Siti web: cookie, informativa, obblighi per chi ha un sito

La regola di base: art. 122

La norma attua l'art. 5 par. 3 della direttiva 2002/58 (e-privacy) e non parla di «cookie» ma di informazioni archiviate nel dispositivo dell'utente: copre i cookie, i local storage, i pixel, il fingerprinting, gli SDK delle app. La regola è il consenso preventivo e informato, con un'unica eccezione, gli strumenti «tecnici» strettamente necessari a trasmettere la comunicazione o a fornire il servizio che l'utente ha chiesto: il cookie di sessione del carrello, quello che ricorda la lingua, quello di sicurezza del login, quello che memorizza la scelta sui cookie. Tutto il resto (statistiche non anonimizzate, pubblicità, social, video incorporati, mappe, chat di terzi che tracciano) richiede il consenso, che deve avere i requisiti del GDPR: libero, specifico, informato, inequivocabile, espresso con un'azione positiva, revocabile con la stessa facilità (artt. 4 n. 11 e 7). Il consenso ai cookie non è però la base giuridica di tutto il sito: i dati raccolti con un modulo di contatto o un ordine si trattano per eseguire il contratto o per il legittimo interesse, e chiedere un consenso inutile è a sua volta un errore.

Le tre categorie

Il banner secondo le linee guida del 2021

Il provvedimento del Garante del 10 giugno 2021, n. 231, pubblicato in Gazzetta il 9 luglio 2021 con sei mesi per adeguarsi, ha fissato come deve essere fatto il banner quando il sito usa strumenti non tecnici. Deve comparire immediatamente, con dimensioni adeguate, e contenere: l'indicazione che il sito usa cookie tecnici e, previo consenso, cookie di profilazione o altri strumenti di tracciamento, con le finalità (informativa breve); il link alla privacy policy completa; l'avvertenza che la chiusura del banner con la X in alto a destra mantiene le impostazioni predefinite, cioè la navigazione senza strumenti non tecnici; il comando X stesso; un comando per accettare tutti i cookie; il link a un'area in cui scegliere analiticamente funzionalità, terze parti e cookie, prestare il consenso o revocarlo anche in un'unica soluzione, raggiungibile anche da un link nel footer di ogni pagina; ed è buona prassi un'icona nel footer che mostri lo stato dei consensi. Nessuno strumento non tecnico può essere attivato prima del clic: il banner che «informa» mentre gli script sono già partiti è la violazione più diffusa. Lo scrolling non vale come consenso, salvo che sia inserito in un processo che generi un evento registrabile e inequivoco, ipotesi teorica; il cookie wall, cioè negare l'accesso a chi non accetta, è illecito, salvo che il sito offra un accesso equivalente senza consenso (per esempio un abbonamento a pagamento senza tracciamento, da valutare caso per caso). Chi ha rifiutato non deve vedersi riproporre il banner prima di sei mesi, a meno che cambino significativamente le condizioni o il sito non possa sapere se il cookie è già memorizzato. I consensi vanno registrati in modo documentabile: data, versione del banner, scelte. Le piattaforme di gestione del consenso (CMP) fanno questo lavoro, ma vanno configurate: molte installazioni predefinite hanno il pulsante «rifiuta» nascosto o attivano Google Tag Manager prima della scelta.

L'informativa e la cookie policy

Ogni sito che raccoglie dati personali, e lo fanno tutti attraverso i log del server, i moduli, i cookie, deve rendere l'informativa dell'art. 13 GDPR prima della raccolta: identità e contatti del titolare, del rappresentante e del DPO se nominato; finalità e base giuridica di ciascun trattamento; legittimo interesse se invocato; destinatari o categorie di destinatari; eventuali trasferimenti fuori dall'Unione e le garanzie; tempi di conservazione o criteri; diritti dell'interessato e diritto di reclamo al Garante; se il conferimento è obbligatorio e le conseguenze del rifiuto; esistenza di decisioni automatizzate. Va scritta in linguaggio semplice, accessibile anche con tecnologie assistive, può essere a strati (breve nel banner e nei moduli, completa nella pagina) e multicanale. La cookie policy, parte dell'informativa o pagina separata, elenca i cookie e gli altri identificatori con nome, finalità, durata, prima o terza parte, e i link alle policy delle terze parti; il generatore automatico va bene solo se qualcuno lo verifica contro i cookie realmente installati, che si vedono negli strumenti per sviluppatori del browser. Per i moduli di contatto la base è il contratto o il legittimo interesse, e la casella «acconsento» non serve; serve invece, separata e non preselezionata, per la newsletter e per ogni comunicazione promozionale (art. 130 c. 2 Codice privacy), con la possibilità di disiscriversi da ogni messaggio. Il sito che usa captcha, chat, mappe o font caricati da server esterni comunica dati (almeno l'IP) a quei fornitori: vanno nominati come responsabili con un contratto ex art. 28 GDPR o indicati come titolari autonomi nell'informativa.

