Sui cookies prova il Garante Privacy spagnolo a fare chiarezza

L’Agencia Espanola de Proteccion de Datos con resolucion R/00499/2019 del 10 ottobre 2019 sanziona la compagnia aerea Vueling Airlines  S.L. per non aver ottenuto dagli utenti del proprio sito un consenso realmente informato sull’uso dei cookie e non aver fornito la possibilità di rifiutarli ed accettarli introducendo soluzioni innovative per il cookie setting dei siti internet.

L’attesa pubblicazione del nuovo Regolamento europeo e-Privacy sul rispetto per la vita privata, la riservatezza delle comunicazioni elettroniche e la protezione dei dati personali nel settore delle comunicazioni elettroniche che ci esporrà risposte più chiare ed organiche sull’utilizzo dei cookie e sulla dibattuta questione del consenso non ha immobilizzato molti gestori di siti internet che si sono adoperati per offrire maggiore trasparenza e libertà ai propri utenti in tema di cookie e che sembrano aver già recepito in pieno la recente decisione del Garante della privacy spagnolo in linea ai principi enunciati dal Regolamento UE 2016/679 (“GDPR”).

Nel caso sottoposto dinanzi all’Autorità spagnola il ricorrente lamentava l’ambiguità dell’impostazione del banner informativo sui cookie predisposto dalla compagnia Vueling sulla home del proprio sito per l’impossibilità sia di rifiutare l’utilizzo di cookie sia di selezionare attivamente il proprio consenso, ritenuto accordato con la semplice prosecuzione della navigazione sul sito.

Da un lato, dunque, l’utente poteva soltanto accettare congiuntamente ed indistintamente l’utilizzo di cookie tecnici, di analisi e di profilazione, selezionando l’unico “bottone” presente sul banner o semplicemente continuando la navigazione sul sito, aspetto quest’ultimo che, pochi giorni prima, aveva ricevuto l’attenzione della Corte di Giustizia Europea la quale, con sentenza del 1° ottobre 2019 nella causa Planet49 (C-673/17), aveva valutato necessario il consenso attivo degli utenti di internet per l’installazione dei cookie e inadeguata la prassi di considerare la continuazione della navigazione sul sito equivalente alla prestazione attiva del consenso o di ritenere validamente espresso il consenso mediante la mancata deselezione di una casella di spunta preselezionata.

Dall’altro lato, nulla di concreto veniva messo a punto dalla compagnia aerea affinché l’utente potesse impedire e gestire l’utilizzo dei cookie se non il rinvio all’Informativa estesa che si limitava a descrivere, seppur in maniera dettagliata, la tipologia di cookie utilizzati e le istruzioni per la possibile disabilitazione di questi attraverso la configurazione del proprio browser.

Il Garante della privacy spagnolo ha effettivamente accertato che la modalità di acquisizione del consenso da parte della Vueling Airlines non fosse conforme a quanto prescritto dall’articolo 22.2 della LSSI, la Legge spagnola sui servizi della società dell’informazione e del commercio elettronico, e che il trasferimento dei dati a terzi, tramite i cookie, avveniva attraverso il consenso implicito dell’utente e che in nessun momento si offriva la possibilità concreta di opporsi all’installazione di questi cookie o di altri cookie non strettamente necessari al funzionamento del sito (come quelli finalizzati alla profilazione dell’utente) sul proprio dispositivo.

La compagnia Vueling, rinviando unicamente alle impostazioni del browser dell’utente per la gestione delle preferenze sui cookie, non ha adottato una soluzione adeguata alla legge spagnola ed ai principi enunciati dal GDPR ad avviso dell’Autorità spagnola che ha considerato l’opzione di rinvio alle impostazioni browser per negare il consenso insufficiente e solo eventualmente complementare all’implementazione di un pannello di configurazione dei cookie che consenta all’utente di esprimere realmente le proprie preferenze e selezionarli granularmente.

In conclusione, secondo il Garante della privacy spagnolo, un utilizzo conforme dei cookie dovrebbe rendere pienamente consapevole l’utente del significato che assume l’azione di spuntare la casella sul consenso ai cookie e facilitare l’utente stesso nella gestione delle proprie preferenze sui diversi tipi di cookie.

Il gestore di un sito, di conseguenza, dovrebbe integrare la propria informativa sui cookie con un pannello di controllo che consenta non solo di rifiutare o accettare tutti i cookie ma anche di abilitarli in maniera granulare, permettendo così all’utente di differenziare le proprie singole scelte in base alla specifica tipologia di cookie utilizzata nel sito.