Cercando in giro per il web informazione sulla legge italiana che disciplina l’utilizzo dei cookie, a cui ci si doveva obbligatoriamente conformare entro il 3 giugno scorso, non si fa altro che incappare in post che vanno dall’indignato al disperato, ai quali seguono risposte imprecise, frettolose e a loro volta indignate e disperate. Questo non fa altro che creare, se mai fosse possibile, ancora più confusione di quanto il semplice ingresso della legge abbia fatto.
Proviamo quindi a rispondere alle domande più gettonate del ‘popolo della rete’:
Se utilizzo Google AdSense sul mio sito che tipo di cookie ho? Come mi devo adeguare?
AdSense è un servizio di banner pubblicitari offerto da Google che permette di pubblicare annunci pubblicitari sul proprio sito web, guadagnando in base al numero di esposizioni dell’annuncio pubblicitario. Negli annunci di questo tipo Google utilizza il cookie DoubleClick. Questo fa parte dei cookie di profilazione di terze parti, pertanto se si utilizza questo servizio nel proprio sito è necessario inserire sia l’informativa breve che avvisa dell’utilizzo di cookie e il relativo consenso, sia l’informativa estesa con le regole proprie di DoubleClick, consultabili al seguente link: http://support.google.com/adsense/answer/1348695. La comunicazione al Garante non è necessaria.
Se controllo l’andamento del mio sito con Google Analytics come mi devo adeguare alla legge? I miei cookie sono tecnici o di profilazione?
La maggior parte dei siti web moderni hanno un qualche tipo di soluzione di monitoraggio web per raccogliere informazioni sui visitatori del sito e poter prendere decisioni atte a migliorare il sito e aumentare i volumi di traffico. Google Analytics è il più popolare pacchetto di analisi disponibili. I cookie che utilizza rientrano per l’utente finale tra i cookie di profilazione di terze parti, pertanto è necessario inserire nel proprio sito sia l’informativa breve con la quale si chiede il consenso informato a procedere, sia quella dettagliata da inserire nella parte del proprio sito dedicata alle norme sulla privacy. Non è necessario darne comunicazione al Garante. Tuttavia, esiste un modo per ‘renderli tecnici’, procedendo cioè con la cosiddetta mascheratura dell’indirizzo IP che si può applicare al codice di monitoraggio di Google Analytics cambiando il modo in cui viene utilizzato e memorizzato l’indirizzo IP degli utenti del sito. Per impostazione predefinita, Google Analytics utilizza infatti l’intero indirizzo IP degli utenti per fornire dati geografici di carattere generale nei rapporti. Quando viene attivata la mascheratura dell’indirizzo IP, Google Analytics rimuove l’ultimo ottetto dall’indirizzo IP dell’utente prima di utilizzarlo e memorizzarlo, riducendo in tal modo leggermente la precisione dei rapporti geografici. In questo modo per questo tipo di cookie varranno a tutti gli effetti le stesse regole, in tema di informativa e consenso, previste per i cookie tecnici.
Se sul mio sito ho il tasto per far mettere ‘mi piace’ alla mia pagina Facebook, o utilizzo un altro qualsiasi social widget che tipo di cookie utilizzo?
Se nel proprio sito si utilizzano plugin sociali (come la possibilità per gli utenti di commentare un articolo, mettere ‘mi piace’ o condividere la notizia su Facebook, Twitter, Google Plus, Youtube ecc), è obbligatorio avvisare i propri utenti della presenza di cookie di profilazione di terze parti sul proprio sito. Lo si può fare inserendo un banner o un popup che dia l’avviso di ciò e preveda il consenso da parte dell’utente. Da associare ad un’informativa più estesa che riguardi la privacy e la gestione generale dei dati dell’utente. La notifica al Garante, non essendo cookie propri ma dei vari social, non è necessaria.
In caso abbia aggiunto sul mio sito aggregatori sociali (tipo AddThis), come mi devo adeguare alla nuova legge sui cookie?
