La distinzione fra cookie tecnici e cookie di profilazione. Gli obblighi di legge
Il titolare del trattamento deve necessariamente acquisire il consenso preventivo e informato degli utenti all'installazione di cookie utilizzati per finalità diverse da quelle meramente tecniche. Vediamo in cosa consiste la distinzione:
a) Cookie tecnici
I cookie tecnici sono utilizzati per effettuare la navigazione o fornire un servizio richiesto dall'utente e sono normalmente installati direttamente dal titolare o gestore del sito web.
Nell'ambito dei cookie tecnici si distingue fra:
- cookie di navigazione o cookie di sessione (garantiscono la normale navigazione e fruizione del sito web; ad es., per gestire l'autenticazione in aree riservate o poter effettuare un acquisto su un sito di e-commerce);
- cookie analytics: sono cookie tecnici se vengono utilizzati direttamente dal gestore del sito per raccogliere informazioni, in forma aggregata, sul numero degli utenti e su come questi visitano il sito stesso (attenzione: cookie analytics di terze parti, ad es. Google Analytics, non sono considerati tecnici);
- cookie di funzionalità: consentono all'utente la navigazione in funzione di una serie di criteri selezionati (ad esempio, la lingua, i prodotti selezionati per l'acquisto) per migliorare il servizio reso allo stesso.
Obblighi di legge:
- è necessario fornire l'informativa sulla privacy;
- non è richiesto il preventivo consenso degli utenti.
b) Cookie di profilazione
Come suggerisce la denominazione adoperata, i cookie di profilazione sono utilizzati per "profilare" ciascun utente, ossia per creare un suo profilo digitale e poter generalmente inviare messaggi pubblicitari coerenti con le preferenze manifestate navigando in Rete.
Sia il legislatore italiano sia quello comunitario vedono con sfavore tali strumenti, perché ritengono che essi sono più che idonei a invadere la sfera privata di ciascun navigatore; pertanto:
- è necessario fornire un'adeguata informativa a ciascun utente;
- è richiesto il preventivo consenso di ciascun utente.
L'informativa può essere resa anche con modalità semplificate.
L'ambito soggettivo: gli "editori" e le "terze parti"
Nel provvedimento del Garante, chi gestisce il sito web visitato è stato ribattezzato "editore". Normalmente, visitando un sito vengono installati cookie da altri soggetti (ad esempio, a fini pubblicitari o statistici): tutti questi soggetti sono denominati "terze parti". In alcuni casi, una terza parte interagisce, a sua volta, con altre terze parti: è il caso dei concessionari di pubblicità.
Il Garante privacy ha scelto di non traslare gli obblighi della terza parte sull'editore, ma taluni obblighi permangono in capo all'editore stesso, nonostante, come affermato dalla stessa Autorità, spesso gli editori siano anche persone fisiche e piccole imprese. Al contrario, spesso le terze parti sono grandi e importanti società, con un notevole peso economico.
In pratica, l'editore è titolare del trattamento in relazione ai cookie installati direttamente dal proprio sito (e ne risponde direttamente), ma non lo è, sostanzialmente, per quelli installati dalle terze parti mediante il suo sito (in relazione a questi, l'editore viene infatti visto come una sorta di "intermediario tecnico").