Cookie Law in Italia: cosa dice la legge e come adeguarsi

Che cos’è la Cookie Law italiana

Con “Cookie Law” si indica l’insieme delle regole che disciplinano l’uso dei cookie e degli strumenti di tracciamento sui siti web. In Italia il quadro si basa su tre riferimenti principali: il Regolamento europeo GDPR (UE 2016/679), la direttiva ePrivacy (2002/58/CE) recepita nell’articolo 122 del Codice Privacy (D.Lgs. 196/2003), e le Linee Guida del Garante per la protezione dei dati personali.

Le Linee Guida “cookie e altri strumenti di tracciamento” sono state adottate dal Garante il 10 giugno 2021. Ai siti è stato concesso un periodo di adeguamento di sei mesi dalla pubblicazione in Gazzetta Ufficiale, con termine fissato al 10 gennaio 2022.

Cookie tecnici e cookie di profilazione

La normativa distingue due categorie principali, con obblighi diversi.

Cookie tecnici

Sono necessari al funzionamento del sito o a fornire un servizio richiesto dall’utente (ad esempio il carrello di un e-commerce). Non richiedono il consenso, ma vanno comunque indicati nell’informativa.

Cookie di profilazione e di marketing

Servono a tracciare l’utente per creare profili, mostrare pubblicità mirata o analizzare i comportamenti a fini commerciali. Per questi cookie è obbligatorio raccogliere il consenso preventivo dell’utente.

Anche i cookie analitici possono richiedere il consenso, salvo quando sono resi equivalenti ai tecnici attraverso misure di minimizzazione, come l’anonimizzazione dell’indirizzo IP.

Gli obblighi per chi gestisce un sito

Chi utilizza cookie di profilazione deve rispettare due obblighi fondamentali: fornire un’informativa chiara (la cookie policy) e raccogliere un consenso valido prima di installare i cookie non tecnici.

Il consenso deve essere libero, specifico, informato e inequivocabile. Deve poter essere prestato in modo attivo dall’utente e revocato con la stessa facilità con cui è stato concesso.

Come deve essere il cookie banner

Le Linee Guida del 2021 definiscono le caratteristiche che il banner deve avere per essere conforme:

• Deve comparire alla prima visita, con dimensioni sufficienti a costituire una discontinuità percettibile nella navigazione.
• Deve permettere di rifiutare i cookie con la stessa immediatezza con cui li si accetta, già dalla prima schermata.
• Il semplice scorrimento della pagina (scrolling) non può valere come consenso.
• Non è ammesso il “cookie wall”, ossia subordinare l’accesso al sito all’accettazione dei cookie, salvo che sia offerta un’alternativa.
• Il consenso deve poter essere espresso in modo granulare, per categoria di finalità.
• In caso di rifiuto, la richiesta non può essere riproposta prima di sei mesi, salvo cambiamenti nelle condizioni del trattamento.

Il consenso va documentato

Il consenso raccolto deve essere registrato e conservato, in modo da poterne dimostrare la validità in caso di controllo. I consensi acquisiti in passato restano validi solo se, al momento della raccolta, erano conformi ai requisiti e risultano debitamente documentabili.

Cosa si rischia in caso di non conformità

La gestione non conforme dei cookie può portare a sanzioni da parte del Garante, con importi che variano in base alla gravità e alla natura della violazione. Gli esempi concreti e le fasce di importo sono raccolti nella pagina dedicata alle sanzioni.

Come Permissor ti aiuta a essere conforme

Permissor genera un banner conforme alle Linee Guida del Garante, distingue i cookie tecnici da quelli di profilazione, blocca in via preventiva gli script fino al consenso e registra ogni scelta in modo documentabile. Gli aggiornamenti normativi vengono applicati automaticamente, così il sito resta allineato nel tempo.