Gli aggregatori sociali sono piattaforme di dati e infrastrutture sociali a livello mondiale che mettono a disposizione degli utenti strumenti che permettono di condividere contenuti, anche attraverso le più comuni piattaforme sociali, generando in tal modo un maggiore traffico nella rete ed intensificando le relazioni e lo scambio di dati. Tra questi uno dei più famosi è AddThis, che per far ciò invia a terze parti cookie che hanno lo scopo di misurare ed analizzare le potenzialità degli utenti. L’utente finale non ha però alcun controllo sull’utilizzo dei dati da parte di queste terze parti. Pertanto vale la regola dei cookie di profilazione non propri e per questo va messa l’informativa breve che informi l’utente e richieda il suo consenso e l’informativa estesa con le caratteristiche dettagliate e magati le informative delle varie piattaforma. AddThis ad esempio dichiara di essere conforme ai principi detti Safe Harbor e di essere membro del programma Safe Harbor del Department of Commerce degli Stati Uniti, per questo è utile rimandare alla dichiarazione di riservatezza per far conoscere all’utente il trattamento dei suoi dati, anche personali, elaborati tramite questi cookie. La notifica al Garante in questo caso non è prevista.
I gestori di commenti (tipo Disqus) utilizzati sul mio sito che tipo di cookie producono?
Alcuni siti per la gestione dei commenti non utilizzano i sistemi integrati offerti dalle piattaforme che ospitano i siti stessi, ma delle soluzioni indipendenti come ad esempio Disqus e IntenseDebate, ché spesso danno maggiori opzioni nella gestione e integrano alla perfezione i social network. Per far ciò questi sistemi utilizzano dei cookie di profilazione per seguire il percorso dell’utente attraverso il sito. Senza infatti non sarebbe possibile essere riconosciuti al momento del login. Chi utilizza questo sistema deve quindi seguire il regolamento sui cookie di profilazione di terze parti, inserendo nel proprio sito l’informativa breve per avvisare e avere il consenso dell’utente che quella estesa con le caratteristiche dettagliate e i regolamenti del proprio gestore (per Disqus ad esempio: http://help.disqus.com/customer/portal/articles/466235-use-of-cookies), senza darne notifica al Garante.
Ho un sito di e-commerce, utilizzo cookie propri o di terze parti? Devo pagare la notifica la Garante?
Particolare menzione meritano i negozi online, perché a conti fatti sarebbero quelli interessati più di tutti nella notifica al Garante in quanto proprietari di cookie di profilazione propri. Non sempre però è facile capire che tipo di cookie si utilizzano. Banalmente potremmo spiegarlo così: se ad essere raccolti sono dati quali autenticazione automatica, lingua prescelta e carrello personale, si è in presenza di cookie tecnici, funzionali perciò ad una migliore esperienza di navigazione per l’utente. Per questo tipo di cookie l’informativa breve non serve, né tantomeno l’accettazione, basterà solo citare quelli utilizzati nell’informativa estesa. Se invece si vanno a profilare abitudini dell’utente, come parole chiave utilizzate nelle ricerche, ip address per l’impostazione automatica della lingua o della valuta, o per la proposta di promozioni e sconti, allora si è in presenza di cookie di profilazione, che quasi sempre (a meno che non ci si rivolga esplicitamente ad uno strumento che profila autonomamente senza che il webmaster ne possa avere traccia), sono di prima parte e sono quindi soggetti sia all’informativa breve legata al consenso, sia a quella estesa, che alla notifica al Garante.
Se sul mio sito faccio remarketing che tipo di cookie utilizzo?
Il remarketing aiuta a raggiungere gli utenti che hanno visitato un sito web a vedere i suoi annunci su Google durante la navigazione o mentre cercano termini correlati ai prodotti o ai servizi di quel sito. Per impostare il remarketing è necessario aggiungere il tag di remarketing al sito, creare degli elenchi personali e creare campagne che utilizzano questi elenchi. Questo fa sì che sia necessario che Google utilizzi dei cookie per profilare l’utente. Se si utilizza pertanto un servizio del genere, i cookie presenti sul proprio sito sono da considerarsi di profilazione di terze parti per i quali è prevista l’informativa breve per l’accettazione e il consenso all’utilizzo e l’informativa estesa coi relativi dettagli e che permetta all’utente, anche successivamente, di abilitare o disabilitare ogni singolo cookie. La comunicazione al Garante non è necessaria.
Ho un sito con dei banner pubblicitari che sponsorizzano imprese locali, utilizzo cookie tecnici o di profilazione?
Chi mette a disposizione sul proprio sito unicamente spazi pubblicitari non profilati (ne sono un esempio i magazine di informazione locale o alcuni blog che si sostengono unicamente grazie a questo metodo), facendo comparire solo immagini o link al sito dei propri sponsor, non è necessario preveda l’informativa di accettazione dei cookie. Tuttavia, utilizzando comunque quasi sicuramente cookie di tipo tecnico (per il salvataggio delle password, ad esempio), è necessario inserisca questo tipo di informazione nell’informativa estesa nelle note privacy generali.
