La gestione dei cookie costituisce un tema spesso complesso per le aziende, le quali si trovano di fronte a una normativa in continua evoluzione.
Proviamo pertanto a fornire una guida pratica alla lettura dei principi elencati nel recente Cookie Pledge, al momento pubblicato in bozza, il quale definirà dei principi generali cui le aziende potranno aderire su base volontaria per quanto riguarda l’utilizzo dei cookie in UE.
Cosa è il Cookie Pledge e cosa comporta per le aziende
Si tratta in particolare di un insieme di principi concordati tra Commissione UE, imprese dell’ecosistema della pubblicità digitale e associazioni di consumatori ed esercenti la cui versione finale dovrebbe essere definita in occasione del Consumer Summit di aprile 2024, su cui si è peraltro già espresso a fine dicembre 2023 l’European Data Protection Board (“EDPB”).
Cookie strettamente necessari
Secondo l’attuale versione del Cookie Pledge, il cookie banner presente su un sito non dovrebbe contenere informazioni sui cosiddetti cookie essenziali né il riferimento alla raccolta di dati basata sul legittimo interesse. Al fine di ridurre la quantità di informazioni che devono essere lette dall’utente, infatti, l’intento della Commissione UE è quello di consentire agli utenti di concentrarsi sui cookie che hanno una rilevanza maggiore in termini di invasività del trattamento e per i quali è necessario compiere una scelta effettiva (posto che non è necessario il consenso per i cookie strettamente necessari. Questi potranno e dovranno, ovviamente, essere però presenti nell’informativa più ampia, disponibile tramite link nel cookie banner.
A questo proposito, l’EDPB concorda di fatto con la posizione già espressa dalla Commissione UE, ribadendo però la necessità che i cookie essenziali siano effettivamente utilizzati solo per le finalità strettamente tecniche. Tuttavia, l’EDPB esprime anche alcune ulteriori considerazioni utili per l’implementazione pratica, ad esempio raccomandando di sostituire il termine “essenziale” con “strettamente necessario”. Alla luce del parere dell’EDPB, può concludersi che per i cookie strettamente necessari è sufficiente una informativa di “alto livello”, mentre come si dirà di seguito un certo grado di granularità è richiesta per gli altri (di marketing, profilazione, analitici non essenziali ecc.), e che il consenso non è in alcun caso necessario se dall’installazione di quel cookie non derivino ulteriori trattamenti.
Il cookie banner nei modelli di business basati sulla pubblicità
Al fine di fornire maggiore trasparenza nei confronti dei consumatori, la Commissione UE rimarca la necessità per le aziende di indicare ai consumatori fin da subito che i contenuti mostrati sono finanziati almeno in parte attraverso la pubblicità. Tale informazione dovrebbe essere indicata non appena gli utenti accedono per la prima volta all’app o al sito web tramite l’installazione di un apposito cookie banner.
Peraltro, come indicato dalla Commissione Europea, i cookie utilizzati per modelli di business dovrebbero essere indicati in un unico banner che combina sia gli elementi legati alla normativa consumeristica (ad esempio, i termini e condizioni) sia il consenso e il link l’informativa estesa necessari ai sensi della normativa privacy. Questo pannello dovrebbe presentare chiaramente le opzioni di business utilizzate dall’azienda, descrivendo l’impiego degli strumenti di tracciamento ai fini di profilazione.
Uso della pubblicità contestuale come alternativa al tracciamento
Un elemento di novità del Cookie Pledge riguarda il modello di business costruito attorno l’utilizzo dei cookie paywall. La Commissione UE indica chiaramente (e sorprendentemente) che imporre un ultimatum del tipo “paga o lascia” (“pay or leave”) contestualmente all’installazione di banner complessi sui cookie potrebbe essere considerato manipolativo. Nel caso di un’alternativa tra il tracciamento o l’opzione di pagamento di una tariffa, ai consumatori dovrebbe sempre essere offerta un’ulteriore scelta per una forma di pubblicità meno intrusiva per la privacy. In altre parole, chiedere ai consumatori di pagare per non essere profilati non pare essere una alternativa credibile al tracciamento del loro comportamento per fini pubblicitari e, quindi, occorrerebbe proporre ai consumatori una “terza via” meno intrusiva dal punto di vista privacy – che anche se non specificata dalla Commissione UE potrebbe essere della pubblicità “contestuale”.
