Cookie policy e banner: cosa chiede il Garante privacy al tuo sito

Cosa dice la legge sui cookie

«Cookie policy» è cercato 590 volte al mese in Italia, quasi sempre da chi ha un sito e si chiede cosa deve pubblicare. La regola di partenza è l’art. 122 del Codice privacy (D.Lgs. 196/2003): archiviare informazioni sul dispositivo dell’utente, o accedere a quelle già archiviate, richiede il suo consenso. Il testo dice che queste operazioni sono «consentiti unicamente a condizione che il contraente o l’utente abbia espresso il proprio consenso dopo essere stato informato».

La stessa norma prevede un’eccezione: niente consenso quando l’archiviazione serve solo a trasmettere una comunicazione, o «nella misura strettamente necessaria al fornitore di un servizio della società dell’informazione esplicitamente richiesto dal contraente o dall’utente a erogare tale servizio». Sono i cookie tecnici: il carrello, la sessione di accesso, la memoria della scelta fatta sul banner. Tutto il resto (pubblicità, profilazione, la maggior parte degli strumenti di terze parti) richiede un consenso preventivo.

Le Linee guida del Garante traducono la regola in pratica. Il principio è la privacy by default: al primo accesso, nessun cookie o altro strumento diverso da quelli tecnici venga posizionato all’interno del suo dispositivo.

Il banner cookie: cosa deve contenere

Il Garante propone un modello di banner che considera in linea con la legge. Per rifiutare, all’utente deve bastare chiudere il banner mediante selezione dell’apposito comando usualmente utilizzato a tale scopo, cioè quello contraddistinto da una X posizionata di regola, e secondo prassi consolidata, in alto a destra e all’interno del banner medesimo, senza dover cercare altre pagine. E quella X deve avere una evidenza grafica pari a quella degli ulteriori comandi o pulsanti negoziali che servono ad accettare.

Secondo le Linee guida, il banner contiene almeno:

• la X in alto a destra, con l’avvertenza che chiudere il banner così vuol dire continuare senza cookie diversi da quelli tecnici;
• un’informativa breve che dica quali cookie usa il sito e per quali scopi, se servono anche cookie di profilazione o di misurazione;
• il link alla cookie policy completa, che deve essere accessibile con un solo click anche tramite un ulteriore link posizionato nel footer di qualsiasi pagina del dominio;
• un pulsante per accettare tutti i cookie;
• il link a un’area dove scegliere per finalità, per terze parti o per categorie, con tutte le opzioni preimpostate sul diniego all’installazione dei cookie.

Tre pratiche diffuse non vanno bene. Lo scroll: per il Garante il semplice “scroll down” del cursore di pagina è inadatto in sé alla raccolta di un consenso valido. Il cookie wall, cioè «accetti o non entri»: senza un’alternativa equivalente senza tracciamento è da ritenersi illecito. Il banner che ritorna a ogni visita dopo un rifiuto: la scelta va registrata e ripresentata solo se cambiano le condizioni (per esempio le terze parti), se l’utente ha cancellato i cookie o dopo almeno 6 mesi.

Il design conta: il Garante chiede l’utilizzo di comandi e di caratteri di uguali dimensioni, enfasi e colori, così che rifiutare non sia più difficile che accettare. E nel footer di ogni pagina serve un link per cambiare idea in ogni momento, con una dicitura come «rivedi le tue scelte sui cookie».

Cosa scrivere nella cookie policy

La cookie policy è il «secondo livello» dell’informativa: il banner riassume, la policy spiega tutto. Le Linee guida chiedono un’informativa conforme al GDPR, con queste voci:

1. 1
   Quali cookie e strumenti usa il sito, divisi tra tecnici, analytics e di profilazione, con lo scopo di ciascuno.
2. 2
   Le terze parti che ricevono dati, con un elenco tenuto aggiornato: ogni servizio esterno integrato (statistiche, pubblicità, video, mappe, chat) va nominato.
3. 3
   I destinatari e la durata: gli eventuali altri soggetti destinatari dei dati personali ed i tempi di conservazione delle informazioni acquisite.
4. 4
   I diritti dell’utente, compreso quello di avanzare una richiesta di accesso e di proporre un reclamo a un’Autorità di controllo.
5. 5
   I criteri con cui classifichi i cookie: il Garante chiede di rendere manifesti i criteri di codifica degli identificatori adottati da ciascuno, perché da fuori non si può distinguere con certezza un cookie tecnico da uno di profilazione.
6. 6
   Come cambiare le scelte: il link alla stessa area del banner, raggiungibile dal footer.

