Cookie LAW: cosa cambia oggi

I punti chiave della nuova normativa si focalizzano in particolare: sul tracciamento dei dati degli utenti, sui soggetti terzi ai quali i dati vengono inviati, sul luogo dove vengono gestiti (intra extra cee) e su come vengono utilizzati.

Ne emerge che: la raccolta dei dati, eseguita con strumenti più o meno trasparenti, pone il legittimo dubbio sul fatto che gli utenti siamo o meno informati su ciò che accade realmente realmente alle loro informazioni e soprattutto sul fatto che scegliere se conderlo o meno sia un diritto garantito.

A onor del vero, se un utente avesse la pazienza (e potremmo dire il tempo) di leggere attentamente le note privacy policy alle quali la maggior parte dei gestori di un servizio online si attiene, scoprirebbe in che modo i dati vengono utilizzati e quali sono le società terze che vengono coinvolte in tale processo.

Il tema è comunque complesso e articolato. Addentrarsi in tutti i meandri normativi, etici o pragmatici di ciò che significa adeguarsi alla normativa potrebbe rissultare un percorso molto lungo e parzialmente inutile.

Tralasciamo dunque gli aspetti etici e filosofici e occupiamoci più in concreto delgi aspetti pratici e conoscere cosa serve per essere in regola al 100%.

Cosa sono i cookie e perché è necessario un sistema di controllo.

I cookie sono piccoli file di testo all’interno dei quali vengono registrate alcune preferenze degli utenti e si suddividono principalmente in Cookie Tecnici e Cookie di profilazione.

I cookie tecnici

Questo tipo di cookie non è soggetto ad indicazioni specifiche da parte della normativa poiché in molti casi non sarebbe possibile utilizzare il servizio se non fossero abilitati.

Un esempio concreto di cookie tecnici sono quelli che riguardano una sessione di login.
Un sito web e-commerce o una webapp di un servizio finanziario, non potrebbero funzionare se non fosse possibile scrivere e leggere dinamicamente questi file. Per un utente sarebbe quindi impossibile accedere al proprio home banking o al proprio portale e-commerce preferito.

Sono moltissimi i web site che utilizzano questi "sistemi" di memorizzazione temporanea per poter erogare i propri servizi. Per questo i cookie tecnici sono considerati basilari e sono dunque già opzionati nel cookie banner in quanto non soggetti a un consenso esplicito.

I cookie di profilazione

Diverso invece per i cookie di profilazione dove i dati che vengono raccolti per finalità di analisi e marketing e, oggi, richiedono un esplicito consenso da parte dell'utentente.

Il che non significa che siano "necessariamente un male". In moltissimi casi il gestore del servizio utilizza i dati dell’utente per: comprenderne meglio le esigenze, verificare quali siano i contenuti più interessanti, capire se una campagna ADV sta funzionando e migliorare in generale il servizio.
Un utilizzo potremmo dire: più che lecito e tutto sommato utile anche per l’utente finale.

In altri casi invece l’argomento è più delicato perché è più difficile controllare come i dati vengono trattati e da chi.
Capita dunque che l’invadenza del servizio o la cessione poco controllata, generi veri e propri “fastidi” per l’utente finale e una totale incertezza sull'uso che viene fatto dei nostri dati.

Uno dei maggiori problemi, sui quali la normativa ha posto l'accento, è la "giusrisdizione" del passaggio delle informazioni. Chi ne ha il controllo? Con chi li condivide? Chi è autorizzato all'accesso? Come sono tutelati gli utenti?
In sostanza se è una società Europea a trattare i dati essa dovrà attenersi scrupolosamente alla legislazione Europea. Diverso è invece se i dati vendono "inoltrati" ad altri paesi dove magari la legge cambia o è addirittura assente. 

È su questo punto che l’unione europea ha dato un giro di vite.
L’obiettivo è quello di obbligare tutti i gestori di un servizio online ad offrire una maggiore trasparenza e una maggiore consapevolezza sull’utilizzo dei propri dati agli utenti.

Un’evoluzione del GDPR che ne aumenta il potere e la sua potremmo dire la sua efficacia, perfezionando a livello pratico la sua applicazione.

Cookie banner

Il Cookie Banner prevede alcune peculiarità che, rispetto alla normativa precedente, combiano completamente il modo e la possibilità di gestire le preferenze di un utente. Ecco le principali caratteristiche:

1. Contenuto
   Il cookie banner deve contenere una chiara evidenza di come verranno trattati i dati dell'utente anche attraverso dei link di approfondimento alle singole tematiche.
2. Visibilità
   Deve essere ben visibile e mettere l’utente in grado di identificarlo in modo inequivocabile.
3. Differenziazione
   Deve offrire una chiara differenziazione di scelta fra i cookie tecnici (obbligatori) e quelli di profilazione (marketing opzionali)
4. Informativa
   Deve riportare in modo sufficientemente chiaro ed esaustivo un rimando ad un approfondimento per ogni tipologia di cookie utilizzato e, nel caso di terze parti, un ulteriore collegamento alla policy sul sito web di riferimento
5. Consenso esplicito
   Gli utenti devono poter esprimere il prorio consenso in modo cosciente e arbitrario, devono cioè poter opzionare i cookie per i quali prestano il consenso.
6. Blocco preventivo
   Fino a quando l’utente non avrà compiuto una scelta, i cookie di profilazione dovranno essere bloccati.

Consenso e tracciamento delle preferenze

Un'altra importante novità, che richiede un'applicazione pratica è il consenso esplicito, da parte degli utenti, a concedere l'utilizzo dei propri dati da parte di un gestore per finalità marketing.

Questo significa che: se un utente compila un form di contatto sul nostro sito ed è nostra intenzione utilizzare i dati raccolti per delle comunicazioni o promozioni commerciali, sarà necessario richiedere un esplicito consenso per tracciarne in modo inequivocabile la scelta.

Dovremo quindi differenziare le note informative fra quelle che riguardano la privacy policy (da mostrare obbligatoriamente all'utente anche tramite link dedicato), da quelle "marketing" che, come per il cookie banner, dovranno riportare il dettaglio delle finalità e degli eventuali soggetti terzi ai quali verranno inviati tali dati.

Per fare un esempio concreto:
Se i dati di un utent venissero registrati all'interno di un CRM cloud che ha base ad esempio negli stati uniti, saremmo obbligati a segnalarlo in una nota specifica.

In questo caso è una buona pratica quella di inviare una copia del form registrato all'utente, mettendo in evidenza la scelta che ha effettuato. È inoltre necessario riportare una nota informativa che illustri: quali siano le procedure da eseguire richiedere per la cancellazione totale dei propri dati (diritto all'oblio art. 17 del regolamento UE).

Note tecniche e legali

Il tema dell'applicazione delle normative richiede una valutazione specifica caso per caso al fine di determinare l'entità degli interventi e le reali necessità a livello legislativo e di implementazione pratica di una soluzione.

Se vi interessa approfondire l'argomento, per il vostro progetto online, potete contattarci compilando il nostro form

Per ulteriori approfondimenti potete invece consultare i documenti ufficiali:

Sito Garante della Privacy
https://www.garanteprivacy.it/temi/cookie

Sito Comunità Europea
https://europa.eu/youreurope/business/dealing-with-customers/data-protection/online-privacy/indexamp_it.htm