Sommario
Che cosa è il GPDR?
Il GDPR è il regolamento dell’Unione Europea, valido in modo analogo in tutti gli stati membri, entrato in vigore in Italia il 25 Maggio 2018 che si pone l’obiettivo di armonizzare la regolamentazione in materia di protezione dei dati personali e parallelamente di sviluppare il Mercato Unico Digitale (Digital Single Market) europeo.
Chiunque abbia un sito web che raccoglie dati personali è obbligato ad adeguare la propria piattaforma alla normativa per renderla conforme alle linee guida imposte dal garante.
A chi si applica?
Il GDPR si applica esclusivamente ai dati personali di persone fisiche identificate o identificabili che si trovano nel territorio dell’Unione Europea. Esempi di dati personali sono :
- il nome e cognome
- il telefono
- la mail personale
- l’immagine di una persona riconoscibile
- i dati giudiziari, sanitari, i gusti sessuali o politici che di fatto ricadono in una fattispecie di dato che necessita di criteri di protezione più elevati
I dati sulle aziende, compresi gli indirizzi e-mail che non identificano una persona fisica, non sono quindi soggetti al regolamento.
Il consenso esplicito sull'installazione dei cookie
Al centro del regolamento vi è il concetto del consenso espresso affermativo da parte dell’utente. Opzioni non affermative, del tipo “non concedo il mio consenso”, non vengono considerate ammissibili. E' inoltre vietato impedire la consultazione dei contenuti qualora l'utente neghi il consenso (utilizzo di cookie-wall)
Il consenso deve inoltre essere:
- Informato: è necessario fornire i dettagli sulla finalità del trattamento e su chi lo acquisisce
- Preventivo: è necessario acquisirlo prima di qualsiasi azione che acquisisca dati personali
- Dimostrabile: è necessario produrre una prova documentale valida a dimostrazione della scelta compiuta dall'utente
- Reversibile: è necessario fornire l'opportunità agli utenti di cambiare idea
Di fatto, il salvataggio del consenso tramite un sito web, è soggetto alla stessa normativa che regolamenta un documento cartaceo ed è quindi fondamentale curare le informazioni fornite e documentare la scelta presa.
Il titolare ed il responsabile del trattamento
Il GDPR introduce due soggetti responsabili del trattamento dei dati:
- Il titolare del trattamento: sempre citato nelle policy è colui a cui competono le decisioni a livello di trattamento dati e gli investimenti necessari alla gestione degli stessi
- Il responsabile del trattamento: non sempre presente è un soggetto che può accedere ai dati personali acquisiti per conto del titolare (es: un social media manager).
Il rapporto tra Titolare e Responsabile dovrebbe essere disciplinato da un contratto nel quale vengono stabiliti gli obblighi e i diritti del titolare del trattamento. C’è da segnalare che un soggetto in grado di accedere a dati personali per conto di un titolare, anche in assenza di un contratto esplicito, è comunque obbligato a rispettare il GDPR e pertanto, se non viene citato, lo sta di fatto violando.
Il GDPR ed i cookie
I Cookie sono dei gettoni identificativi comunemente utilizzati dai siti web per archiviare e recuperare informazioni dagli utenti. Poichè, grazie al loro utilizzo, è possibile monitorare la navigazione sulle pagine del sito o tracciare gli utenti rispetto a gusti espressi durante le visite, i cookie rappresentano una fonte di informazione fondamentale per strutturare correttamente una campagna di web marketing.
In questo senso, anche se il GDPR non tratta direttamente la gestione dei cookie, essi ricadono nel regolamento e devono quindi essere gestiti secondo le linee guida ormai consolidate.
Esistono diverse tipologie di cookie:
- Tecnici - si tratta di cookie essenziali per il funzionamento dell’applicativo e non sono utilizzati per identificare o tracciare l’utente a scopi di marketing. Senza questo tipo di cookie l’applicativo non funziona pertanto è sufficiente informare l’utente sulla loro presenza nella pagina destinata alla Cookie Policy ma non è necessario acqusire il consenso preventivo
- Statistici di prima parte (ossia del dominio che si sta navigando) - possono essere installati senza consenso preventivo e possono essere utilizzati per analizzare dati statistici sull’utilizzo della piattaforma
- Statistici di terza parte (es: Google Analytics) - possono essere installati senza consenso preventivo solo a determinate condizioni, ad esempio in presenza di IP anonimo
- Profilanti o di marketing - si tratta di cookie che hanno finalità di tracciamento. Per questo genere di cookie è obbligatorio prevedere il blocco preventivo (non si possono installare senza consenso esplicito)
Il consenso preventivo deve essere gestito tramite un pop-up di avviso che dia modo all’utente di scegliere, eventualmente per tipologia, quale tipologia di cookie autorizza.
Il garante ha più volte chiarito che l’accettazione dei cookie deve essere una possibilità, non un obbligo pertanto l’utente deve avere la possibilità di accedere al sito web anche in assenza di consenso. Un pop-up che impedisca la navigazione di un sito fino a quando non viene espresso un consenso positivo (cookie wall) è di fatto illegale.
Attenzione poichè il semplice utilizzo di plugin specifici (es: iubenda o cookiebot) non garantisce di fatto il blocco preventivo dei cookie. Tutto dipende da come è configurato il sito web ed i relativi snippet di codice.
Suggeriamo di verificare manualmente i cookie installati nel browser degli utenti, sulla base delle scelte compiute, durante la realizzazione del sito web.
