Cookie: cosa sono, come funzionano e come proteggerti

Siamo sicuri di sapere tutto sui cookie? Sia che siamo semplici utenti sia che abbiamo un sito web, è possibile che ci sfugga qualche aspetto importante su questi piccoli file di testo. Le recenti regole privacy (rivoluzionate dall’entrata in vigore del GDPR e da ultimo con le nuove linee guida sui cookie e sugli altri sitemi di tracciamento del giugno 2021) richiedono un ulteriore approfondimento di questo materia. Vediamo tutto quello che bisogna sapere, a partire dalla base fino alle istruzioni per fare una cookie policy.

Cosa sono i cookie

Ogni volta che visitiamo un sito web questo lascia innumerevoli tracce sul nostro browser e, più in generale sul nostro pc (i cookie sono molto meno usati su cellulare). Tecnicamente siamo noi che, collegandoci ad una determinata URL, richiediamo al server di inviarci tutte le componenti di un sito web, come immagini, testi, layout.

I cookie sotto la lente dei Garanti privacy: lo stato dell’arte in Italia e Ue

Tuttavia, il sito, oltre ad inviarci ciò che in effetti vediamo, ci invia tutta una serie di altri file che vanno a “parcheggiarsi” sul nostro hard disk e, tra questi, ci sono i cookie.

I cookie (“biscotto” in inglese) sono dei piccoli file di testo necessari affinché il server del sito web che li ha installati possa ottenere informazioni sulla specifica attività che l’utente compie su quelle pagine web. Che si è collegato a quel sito e che cosa vi ha fatto. Ogni volta che quel dispositivo si ricollega al sito gli rimanda il cookie e così è possibile riconoscere e tracciare l’attività a distanza di tempo.

La storia dei cookie: perché si chiamano biscotti?

Il nome cookie deriva dalla tecnica usata in ambienti UNIX sin dagli anni Ottanta e chiamata “magic cookie”, termine attestato la prima volta nell’ambito informatico nel 1979. A sua volta, da che cosa “magic cookie” prenda il nome non è chiaro: non è escluso il riferimento a una fiaba.

Come funzionano i cookie: di sessione o permanenti

Detti file possono essere temporanei (“cookie di sessione”) e cancellarsi al termine della singola sessione oppure (i “cookie permanenti”) possono rimanere “nascosti” nei meandri delle cartelle del nostro pc, rientrando in collegamento con l’applicazione web ogni volta che l’utente si riconnette al medesimo server remoto.

Sfatiamo subito un mito: i cookie non sono pericolosi, né ci vengono inviati per chissà quale fine occulto. Anzi, senza essi molti siti web non potrebbero funzionare.

Il cookie più diffuso è quello “di sessione” che contiene i dati relativi al login o al “carrello” e-commerce o alla scelta del volo che state acquistando. E’ necessario per dare alle pagine che trovate durante il percorso di navigazione o d’acquisto, le informazioni relative alle vostre scelte. Senza questi cookie i siti con aree riservate o con percorsi “a step” non potrebbero esistere: si pensi ai servizi di social network, home banking, o, anche più semplicemente, la nostra casella di posta elettronica

Esistono poi i cookie non essenziali, tramite i quali l’applicazione web “studia” in un certo qual modo, le azioni, le preferenze, i dati relativi all’utente.

Questo avviene a fini di analisi, per conoscere quali siano le provenienze dei visitatori, gli strumenti di connessione, la frequenza delle visite, le preferenze di determinate pagine al posto di altre, così da poter migliorare sempre più il servizio offerto.

Altre volte, invece, l’installazione dei cookie avviene a fini di marketing, per non “disperdere” le pubblicità e selezionare il target esatto a cui mostrate un determinato banner o annuncio.

