Gestione dei cookie: consenso e tracker nell'e-commerce

La normativa sui cookie non si esaurisce nel RGPD. Si basa su un testo distinto — la cosiddetta direttiva "vita privata e comunicazioni elettroniche", recepita nel diritto francese — che impone un consenso preventivo a qualsiasi lettura o scrittura di informazioni sul terminale dell'utente, indipendentemente dal fatto che tale informazione costituisca o meno un dato personale. È questa autonomia a spiegare la maggior parte delle diffide: un tracciatore non personale resta comunque soggetto al consenso.

Cosa è coperto e cosa non lo è

L'ambito è più ampio di quanto la parola "cookie" possa suggerire. Sono interessati tutti i procedimenti di memorizzazione o accesso a informazioni sul terminale: cookie HTTP, storage locale, pixel invisibili, identificatori di dispositivo, impronta digitale del browser.

Due categorie sfuggono all'obbligo di consenso, e sono di interpretazione restrittiva:

• I tracciatori strettamente necessari alla fornitura di un servizio espressamente richiesto dall'utente: carrello d'acquisto, identificatore di sessione, memorizzazione di una scelta linguistica, bilanciamento del carico.
• I tracciatori aventi come finalità esclusiva quella di consentire o facilitare una comunicazione elettronica.

La misurazione dell'audience si colloca in una zona particolare: può essere esentata dal consenso a condizioni cumulative rigorose — finalità limitata alla sola misurazione, nessun incrocio con altri trattamenti, nessuna trasmissione a terzi, durata di conservazione limitata. Una soluzione di analisi ampiamente diffusa, che incrocia i dati tra siti o li trasmette al proprio editore, non soddisfa queste condizioni.

Le regole della raccolta

Tre requisiti strutturano il banner di consenso, e ciascuno è stato oggetto di sanzioni.

Il consenso deve essere preventivo. Nessun tracciatore non esentato può essere depositato prima dell'azione dell'utente. Un deposito al caricamento della pagina, prima di qualsiasi clic, costituisce un'infrazione in sé — è la violazione più frequentemente riscontrata.

Rifiutare deve essere altrettanto semplice quanto accettare. Un banner che propone un pulsante "Accetta tutto" ben visibile e rinvia il rifiuto a un secondo livello di impostazioni non soddisfa questo requisito. Le due azioni devono essere accessibili allo stesso livello e con lo stesso numero di clic.

Il consenso deve essere libero, specifico, informato e inequivocabile. Non può derivare dalla prosecuzione della navigazione, dallo scorrimento della pagina, né da una casella preselezionata. Deve essere raccolto per finalità, con l'utente in grado di accettare la misurazione dell'audience senza dover accettare la pubblicità mirata.

A ciò si aggiunge il ritiro del consenso, che deve essere altrettanto facile quanto il consenso iniziale e accessibile in qualsiasi momento, il che presuppone un punto di accesso permanente sul sito.

Durate e conservazione

Due durate distinte vengono spesso confuse.

La durata di vita dei tracciatori è limitata in pratica a tredici mesi, senza proroga automatica a ogni nuova visita. Le informazioni raccolte tramite questi tracciatori vengono conservate solo per un tempo limitato oltre tale periodo.

La durata di validità del consenso è distinta: la scelta dell'utente, sia essa positiva o negativa, deve essere conservata per evitare di richiederla ad ogni visita. La prassi raccomandata è di conservare tale scelta per circa sei mesi, senza che un rifiuto debba essere sollecitato nuovamente più frequentemente di un'accettazione.

Il titolare deve infine essere in grado di dimostrare la validità della raccolta del consenso. Questa prova presuppone di registrare, per ogni utente, la versione del banner mostrata, le finalità presentate e la scelta espressa. Senza questa registrazione, l'affermazione "raccogliamo il consenso" non è dimostrabile — la stessa logica probatoria che governa l'accettazione delle condizioni generali.

Le responsabilità condivise

Un sito che integra tracciatori di terze parti — concessionaria pubblicitaria, social network, strumento di analisi — non è esonerato dalla propria responsabilità. L'editore che decide l'implementazione di un tracciatore ne determina la finalità e assume la relativa responsabilità, anche quando il tracciatore appartiene a un terzo.

