La Corte di Giustizia dell’Unione Europea (CGUE) ha stabilito con una recente sentenza che nell’utilizzo dei siti web, gli utenti devono poter esprimere il consenso esplicito per l’utilizzo dei cookie di profilazione.

La decisione, obbligatoria dal 1° ottobre, prende spunto da un caso portato davanti ai giudici tedeschi da alcune associazioni di consumatori: nel caso preso in esame, la società Planet49, attiva nel settore dei giochi online, aveva predisposto una casella di spunta già selezionata per la partecipazione ad un gioco promozionale, ottenendo così anche il consenso per l’installazione di cookie di profilazione collegati ai prodotti dei partner dell’azienda.

Per rifiutare il consenso gli utenti avrebbero dovuto deselezionare l’apposita casella, attivando però un automatismo che avrebbe loro precluso anche la partecipazione al gioco.

Secondo quanto stabilito dalla CGUE, una casella pre-spuntata tramite un automatismo non è sufficiente per raccogliere le informazioni digitali degli utenti, ma soprattutto il consenso deve essere specifico, dunque non basta che l’utente attivi il pulsante di partecipazione per far scattare l’installazione di cookie, ma è necessario sia fornito un consenso esplicito per la loro installazione.

Tuttavia è opportuno precisare che una volta rilasciato il consenso, i cookie non potranno essere associati ad altri scopi e i siti web dovranno fornire informazioni specifiche sul tracciamento dell’utente.

Al fine di proteggere la privacy degli internauti e promuovere scelte più consapevoli, il Garante con un provvedimento dell’8 maggio del 2014  aveva di fatto già stabilito come l’accesso ad un sito web (dalla homepage o qualsiasi altra pagina) dovrebbe essere immediatamente seguito dalla comparsa di un banner ben visibile, in cui indicare chiaramente:

1) l’utilizzo di cookie di profilazione per inviare messaggi pubblicitari mirati;

2) la presenza di cookie di “terze parti“, ossia di cookie installati da un sito diverso tramite il sito che si sta visitando;

3) un link a una informativa più ampia, con le indicazioni sull’uso dei cookie inviati dal sito, dove è possibile negare il consenso alla loro installazione direttamente o collegandosi ai vari siti nel caso dei cookie di “terze parti”;

4) l´indicazione utile al rilascio del consenso all´uso dei cookie per proseguire nella navigazione (ad es., accedendo ad un´altra area del sito o selezionando un´immagine o un link).

Il Garante ha avuto inoltre modo di appurare come “i cookie di profilazione sono volti a creare profili relativi all´utente e vengono utilizzati al fine di inviare messaggi pubblicitari in linea con le preferenze manifestate dallo stesso nell´ambito della navigazione in rete. In ragione della particolare invasività che tali dispositivi possono avere nell´ambito della sfera privata degli utenti, la normativa europea e italiana prevede che l´utente debba essere adeguatamente informato sull´uso degli stessi ed esprimere così il proprio valido consenso”.

Consenso che, secondo quanto stabilito dal GDPR, non può essere implicito o assunto, ma deve essere dato prima della memorizzazione o dell’accesso ai cookie non essenziali, cosa che le caselle di consenso dei cookie preselezionate non possono fare.

La normativa europea punta dunque a “tutelare l’utente da qualsiasi ingerenza nella vita privata, in particolare dal rischio che identificatori occulti o altri dispositivi analoghi si introducano nell’apparecchiatura terminale dell’utente a sua insaputa”.