Il cookie che “conosce” le mie preferenze, mi mostrerà esclusivamente advertising alla quale potrei essere realmente interessato, con ottimizzazione delle campagne dell’investitore e con minore bombardamento pubblicitario per l’utente

È proprio, in particolare, su questi ultimi file che è intervenuta la legge a tutela della privacy del consumatore, stabilendo strette direttive a cui tutti i siti internet devono adeguarsi, dando la possibilità all’utente di conoscere cosa sta avvenendo nel substrato di un sito web e di decidere se accettare, eliminare, bloccare determinati cookie.

Cookie law

La prima normativa italiana sulle modalità di utilizzo dei cookie da parte degli operatori internet si basa sui contenuti di un testo emanato, sotto forma di provvedimento, nel maggio 2014, dal Garante per la Protezione dei Dati Personali, meglio conosciuto come Garante della Privacy, recante l’individuazione delle modalità semplificate per l’informativa e l’acquisizione del consenso per l’uso dei cookie.

Questa regolamentazione ha avuto un impatto tutt’altro che trascurabile nei confronti degli operatori informatici: i cookie infatti, come detto, sono ormai elementi essenziali per il buon funzionamento e per la corretta visualizzazione di quasi tutti i siti internet. Ed inoltre, il provvedimento ha espressamente previsto che ad esso debba adeguarsi qualsiasi sito internet effettui un “utilizzo dei cookie” nei confronti di cittadini italiani, indipendentemente dal fatto che il sito stesso, o il suo gestore, abbia sede nel nostro paese o all’estero.

La regolamentazione della gestione dei cookie prende spunto dalla normativa italiana vigente in materia di trattamento dei dati personali: l’articolo 122 del Codice della Privacy prevede infatti che le informazioni derivanti dalla tracciatura del profilo di un utente, possano essere utilizzate esclusivamente se tale utente ha manifestato espressamente la propria disponibilità ad utilizzare questi dati.

Da tale premessa deriva la ratio legis, per cui chiunque utilizzi cookie ha l’obbligo di informare l’utente sull’uso di questi e sul tipo di finalità che si intendono perseguire tramite gli stessi.

La normativa italiana è stata recentemente aggiornata nel giugno 2021, attraverso l’emanazione di nuove linee guida sui cookie e sugli altri sistemi di tracciamento. L’esigenza di apportare delle modifiche alla vecchia normativa deriva principalmente dall’emanazione, da parte dell’EDPB, di una nuova linea guida sul consenso.

Il caso: cosa deve fare il titolare di un sito

Dunque, come deve comportarsi il titolare di un sito web che vuole mettersi a norma per non rischiare le pesanti sanzioni previste dalla legge? Innanzitutto è bene analizzare i propri cookie per comprenderne usi e funzionalità.

Da questa analisi, deriverà il tipo di informativa, banner, consenso che il titolare del sito dovrà utilizzare.

Cookie tecnici, analitici, di profilazione e di terze parti

Dalla lettura comparata di entrambe le linee guida, otteniamo una buona categorizzazione, chiarendo le differenti tipologie di cookie presenti sui siti web.

• I cookie tecnici sono quelli che permettono al sito di funzionare correttamente, consentendo al visitatore una migliore navigazione del sito.
• I cookie analitici sono invece quelli destinati a fornire al gestore del sito dati meramente statistici come ad esempio il numero totale di visitatori del sito e di ogni sua pagina per ciascuna determinata fascia oraria.
• Diversa, infine, è la classificazione data ai cookie di profilazione: stando a quanto espressamente dice l’Autorità per la Privacy, tali strumenti servono a creare dei profili relativi all’utente che li incontra durante la sua navigazione, tale profilo viene poi utilizzato a scopi commerciali, attraverso l’invio di messaggi pubblicitari creati su misura in base ai gusti e alle preferenze manifestate in rete dall’utente profilato. I cookie di profilazione consentono insomma di “profilare” l’utente perché il sito grazie a questi file può ricostruire tutte le attività fatte da quel browser e dispositivo nel tempo.

