Nonostante la Corte di Giustizia Europea sia sa già pronunziata mettendo dei punti fermi sui cookie, ancora in molti non sembra vogliano capire ed adeguarsi. Lo abbiamo ogni giorno davanti agli occhi quando, navigando e accedendo per la prima volta ad un sito, troviamo caselle già spuntate per l’accettazione dei “biscottini” o, più spesso, si trovano ancora policy non compliant con il GDPR se non addirittura siti web con il vecchio sistema di accettazione automatica di tutti i cookie all’inizio della navigazione, ovviamente inclusi quelli di profilazione. Per precisione ricordiamo che i cookie vengono rilasciati all’interno del terminale dell’utente per “facilitare” la navigazione nel corso di accessi successivi ed è lo stesso utente che dovrebbe rimuoverli da ogni singolo sito visitato.

Il GDPR sarebbe già chiaro nella sua formulazione e nel suo complesso, dai quali emerge senza ombra di dubbio come non siano ammesse forme di “silenzio assenso” e la Corte di Giustizia UE è andata oltre nella sentenza che, di fatto, ha stabilito come si debba comportare un Titolare del Trattamento per adempiere al disposto del Regolamento ed evitare le sanzioni che sono state irrogate, ad esempio, nei confronti di Google e Amazon.

Nella richiamata sentenza del 2019 (Causa 673/17), la Corte ha richiamato due principi del Diritto Tedesco, trattandosi di contenzioso tra parti con sede in Germania, che ben si attagliano in ogni caso al contesto generale e che, di fatto, si trovano in ogni ordinamento. Ai sensi del primo principio «le clausole contenute in condizioni generali di contratto sono inefficaci, se, in violazione del principio della buona fede, svantaggiano eccessivamente la controparte contrattuale di chi le utilizza»; inoltre «uno svantaggio eccessivo si deve supporre, se una clausola non è compatibile con i principi fondamentali della disciplina legale che ha derogato».

Nel caso di specie la società “incolpata” aveva delle caselle preflaggate che comportavano accettazione di cookie per partecipare ad un gioco a premi e, inoltre, era l’utente a dover deselezionare dalla lista di fornitori e aziende partner quelle da cui non intendeva ricevere pubblicità personalizzata. La Corte, decidendo sul caso, non si è lasciata sfuggire l’occasione di elencare una serie di indicazioni, che di fatto sono regole vincolanti. 

Come per ogni altra forma di trattamento il consenso deve essere specifico per ogni tipologia di cookie, specialmente se degli stessi ne dovesse essere fatto uso da parte di terzi; dovranno essere chiaramente indicati nell’informativa non solo, quindi, la tipologia e il tempo di utilizzo dei cookie ma anche le modalità di rilascio degli stessi dopo (e si sottolinea dopo) che l’interessato abbia avuto la possibilità di accettarli o meno, senza rendere difficoltosa la navigazione senza prima avere accettato tutti i cookie.

Di seguito i punti essenziali per la corretta gestione dei cookies, anche di profilazione, un’attività che richiede non solo massima attenzione da parte delle aziende titolari del trattamento, ma anche un lavoro coordinato fra un legale e gli addetti alla parte tecnica.

1. Redazione e Pubblicazione Cookie Policy (Informativa Estesa) comprensibile per gli utenti del Sito Internet;
2. pubblicazione di un Cookie Banner (Informativa Breve) in relazione ai cookie per i quali il titolare vuole (e deve) richiedere un chiaro consenso (Es. Profilazione e Marketing);
3. impedire l’installazione dei cookies sui dispositivi degli utenti prima dell’espressione del consenso;
4. permettere il rilascio e l’installazione dei Cookies solo dopo una manifestazione positiva del Consenso;
5. tenere traccia del consenso prestato nonché l’indicazione dei cookies per i quali è stato fornito il consenso;
6. importante ricordare che le manifestazioni di consenso devono essere basate su un comportamento attivo dell’utente che, pertanto, dovrà accettare gli eventuali cookie. Anche da qui il divieto di caselle prespuntate.