Cookie e GDPR: come funzionano e perché sono in conflitto
Il GDPR, normativa UE entrata in vigore il 25 maggio dello scorso anno, ha tra i suoi scopi la tutela dei dati personali degli utenti che visitano i siti web. I cookie, ossia i file di informazione che vengono memorizzati dai vari siti sui device degli utenti con lo scopo di identificarli e profilarli, vengono nominati una sola volta nel complesso delle 88 pagine del Regolamento.
Le poche righe ad essi dedicate sono però alquanto significative. Sottolineano infatti come questi file, se combinati con altri contenuti informativi ricevuti dai server, siano in grado di consentire l’identificazione delle persone fisiche. Il quadro appena descritto costituisce una grave violazione del GDPR. Nonostante non tutti i cookie vengano utilizzati per identificare gli utenti, la gran parte di essi è soggetta al GDPR e così continuerà ad essere.
Quali sono i problemi dei cookie e come rendere il sito conforme al GDPR
I file di testo in questione presentano due problemi su tutti. Il primo riguarda la privacy e le tipologie di azioni degli utenti che vengono registrate. Il secondo riguarda la trasparenza e il fatto di chiedersi chi sta monitorando le azioni e a quale scopo. Inoltre, è naturale farsi domande in merito alle modalità di gestione dei dati e alle tempistiche della loro conservazione.
In virtù di questo quadro, i proprietari di siti web devono impegnarsi per adottare quelle misure che consentono allo spazio in questione di essere conforme alle normative relative alla gestione dei dati personali. Per capire meglio la situazione, ricordiamo che con la dicitura “dati personali” si inquadrano le coordinate bancarie, gli indirizzi mail, gli indirizzi IP dei device, le informazioni di natura medica. Se si elaborano informazioni di questa natura, è necessario innanzitutto adeguare la cookie policy e il consenso relativo all’attività di questi file.
Entrando maggiormente nello specifico, si ricorda che il Regolamento Europeo per la Protezione dei Dati Personali prevede il fatto di ottenere il consenso informato prima del salvataggio di qualsiasi informazione relativa al comportamento degli utenti che visitano il sito. La regola in questione vale anche quando si parla di informazioni raccolte ai fini della creazione delle inserzioni pubblicitarie.
Il consenso deve inoltre essere basato su una scelta reale. Questo vuol dire che al singolo utente deve essere lasciata la possibilità di visitare il sito e di usufruire di tutte le sue funzioni anche se non accetta i cookie.
Come sono cambiate le cose da quando il GDPR è pienamente effettivo
Da quando è diventata effettiva la normativa per il trattamento dei dati personali, l’incompatibilità legale tra il GDPR e i cookie ha portato i web master a ridurre notevolmente il ricorso senza consenso ai suddetti file.
Autorevoli analisi internazionali effettuate a pochi mesi di distanza – ad aprile e a luglio 2018 – hanno evidenziato come il ricorso a cookie di terze parti (finalizzati ossia a fornire informazioni sul comportamento degli utenti a piattaforme social ed e-commerce) sia calato del 20% circa, con una diminuzione particolarmente significativa per quelli pubblicitari e di marketing.
Le analisi hanno evidenziato anche un calo del numero di siti che ospitano pulsanti per la condivisione dei contenuti sui social. Questo significa che diverse realtà attive sul web stanno rispondendo in maniera pronta al regolamento europeo per la protezione dei dati personali, minimizzando i casi di tracciamento dei dati da parte di soggetti terzi.
Considerando il caso specifico dei siti italiani, il numero di cookie di terze parti è calato di oltre il 30%, superando la media UE. I numeri in questione riguardano però siti minori e non certo i principali fornitori di servizi per tracciare le attività degli utenti, ossia i motori di ricerca, i social e i colossi dell’e-commerce.
