Normativa italiana sull'utilizzo dei cookie

[Andrea]

Salve a tutti,
da un po' di giorni sto cercando di documentarmi su queste nuove regole, alle quali i siti già esistenti dovrebbero adeguarsi entro giugno 2015.
Da quanto ho capito finora, quando l' utente accede a qualsiasi pagina, una finestra pop-up con un' informativa breve dovrebbe in pratica sovrapporsi ai contenuti del sito.
In www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3118884 alcuni punti mi rimangono poco chiari, premettendo che non sono esperto di diritto e in informatica me la cavo fino ad un certo punto.
Al paragrafo 4.1, dai punti c) e d) mi sembra di capire che l' utente deve poter negare il consenso per qualsiasi tipologia di cookies, quindi anche quelli tecnici/analytics:

4.1. Il banner contenente informativa breve e richiesta di consenso.

Più precisamente, nel momento in cui si accede alla home page (o ad altra pagina) di un sito web, deve immediatamente comparire in primo piano un banner....
contenente le seguenti indicazioni:
.......
c) il link all'informativa estesa, ove vengono fornite indicazioni sull'uso dei cookie tecnici e analytics, viene data la possibilità di scegliere quali specifici cookie autorizzare;

d) l'indicazione che alla pagina dell'informativa estesa è possibile negare il consenso all'installazione di qualunque cookie;

Al contrario, dal paragrafo 1 lettera a mi sembra di capire che per i cookies tecnici/analytics il consenso non serve:

1. Considerazioni preliminari.
....................
a. Cookie tecnici.

I cookie tecnici sono quelli utilizzati al solo fine di "effettuare la trasmissione di una comunicazione ................
Per l'installazione di tali cookie non è richiesto il preventivo consenso degli utenti, mentre resta fermo l'obbligo di dare l'informativa ai sensi dell'art. 13 del Codice, che il gestore del sito, qualora utilizzi soltanto tali dispositivi, potrà fornire con le modalità che ritiene più idonee.

Alle prime righe del paragrafo 4.2 è scritto:

4.2. L'informativa estesa

L'informativa estesa deve contenere tutti gli elementi previsti dall'art. 13 del Codice, descrivere in maniera specifica e analitica le caratteristiche e le finalità dei cookie installati dal sito e consentire all'utente di selezionare/deselezionare i singoli cookie.

Con Internet Explorer ho provato a selezionare Strumenti-Opzioni Internet-Privacy:
appare un cursore che può essere posizionato su abilita cookie, disabilita cookie , oppure su livelli di protezione intermedi. Ma non vedo come si possa selezionare o deselezionare ogni singola tipologia di cookie. E non vedo come si possa farlo attraverso la pagina dell' informativa estesa. A meno che non si riferisca ai cookie generati dal sito (e non da terze parti).

Alle ultime righe dello stesso paragrafo:

Nel medesimo spazio dell'informativa estesa deve essere richiamata la possibilità per l'utente (alla quale fa riferimento anche l'art. 122, comma 2, del Codice) di manifestare le proprie opzioni in merito all'uso dei cookie da parte del sito anche attraverso le impostazioni del browser, indicando almeno la procedura da eseguire per configurare tali impostazioni.

Sinceramente non capisco che senso abbia descrivere tale procedura, dato che è diversa a seconda del tipo di browser.

Ultimo punto, al paragrafo 5 è scritto che per i cookies di profilazione è previsto l' obbligo di notifica al Garante (un po' come accade con la videosorveglianza?). Quest' obbligo riguarda solo le terze parti che generano cookie o anche i gestori dei piccoli siti attraverso i quali vengono autorizzati?

Ringrazio in anticipo chiunque mi fornisca qualche chiarimento.

[glm2006ITALY]

Procedura abbastanza assurda... io odio i pop-up .... comunque hai fatto bene, discorso sicuramente da approfondire.

Stefanooooo c'è bisogno di te

[Jack]

Maldestro tentativo italiano di recepere l'ormai vecchia normativa europea sullo stesso tema.

Ci sono vari plugin dei principali core (come wordpress, joomla) che hanno plugin abbastanza adeguati per supplire alla questione. La soluzione più semplice è linkare una qualche pagina online che descriva le varie procedure per i vari browser (ce ne sono) e limitarsi ad avverti della possiblità di escludere i cookie, senza troppo stress.