Cookie di terze parti

Un’altra sub-distinzione effettuata dal legislatore, prende invece in considerazione il soggetto che materialmente trasmette il cookie tramite il sito web aperto dall’utente: sommariamente, ma non per questo in modo meno esaustivo, il regolamento del Garante ha provveduto a distinguere tra cookie di prime parti e cookie di terze parti.

L’interpretazione letterale è quella che di fatto rende meglio l’idea: il legislatore ha voluto distinguere tra i cookie trasmessi dal proprietario del sito internet, e i cookie trasmessi da soggetti terzi, di cui, come spesso accade, il proprietario del sito ne ignora la quantità raccolta e le finalità per le quali vengono poi sfruttati.

I cookie di terze parti consentono alle aziende di ricostruire le attività degli utenti su diversi siti/aziende e quindi fare un profilo più ampio e accurato, per la pubblicità personalizzata.

Ognuna delle predette categorie (1,2,3), incrociate con la distinzione “prima/terza parte” fa sorgere l’esigenza di un determinato tipo di comportamento delle informative privacy e informative cookie del sito web.

Proprio la presenza di cookie di terzi rappresenta la questione legalmente più difficile da inquadrare: da una parte c’è la necessità di dare consapevolezza al visitatore del sito su chi siano i destinatari delle proprie informazioni e del proprio profilo, dall’altra c’è anche la necessità di garantire usabilità e leggerezza al sito stesso.

Che cosa contengono i cookie

Ciò detto, in pratica i cookie contengono info stringhe di testo come il nome del sito e dati criptati, intellegibili solo a quel sito stesso come il valore numerico che serve a identificare il dispositivo.

Ci possono essere informazioni personali ma solo se l’utente le ha fornite al sito e comunque anche queste sono in forma criptata (in alternativa, il sito può memorizzare i dati personali dell’utente sul cloud, non sul computer).

Cookie, quando è richiesto il consenso dell’utente

In merito a tale considerazione e prima di passare all’analisi e ai modi di redazione delle info cookie, appare necessario evidenziare un’accortezza tecnica, imposta dal Garante della Privacy. Quest’ultimo ha infatti stabilito che, per quanto concerne i cookie di profilazione e, in generale, di terze parti, non indispensabili alla navigazione del sito stesso, il titolare del sito deve richiedere il consenso; e debba inserire un sistema che anche sia in grado di bloccare questi cookie prima che il visitatore presti il suo consenso a trasmetterli.

Dal punto di vista tecnico, questo aspetto è stato il problema maggiore introdotto dalla normativa emanata dal Garante a cui persino i sistemi di CMS si sono dovuti adeguare.

Il consenso deve essere libero: linee guida Edpb

Il 4 maggio l’EDPB ha emanato delle nuove linee guida in materia di consenso e qui le principali novità riguardano i cookie.

In particolare si stabilisce il principio che il consenso ai cookie deve essere libero. No a cookie wall: “muri”, come grandi finestre, che impediscono di fruire del sito se non si dà l’ok ai cookie. No a prassi che rendano implicito il consenso: per esempio, non basta più fare scrolling del sito per dare un lecito consenso ai cookie.

Consenso e cookie, nuove linee guida europee EDPB: cosa cambia

Come fare una cookie policy

Al fine di informare l’utente, il Garante ha previsto che l’avviso agli stessi debba manifestarsi in due modi distinti, attraverso l’informativa breve e l’informativa estesa. A seconda del caso andranno utilizzate entrambe o meno.

Vediamo innanzitutto come redigere dette informative per poi incrociarle con i vari tipi di trattamento.

Informativa breve

L’informativa breve è necessaria per quei casi in cui si rende necessario il consenso vero e proprio dell’utente (altre volte è sufficiente solo informare l’utente, senza raccoglierne il consenso) e compare all’utente attraverso un banner, non appena questo entra sul sito internet (indipendentemente dal fatto che entri dalla home page o da un’altra pagina).

