Potrebbe presto essere definitivamente vietata la pratica, oggi abbastanza utilizzata da diversi siti internet, di richiedere il consenso degli utenti – all’utilizzo dei cookie, ma non solo – mediante caselle di spunta preselezionate.
Lo stop definitivo potrebbe arrivare da un’attesa sentenza della Corte di Giustizia europea sul caso Planet49, dopo che già si è pronunciato l’Avvocato generale della Corte Maciej Szpunar, il cui parare non è vincolante ma potrebbe avere un peso sul giudizio finale.
Il consenso all’uso dei cookie
Il consenso dell’interessato è solo una delle basi giuridiche che autorizzano il trattamento dei dati personali. Di fatto, però, è quella più utilizzata su internet. Nonostante ciò, i requisiti da soddisfare perché il consenso venga ritenuto valido sono da tempo circondati da un alone di incertezza.
Ad esempio: quali e quante informazioni è necessario fornire all’interessato affinché il consenso si possa considerare “informato”? Il consenso può essere fornito tramite una casella di spunta preselezionata? La prestazione del consenso al trattamento dei dati deve essere separata da altre manifestazioni di volontà?
Queste sono alcune delle domande a cui la Corte di giustizia europea dovrà rispondere a breve, in particolare per quanto riguarda il consenso all’uso dei cookie.
Il consenso nel GDPR e nella Direttiva ePrivacy
La normativa Ue previgente al GDPR (ovvero, la Direttiva 95/46/CE) prevedeva che l’interessato dovesse esprimere il proprio consenso al trattamento dei propri dati tramite una “manifestazione di volontà libera, specifica e informata”. Tuttavia, tali requisiti venivano interpretati in maniera differente nei diversi Stati membri. Ad esempio, mentre in alcuni Stati vigeva l’obbligo generale del consenso scritto, altri Stati ammettevano il consenso tacito o presunto.
A questo proposito, uno degli obbiettivi del GDPR è proprio quello di rafforzare e rendere più chiare le norme sul consenso. A tal fine, la definizione di “consenso” attualmente fornita dall’articolo 4(11) del GDPR specifica che, oltre a dover essere libero, specifico ed informato, il consenso debba tradursi in una manifestazione di volontà “inequivocabile” dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante “dichiarazione o azione positiva inequivocabile”, che i dati personali che lo riguardano siano oggetto di trattamento.
Tale definizione di consenso ̶ ed i relativi requisiti ̶ si applicano anche ai fini della Direttiva ePrivacy 2002/58/CE, ovvero di quella Direttiva che fissa l’obbligo di ottenere il consenso dell’utente all’istallazione ed uso di cookie, ossia di quegli strumenti utilizzati dai siti web per memorizzare le azioni o le preferenze degli utenti nel corso del tempo.
Il caso Planet49: consenso all’uso di cookie
Nonostante i requisiti del consenso risultino meglio delineati nel GDPR, è stato recentemente richiesto alla Corte di giustizia europea di chiarire ulteriormente quali siano esattamente i requisiti del consenso, in particolare per quanto riguarda l’installazione di cookie, sia a norma del GDPR che della Direttiva 95/46/CE.
La domanda di pronuncia pregiudiziale in questione trova la sua origine in un caso pendente davanti alla Corte federale di giustizia tedesca (Bundesgerichtshof). Il caso riguarda un gioco a premi organizzato dalla Planet49, il cui sito richiedeva agli utenti il consenso installazione di cookie mediante una casella di spunta preselezionata.
In sostanza, il Bundesgerichtshof ha richiesto alla Corte di giustizia europea di chiarire se, alla luce del diritto Ue, il consenso all’istallazione di cookie possa essere validamente ottenuto nei modi sopra descritti, e quali informazioni debbano essere fornite all’utente riguardo all’uso dei cookie affinché si possa ritenere che il consenso espresso sia “informato”.
L’opinione dell’avvocato generale
Com’è d’uso, prima che la Corte di giustizia Ue si pronunci, uno degli Avvocati generali della Corte (in questo caso, l’Avvocato generale Maciej Szpunar) ha espresso la propria opinione sulle domande poste alla Corte nel caso in esame.
