Cookies e altri strumenti di tracciamento: il Garante avvia una consultazione pubblica

L’Autorità Garante per la protezione dei dati personali (il “Garante”), il 10 dicembre 2020, ha avviato una consultazione pubblica in merito alle “Linee Guida sull’utilizzo dei cookie, o di altri strumenti di tracciamento” (le “Linee Guida”) redatte il precedente 26 ottobre.

L’intervento del Garante fa seguito alle indicazioni fornite dal Comitato dei Garanti europei (“EDPB” – “European Data Protection Borard”) nelle “Linee guida 5/2020 sul consenso ai sensi del Regolamento (UE) 2016/679” del 4 maggio 2020.

I cookie sono piccole stringhe di testo che i siti web (cd. publisher o “prima parte”) visitati dall’utente ovvero siti o web server diversi (cd. “terze parti”) posizionano e archiviano all’interno del dispositivo in uso (ad esempio, Smartphone, Pc o Tablet). I cookie permettono di raccogliere informazioni e migliorare la navigazione dell’utente/interessato.

Il Regolamento (UE) 2016/679 in materia di protezione dei dati personali (“GDPR”), pur non modificando direttamente la disciplina relativa a detti strumenti di tracciamento, regolamenta puntualmente il consenso al trattamento dei dati personali. In particolare, viene stabilito che il consenso deve essere fornito dagli interessati tramite una “manifestazione di volontà libera, specifica, informata e inequivocabile” (cfr. articolo 4, GDPR).

Quanto sopra pone l’attenzione, secondo il “principio dell’accountability”, sull’attuazione dei principi di protezione dei dati già dalla progettazione e per impostazioni predefinite (cd. “privacy by design e by default“), rendendo necessaria una analisi sulle corrette modalità di rilascio dell’informativa online agli utenti/interessati e di acquisizione, ove necessario, del loro consenso.

Ciò detto, Le Linee Guida, recependo quanto affermato dall’EDPB, chiariscono, tra le altre, che:

• “il semplice scrolling (ossia “l’azione consistente nel lasciare scorrere la pagina così da mostrarne sullo schermo la parte sottostante al banner contenente l’informativa breve”) non sarebbe mai idoneo, per sé, ad esprimere compiutamente la manifestazione di volontà dell’interessato” o
• la reiterazione nella raccolta del consenso, qualora non siano state apportate modifiche al trattamento dei dati, attraverso una continua riproposizione del banner (c.d. informativa breve) ad ogni accesso, risulta “ridondante ed invasiva”.

Le Linee Guida chiariscono, altresì, che ciascun Titolare del trattamento ha il dovere di fornire ai propri interessati/utenti puntuali informazioni sul trattamento effettuato con i loro dati. Informativa questa che deve essere fornita su un doppio livello: (i) informativa c.d. breve o banner che contenga il link di rinvio (ii) all’informativa estesa.

Al termine della consultazione pubblica diretta ad imprenditori, consumatori, utenti ed operatori del settore e dell’analisi, seguita dell’eventuale recepimento, delle osservazioni pervenute, l’Autorità provvederà emettere il provvedimento finale.

Altri insights correlati:

• Legittimo il trattamento dati personali mediante GPS ma con prescrizioni
• Linee Guida del Comitato Europeo per la Protezione dei Dati sull’applicazione territoriale del GDPR