J

[glm2006ITALY]

Ma quindi non basta più la solita paginetta "privacy"?

Cosa bisogna fare?

[andrea]

Da quanto ho capito se si pubblicano banner pubblicitari che utilizzano cookie di profilazione (di solito li utilizzano), non basta più.

1. Considerazioni preliminari.

........
Al fine di giungere a una corretta regolamentazione di tali dispositivi, è necessario distinguerli, posto che non vi sono delle caratteristiche tecniche che li differenziano gli uni dagli altri, proprio sulla base delle finalità perseguite da chi li utilizza. In tale direzione si è mosso, peraltro, lo stesso legislatore, che, in attuazione delle disposizioni contenute nella direttiva 2009/136/CE, ha ricondotto l'obbligo di acquisire il consenso preventivo e informato degli utenti all'installazione di cookie utilizzati per finalità diverse da quelle meramente tecniche.
Al riguardo, e ai fini del presente provvedimento, si individuano pertanto due macro-categorie: cookie "tecnici" e cookie "di profilazione".

Alla seconda/terza riga sembra confermare che non è possibile selezionare ogni singola tipologia di cookies:
a livello di caratteristiche tecniche sono uguali, almeno da quanto è scritto.

Il testo che ho citato qui e nel precedente messaggio viene da https://www.garanteprivacy.it/web/guest/...eb/3118884

[Jack]

Ciò che conta sono le finalità con le quali il cookie è installato.

Se il cookie è usato per ragioni tecniche (cookie di sessione, per accesso ad aree riservate ecc.), per ragioni di statistica (cookie per comprendere le modalità di utilizzo del sito), o per funzionailtà (quelli che per esempio servono per mantenere la lingua in un sito multilingua, basta semplicemente avvertire dell'esistenza, mentre non è necessario il consenso esplicito.

Se invece si usano cookie con un obiettivo di profilazione (e non di mera statistica), ovvero per inviare messaggi pubblicitari in linea con le preferenze e la navigazione, l'utente deve essere informato ed esprimere il proprio espresso consenso (solo dopo aver cliccato su "accetto" il cookie può essere inviato).

Ma quindi non basta più la solita paginetta "privacy"?

In sostanza, basta un bannerino in css (non si parla di popup) disattivabile con un click. Da un po' si stanno lentamente diffondendo anche in italia, con un ritardo di circa 5 anni, come dicevo sopra. Per avere un esempio semplice si può vedere il sito di leroymerlin.

Nel paragrafo 4.1. (Il banner contenente informativa breve e richiesta di consenso) c'è scritto specificamente cosa deve contenere il banner breve di avvertimento.

J

ps: so che Oscon.it non è ancora pienamente a norma, ma c'è tempo (e anche poca voglia). Capisco la necessità di avvertire intromissioni nella privacy, ma credo sarebbe più opportuno insegnarlo nelle scuole o vietarlo, piuttosto che far comparire banner - che mai verranno letti - su tutti i siti del mondo...

[glm2006ITALY]

Come immaginavo..... con un qualsiasi AdBlock non fa visualizzire nulla.....

Ma il discorso dei cookies può valere per i siti che ne utilizzano... altrimenti che cookis utilizza un sito in wordpress????

[andrea]

Quindi, visto che tecnicamente sono in pratica uguali, negando il consenso si bloccano tutti i cookie?

In sostanza, basta un bannerino in css (non si parla di popup)...
Per avere un esempio semplice si può vedere il sito di leroymerlin.

Quindi potrebbe anche andar bene un messaggio di testo in cima alla pagina (magari di colore e sfondo diverso)

oppure deve essere un elemento che rimanga sempre in evidenza anche quando si scorre il cursore? (forse il regolamento si riferisce a questo quando parla di discontinuità al par.4.1).

Sempre dal paragrafo 4.1 lettera e) sembra che l' utente, proseguendo la navigazione, presti automaticamente il consenso, senza quindi bisogno di cliccare "accetto":

e) l'indicazione che la prosecuzione della navigazione mediante accesso ad altra area del sito o selezione di un elemento dello stesso (ad esempio, di un'immagine o di un link) comporta la prestazione del consenso all'uso dei cookie.

