Con provvedimento del 10 giugno 2021, pubblicato sulla Gazzetta Ufficiale n. 163 del 9 luglio 2021, il Garante per la protezione dei dati personali ha approvato nuove linee guida su cookie e altri sistemi di tracciamento, con l’obiettivo di rafforzare il potere di decisione degli utenti riguardo all’uso dei loro dati personali quando navigano on line.
In accordo alle nuove linee guida, che sostituiscono la precedente versione del 2014, il meccanismo di acquisizione del consenso on line dovrà innanzitutto garantire che, per impostazione predefinita, al momento del primo accesso ad un sito web, nessun cookie o altro strumento diverso da quelli tecnici venga posizionato all’interno del dispositivo dell’utente, né venga utilizzata altra tecnica di tracciamento (cookie di terze parti, fingerprinting, ecc.).
I principali contenuti delle linee guida riguardano l’informativa e il consenso.
In merito all’informativa agli utenti, nel rispetto del regolamento (UE) 2016/679, essa deve indicare anche gli eventuali altri soggetti destinatari dei dati personali e i tempi di conservazione delle informazioni. Resta confermato l’obbligo della sola informativa per i cookie tecnici, anche inserita nell’informativa generale. Il Garante ha raccomandato inoltre che i cookie analytics, usati per valutare l’efficacia di un servizio, siano utilizzati solo a scopi statistici.
Venendo al consenso, per i cookie di profilazione rimane la necessità del consenso da richiedere attraverso un banner ben distinguibile sulla pagina web, attraverso il quale dovrà anche essere offerta agli utenti la possibilità di proseguire la navigazione senza essere in alcun modo tracciati, ad esempio chiudendo il banner cliccando sulla caratteristica X da inserire in alto a destra.
Per quanto concerne lo scrolling, il Garante ha precisato che il semplice spostamento in basso del cursore (scroll down) non rappresenta una idonea manifestazione del consenso. I titolari dei siti (publisher) dovranno eventualmente inserire lo scrolling in un processo più articolato nel quale l’utente sia in grado di generare un evento, registrabile e documentabile presso il server del sito, che possa essere qualificato come azione positiva idonea a manifestare in maniera inequivoca la volontà di prestare un consenso al trattamento.
Riguardo al cookie wall, sistema che vincola gli utenti all’espressione del consenso, il Garante ha chiarito che questo meccanismo è da ritenersi illegittimo, salva l’ipotesi, da verificare caso per caso, nella quale il titolare del sito consenta comunque agli utenti l’accesso a contenuti o servizi equivalenti senza richiesta di consenso all’uso dei cookie o di altri tracciatori.
L’Autorità sottolinea inoltre che la ripresentazione del banner ad ogni nuovo accesso per la richiesta di consenso agli utenti che in precedenza l’abbiano negato non trova ragione negli obblighi di legge e risulta una misura ridondante e invasiva. La scelta dell’utente, dunque, dovrà essere debitamente registrata e non più sollecitata, a meno delle specifiche fattispecie puntualmente definite nelle linee guida.
I titolari dei siti hanno sei mesi di tempo, fino al 9 gennaio 2022, per conformarsi ai principi contenuti nelle linee guida; sul sito del Garante sono pubblicate Faq utili per il corretto inquadramento dei contenuti delle linee guida.