Cookie privacy e banner conformi al GDPR e alla Cookie Law
Il tuo sito è conforme alle nuove linee guida del Garante Privacy in vigore dal 10 gennaio 2022?
GDPR, Cookie Law, ePrivacy, provvedimenti del Garante privacy… cosa sono i cookie e cosa dice il complesso apparato normativo che ne regolamenta l’utilizzo?
Ecco una breve panoramica per saperne di più.
Cookies web: cosa prevede la normativa e come adeguarsi?
Districarsi fra le differenti leggi, regolamenti, direttive e prescrizioni che regolano il trattamento dei dati personali, fra i quali rientrano anche alcune informazioni raccolte dai cookies mentre navighiamo sul web è oggettivamente complesso.
In aggiunta, il Garante Privacy italiano ha rilasciato delle nuove linee guida per l’uso dei cookies che si applicano dallo scorso 10 gennaio 2022.
Ecco in breve cosa devi fare perché il tuo sito sia conforme a GDPR, Cookie Law e alle altre normative in vigore:
- mostra un cookie banner alla prima visita dell’utente (puoi evitarlo solo se i cookie che installi sono “strettamente necessari”)
- nel cookie banner includi un link alla cookie policy specifica del tuo sito
- includi nel cookie banner i pulsanti per accettare o rifiutare i cookies non tecnici
- predisponi una cookie policy che descriva nel dettaglio il trattamento dati effettuato
- blocca l’installazione dei cookies non strettamente necessari prima di aver ottenuto il consenso dell’utente
- permetti di selezionare a quali categorie di cookies (marketing, profilazione, ecc.) acconsentire
- memorizza una prova del consenso secondo le prescrizioni del GDPR
Come vedi si tratta di una serie di attività che, per essere conformi, richiedono un approccio multidisciplinare. Ecco perché abbiamo scelto la partnership con Iubenda e Cookiebot, due dei principali player mondiali nell’e-privacy, con uno specifico team legale e soluzioni tecniche per l’adeguamento al complesso panorama normativo.
Microteam è Gold Partner iubenda e Agency partner Cookiebot
Con il nostro supporto tecnico nella configurazione e installazione delle loro soluzioni possiamo adeguare il trattamento dati effettuato sul tuo sito web o ecommerce velocemente e nel pieno rispetto delle prescrizioni di legge.
Cookies web: non sono tutti uguali!
I cookie sono frammenti di testo che memorizzano informazioni nel computer dell’utente.
Si differenziano in base:
- alle finalità del cookie;
- al soggetto che fornisce il cookie.
Riguardo alle finalità, i cookie vengono raggruppati per “categorie”.
Quella che segue è la suddivisione più comune.
Cookie strettamente necessari
- I cookie necessari sono essenziali per il corretto funzionamento del sito web. Questi cookie assicurano le funzionalità di base e le caratteristiche di sicurezza del sito web. Senza questi cookie il sito web non è in grado di funzionare correttamente ed operano in modo anonimo, pertanto non richiedono il consenso.
Cookie funzionali o preferenza
- I cookie funzionali aiutano a svolgere alcune funzionalità come l’accesso a determinate risorse del sito, la condivisione del contenuto del sito web su piattaforme di social media, la raccolta di feedback e altre caratteristiche di terze parti.
Cookie di performance (o user experience)
- I cookie di performance sono utilizzati per capire e analizzare le performance chiave del sito web allo scopo di fornire una migliore esperienza utente per i visitatori e consentendo l’interazione con piattaforme esterne.
Cookie per statistica (detti anche di misurazione o analitici)
- I cookie analitici sono utilizzati dal proprietario del sito per capire come i visitatori interagiscono con il sito web. Permettono di raccogliere informazioni sulle metriche del numero di visitatori, la frequenza di rimbalzo, la fonte del traffico, ecc.
Cookie di marketing (detti anche cookie di targeting o pubblicità)
- I cookie pubblicitari sono utilizzati per fornire ai visitatori contenuti commerciali e campagne di marketing. Questi cookie tracciano il comportamento dei visitatori attraverso i siti web e raccolgono informazioni per fornire annunci personalizzati.
Cookie non classificati
- Altri cookie non categorizzati sono quelli che vengono analizzati ma non sono ancora stati classificati in una specifica categoria.
Riguardo al soggetto che installa i cookies, questi si dividono in cookie di prima o di terza parte.
Cookie di prima parte
- Il soggetto che rilascia (installa) il cookie è il web server del gestore/titolare del sito web, questi vengono definiti cookie di prima parte.
Esempi di cookie di prima parte sono i cookie che permettono il funzionamento del sito oppure che ricordano le preferenze dell’utente.
