivo – il Gruppo dei Garanti aveva in passato rilevato che è necessario fornire all’utente una informativa chiara e completa sul modo in cui è possibile esprimere un valido consenso (ad esempio, mediante differenti tools quali pop up, splash screen, nonché mediante la configurazione del browser o altre applicazioni).

Come indicato nel Working Document il consenso può essere considerato valido qualora l’utente abbia ricevuto idonee informazioni, presentate in modo chiaro e facilmente riconoscibili come informativa specifica sui cookies, senza che via sia la possibilità di confusione con messaggi pubblicitari. Inoltre, dette informazioni, non dovranno “scomparire” dal sito fino a che l’utente non abbia prestato il proprio consenso. Secondo i Garanti è difficile ritenere sussistente il valido consenso qualora l’utente, entrato nella homepage dove è presentata l’informativa, non ponga in essere alcuna attività se non quella di permanere sulla pagina d’accesso.

(D) In merito all’ultimo requisito di validità del consenso, ossia al real choice – freely given consent (il consenso deve essere prestato liberamente) il Gruppo di Lavoro rimarca più volte che il meccanismo per la sua espressione deve permettere all’utente di poter scegliere se accettare tutti i cookies o solo una parte, ovvero declinare il consenso per tutti o alcuni. Pertanto, l’utente deve avere la possibilità (i) di modulare il consenso in ordine alla totalità o a parte dei meccanismi di tracciabilità, nonché (ii) di modificare, in futuro, l’opzione.

I Garanti, inoltre, sottolineano che l’utilizzo di cookies e delle informazioni – ottenute tramite gli stessi e allocate sul computer dell’utente – comporta un trattamento di dati personali. Di conseguenza, sia i soggetti che provvedono alla installazione dei cookies, sia coloro che accedono a dette informazioni, devono conformarsi alla disciplina sulla protezione dei dati personali e, pertanto, i dati trattati dovranno essere adeguati, pertinenti e non eccedenti rispetto allo scopo per il quali sono raccolti.

Avuto riguardo all’importanza della finalità del trattamento, i Garanti chiariscono quindi che qualora i cookies non siano necessari allo scopo del servizio offerto dal sito web, ma solo aggiungano dei benefici in capo al titolare del medesimo, all’utente deve essere data la possibilità di scegliere se prestare o meno il consenso, modulando la scelta in relazione ai differenti tipi di cookies utilizzati. L’utente potrà per esempio accettare quelli funzionali al servizio offerto – quindi pertinenti e proporzionati alle finalità del trattamento – rifiutando, al contrario, quelli aventi scopi diversi, senza che ciò possa inficiare la fruizione dei contenuti del sito web.

Infatti, il Gruppo di Lavoro sottolinea che l’accesso allo specifico contenuto possa essere condizionato solo in presenza di un consenso informato e di un legittimo scopo per l’uso di cookies, mentre il general access al sito non può essere subordinato all’accettazione preventiva di tutti i cookies.

(Gruppo di lavoro ex articolo 29, 2 ottobre 2013, Working Document WP 208 02/2013)

 

Il Gruppo di lavoro costituito a norma dell’articolo 29 della Direttiva 95/46/CE (composto dai Garanti di ciascuno stato membro e dal Garante Europeo per la protezione dei dati personali, nonché da un rappresentante della Commissione) si è più volte pronunciato sul tema dei cookie o simili tecnologie di tracciamento dei comportamenti degli utenti sul web, in particolar modo in ordine (i) alla necessità del consenso degli utenti (sistema di opt-in), (ii) alla possibilità di utilizzare differenti mezzi per la sua raccolta, nonché (iii) ai requisiti necessari ai fini della sua validità.

Il 2 ottobre, con il Working Document WP 208 02/2013, il Gruppo di lavoro è tornato sull’argomento introducendo nuove indicazioni che dovranno essere tenute in considerazione da tutti i titolari del trattamento di dati personali e, in particolare, da chi esercita attività di storing information e da chi accede alle informazioni già conservate sul computer dell’utente.