Due conseguenze pratiche. Un inventario aggiornato dei tracciatori effettivamente depositati è indispensabile, e va verificato in condizioni reali piuttosto che sulla documentazione dei fornitori: i tag aggiunti dagli strumenti di marketing sfuggono spesso all'inventario dichiarativo. E i rapporti con i terzi devono essere formalizzati contrattualmente, identificando chi è titolare del trattamento e chi è responsabile del trattamento per conto terzi.

Sanzioni e controlli

L'inosservanza delle regole sui tracciatori rientra in un regime proprio: è sanzionata sulla base del testo speciale, il che consente all'autorità di controllo nazionale di agire direttamente, senza passare attraverso il meccanismo di cooperazione europeo. Ciò spiega la rapidità e l'entità delle decisioni emesse in materia.

I controlli vertono in via prioritaria su tre punti oggettivamente verificabili dall'esterno: il deposito di tracciatori prima del consenso, l'asimmetria tra accettare e rifiutare, e la persistenza di tracciatori dopo un rifiuto. Questi tre punti si verificano in pochi minuti con gli strumenti di sviluppo di un browser, il che rende l'esposizione permanente.

Scenari d'uso

Negozio online con pubblicità. Separare le finalità — funzionamento, misurazione dell'audience, pubblicità — e consentire un consenso distinto per ciascuna. I tracciatori del carrello non rientrano nell'obbligo di consenso, quelli del retargeting pubblicitario sempre. È un punto strutturante del quadro giuridico di un negozio online.

Sito vetrina con misurazione dell'audience. Verificare se la configurazione adottata soddisfa le condizioni di esenzione. In caso affermativo, non è necessario alcun banner per questa finalità; in caso contrario, il consenso è richiesto come per qualsiasi altro tracciatore.

Rifacimento del sito. Effettuare l'inventario dei tracciatori nell'ambiente di collaudo prima della messa in produzione, quindi rifarlo in produzione: gli strumenti aggiunti dai team di marketing dopo il rilascio sono la fonte di scostamento più frequente. Questa disciplina si ricollega alle esigenze descritte per gli standard di pagamento sicuro.

Domande frequenti

Tutti i cookie richiedono il consenso? No. Quelli strettamente necessari a un servizio espressamente richiesto — carrello, sessione, preferenza linguistica — ne sono esentati, così come quelli utilizzati esclusivamente per consentire una comunicazione. L'esenzione è di interpretazione restrittiva.

La prosecuzione della navigazione equivale al consenso? No. Il consenso deve essere inequivocabile e derivare da un atto positivo. Né lo scorrimento, né la prosecuzione della navigazione, né una casella preselezionata sono sufficienti.

Rifiutare deve essere altrettanto semplice quanto accettare? Sì. Le due opzioni devono essere presentate allo stesso livello, con uno sforzo equivalente. Relegare il rifiuto dietro un menu di impostazioni costituisce una violazione manifesta.

Per quanto tempo conservare la scelta dell'utente? La scelta, positiva o negativa, si conserva per evitare di riproporla ad ogni visita — circa sei mesi in pratica. È distinta dalla durata di vita dei tracciatori, limitata a tredici mesi.

La misurazione dell'audience è esentata? Solo a condizioni cumulative rigorose: finalità limitata alla misurazione, assenza di incrocio dei dati, assenza di trasmissione a terzi, conservazione limitata. La maggior parte delle soluzioni destinate al grande pubblico non le soddisfa nella configurazione predefinita.

Chi è responsabile dei tracciatori di terze parti? L'editore del sito, dal momento che decide della loro implementazione e della loro finalità. La responsabilità non viene trasferita al fornitore del tracciatore.

Da ricordare

Tre violazioni concentrano la maggior parte delle sanzioni, e tutte e tre sono rilevabili dall'esterno in pochi minuti: tracciatori depositati prima di qualsiasi consenso, un rifiuto più oneroso da esprimere rispetto a un'accettazione, e tracciatori che persistono nonostante un rifiuto.

Due misure vi rispondono in modo duraturo. Un inventario dei tracciatori verificato in condizioni reali e non sulla documentazione, rifatto dopo ogni messa in produzione. E una registrazione del consenso che documenti la versione del banner, le finalità presentate e la scelta espressa — senza di essa, la conformità è affermata ma non dimostrabile, il che equivale allo stesso risultato in caso di controllo.