Categorie di cookie

È fondamentale la finalità dei cookie, per cui potranno essere specificati all'interno dell'informativa estesa per categorie, ad esempio: 
- Advertising;
- Analytics;
- Media management;
- Navigazione;
- Performance / networking;
- Shopping;
- Social network;
- Sondaggi;
- Preferenze utente;
- Profilazione. 

La migliore categorizzazione utilizzabile all'interno dell'informativa estesa risiede, però, nell'analisi del grado di invasività dei cookie nella sfera privata dell'utente. 

Cookie tecnici

I cookie tecnici hanno un grado di invasività minimo, e per tale motivo sono esenti dal consenso. Occorre solo indicarli nell'informativa estesa, non occorre alcun banner. 

La normativa prevede due ipotesi di esenzione dal consenso. Le ipotesi sono analizzate dal Gruppo Article 29: 
A) il cookie è necessario per la trasmissione di una comunicazione su una rete di comunicazione elettronica;
B) il cookie è strettamente necessario per fornire un servizio della società dell'informazione esplicitamente richiesto dall'abbonato o dall'utente. 
I due criteri sono alternativi (“or”), è sufficiente che sia rispettato uno dei due perché il cookie sia esentato da consenso. 

Il criterio B richiede la presenza di due elementi: 
- il servizio è stato espressamente richiesto dell'utente con un'azione positiva (es. click);
- il cookie è strettamente necessario per il funzionamento del servizio, per cui in assenza del cookie il servizio non funziona.

I due parametri devono sussistere contemporaneamente perché un cookie rientri nell'esenzione B. Un esempio può essere dato dai cookie multimediali, necessari per la visualizzazione dei video in tecnologia Flash. 
Il problema ovviamente è di stabilire i confini delle funzionalità del servizio. Ad esempio, un plugin sociale ha la funzione di consentire la pubblicazione di un link sul profilo del social network service (SNS), ma nel contempo svolge anche altre funzioni, come raccogliere dati utilizzati dal SNS a fini pubblicitari. Quindi i parametri devono essere interpretati in base alle funzionalità del servizio espressamente richiesto dall'utente (si deve tenere presente la prospettiva dell'utente non del sito web). Il cookie è esente da consenso solo se quell'espressa funzionalità richiesta dall'utente richiede necessariamente il cookie. 

Nel caso dei plugin sociali, il cookie consente l'identificazione dell'utente, in assenza della quale non sarebbe possibile pubblicare il link all'articolo sul suo profilo. Il cookie, quindi, è essenziale alla funzionalità di pubblicazione sul profilo dell'utente del SNS un link. Però se quel cookie ha anche altre funzioni, come ad esempio tracciare l'utente, tale funzione ricade al di fuori dell'esenzione, e il cookie in sé non è esentato dal consenso. In tale caso occorre comunque che sul sito vi sia una adeguata informazione e la richiesta di consenso (non è necessario il consenso per il singolo cookie, è sufficiente un solo consenso generale). 

Chiaramente occorre distinguere tra utenti loggati e non loggati (oppure non iscritti) al SNS. Gli utenti che navigano già loggati nel SNS si aspettano di poter utilizzare i social plugin, e quindi detti cookie rientrano nell'esenzione B (Article 29: “many “logged in” users expect to be able to use and access social plug-ins on third party websites. In this particular case, the cookie is strictly necessary for a functionality explicitly requested by the user and CRITERION B applies”), purché i cookie scadano nel momento in cui l'utente “esce” (log-out) dal social. Altre funzionalità del cookie sono invece soggette a consenso. 
Di contro se l'utente è non loggato, o addirittura non iscritto, l'utilizzo del cookie è sempre soggetto a consenso (generalmente i cookie dei SNS non tracciano -o non dovrebbero tracciare- i non utenti o utenti non loggati). Il problema è che il gestore del sito non è in grado di distinguere tra utenti loggati o non loggati, ma solo il titolare dei cookie può farlo, e se non lo fa rimane a carico del gestore del sito richiedere il consenso per i cookie in tutti i casi. 

