GDPR e gestione conforme dei cookie

Il GDPR si lega in maniera molto stretta con l’articolata gestione dei vari cookie: vediamo come.

Cosa sono i cookie?

I cookie sono piccoli file di testo che vanno a “parcheggiarsi” sul nostro hard disk e servono ai siti per tenere traccia della specifiche attività degli utenti che li hanno navigati: ogni volta che quel dispositivo si ricollega al sito gli rimanda il cookie e così è possibile riconoscere e tracciare l’attività a distanza di tempo..

I cookie (“biscotto” in inglese) una lunga e interessante storia, e sono assolutamente legittimi, ed anzi molto utili.

Per fare un esempio, se arrivo in un ecommerce multilingua in cui devo selezionare il mio linguaggio, e magari la valuta che uso (euro, dollaro, sterlina, ecc.) o la mia posizione fisica (in quale Nazione sono al momento – magari per questioni di spedizione, tasse ecc.), se dopo averlo fatto la prima volta, dalla visita successiva il sito è già posizionato (diciamo) in lingua italiana, nazione geografica Italia e valuta Euro, ecco, qui è il mio cookie personalizzato che sta “dialogando” con il sito e gli dice “ehi, ti ricordi di me? sono quello che…”

Quindi sì, i cookie sono utili, eccome. Anzi, quelli tecnici/funzionali sono proprio necessari.

Quali tipi di cookie possiamo avere?

Tecnici, di sessione, di profilazione, di marketing – il tutto direttamente dal sito o da altri siti (i cosiddetti “cookie di terze parti”)

Si dividono come prima cosa in “cookie permanenti” e “cookie temporanei”:

1. quelli permanenti sono per scopi generici stabili come nell’esempio precedente, e restano fissi nel tuo hard disk fino alla cancellazione esplicita e volontaria da parte dell’utente (si va nelle impostazioni di privacy e sicurezza del browser, si raggiunge la scheda dei cookie, si cancellano quelli voluti);
2. quelli temporanei – detti anche di sessione – si cancellano da soli alla fine della sessione di navigazione (da qui il nome) e servono a fare cose che richiedono il concetto di identificazione di utente o operazione:
   1. quindi ad esempio se faccio login nel mio account di un ecommerce, il cookie di sessione utente mi serve per non dovermi ri-autenticare ad ogni cambio di pagina;
   2. i cookie di sessione generici servono ad esempio a controllare il tempo per un’operazione sul sito, come quando Trenitalia ti dice che hai ancora X minuti per completare l’operazione di acquisto del tuo biglietto, dopo i quali viene abbandonata la prenotazione temporanea e bisogna ricominciare da zero la procedura di acquisto on line.

Poi i cookie possono essere cookie “interni” o “di terze parti”:

1. i cookie interni sono quelli emessi e gestiti direttamente dal sito web che navighiamo, e sono sotto diretta responsabilità del Titolare del trattamento dei dati secondo il GDPR;
2. i cookie di terze parti vengono richiamati e caricati da altri siti, come ad esempio piattaforme di social media (YouTube, Facebook, Instagram, TikTok, ecc.), pubblicitarie (Google Ads, ecc.), ecc.

Infine, i cookie si dividono in “tecnici” e di “profilazione/marketing”:

1. cookie tecnici o funzionali: sono quelli che appunto servono a far funzionare la piattaforma che eroga il sito; senza proprio non si fa e quindi non richiedono consenso utente; non hanno altro scopo o funzionalità oltre a quella di erogare il servizio richiesto;
2. cookie di profilazione/marketing: sono quelli impiegati per profilare l’utente, cioè per “osservarne” i comportamenti, ad esempio al fine di inviare pubblicità mirate, misurare l’efficacia del messaggio pubblicitario e adottare conseguenti strategie commerciali.

I cookie statistici sono cookie tecnici?

No, come esplicitato dal Garante stesso nelle FAQ – Risposta 4: “Il Garante (cfr. provvedimento dell’8 maggio 2014 e Linee guida cookie e altri strumenti di tracciamento del 10 giugno 2021) ha tuttavia precisato che possono essere assimilati ai cookie tecnici se utilizzati a fini di ottimizzazione del sito direttamente dal titolare del sito stesso, che potrà raccogliere informazioni di tipo statistico in forma aggregata sul numero degli utenti e su come questi visitano il sito. Qualora, invece, l’elaborazione di tali analisi statistiche sia affidata a soggetti terzi, i dati degli utenti dovranno essere preventivamente minimizzati e non potranno essere combinati con altre elaborazioni né trasmessi ad ulteriori terzi. A queste condizioni, per i cookie analytics valgono le stesse regole, in tema di informativa e consenso, previste per i cookie tecnici”.

In pratica, se non li fate elaborare a terzi, vi accedete solo voi (in qualità di Titolare), li minimizzate e aggregate e non ci fate altro, ALLORA sono tecnici: in tutti gli altri casi, sono cookie di profilazione.

Quindi la risposta è:

“sì, nel 99,9% dei casi consideriamo i cookie analitico/statistici come cookie di profilazione”.

Come interagiscono cookie e privacy?

I cookie contengono quasi sempre qualche tipo di tracciamento dell’utente:

• cronologia di navigazione,
• dati del browser e del computer,
• preferenze utente, ecc.

Quindi tengono traccia proprio dei dati personali che il GDPR e tutta la normativa europea ed italiana sulla privacy cercano di normare e proteggere, pertanto vanno gestiti a livello di informativa e metodologia tecnica nel sito.