Il Garante ha stabilito che tale informativa contenuta nel banner deve avere delle dimensioni tali da lasciar percepire all’utente una discontinuità tra il suo contenuto e la pagina web visualizzata. In altre parole il banner deve essere un elemento della pagina ben distinguibile e non può in alcun modo confondersi con i contenuti della pagina visualizzata dall’utente.

Il Garante ha inoltre precisato quale contenuto deve essere obbligatoriamente presente nel banner, nello specifico ha previsto che esso contenga:

– l’avviso all’utente che il sito utilizza cookie di profilazione, e, se il sito se ne avvale, del fatto che tali cookie possano essere anche di terze parti.

– l’indicazione relativa alla facoltà dell’utente di accettare l’installazione di tutti i cookie, rifiutare detta istallazione (attraverso un apposito comando come, ad esempio, una x in alto a destra o un pulsante specifico) o di scegliere le categorie di cookie attraverso il rimando ad una specifica area.

– il link alla menzionata area nella quale poter scegliere in modo analitico le funzionalità, le terze parti e i cookie che si vogliono installare e poter prestare il consenso all’impiego di tutti i cookie se non dato in precedenza o revocarlo, anche in unica soluzione, se già espresso. Le linee guida aggiungono, inoltre, che è buona prassi l’impiego di un segno grafico, una icona o altro accorgimento tecnico che indichi, anche in modo essenziale, ad es. nel footer di ogni pagina del dominio, lo stato dei consensi in precedenza resi dall’utente consentendone l’eventuale modifica o aggiornamento.

Inoltre, l’ area dedicata alle scelte di dettaglio dovrà essere raggiungibile anche tramite un ulteriore link posizionato nel footer di qualsiasi pagina del dominio;

– l’indicazione del fatto che chiudendo il banner senza accettare, resteranno installati solo i cookie tecnici necessarie.

– l’indicazione di un link di rinvio alla pagina in cui si trova l’informativa estesa.

Una volta effettuata la scelta, il banner dovrà scomparire e non essere riproposto prima di sei mesi, a meno che mutano significativamente le condizioni del trattamento oppure è impossibile, per il sito, sapere se un cookie sia stato già memorizzato nel dispositivo.

– In generale, deve essere presente un registro dei consensi.

Si stabilisce inoltre che il banner non deve impedire la prosecuzione della navigazione e nemmeno sparire ma deve restare evidente finché non venga operata una scelta da parte dell’utente e, fintantoché questa scelta non viene effettuata, resteranno installati esclusivamente i cookie tecnici.

Il banner, da ultimo, non è sempre necessario. Le ultime linee guida stabiliscono, infatti, che qualora il sito utilizzi esclusivamente cookie tecnici, tale informazione può essere collocata nella home page del sito o nell’informativa generale.

Informativa estesa

Quanto all’informativa estesa, il Garante della Privacy ha precisato che in essa debbono necessariamente essere presenti tutte le informazioni richieste dall’articolo 13 del GDPR.

Inoltre la cookie policy del sito deve contenere informazioni riguardanti la natura facoltativa o obbligatoria dei dati raccolti e le conseguenze per l’utente di un suo eventuale diniego a fornire i dati.

Se il sito web trasmette cookie di terze parti, il titolare del sito deve fornire tutte le indicazioni su tali soggetti ed integrare la propria informativa con dei link alle cookie policy di tali terze parti.

L’informativa estesa deve essere raggiungibile attraverso il link contenuto nel banner dell’informativa breve, inoltre, un ulteriore link, deve essere riportato nella parte inferiore di ciascuna pagina del sito internet.

Nel medesimo spazio dell’informativa estesa deve essere richiamata la possibilità per l’utente di manifestare le proprie opzioni in merito all’uso dei cookie da parte del sito anche attraverso le impostazioni del browser, indicando almeno la procedura da eseguire per configurare tali impostazioni. A tel fine si rende necessario elencare i cookie utilizzati e le singole e relative finalità.

