Le recenti Linee guida dell’EDPB (l’European Data Protection Board, cioè il Comitato dei Garanti Privacy UE) sono l’ultimo tassello in materia di cookies e rendono in parte non più praticabile quanto dettato dal Garante Privacy italiano con il Provvedimento generale del 2014, il quale stabiliva le regole per la raccolta del consenso all’installazione di cookie o di software analoghi su device dell’utente.

Le Linee guida in materia di consenso dell’EDPB (successive non solo al GDPR ma anche alla sentenza della Corte di Giustizia dell’Unione Europea sul caso Planet49 e a vari interventi dei Garanti europei) rendono, infatti, non più praticabile la raccolta dei consensi all’installazione dei cookie e di strumenti analoghi attraverso lo scrolling di una pagina web o l’interazione con link ed altri elementi del sito.

Le modalità di ottemperanza agli obblighi informativi e di raccolta del consenso dettate dall’art. 122 del D.Lgs. n. 196/2003 – c.d. Codice Privacy – prevedevano che il banner dei cookie – ossia un’informativa di primo livello – contenesse, tra le altre, le seguenti informazioni:

  • se il sito utilizza cookie di profilazione al fine di inviare messaggi pubblicitari in linea con le preferenze manifestate dall’utente nell’ambito della navigazione in rete;
  • se il sito consente anche l’invio di cookie “terze parti”;
  • il link all’informativa estesa;
  • che la prosecuzione della navigazione (mediante accesso ad altra area del sito o selezione di un elemento dello stesso, ad esempio, di un’immagine o di un link) comporta la prestazione del consenso all’uso dei cookie.

In altre parole, l’Autorità Garante per la Protezione dei Dati Personali consentiva ai titolari italiani di raccogliere il consenso all’utilizzo dei cookie con modalità “semplificate”, ritenendo valida ai fini del conferimento del consenso al trattamento la semplice attività costituita dalla prosecuzione della navigazione sul sito web.

La definitiva applicazione del Regolamento 679/2016 – meglio noto come GDPR – il 25 maggio 2018, ha cominciato a far vacillare la validità del Provvedimento Generale del 2014 sollevando criticità riconducibili al seguente profili: come deve essere raccolto il consenso ai cookie? È ancora possibile raccogliere il consenso mediante lo scroll – cioè lo scorrimento – della pagina o un click ad altri elementi del sito web?

Il primo segno di cedimento si ha quando il 21 marzo 2018 l’Avvocato Generale presso la Corte di Giustizia dell’Unione Europea Maciej Szpunar deposita le proprie conclusioni in merito alla causa C-673/17 Planet49 GmbH c. Bundesverband: alla luce del GDPR, della Direttiva e-privacy e, in generale, dal complesso delle disposizioni vigenti in materia di protezione dei dati personali, il consenso all’utilizzo dei cookie può essere associato alla navigazione dell’utente solo quando necessario e indispensabile per la fruizione dei contenuti del sito web.

A ciò si aggiunga, nell’opinione dell’Avvocato Generale, che gli utenti di un sito web:

  • devono essere informati in modo chiaro circa la finalità dei cookie che si intende installare, la durata del trattamento che ne deriva e l’identità di eventuali terzi a cui sono comunicati i dati personali;
  • devono fornire il proprio consenso nel rispetto dei requisiti sanciti dal GDPR (art. 4, par. 1, n. 11 e art. 7), ossia consensi specifici per ciascun trattamento ed inequivocabili, non ritenendo adeguata la previsione di caselle preselezionate.

Le parole di Maciej Szpunar sono presto recepite tanto che il successivo 3 luglio 2019 l’Autorità di controllo inglese aggiorna le proprie linee guida in materia di cookie sancendo che “l’installazione di un cookie non essenziale senza che l’utente compia un’azione positiva precedente all’installazione sul device, non costituisce un consenso valido. In questo modo, si nega all’utente la possibilità di scegliere”.

Non sorprende, quindi, che pochi mesi dopo la Corte di Giustizia dell’Unione Europea accolga e faccia proprie nella sentenza dell’1 ottobre 2019 le parole dell’Avvocato Generale affermando, inoltre, con un netto rinvio anche al Considerando n. 32 del GDPR, che il consenso “non è validamente espresso quando l’archiviazione di informazioni o l’accesso a informazioni già archiviate nell’apparecchiatura terminale dell’utente di un sito Internet attraverso cookie sono autorizzati mediante una casella di spunta preselezionata che l’utente deve deselezionare al fine di negare il proprio consenso”.

Sulla base del citato Considerando n. 32 del GDPR, l’EDPB con le sue Linee del 4 maggio 2020 ha chiarito che:

– le attività di scrolling o navigazione del sito web non costituiscono un valido consenso all’installazione dei cookie in quanto impediscono di determinare se l’intenzione dell’utente sia quella di fornire il consenso o, piuttosto, quella di continuare a navigare ed interagire con il sito web. In tal senso, il consenso è invalido perché non inequivocabile, ossia non costituito da una condotta attiva dell’utente;

– parimenti invalidi sono anche i consensi all’installazione di cookie raccolti mediante caselle e checkbox preselezionate ovvero tramite i cosiddetti cookie wall, ossia banner che impediscono la fruizione di contenuti e funzionalità del sito a meno che l’utente non acconsenta all’installazione dei cookie.

Alla luce di quanto precede, non sembra ancora applicabile quanto dettato dal Garante Privacy italiano con il Provvedimento generale del 2014 e, quindi, è da escludersi che la raccolta dei consensi all’installazione dei cookie e di strumenti analoghi possa avvenire attraverso lo scrolling di una pagina web o l’interazione con link ed altri elementi del sito. Al contrario, occorre prevedere modalità di raccolta in grado di dimostrare l’inequivocabile volontà dell’utente di acconsentire al trattamento.

Resta, tuttavia, una domanda ancora senza risposta e riguarda l’uso di cookie per scopi diversi dal marketing online. L’EDPB, infatti, limita la necessità di un consenso a “la maggior parte delle attività di marketing online”: significa, quindi, che le aziende possono giustificare con un proprio interesse legittimo l’utilizzo di cookie per scopi diversi dal marketing online, ad es. per attività statistiche aggregate svolte con cookie analitici di prima parte, in quanto trattamenti che non presentano rischi per gli interessati? In tal caso, come previsto dal vecchio Provvedimento del Garante Privacy del 2014 i cookies analitici verrebbero assimilati a quelli tecnici e, in quanto tali, non necessitanti il consenso dell’utente.