Tecnicamente, il cookie viene creato nel suo dominio, non in quello di siti terzi. Viene utilizzato generalmente per personalizzare l’esperienza di navigazione, ad esempio riconoscendo un utente che è già stato su quel sito (anche, ad esempio, “loggandolo” automaticamente col suo username e password) e impostando le sue preferenze. I cookie di prima parte sono leggibili solo sul dominio su cui sono stati creati, e non all’esterno. Questo rende inefficaci le informazioni contenute in essi, ad esempio, per l’erogazione di pubblicità personalizzata su altri siti.
Cookie di terza parte
- Se invece il cookie è rilasciato da soggetti terzi allora siamo in presenza di cookie di terza parte.
Cookie di terza parte sono, ad esempio, quelli rilasciati da società come Facebook o Google.
Questi cookie sono creati da domini diversi da quelli del sito che l’utente sta visitando. Di solito vengono utilizzati per il tracciamento degli utenti con lo scopo di mostrare loro annunci pubblicitari personalizzati. I cookie di terza parte sono leggibili sia sul dominio su cui sono stati creati sia su qualsiasi altro sito capace di leggere il codice che lo contraddistingue.
Esistono anche i cookie di seconda parte?
- Possiamo considerare cookie di seconda parte quei cookie che vengono creati dal web server del titolare del sito (quindi come cookie di prima parte) e poi trasferiti a un’altra società, attraverso una data partnership o l’utilizzo di un servizio esterno al web server.
Di tale trasferimento deve essere data indicazione all’interno della cookie policy (vanno quindi individuati il responsabile esterno del trattamento e il luogo dove questo trattamento avviene).
E se il mio sito web non usa i cookie?
Quasi tutti i siti web usano cookies per il loro funzionamento. Anche se non esegui un tracciamento delle visite, probabilmente il tuo sito usa un servizio esterno per le font, un pulsante per i social network o incorpora un video di Youtube.
Ognuno di questi servizi installa un proprio cookie ed è veramente difficile che un sito web o ecommerce non faccia uso di uno degli innumerevoli servizi esterni oggi disponibili.
Gli stessi cookie tecnici, ovvero quelli strettamente necessari al funzionamento del sito, pur essendo permessi senza esplicito consenso, devono essere dichiarati nella cookie policy.
Vuoi saper quanto possiamo rendere facile e veloce l’intervento di adeguamento?
Inserisci il nome del tuo sito nel form per avere una valutazione precisa e senza impegno.
Oppure chiama 035.373475 se vuoi parlare con un nostro consulente.
Cosa dice il Provvedimento del 10/6/2021 del Garante Privacy?
Il provvedimento 231 del Garante per la Protezione dei Dati Personali, che ha piena applicabilità dal 10/1/2022 è intitolato “Linee guida cookie e altri strumenti di tracciamento”. Il testo completo lo trovi QUI e, nella sostanza, conferma alcuni requisiti già in essere oltre a introdurne di nuovi.
Cookie banner
Quando mostrare il cookie banner
- Se il sito web usa cookie NON tecnici (di profilazione, marketing, ecc.) è necessario mostrare un cookie banner al primo accesso così da acquisire un valido consenso all’installazione di tali cookie.
- I cookie NON tecnici devono essere bloccati fino a consenso acquisito.
Contenuto del Cookie banner
- Deve mostrare un’informativa breve sull’uso dei cookie e sulle relative finalità
- Deve essere presente un link alla cookie policy con i dettagli di approfondimento
- Deve fornire l’accesso a un pannello di preferenze che consenta all’utente di selezionare se e quali cookie accettare (quantomeno per categorie)
- Deve contenere un comando per accettare tutti i cookie e uno per chiudere il banner senza prestare il consenso.
Cookie policy
Accessibilità alla Cookie policy e al Pannello preferenze cookie
- Da ogni pagina del sito deve essere possibile accedere alla cookie policy e al pannello di preferenze dove eventualmente poter rettificare il consenso prestato.
Contenuto della Cookie policy
La Cookie policy deve spiegare all’utente nel dettaglio:
- quali sono le tipologie di cookie installate dal sito web o ecommerce
- chi sono i soggetti terzi che gestiscono cookie tramite il sito web o ecommerce (cookie terze parti)
- quali sono le finalità di utilizzo dei cookie.
La Cookie policy deve essere predisposta in tutte le lingue in cui il tuo sito web è disponibile.
Consenso granulare
- Il provvedimento 231 GPDP prevede esplicitamente che all’utente sia offerta la possibilità di una scelta granulare di quali cookies accettare o rifiutare.
- Il pannello di preferenze cookie deve essere accessibile dal cookie banner e da ogni pagina del sito.
Trattandosi di una delle principali novità introdotte dalle nuove linee guida del Garante per la Protezione Dati Personali con il provvedimento 231, dal 10/1/2022 è necessario adeguare il cookie banner del proprio sito web o ecommerce, prestando particolare rilevanza a questa prescrizione e ai suoi risvolti tecnici.