Le tipologie di Cookie

In base a quanto detto sin ora e a quanto stabilito dai provvedimenti dell’8 Maggio 2014 e del 10 giugno 2021 del Garante Privacy, nonché dai successivi chiarimenti, analizziamo quindi i vari casi, per orientarci sui modi di adeguamento dei siti web.

Di seguito elencherò i tipi di cookie incrociati con la distinzione prima/terza parte e indicherò il tipo di adeguamento necessario per il sito web.

• cookies tecnici (navigazione, lingua, carrello e-commerce, autenticazione): creare solo informativa estesa, anche in un’altra pagina, con link diretto dall’home page, elencando i tipi di cookie tecnici e le finalità;
• cookies analytics propri (prima parte): i chiarimenti del Garante del 05/06/15 e le ultime linee guida, li hanno assimilati in tutto e per tutto ai cookie tecnici. Pertanto, come nel caso precedente, anche qui sarà sufficiente creare solo informativa estesa ex art. 13 GDPR, con le stesse modalità indicate sopra;
• cookies analytics di terzi(come Google Analytics): Sono equiparabili ai cookie e agli altri identificatori tecnici solo se:

–                vengono utilizzati unicamente per produrre statistiche aggregate e in relazione ad un singolo sito o una sola applicazione mobile;

–                viene mascherata, per quelli di terze parti, almeno la quarta componente dell’indirizzo IP;

–                le terze parti si astengono dal combinare i cookie analytics, così minimizzati, con altre elaborazioni (file dei clienti o statistiche di visite ad altri siti, ad esempio) o dal trasmetterli ad ulteriori terzi. È tuttavia consentita alle terze parti la produzione di statistiche con dati relativi a più domini, siti web o app che siano riconducibili al medesimo publisher o gruppo imprenditoriale. In caso contrario sarà necessario chiedere il consenso alla loro installazione e dunque occorrerà l’informativa breve, il pulsante per accettare tutti i cookie, quello per rifiutarli tutti e quello per selezionare le categorie di cookie che si vogliono installare.

• cookies di profilazione propria: informativa breve con banner semplificato di consenso espresso tramite il quale si avverte che il sito consente l’invio di cookies di profilazione  + link ad informativa completa ex art. 13 GDPR , il pulsante per accettare tutti i cookie, quello per rifiutarli tutti e quello per selezionare le categorie di cookie che si vogliono installare
• cookies di profilazione altrui(come Adsense ads): informativa breve con banner semplificato di consenso espresso tramite il quale si avverte che il sito consente l’invio di cookies di profilazione di terze parti + link ad informativa completa ex art. 13 GDPR, il pulsante per accettare tutti i cookie, quello per rifiutarli tutti e quello per selezionare le categorie di cookie che si vogliono installare”.

Esempi pratici: informative per Google Adsense e Google Analytics

Google Adsense e Google Analytics, ognuno nel suo mercato, sono leader indiscussi e godono di una copertura mondiale che ormai non ha concorrenza.

Entrambi i servizi utilizzano cookie, di profilazione Adsense e tecnici Analytics.

Conseguentemente, come deve comportarsi il gestore del sito internet che utilizza uno o entrambi gli strumenti di Google?

In base al dettato del provvedimento, alle regole, agli esempi ed alle f.a.q. del Garante, chi si serve di Google Analytics dovrà utilizzare la seguente configurazione:

–          banner semplificato all’apertura tramite il quale a) si avverte che il sito fa uso di cookie tecnici per ricordare la scelta dell’utente, b) si avverte che il sito consente anche l’invio di cookie di terze parti, c) si indica il link all’informativa completa  d) si comunica che comunque è possibile scegliere di non autorizzare i cookie di analisi tramite il sito del terzo.

–          informativa completa tramite la quale si devono rendere tutte le informazioni ex art. 13 GDPR (necessarie solo per il cookie tecnico installato) nonché l’elenco dei cookie installati, le relative funzioni e le informazioni relative al link all’informativa privacy di Google Analytics.