L’opinione dell’Avvocato generale non è vincolante per i giudici della Corte, ma potrebbe avere un impatto importante sulla decisione finale. È quindi interessante andare a vedere come l’Avvocato generale Szpunar abbia affrontato le problematiche sollevate nel caso.
Secondo l’Avvocato generale, sia a norma della Direttiva 95/46/CE che del GDPR, il consenso dev’essere manifestato in maniera attiva. A tal proposito, non sarebbe valido un consenso espresso mediante una dichiarazione preformulata che richieda all’utente di opporsi attivamente qualora non acconsentisse al trattamento dei dati.
Inoltre, sempre secondo l’Avvocato generale, affinché il consenso sia “liberamente manifestato” e “informato”, non dev’essere solo attivo, ma anche separato. In altre parole, “l’attività che un utente svolge su Internet (leggere una pagina web, partecipare a un gioco a premi, guardare un video, ecc.) e la prestazione del consenso non possono far parte dello stesso atto. In particolare, dal punto di vista dell’utente, la manifestazione del consenso non può apparire di natura accessoria rispetto alla partecipazione al gioco a premi. Entrambe le azioni devono, specialmente sotto il profilo visivo, essere presentate su un piano di parità”.
In ultimo, “per l’utente dev’essere perfettamente chiaro se l’attività che intende svolgere su Internet è subordinata alla manifestazione del consenso. Un utente dev’essere in grado di valutare fino a qual punto sia disposto a fornire i propri dati al fine di svolgere la propria attività su Internet, senza alcuna forma di ambiguità. Un utente deve sapere se e in qual misura la propria manifestazione di consenso incida sullo svolgimento della propria attività su Internet”.
Sulla base di tali criteri, l’Avvocato generale conclude che, sia a norma della Direttiva 95/46/CE che del GDPR, non sussiste un consenso valido in una situazione come quella oggetto del procedimento pendente davanti al Bundesgerichtshof in cui l’installazione e l’uso di cookie siano consentiti tramite una casella preselezionata che l’utente deve deselezionare per negare il proprio consenso e in cui il consenso non sia prestato separatamente, bensì contemporaneamente alla conferma della partecipazione ad un gioco a premi.
In aggiunta, l’Avvocato generale ritiene che, al momento in cui gli viene richiesto di prestare il proprio consenso all’uso di cookie, l’utente debba essere informato, tra le altre cose, sulla durata dei cookie, nonché sul fatto che taluni terzi abbiano accesso o meno ai cookie stessi.
L’impatto della (futura) decisione della Corte di giustizia
Come anticipato, la Corte di Giustizia non è tenuta a seguire l’impostazione data al caso dall’Avvocato generale. Tuttavia, nel caso dovesse farlo (come è probabile che faccia), la pratica di richiedere il consenso degli utenti – all’utilizzo dei cookie, ma non solo – mediante caselle di spunta preselezionate (una pratica ad oggi abbastanza comune) dovrebbe ritenersi definitivamente vietata. Anche i requisiti di informativa relativi all’uso dei cookie e la necessità di richiedere consensi separati per finalità diverse ne uscirebbero rafforzati. Questo potrebbe spingere le autorità garanti della privacy europee a monitorare con maggiore attenzione il rispetto di tali requisiti da parte dei siti internet rivolti agli utenti europei.
In aggiunta, è probabile che la decisione della Corte giochi un ruolo importante nell’ambito dei negoziati che si stanno attualmente svolgendo sul testo del nuovo Regolamento ePrivacy (ovvero, quel Regolamento che dovrebbe andare a sostituire la Direttiva ePrivacy), visto che il tema dei cookie è proprio uno di quelli dove si registrano maggiori divergenze di vedute.
A questo proposito, è importante notare come i legislatori europei tendano a codificare quanto deciso dalla Corte quando si trovano a legiferare su temi su cui la Corte si è già espressa.
La decisione della Corte è attesa nei prossimi mesi.