(A) In merito al requisito della specific information – il consenso deve essere prestato per uno specifico trattamento e basato su appropriate informazioni – il Gruppo afferma che il meccanismo utilizzato per la raccolta del consenso deve consistere in un avviso presentato sulla homepage del sito nel momento in cui l’utente inizia la navigazione. Tale avviso deve indicare in modo chiaro e completo l’uso dei cookies, illustrare i differenti tipi utilizzati, gli scopi degli stessi, il periodo di conservazione dei dati (ad esempio la data di cancellazione dei cookies), nonché l’eventuale caricamento di cookies di terze parti ovvero la possibilità di queste ultime di accedere ai dati raccolti tramite questi.

(B) Per quanto attiene il requisito del timing – il consenso deve essere preventivo, prima dell’inizio del trattamento dei dati, pertanto prima che i cookies siano stati inviati o l’informativa sia stata prestata – il sito deve garantire un momento nel quale nessun tipo di cookies sia installato sul computer dell’utente, prima che lo stesso abbia avuto modo di esprimere la propria preferenza.

(C) In relazione al requisito dell’active behaviour – il consenso non deve essere ambiguo e deve essere prestato mediante un comportamento attivo – il Gruppo dei Garanti aveva in passato rilevato che è necessario fornire all’utente una informativa chiara e completa sul modo in cui è possibile esprimere un valido consenso (ad esempio, mediante differenti tools quali pop up, splash screen, nonché mediante la configurazione del browser o altre applicazioni).

Come indicato nel Working Document il consenso può essere considerato valido qualora l’utente abbia ricevuto idonee informazioni, presentate in modo chiaro e facilmente riconoscibili come informativa specifica sui cookies, senza che via sia la possibilità di confusione con messaggi pubblicitari. Inoltre, dette informazioni, non dovranno “scomparire” dal sito fino a che l’utente non abbia prestato il proprio consenso. Secondo i Garanti è difficile ritenere sussistente il valido consenso qualora l’utente, entrato nella homepage dove è presentata l’informativa, non ponga in essere alcuna attività se non quella di permanere sulla pagina d’accesso.

(D) In merito all’ultimo requisito di validità del consenso, ossia al real choice – freely given consent (il consenso deve essere prestato liberamente) il Gruppo di Lavoro rimarca più volte che il meccanismo per la sua espressione deve permettere all’utente di poter scegliere se accettare tutti i cookies o solo una parte, ovvero declinare il consenso per tutti o alcuni. Pertanto, l’utente deve avere la possibilità (i) di modulare il consenso in ordine alla totalità o a parte dei meccanismi di tracciabilità, nonché (ii) di modificare, in futuro, l’opzione.

I Garanti, inoltre, sottolineano che l’utilizzo di cookies e delle informazioni – ottenute tramite gli stessi e allocate sul computer dell’utente – comporta un trattamento di dati personali. Di conseguenza, sia i soggetti che provvedono alla installazione dei cookies, sia coloro che accedono a dette informazioni, devono conformarsi alla disciplina sulla protezione dei dati personali e, pertanto, i dati trattati dovranno essere adeguati, pertinenti e non eccedenti rispetto allo scopo per il quali sono raccolti.

Avuto riguardo all’importanza della finalità del trattamento, i Garanti chiariscono quindi che qualora i cookies non siano necessari allo scopo del servizio offerto dal sito web, ma solo aggiungano dei benefici in capo al titolare del medesimo, all’utente deve essere data la possibilità di scegliere se prestare o meno il consenso, modulando la scelta in relazione ai differenti tipi di cookies utilizzati. L’utente potrà per esempio accettare quelli funzionali al servizio offerto – quindi pertinenti e proporzionati alle finalità del trattamento – rifiutando, al contrario, quelli aventi scopi diversi, senza che ciò possa inficiare la fruizione dei contenuti del sito web.

Infatti, il Gruppo di Lavoro sottolinea che l’accesso allo specifico contenuto possa essere condizionato solo in presenza di un consenso informato e di un legittimo scopo per l’uso di cookies, mentre il general access al sito non può essere subordinato all’accettazione preventiva di tutti i cookies.

(Gruppo di lavoro ex articolo 29, 2 ottobre 2013, Working Document WP 208 02/2013)