È importante notare che anche la durata del cookie ha incidenza sul consenso. La “vita” del cookie deve essere comunque correlata alla funzionalità richiesta dall'utente, per cui deve scadere al massimo alla fine della sessione del browser. Occorre distinguere caso per caso, perciò il cookie relativo al carrello di shopping può avere una durata superiore, consentendo di mantenere i prodotti nel carrello anche nel caso in cui l'utente chiuda il browser prima di terminare l'acquisto. 
In tal senso il cookie di autenticazione (login), che conserva le credenziali dell'utente consentendogli di loggarsi automaticamente all'accesso del sito ricade sotto l'esenzione solo se vi è specifica check box con la quale viene espressamente chiesto all'utente se il sito deve ricordare le credenziali anche oltre la chiusura della sessione del browser. L'utilizzo di un cookie persistente (cioè che rimane anche dopo la chiusura del browser) in caso contrario non ricade nell'esenzione. Anche se bisogna dire che un cookie che ricorda i tentativi di login al fine di evitare attacchi brute force dovrebbe rientrare nell'esenzione B. 

Cookie di analytics e personalizzazione

La seconda categoria riguarda i cookie con un grado di invasività medio. Si tratta dei cookie di web analytics e quelli che conservano le scelte di personalizzazione del sito da parte dell'utente.

I cookie analitici di prima parte, cioè impostati direttamente dal titolare del trattamento coincidente col gestore del sito (tool di analytics con script presenti direttamente sul dominio del sito web), ma anche quelli di terza parte, non ricadono nei criteri di esenzione in quanto non sono “stricly necessary” per il funzionamento del sito, anche se possono essere molto utili per il miglioramento del sito stesso. I cookie di analytics si rivelano spesso importanti per realizzare la migliore esperienza di navigazione per l'utente e in generale per migliorare il sito web e i servizi da esso offerti, così incoraggiando i cittadini ad utilizzare i servizi digitali, servizi che consentono risparmio di costi e aumento dei profitti. Si tratta di una priorità nell'ambito del futuro Digital Single Market europeo. 

Il Gruppo Articolo 29 ha ritenuto che tali cookie non siano invasivi per la sfera privata dell'utente se il tool di analytics raccoglie dati anonimizzati e analizzati in forma aggregata. In tale prospettiva invitò ad aggiungere un terzo criterio di esenzione di cui all'articolo 5.3. Per questo motivo alcuni Garanti, compreso quello italiano, hanno fatto rientrare tali cookie (in presenza di anonimizzazione e in assenza di incrocio dei dati -leggi le istruzioni su come anonimizzare Google Analytics- con quelli di altri servizi) nella categoria generale dei cookie tecnici. Il Considerando 26 del GDPR, infine, ha stabilito espressamente che il Regolamento generale non si applica al trattamento di informazioni anonime, "anche per finalità statistiche o di ricerca". 

Quindi, abbiamo tre ipotesi: 

1) cookie anonimizzati con blocco della condivisione dei dati: sono parificati ai cookie tecnici, sono esenti da consenso, non occorre banner, ma solo l'iindicazione nell'informativa estesa; 
2) cookie anonimizzati ma con condivisione dei dati con altri servizi della terza parte: sono assimilati ai cookie di profilazione, occorre banner e consenso, non occorre la notifica del trattamento al Garante (che è a carico della terza parte); 
3) cookie non anonimizzati e dati condivisi con altri servizi della terza parte: occorre banner, consenso e invio della notifica del trattamento al Garante. 

Ovviamente la condivisione dei dati dipende dalla terza parte, e occorre verificare nei documenti contrattuali. E' la terza parte che si assume la responsabilità di ciò che dichiara.

Cookie di profilazione e marketing 

Detti cookie raccolgono informazioni tracciando i dati di navigazione al fine di realizzare una profilazione degli utenti in modo da potergli inviare pubblicità personalizzata. Hanno, quindi, un grado di invasività molto elevato. Necessitano del consenso preventivo, oltre che dell'informativa (banner), e devono scadere al massimo entro 12 mesi. La profilazione degli utenti comporta anche l'obbligo della notifica preventiva del trattamento al Garante per la privacy. La notifica è a carico del gestore del sito in caso di cookie di profilazione di prima parte, ma anche nel caso di cookie di terza parte (es. Google) se il titolare del sito può comunque accedere alle informazioni raccolte in forma disaggregata. Se invece il gestore del sito può accedere solo ai dati aggregati, la notifica è a carico della sola terza parte (che è il caso più comune). 