Ora, a parte questi dettagli tecnici mi è sorto un altro dubbio, non da poco:
Al paragrafo 5 il documento parla di obbligo di notificazione al Garante, ai sensi dell' art. 37, comma 1, lettera d) del Codice Privacy.
All' articolo indicato è scritto che tale obbligo è a carico del titolare del trattamento, cioè il gestore del sito:
ciò significa che anche il gestore di un piccolo sito, che pubblica annunci AdSense (o altro circuito), deve notificarlo al Garante?
Se è così inizio a rimuovere i codici Ad dal mio sito, anche perché non ci ho mai guadagnato un centesimo, fino ad ora. Il sito infatti è ospitato su hosting gratuito (AV) e la pubblicità è solo un modo per ricambiare, anche se da regolamento non è obbligatorio.

[andrea]

Da quanto scritto nel paragrafo 2, sembra che per i cookie di terze parti il gestore del sito non sia considerato titolare del trattamento

Analogamente, per quanto concerne l'acquisizione del consenso per i cookie di profilazione, dovendo necessariamente -per le ragioni suesposte tenere distinte le rispettive posizioni di editori e terze parti, si ritiene che gli editori, con i quali gli utenti instaurano un rapporto diretto tramite l'accesso al relativo sito, assumono necessariamente una duplice veste.

Tali soggetti, infatti, da un lato sono titolari del trattamento quanto ai cookie installati direttamente dal proprio sito; dall'altro, non potendo ravvisarsi una contitolarità con le terze parti per i cookie che le stesse installano per il loro tramite, si ritiene corretto considerarli come una sorta di intermediari tecnici tra le stesse e gli utenti.

[Jack]

Quindi, visto che tecnicamente sono in pratica uguali, negando il consenso si bloccano tutti i cookie?

Vista anche la prassi europea e l'evidente riferimento nella lettera e, paragrafo 4.1, la mia opinione è che sia chiaro come sia obbligatorio dare notifica dei tre tipi di cookie che per capirci definirò "passivi". Non è richiesto il consenso esplicito ma la semplice notifica. Se non si desidera navigare nel sito che usa questo tipo di cookie lo si può lasciare, avendo ricevuto adeguata notifica.

Diverso discorso per la seconda tipologia di cookie, quelli di profilazione, che definirei "attiva": in quel caso ci vuole un esplicito consenso preventivo, quindi prima di installarlo sul computer del client (come fare ciò con adsense la vedo già più complessa... se qualcuno ha un'idea...).

Quindi potrebbe anche andar bene un messaggio di testo in cima alla pagina (magari di colore e sfondo diverso) oppure deve essere un elemento che rimanga sempre in evidenza anche quando si scorre il cursore?

Sempre in base alla prassi e al testo del regolamento propenderei per il secondo punto, per esempio un <div> sempre in evidenza che al click cambi classe diventando nascosto.

Al paragrafo 5 il documento parla di obbligo di notificazione al Garante, ai sensi dell' art. 37, comma 1, lettera d) del Codice Privacy.

Questo, come direi hai ben capito, è il vero problema di come la norma italiana vuole recepire quella europea.

Da quanto scritto nel paragrafo 2, sembra che per i cookie di terze parti il gestore del sito non sia considerato titolare del trattamento

E' la stessa interpretazione che do io, ma - come sempre in caso di ambiguità - potrebbe esservi un giudizio diverso in caso di contenzioso, specie vista la competenza tecnica di alcuni tribunali italiani e consulenti che spesso è traballante.

J

[andrea]

Si, difatti la cosa è un po' ambigua. Il paragrafo 2 lascia presumere così, ma testualmente è scritto che il gestore del sito, per i cookie di terze parti, non è considerato titolare del trattamento per quanto riguarda l' onere di acquisire il consenso e le informazioni dettagliate sui cookie.