Google Adsense invece installa cookie di profilazione. In tal caso sarà necessario richiedere il consenso, nella qualità di intermediari tecnici, anche per conto di Google.

Ed allora la configurazione sarà:

–          banner semplificato all’apertura del quale non devono essere preventivamente installati i cookie di Adsense e tramite il quale a) si avverte che il sito fa uso di cookie tecnici per ricordare la scelta dell’utente, b) si avverte che il sito consente anche l’invio di cookie di terze parti c) si richiede il consenso nella qualità di intermendiari tecnici, d) si indica il link all’informativa completa,  e) si comunica che la prosecuzione della navigazione chiudendo il banner manterrà le impostazioni di default e f) si darà a possibilità all’utente di selezionare le categorie di cookie da installare.

–          informativa completa tramite la quale si devono rendere tutte le informazioni ex art. 13 GDPR (necessarie solo per il cookie tecnico installato) nonché le informazioni relative al link che indirizza all’informativa privacy di Google Adsense.

Allo stato, la difficoltà maggiore è quella di impedire che, sotto il banner semplificato, Adsense continui a lavorare installando i suoi cookie. Come già detto i cookie dovranno essere installati solo dopo il consenso dell’utente.

Una soluzione tecnica ce la offre Gualtiero Santucci, SEO Specialist e consulente web marketing: “visto che, come risaputo, il codice fornito da Google, per regolamento, non si può variare, al fine di poter mostrare gli annunci solo a consenso avvenuto, stiamo sperimentando una soluzione che consenta di gestire gli script inserendoli in porzioni di codice html+js+css con delle proprie classi, senza inficiare il funzionamento di Adsense”

Appare subito evidente che per rendere effettive ed efficaci queste nuove norme, si devono possedere nozioni di html, di javascript, di grafica e di css oppure, in alternativa, si dovranno cercare soluzioni a pagamento.

“Qualsiasi sito – continua Santucci – per vivere ha bisogno che tutto funzioni in modo perfetto, ogni pagina è fatta per catturare l’attenzione dei visitatori, per sottoporre agli stessi i messaggi pubblicitari, per portarli a concludere delle azioni tramite passaggi ben studiati, dettati da precise tecniche di marketing. L’efficacia delle conversioni di un sito si gioca sul filo dei secondi e gli addetti ai lavori sanno bene quanto ogni attimo di ritardo porti a mancate conversioni. Quale impatto avranno queste complicazioni sulla funzionalità dei siti web e sul mercato?”.

Sanzioni e notifica al garante

Con l’entrata in vigore del GDPR e l’abrogazione di alcuni articoli del d.lgs. n.196/03 il quadro sanzionatorio è mutato profondamente.

La disciplina sui cookie è prevista dall’articolo 122 del codice italiano e la sua violazione, ai sensi dell’articolo 166 c2 codice italiano, comporta l’applicazione dell’articolo 83 par. 5 gdpr e dunque fino a 20.000.000

È stato inoltre eliminato l’obbligo di notifica al Garante.

Detto ciò, so che una dichiarazione come quella che sto per fare potrebbe essere scambiata per acqua che tiro verso il mio/nostro mulino, ma nella presente guida, in una rivista così autorevole e qualificata, non posso esimermi dal dare un consiglio importante.

I professionisti, gli avvocati, i consulenti, solitamente hanno un’assicurazione professionale (o comunque dovrebbero averla). Una consulenza per la redazione di un’informativa cookie ha un costo davvero irrisorio. Rivolgersi ad un esperto privacy vorrebbe dire affidarsi a lui per l’adeguamento del sito web e, contemporaneamente, tramite un ordinario meccanismo di incarico professionale e relativa responsabilità prevista dalla legge italiana, il committente avrebbe il diritto di rifarsi sul professionista (se italiano e regolare) se le eventuali sanzioni comminate dovessero dipendere da un errore nella redazione dell’informativa.