Cookie di terze parti

Il problema si pone principalmente per i cookie di terze parti (in base allo studio del Gruppo Article 29 il 70% dei cookie sono di terze parti) che risultano i più pericolosi per la privacy degli utenti. Infatti sono generalmente i cookie di terze parti che vengono utilizzati, appunto dalle terze parti, a fini di profilazione e tracciamento dell'utente, in modo da poter registrare la sua navigazione online, le sue preferenze, i siti visitati, le pagine viste, i link cliccati, così da poter realizzare un profilo dei gusti e indirizzare a lui, sempre grazie all'uso dei cookie, pubblicità personalizzata. 

Nel contesto della Data Protection una terza parte è la persona fisica o giuridica, autorità pubblica o ente, titolare, responsabile o incaricato del trattamento. 
Un cookie di terza parte è impostato dal titolare del trattamento distinto dal gestore del sito, mentre se il titolare del trattamento coincide col gestore del sito si parla di cookie di prima parte. 
Tale prospettiva differisce, però, rispetto all'approccio del browser, dove in quest'ultimo caso cookie di terza parte è quello impostato dal sito che appartiene ad un dominio differente rispetto al dominio visualizzabile nella barra degli indirizzi, senza alcun riferimento al trattamento dei dati. Ovviamente la definizione qui utilizzata è la prima. 

La maggiore invasività dei cookie di terze parti è dovuta al fatto che i gestori dei siti che incorporano i servizi delle terze parti non hanno un controllo diretto sui cookie delle terze parti, e quindi non hanno nemmeno una conoscenza adeguata di ciò che le terze parti raccolgono e quali trattamenti effettuano. 
Inoltre, l'utilizzo di tali cookie non è di immediata evidenza per gli utenti, i quali possono essere consapevoli della raccolta di dati da parte del gestore dei sito visitato, ma non sempre sono consapevoli della raccolta da parte di terzi. E tale raccolta avviene spesso senza nemmeno dover attendere un'azione positiva dell'utente, talvolta a seguito del mero accesso al sito vengono rilasciati dei cookie. 
Il trattamento dei dati degli utenti finisce per essere un trattamento occulto dei dati degli utenti, che ovviamente è vietato.  

Per i cookie di terze parti la normativa di dettaglio dei Garanti nazionali prevede che il gestore del sito debba inserire nella sua informativa i link alle rispettiva informative privacy delle terze parti, in modo da consentire all'utente di informarsi compiutamente sulle finalità dei cookie stessi. 

Social cookie

I principali cookie di terze parti sono quelli veicolati dai plugin sociali. I social plugin o social button sono dei widget che possono essere embeddati all'interno di una pagina web nella forma di iFrame. 
I social plugin offrono contenuti personalizzati consentendo ai visitatori di un sito di condividere un articolo sul proprio profilo di un Social Network Service (SNS) come Facebook, Twitter, LinkedIn, Google+, e così via, con un semplice click, o di interagire con le persone collegate al proprio profilo. I social plugin offrono enormi benefici sia al SNS che agli utenti medesimi, prova ne è l'adozione esponenziale degli ultimi anni. Per personalizzare il contenuto di una pagina web il plugin interagisce col SNS trasmettendo al suo server un identificativo unico, contenuto usualmente in un cookie, insieme alla url della pagina web visitata. Inoltre il SNS riceve informazioni dettagliate circa la visita dell'utente del proprio servizio ad ogni pagina contenente un social plugin. 

La personalizzazione della pagina dipende, ovviamente, dallo stato dell'utente. Se è un utente già iscritto al SNS e loggato, riceverà un elevato livello di personalizzazione. Ad esempio, nel caso di Facebook vedrà il numero degli utenti che hanno messo Like all'articolo, i nomi degli stessi, fino a visualizzare le immagini dei profili. Questo ovviamente dipende anche dalle impostazioni del plugin. Se invece l'utente non è loggato vedrà solo il numero dei Like. Se l'utente non è iscritto vedrà il numero dei Like e l'invito ad iscriversi al SNS. 

I social cookie consentono al SNS di seguire la navigazione dell'utente attraverso i vari siti web, se questi presentano i social plugin. I cookie usati nei social plugin sono collegati al profilo dell'utente, il quale generalmente contiene dati personali (mail, nome, data di nascita, indirizzo) tali da consentire l'identificazione fisica dell'utente medesimo. 