Ora però mi è sorto un altro dubbio: l' obbligo di notifica al Garante riguarda solo i cookie di profilazione a scopo pubblicitario?
Non è che riguarda anche alcuni cookie tecnici, come ad esempio quelli usati dal contatore visite? (tipo Shinystat)

Art. 37. Notificazione del trattamento

1. Il titolare notifica al Garante il trattamento di dati personali cui intende procedere, solo se il trattamento riguarda:
....
d) dati trattati con l'ausilio di strumenti elettronici volti a definire il profilo o la personalità dell'interessato, o ad analizzare abitudini o scelte di consumo, ovvero a monitorare l'utilizzo di servizi di comunicazione elettronica con esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli utenti;
(fonte:https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/1311248)

Un contatore accessi è considerato indispensabile?

[andrea]

Mi erano sfuggite le ultime righe del paragrafo 5 (link sopra)

Dal quadro sopra delineato, emerge pertanto che, mentre i cookie di profilazione, i quali hanno caratteristiche di permanenza nel tempo, sono soggetti all'obbligo di notificazione, i cookie che invece hanno finalità diverse e che rientrano nella categoria dei cookie tecnici, ai quali sono assimilabili anche i cookie analytics (v. punto 1, lett. a), del presente provvedimento), non debbono essere notificati al Garante.

Credo che qui non ci sia spazio ad interpretazioni.

[glm2006ITALY]

Allora qualche "anima pia" vorrebbe spiegare in parole molto povere se e quali siti debbono "installare" l'avviso per i cookies (cioè una cosa tipo: cookie-ok plugin)

[glm2006ITALY]

Leggendo qui
https://www.garanteprivacy.it/web/guest/...eb/3167231

Mi pare che il discorso sia legato ai siti dove si vogliono "capire" le preferenze dei visitatori ai fini di marketing

[andrea]

Da quanto ho capito, se si utilizzano cookie di profilazione per la pubblicità comportamentale bisogna prevedere un banner di questo tipo:

Il suindicato banner, oltre a dover presentare dimensioni sufficienti a ospitare l'informativa, seppur breve, deve essere parte integrante dell'azione positiva nella quale si sostanzia la manifestazione del consenso dell'utente. In altre parole, esso deve determinare una discontinuità, seppur minima, dell'esperienza di navigazione: il superamento della presenza del banner al video deve essere possibile solo mediante un intervento attivo dell'utente (appunto attraverso la selezione di un elemento contenuto nella pagina sottostante il banner stesso).

(vedi link al messaggio #5, paragrafo 4.1)
Sembra che parli di un banner che si sovrappone al contenuto, o che rimane in evidenza anche scorrendo il cursore.
Sempre allo stesso paragrafo, al punto e) c'è scritto che l' utente, proseguendo la navigazione, presta automaticamente il consenso ai cookie: quindi non è necessario che clicchi su "Accetto".

Se si usano solo cookie tecnici, non serve il consenso ma è obbligatorio informare l' utente, con la solita pagina "Privacy".

Per l'installazione di tali cookie (tecnici) non è richiesto il preventivo consenso degli utenti, mentre resta fermo l'obbligo di dare l'informativa ai sensi dell'art. 13 del Codice, che il gestore del sito, qualora utilizzi soltanto tali dispositivi, potrà fornire con le modalità che ritiene più idonee.

(vedi paragrafo 1.a)

[Jack]

Son d'accordo.

Il plugin che indicavi sopra Gianluca mi pare ok. Non l'ho provato ma guardando gli screenshot direi che va bene. Personalmente preferisco quelli che stanno a fondo pagina, restando in sovraimpressione fino a che non si clicca su accetto. Sempre parlando di Wordpress Cookie confirm mi pare più duttile.

Per quanto concerne il testo ci sono molti esempi online. Prova per esempio cercando [url=https://www.google.it/search?q="questo+sito"+"cookie"]"questo sito" "cookie"[/url] e ne troverai di variegati, alcuni anche piuttosto invadenti. Ho preparato un testo personalmente sulla base delle norme europee, già usato qua e là, che avverte della presenza di cookie implicitamente accettata continuando a navigare, linkando la pagina di approfondimento e un eventuale "non accetto" che reindirizzi a Google. Al momento non lo trovo però tra un po' lo integrerò anche qui su oscon (l'informativa generale già c'è). Comunque di esempi se ne trovano a iosa.

J