Non a caso, l’EDPB nelle sue raccomandazioni suggerisce proprio di utilizzare la pubblicità contestuale (“contextual advertising”) come approccio meno invasivo. Il cookie banner dovrebbe dunque informare gli utenti su questo tipo di pubblicità come alternativa alla pubblicità basata su tracciamento o al pagamento di una tariffa/abbonamento. In termini pratici, questo significa che gli annunci mostrati sono pertinenti al contenuto della pagina, come un annuncio di attrezzature sportive su una pagina di notizie sportive, e non all’attività di navigazione del singolo utente. A differenza della pubblicità basata sulla profilazione, che raccoglie dati sul comportamento online dell’utente (siti visitati, acquisti, ricerche, ecc.), infatti, la pubblicità contestuale non richiede né utilizza queste informazioni. Essa si concentra esclusivamente sul contesto della pagina web attualmente visitata.
Quanti consensi sono necessari per i cookie di tracciamento
Il consenso fornito per l’installazione dei cookie di marketing non dovrebbe essere necessario per ogni singolo tracker. La Commissione UE ritiene possibile, infatti, fornire una prima accettazione generale per tutti i cookie di profilazione, dando poi la possibilità per coloro che lo desiderano di fornire in un secondo livello ulteriori informazioni sui tipi di cookie utilizzati a scopo pubblicitario, effettuando una selezione più granulare e dettagliata laddove opportuno. Sul punto, l’EDPB stressa il principio secondo cui gli interessati dovrebbero sempre avere la possibilità di “rifiutare” tutti i cookie non strettamente necessari nel primo livello del banner, con una azione unica. In questi casi, deve essere presente un pulsante del tipo “accetta tutti”, e questo dovrebbe essere accompagnato anche da un pulsante “rifiuta tutti”.
Pertanto, nell’ottica di Commissione UE e EDPB, un’app di notizie o un quotidiano che sfrutta modelli di business installando tracker/cookies di terze parti, ma che offre anche un’opzione a pagamento senza pubblicità personalizzata, dovrebbe offrire agli utenti loro diverse opzioni alternative quali:
- consultare gratuitamente il sito accettando la pubblicità basata su strumenti di tracciamento (in questo caso, l’utente potrà prestare un consenso unico per tutti i cookie di profilazione con il tasto “accetta tutti” oppure decidere di effettuare una scelta più granulare a propria discrezione per singolo strumento di tracciamento);
- consultare gratuitamente il sito optando però per un modello di pubblicità meno invasivo, come la pubblicità contestuale, escludendo dunque qualsiasi tipo di profilazione (in questo caso, un tasto specifico dovrebbe essere reso disponibile); oppure
- abbonarsi a pagamento per usufruire del sito senza alcun tipo di pubblicità.
Si tratta ovviamente di criteri generali, posto che una valutazione sarà necessaria caso per caso, tenendo conto delle diverse opzioni effettivamente possibili, il modello di business operato, il livello di invasività degli strumenti, l’aspettativa degli utenti, ecc.
Per quanto tempo è valida la scelta dell’utente
Il tema della durata delle scelte compiute dall’utente è da tempo oggetto di dibattito. Attualmente, è molto comune la pratica di non registrare il rifiuto dell’utente all’installazione dei cookie per i quali è necessario un consenso, con la conseguenza che ad ogni accesso l’utente è vessato dalla richiesta di installazione. A questo proposito, il Cookie Pledge della Commissione UE raccomanda, in termini generali, la registrazione del rifiuto. Tale requisito è stato poi ulteriormente dettagliato dall’EDPB, secondo cui l’eventuale rifiuto all’installazione dei cookie che richiedono un consenso dovrebbe essere registrato per la durata di un anno, attraverso il ricorso a un cookie tecnico che registri il rifiuto espresso dall’utente e che non consenta una diretta identificazione dello stesso. La ratio, è evidente, è quella di evitare che l’utente debba continuamente ripetere il rifiuto all’installazione ogni volta che visita lo stesso sito web. Un passo ulteriore per ridurre la cd. “cookie fatigue”, cioè quell’affaticamento da cookie che viviamo tutti ogni giorno.