Anche altre terze parti, non SNS, tracciano gli utenti attraverso la navigazione online. Sono in grado di seguire l'utente se i loro banner o avvisi pubblicitari sono presenti sul sito, e sono in grado di mostrare pubblicità personalizzata ad un utente su un determinato sito, facente parte di quel circuito pubblicitario (cioè che presenta annunci di quel particolare circuito pubblicitario, es. Adsense), in base alle scelte che quell'utente ha effettuato su un diverso sito ma facente parte dello stesso circuito. 
I circuiti pubblicitari, però, difficilmente riescono a recuperare dati dell'utente tali da identificarlo personalmente (a meno che non incrocino i dati con altri dati recuperati da differenti risorse). In genere si limitano ad un'identificazione generica dell'utente che sia utile ai fini della presentazione di pubblicità mirata. Invece i SNS sono sempre in grado di stabilire chi è l'utente, proprio perché incrociano i dati raccolti dai plugin sociali con i dati presenti direttamente sul profilo del SNS, nel quale in genere sono contenuti dati identificativi (nome, indirizzo). 
È evidente che l'intrusione nella sfera privata dell'utente è massima nel caso di utilizzo di plugin sociali. 

Altre ipotesi di esenzione da consenso

Esistono ulteriori casi nei quali non occorre il consenso per l'utilizzo di cookie. Ad esempio, l’attuazione di un contratto oppure specifici obblighi legali del gestore del sito, sono motivi validi per l’utilizzo di cookie anche in assenza di consenso. 

A tali ipotesi si aggiungono gli interessi legittimi del controller (cioè il titolare del trattamento), che possono giustificare l’utilizzo di cookie (ad esempio per motivi di sicurezza del sito o per il rilevamento di frodi). Anche in presenza di un trattamento basato sui legittimi interessi deve sempre essere possibile per l’utente richiedere la cessazione del trattamento (opt-out). 

La privacy nei social network

La regolamentazione italiana (e non solo) prevede che i cookie dei SNS debbano essere bloccati fino al consenso, con ciò impedendo la visualizzazione dei bottoni sociali appunto fino al consenso. 
In teoria tale regolamentazione appare eccessiva, se si considera che l'utente che naviga in internet già loggato in un servizio (social network) di fatto ha già dato il consenso al tracciamento tramite quel servizio. Certo, potrebbe non essere a conoscenza del fatto che anche su altri siti (quindi non sul social) viene tracciato, ma la policy privacy del social lo avverte (o quanto meno dovrebbe) di tale fatto. 

Se l'utente è iscritto ad un social network e ha letto (se non lo ha fatto è però un problema suo) la policy privacy del social dovrebbe sapere che se è loggato nel social durante la navigazione le sue attività online sono tracciate dal social network, e se incontra plugin sociali sa (o dovrebbe sapere) che le sue attività sono registrate. Ha già dato il consenso a tutto ciò, ma comunque la normativa prevede che il gestore del sito web gli chieda un nuovo ed ulteriore consenso bloccando i cookie del social. In tale prospettiva il sito terzo rispetto al social di fatto chiede all'utente un consenso assolutamente inidoneo perché non è né completo né informato, non potendo sapere né quali cookie vengono veicolati dal social attraverso il suo sito, né quali dati vengono raccolti, né cosa accade a tali dati.  
Il provvedimento del Garante italiano (ma anche altri Garanti europei si regolano in tal modo) supera, per così dire, il problema imponendo un'informazione di rimando, cioè nell'informativa estesa devono essere linkate la privacy policy del social network (o sito terzo) che vanno ad integrare l'informazione all'utente, il quale potrà visualizzarle prima di concedere il consenso che sarà raccolto dal gestore del sito web. Si tratta delle stesse privacy policy che l'utente del social network dovrebbe già aver letto e sicuramente ha già accettato al momento in cui si è iscritto al social. Ecco che l'informazione diventa ridondante (a scapito della semplificazione, obiettivo della riforma della Data Protection europea). 

In realtà i plugin social vanno ben oltre gli scopi per i quali sono utilizzati normalmente dagli utenti, quindi ben oltre la semplice condivisione di dati e informazioni sui social, tracciando e raccogliendo tutti i dati di navigazioni degli utenti. Il punto è che alcune aziende, purtroppo, forzano un po' le normative. Secondo uno studio del Garante belga alcune aziende tracciano, tramite i plugin sociali, anche i visitatori di un sito che non sono però loggati al social network, o addirittura che non sono nemmeno iscritti al social. Di fatto tracciano la navigazione di ogni utente (realizzando i cosiddetti shadow profiles, i quali generalmente contengono informazioni recuperate da amici e contatti -es. scansionando l'elenco contatti di un utente Facebook si ottengono i numeri di telefono anche di soggetti non iscritti a Facebook-), indipendentemente da un eventuale preventivo consenso. Da cui la necessità di un ulteriore onere a carico del gestore del sito web. 