Prova del consenso
Il titolare del sito web deve poter dimostrare di aver ottenuto un consenso valido. E’ pertanto necessario:
- Raccogliere una prova del consenso
- Tenerne traccia in un apposito Registro dei consensi
Contenuto del Registro dei consensi
Il Registro dei consensi cookie deve includere i seguenti dettagli:
- chi ha fornito il consenso;
- quando e come è stato acquisito il consenso del singolo utente;
- il modulo di raccolta del consenso presentato all’utente in fase di raccolta dello stesso;
- un riferimento ai documenti legali e alle condizioni in essere nel momento in cui il consenso è stato acquisito.
Cosa può rendere inefficace il cookie banner e quindi non conforme il trattamento cookies?
L’utilizzo dei cookies in conformità ai regolamenti può essere ottenuto solo portando a termine correttamente le seguenti fasi:
- Analisi dei cookies effettivamente utilizzati dal sito, categorizzazione (tecnici, analytics, profilazione) e verifica delle basi legali al trattamento;
- Assegnazione della corretta categoria ai cookies che non sono stati correttamente individuati nella fase precedente;
- Configurazione del cookie banner e degli script di blocco preventivo all’uso dei cookies;
- Installazione degli script in modo che siano effettivamente eseguiti prima dell’avvio di qualsiasi altro componente che installa cookies;
- Test della configurazione nelle diverse modalità di attivazione prevista dal cookie banner e eventuale configurazione fine.
Una lacuna normativa/tecnica oppure un’errata configurazione può rendere vano tutto il processo, rendendo di fatto inefficace l’installazione degli scripts e del cookie banner. Questa è la situazione in cui si trovano molti siti web che, pur presentando un banner formalmente corretto, di fatto non eseguono il blocco preventivo di uno o più cookies, prestazionali, di marketing, o comunque soggetti a consenso preventivo.
Cosa deve contenere l’informativa cookies estesa?
Come specificamente indicato dal Garante per la Protezione dei Dati personali, l’informativa estesa relativa ai cookie deve:
- contenere tutti gli elementi previsti dalla legge, descrivere analiticamente le caratteristiche e le finalità dei cookie installati dal sito, elencare gli eventuali altri soggetti destinatari dei dati personali, i tempi di conservazione delle informazioni e le indicazioni sulla possibilità e sulle modalità per gli utenti di esercitare i propri diritti in materia di protezione dei dati personali.
- Deve contenere i criteri di codifica dei cookie o degli altri strumenti di tracciamento utilizzati in modo da distinguere, in particolare, i cookie tecnici da quelli analytics e da quelli di profilazione.
Una considerazione importante riguarda l’inserimento nella cookie policy di tipologie di cookies non effettivamente utilizzati; dichiarare “per comodità” tutti i principali cookies e i relativi destinatari (spesso i big player esteri):
- è una informazione falsa;
- è fuorviante per l’utente;
- è indicativo di un’attività di adeguamento condotta in maniera superficiale;
- non rispetta il principio di fornire agli utenti comunicazioni il più possibile chiare e semplificate.
Un’informativa privacy corretta deve nascere da un’attività di analisi e verifica puntuali e specifiche per il sito in oggetto.
Se un utente rifiuta i cookies, posso continuare a mostrare il cookie banner ai successivi accessi?
La risposta in questo caso è NO. Se l’utente ha già espresso la propria scelta, rifiutando alcuni o tutti i cookies, questa volontà deve ritenersi efficace anche nelle visite successive.
Come precisato dal Garante privacy italiano, il banner dovrà essere riproposto nei seguenti casi:
- Quando cambiano significativamente una o più condizioni del trattamento, ad esempio le “terze parti”;
- Quando è impossibile sapere se un cookie tecnico è già stato posizionato nel dispositivo dell’utente (ad esempio nel caso in cui sia l’utente stesso a cancellare i cookie);
- Se sono trascorsi almeno sei mesi dalla precedente presentazione del banner.
Per adempiere a queste prescrizioni è indispensabile una corretta configurazione degli script che gestiscono i cookie.
Cos’è l’informativa cookies semplificata?
Come ribadito dal Garante per la Protezione dei Dati personali, nelle Linee guida 10/6/2021, l’informativa relativa ai cookie dovrebbe essere impostata su più livelli e suggerisce l’adozione di un meccanismo per il quale, nel momento in cui l’utente accede a un sito web, compaia immediatamente un banner contenente una prima informativa “breve”, la richiesta di consenso all’uso dei cookie e un link per accedere ad un’informativa più “estesa”.
Già nell’informativa breve è necessario specificare, se questo è il caso, che il sito utilizza cookie di profilazione, eventualmente anche di “terze parti”, che consentono di inviare messaggi pubblicitari in linea con le preferenze dell’utente