Google Analytics e statistiche: quando serve il consenso

Gli strumenti di statistica sono il caso più discusso. Il Garante ammette che i cookie analytics siano trattati come tecnici, quindi senza consenso, ma solo a condizioni precise quando li gestisce una terza parte:

• che il cookie non permetta di identificare la persona, di regola con il mascheramento almeno della quarta componente dell’indirizzo IP;
• che l’uso sia limitato unicamente alla produzione di statistiche aggregate, per un solo sito o una sola app;
• che i fornitori del servizio, scrive il Garante, «non dovranno comunque combinare i dati, anche così minimizzati, con altre elaborazioni», né li passino ad altri.

Se il tuo strumento di statistiche non ti permette di garantire tutte e tre le condizioni, va trattato come un cookie di profilazione: si attiva solo dopo il consenso dato sul banner. È una verifica da fare sulla configurazione reale del tuo account, non sulla promessa del fornitore.

Le statistiche elaborate in proprio sono un caso a parte: il Garante ammette anche senza queste misure le analisi su più siti dello stesso titolare, se è il titolare stesso a farle e se restano un semplice conteggio statistico.

Se il sito usa solo cookie tecnici

Un sito vetrina senza pubblicità né statistiche di terze parti spesso usa solo cookie tecnici. In questo caso il Garante precisa che potrà essere data informazione nella homepage o nell’informativa generale senza l’esigenza di apporre specifici banner: niente banner obbligatorio, ma un’informativa sì.

Attenzione però a ciò che si aggiunge senza pensarci: un video incorporato, una mappa, un pulsante social o un font caricato da un servizio esterno possono installare cookie o leggere dati del dispositivo. Ogni integrazione esterna va controllata prima di dire che il sito «usa solo cookie tecnici».

Verificare il tuo banner da solo

Un controllo che puoi fare da solo con il browser, senza strumenti a pagamento:

1. 1
   Apri il sito in una finestra in incognito e, prima di toccare il banner, guarda i cookie installati (strumenti per sviluppatori del browser, scheda «Applicazione» o «Archiviazione»). Devono esserci solo cookie tecnici.
2. 2
   Chiudi il banner con la X. Ricarica la pagina e naviga: il banner non deve tornare e i cookie di statistica o pubblicità non devono comparire.
3. 3
   Confronta i pulsanti: «Rifiuta» o la X sono visibili quanto «Accetta»? Stessa dimensione, stesso risalto?
4. 4
   Cerca nel footer il link alla cookie policy e quello per rivedere le scelte, su qualsiasi pagina.
5. 5
   Apri la cookie policy e confronta l’elenco delle terze parti con i servizi che il sito carica davvero.

Il nostro parere

Il rischio vero non è tanto la cookie policy mancante, quanto un banner che dice una cosa mentre il sito ne fa un’altra: statistiche e pixel pubblicitari che partono prima del clic, nascosti dietro un testo impeccabile copiato da un generatore. Noi partiremmo dall’inventario di ciò che il sito carica davvero, toglieremmo gli strumenti che nessuno guarda e solo dopo scriveremmo la policy. Per un piccolo sito vetrina, rinunciare a ciò che richiede consenso è spesso la strada più semplice: meno script, niente banner da gestire e pagine più leggere. Su un e-commerce con pubblicità e remarketing, invece, conviene una piattaforma di gestione del consenso configurata con cura e un controllo da parte di un professionista della privacy.

La redazione di FindMyCompany