La normativa di riferimento è presente sul sito del garante ed afferma che:
1. Ambito di applicazione
Resta fermo che i siti che non consentono l´archiviazione delle informazioni nel PC o cellulare dell´utente o l´accesso a informazioni già archiviate, e che quindi non utilizzano cookie, non sono soggetti agli obblighi previsti dalla normativa.
2. Utilizzo di cookie analitici di terze parti
Nell´ottica della semplificazione che l´Autorità sta perseguendo, è stato già chiarito nel provvedimento come i cookie analitici – che servono a monitorare l´uso del sito da parte degli utenti per finalità di ottimizzazione dello stesso – possano essere assimilati ai cookie tecnici laddove siano realizzati e utilizzati direttamente dal sito prima parte (senza, dunque, l´intervento di soggetti terzi).
I cookie tecnici sono quelli utilizzati al solo fine di “effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della società dell’informazione esplicitamente richiesto dall’abbonato o dall’utente a erogare tale servizio”.
I cookie di profilazione sono volti a creare profili relativi all’utente e vengono utilizzati al fine di inviare messaggi pubblicitari in linea con le preferenze manifestate dallo stesso nell’ambito della navigazione in rete.
Google Analytics è un caso particolare di cookie tecnico che però va ugualmente considerato come cookie di terze parti. A differenza dei classici software di analisi del traffico interno, come il famoso Piwick, i cookie di Google Analytics vengono installati da Google e quindi sono da considerarsi di terze parti.
Ricordiamo che l’utilizzo del banner con informativa breve non basta per essere a regola con la legge, occorre infatti impedire l’installazione di qualsiasi cookie non tecnico previo consenso da parte dell’utente e disporre di una corretta cookie policy.
3. Soggetti tenuti a realizzare il banner: il ruolo dei siti prima parte
Con riferimento al tema della responsabilità dei gestori dei siti prima parte in merito all´installazione dei cookie di profilazione provenienti da domini “terze parti”, si conferma che tali soggetti rispetto all´installazione di tali cookie svolgono un ruolo di mero intermediario tecnico.
È bene precisare, tuttavia, che per la natura “distribuita” di tale trattamento, che vede il sito prima parte comunque coinvolto nel processo, il consenso all´uso dei cookie terze parti si sostanzia nella composizione di due elementi entrambi necessari: da un lato la presenza del banner, che genera l´evento idoneo a rendere il consenso documentabile (a carico della prima parte) e, dall´altro, la presenza dei link aggiornati ai siti gestiti dalle terze parti in cui l´utente potrà effettuare le proprie scelte in merito alle categorie e ai soggetti da cui ricevere cookie di profilazione.
Si chiarisce inoltre che se sul sito i banner pubblicitari o i collegamenti con i social network sono semplici link a siti terze parti che non installano cookie di profilazione non c´è bisogno di informativa e consenso.
Al riguardo, si coglie l´occasione per ribadire che le richieste di consenso presenti all´interno dell´informativa estesa del sito prima parte ovvero nei siti predisposti dalle terze parti, non dovranno necessariamente fare riferimento ai singoli cookie installati, ma potranno riguardare categorie più ampie o specifici produttori o mediatori con cui il sito prima parte ha stabilito rapporti commerciali.
Preme sottolineare che l´obbligo di rendere l´informativa e acquisire il consenso nasce dalla scelta del sito di ospitare pubblicità mirata basata sulla profilazione degli utenti tramite i cookie, in luogo di quella generalista offerta indistintamente a tutti.
4. Modalità di acquisizione del consenso
Come noto, nel Provvedimento è stato stabilito che “la prosecuzione della navigazione mediante accesso ad altra area del sito o selezione di un elemento dello stesso (ad esempio, di un´immagine o di un link) comporta la prestazione del consenso all´uso dei cookie” (cfr. punto 1, lett. e), del dispositivo).
Al riguardo, si rappresenta che soluzioni per l´acquisizione del consenso basate su “scroll”, ovvero sulla prosecuzione della navigazione all´interno della medesima pagina web, da molti prospettate e in effetti particolarmente rilevanti nel caso di dispositivi mobili, sono considerate in linea con i requisiti di legge, qualora queste siano chiaramente indicate nell´informativa e siano in grado di generare un evento, registrabile e documentabile presso il server del gestore del sito (prima parte), che possa essere qualificato come azione positiva dell´utente.
5. Applicazione della normativa italiana anche a siti che hanno sede in Paesi extra EU
In merito ai chiarimenti richiesti sull´ambito di applicazione della normativa in materia di cookie, si evidenzia che la stessa riguarda tutti i siti che, a prescindere dalla presenza di una sede nel territorio dello Stato, installano cookie sui terminali degli utenti, utilizzando quindi per il trattamento “strumenti situati sul territorio dello Stato” (cfr. art. 5, comma 2, del Codice privacy).
6. Notificazione in caso di realizzazione di più siti web
Si ritiene condivisibile la richiesta presentata da alcuni editori titolari in merito alla possibilità di effettuare una sola notificazione per tutti i diversi siti web che gli stessi gestiscono, in linea con le previsioni normative. In tal caso nella notificazione del trattamento andranno indicati tutti i domini nei quali il trattamento effettuato attraverso i cookie si realizza mantenendone aggiornato – attraverso eventuali modifiche della notificazione – il relativo elenco.
IN PARTICOLARE EVIDENZA
• I siti che non utilizzano cookie non sono soggetti ad alcun obbligo
• Per l´utilizzo di cookie tecnici è richiesta la sola informativa (ad esempio nella privacy policy del sito). Non è necessario realizzare specifici banner.
• I cookie analitici sono assimilati a quelli tecnici solo quando realizzati e utilizzati direttamente dal sito prima parte per migliorarne la fruibilità.
• Se i cookie analitici sono messi a disposizione da terze parti i titolari non sono soggetti ad obblighi (notificazione al Garante in primis) qualora:
A) siano adottati strumenti che riducono il potere identificativo dei cookie (ad esempio tramite il mascheramento di porzioni significative dell´IP);
B) la terza parte si impegna a non incrociare le informazioni contenute nei cookies con altre di cui già dispone.
• Se sul sito ci sono link a siti terze parti (es. banner pubblicitari; collegamenti a social network) che non richiedono l´installazione di cookie di profilazione non c´è bisogno di informativa e consenso.
• Nell´informativa estesa il consenso all´uso di cookie di profilazione potrà essere richiesto per categorie (es. viaggi, sport).
• È possibile effettuare una sola notificazione per tutti i diversi siti web che vengono gestiti nell´ambito dello stesso dominio.
• Gli obblighi si applicano a tutti i siti che installano cookie sui terminali degli utenti, a prescindere dalla presenza di una sede in Italia.