Il gestore del sito deve rispondere delle sue scelte, quindi se inserisce degli script o iframe (parliamo dei social plugin, ma anche delle mappe di Google, ed altro) deve farsi carico di informare gli utenti per l'uso di tali plugin (e quindi dei cookie che veicolano) e della raccolta del consenso. Insomma il gestore di un sito chiederebbe il consenso per il suo uso, non quello del social. 
Purtroppo in tal modo il consenso reso al gestore del sito sarebbe non conforme (in quanto non informato) alle norme sulla Data Protection, visto che il gestore di un sito non può fare altro che dire di utilizzare cookie, senza sapere quali e senza sapere null'altro sui dati raccolti e l'utilizzo degli stessi. 
Lo spezzare in due parti il processo di raccolta del consenso non aiuta, a meno che nelle policy privacy delle aziende profilanti (e infatti le aziende si stanno orientando il tal senso) non sia esplicitamente imposto al gestore di un sito che utilizza i suoi servizi (tipo i social plugin) di raccogliere tale consenso al posto loro, così di fatto nominando il gestore del sito quale responsabile del trattamento oppure considerandolo quale contitolare del trattamento (per la parte di sua competenza, ovviamente). 

Limitazioni della Cookie Law

Il regolamento europeo si applica a tutti i sistemi di tracciamento, compreso il finger printing, mentre invece la norma sui cookie (cosiddetta Cookie Law) ovviamente si applica solo ai cookie e alle tecnologie similari. Detta limitazione è fondamentale per comprendere le problematiche attuali. Infatti i cookie, come accennato sopra, sono ormai una tecnologia vecchia e destinata a scomparire, per essere sostituita da tecnologie di tracciamento completamente diverse. 
Esistono innumerevoli sistemi di tracciamento che non utilizzano cookie o tecnologie similari, ma raccolgono dati sull'attività nel web di utenti e loro dispositivi, e senza alcun consenso in quanto non è ancora previsto alcun obbligo. 

La reazione dell'opinione pubblica non è uniforme, a fronte di una discreta assenza di consapevolezza rispetto a tali problematiche, nel senso che moltissimi utenti non hanno alcuna conoscenza di essere tracciati online o di quanto profondo è il monitoraggio della loro attività online, molti utenti rimangono indifferenti a tali questioni preferendo annunci personalizzati, consci che ciò è possibile solo con una profilazione delle proprie attività. Di contro però altri utenti trovano inquietante ritrovare annunci estremamente pertinenti alle scelte e alle ricerche online appena realizzate. 

In risposta alle polemiche del pubblico, la Digital Advertising Association (DAA), per rintuzzare la minaccia della più stringente nuova regolamentazione europea, ha lanciato da tempo un sistema di autoregolamentazione, chiamato AdChoices. un sito web dove è possibile impostare un opt-out non tanto rispetto al tracciamento, che comunque avviene, quanto piuttosto agli annunci personalizzati. Detto sistema, però, è comunque regolato tramite cookie (quindi se vengono cancellati i cookie deve essere reimpostato), e non ha una copertura completa. Il problema principale è che non impedisce il tracciamento, e quindi la profilazione. 

Ciò comporta che la Cookie Law nasca già irrimediabilmente vecchia e incapace di risolvere i problemi inerenti alla privacy dei navigatori online, la cui unica possibilità è di utilizzare estensioni del browser che in qualche modo riconoscano e blocchino i tracker. Una delle migliori risulta Privacy Badger che non si occupa di bloccare gli annunci pubblicitari quanto piuttosto di impedire ai tracker di terze parti di profilare l'utente. Il blocco di alcuni annunci è, quindi, solo una conseguenza del funzionamento dell'estensione il cui scopo è la tutela della privacy dell'utente, non certo impedire la visualizzazione dei fastidiosi banner pubblicitari (per i quali esistono altre estensioni appositamente predisposte). 

Regolamentazione futura

La regolamentazione dei cookie verrà ulteriormente modificata a seguito dell'entrata in vigore del Regolamento ePrivacy. 

Tweet

WhatsApp