I dati dell'impresa e del professionista

Indipendentemente dalla privacy, chi offre servizi online deve rendere «facilmente accessibili, in modo diretto e permanente» le informazioni dell'art. 7 D.Lgs. 70/2003: nome o ragione sociale, domicilio o sede, contatti rapidi compresa l'email, numero REA o di registro delle imprese, estremi dell'autorità di vigilanza per le attività autorizzate, per le professioni regolamentate l'ordine e il numero di iscrizione, il titolo e le norme deontologiche, la partita IVA, i prezzi con indicazione di imposte e costi aggiuntivi. Le società aggiungono le indicazioni dell'art. 2250 c.c. (sede, registro delle imprese, capitale, eventuale stato di liquidazione o socio unico), estese dal 2009 ai siti web, e l'art. 35 c. 1 DPR 633/1972 impone di indicare la partita IVA nella home page. La violazione dell'art. 7 è punita con sanzione amministrativa da 103 a 10.000 euro (art. 21 D.Lgs. 70/2003). I professionisti hanno in più le regole deontologiche: per gli avvocati il sito va comunicato all'Ordine e non può contenere pubblicità di terzi (art. 35 codice deontologico); per i medici gli artt. 55-56 del loro codice.

Fornitori esteri e trasferimenti

Quasi ogni sito usa servizi di società statunitensi: hosting, CDN, analytics, font, mappe, email. Il Garante, con il provvedimento del 9 giugno 2022, ha dichiarato illecito il trasferimento dei dati effettuato da Google Analytics (Universal) verso gli Stati Uniti in assenza di garanzie adeguate dopo la sentenza Schrems II; la decisione di adeguatezza della Commissione sul Data Privacy Framework, del 10 luglio 2023, consente oggi i trasferimenti verso i fornitori americani certificati, e la maggior parte dei grandi lo è. Il titolare del sito deve comunque verificare la certificazione del fornitore, indicare il trasferimento nell'informativa, configurare gli strumenti nel modo più minimizzato (IP anonimizzato, no condivisione con altri prodotti, no signals pubblicitari senza consenso) e usare il consent mode, che blocca i tag finché l'utente non sceglie. Per i fornitori europei resta l'obbligo del contratto di responsabile.

Sanzioni e controlli

Le violazioni degli artt. 122 e 130 del Codice privacy sono elencate nell'art. 166 c. 2 e ricadono nella fascia più alta dell'art. 83 par. 5 GDPR: fino a 20 milioni di euro o, per le imprese, al 4% del fatturato mondiale annuo. Il Garante gradua secondo i criteri dell'art. 83 par. 2 (natura, gravità e durata, numero di interessati, dolo o colpa, misure adottate, precedenti, cooperazione): per i siti piccoli le sanzioni sono di poche migliaia di euro, ma accompagnate dall'ingiunzione di adeguarsi e dalla pubblicazione; per i grandi editori e le piattaforme si arriva a milioni. I procedimenti nascono da reclami degli utenti, da segnalazioni, da ispezioni con la Guardia di finanza e da campagne del Garante e delle autorità europee sui banner ingannevoli (dark pattern). Un sito con il banner fuori regola è, oltre che sanzionabile, un argomento facile in mano a chiunque voglia creare problemi: concorrenti, ex dipendenti, clienti insoddisfatti. Le regole sui reclami sono nella pagina sul reclamo al Garante, la difesa dell'azienda nella pagina sulle sanzioni GDPR.

Mettersi in regola in una sera

1. Inventario. Aprire il sito in una finestra privata con gli strumenti per sviluppatori: elencare i cookie e le richieste verso domini esterni prima di qualunque clic. Tutto ciò che non è tecnico e parte da solo va bloccato.
2. Classificare ogni strumento: tecnico, analytics minimizzato, profilazione, contenuto di terzi; decidere che cosa tenere.
3. Configurare il banner (CMP o soluzione propria): X che rifiuta, accetta, preferenze, footer, blocco preventivo dei tag, registro dei consensi, riproposizione a 6 mesi.
4. Scrivere l'informativa ex art. 13 e la cookie policy sui cookie reali; aggiungere i dati dell'art. 7 D.Lgs. 70/2003 e dell'art. 2250 c.c. nel footer.
5. Sistemare i moduli: informativa breve sotto ogni form, consenso separato solo per marketing, niente caselle preselezionate.
6. Regolare i fornitori: contratti ex art. 28, verifica del Data Privacy Framework, impostazioni di minimizzazione.
7. Ricontrollare a ogni modifica: un plugin o un pixel aggiunto dal marketing riporta il sito fuori regola in un giorno.

Il sito senza cookie non tecnici, con informativa chiara e dati dell'impresa in ogni pagina, non ha bisogno di alcun banner ed è la scelta più semplice per chi non vende pubblicità: è possibile misurare le visite con statistiche di prima parte aggregate, incorporare video e mappe in modalità senza tracciamento, usare font ospitati in proprio. Chi invece vive di pubblicità e profilazione deve accettare che una parte degli utenti rifiuti e costruire il banner perché quel rifiuto sia facile quanto l'accettazione: è esattamente ciò che il Garante verifica.