GDPR6 min di lettura
Le condizioni per un consenso ai cookie valido secondo il GDPR
Una checklist pratica delle condizioni GDPR per un consenso ai cookie valido: libero, specifico, informato, inequivocabile, dimostrabile e facile da revocare.
Secondo il Regolamento generale sulla protezione dei dati (GDPR), il consenso ai cookie è valido solo se è libero, specifico, informato e inequivocabile, ed espresso con un’azione positiva chiara, come un clic su “Accetta”. Devi inoltre raccoglierlo prima che venga eseguito qualsiasi cookie non essenziale, rendere il rifiuto facile quanto l’accettazione, permettere alle persone di revocarlo in qualsiasi momento ed essere in grado di dimostrare cosa ha scelto ciascuno. Caselle preselezionate e formule come “continuando la navigazione accetti” non superano la prova.
Da dove vengono le condizioni per un consenso valido?
Derivano da due articoli del GDPR, applicati ai cookie tramite la direttiva ePrivacy. L’articolo 4, punto 11, definisce il consenso e l’articolo 7 stabilisce le condizioni che devi rispettare.
La direttiva ePrivacy richiede il consenso per i cookie non essenziali, ma ne prende in prestito la definizione dal diritto dell’UE in materia di protezione dei dati, che oggi significa il GDPR. Il nostro approfondimento su direttiva ePrivacy e GDPR spiega come funziona questo passaggio di consegne.
Altre due fonti orientano l’interpretazione pratica di queste condizioni. Il Comitato europeo per la protezione dei dati (EDPB), che riunisce le autorità di controllo dell’UE, ha pubblicato le Linee guida 05/2020 sul consenso. E la Corte di giustizia dell’Unione europea (CGUE) ha applicato lo standard direttamente ai cookie nella sentenza Planet49 (C-673/17, 2019).
Qual è la checklist per un consenso ai cookie valido?
Verifica il tuo banner e il pannello delle impostazioni, così come sono online, rispetto a questi dieci controlli. Basta un solo punto non rispettato per compromettere il consenso che raccogli.
- Preventivo. Nessun cookie, pixel o script non essenziale viene eseguito prima che il visitatore abbia fatto una scelta.
- Positivo. Il consenso nasce da un’azione deliberata. Caselle preselezionate, scorrimento della pagina, prosecuzione della navigazione e chiusura del banner non valgono.
- Rifiuto equivalente. “Rifiuta” si trova sullo stesso livello di “Accetta”, con evidenza e sforzo paragonabili.
- Granulare. Ogni finalità, come preferenze, analisi o marketing, può essere accettata o rifiutata separatamente.
- Non abbinato. Il consenso ai cookie non è nascosto nei termini di servizio o nell’iscrizione a una newsletter.
- Informato. I visitatori vedono chi chiede il consenso, per quali finalità, quali terze parti sono coinvolte e quanto durano i cookie.
- Chiaro. La richiesta usa un linguaggio semplice e chiaro ed è chiaramente distinguibile da altre materie, come richiede l’articolo 7, paragrafo 2.
- Non condizionato. L’accesso ai tuoi contenuti non dipende dall’accettazione di cookie non essenziali.
- Revocabile. I visitatori possono cambiare idea in qualsiasi momento, con la stessa facilità con cui hanno prestato il consenso, ai sensi dell’articolo 7, paragrafo 3.
- Dimostrabile. Puoi dimostrare chi ha acconsentito a cosa, quando e tramite quale versione del banner, come richiede l’articolo 7, paragrafo 1.
Le sezioni seguenti analizzano le quattro condizioni dell’articolo 4, punto 11, che generano più contestazioni, e poi l’aspetto della conservazione delle prove.
Cosa esclude il requisito del consenso “libero”?
Il consenso non è libero se il visitatore non ha una vera scelta o subirebbe pressioni o svantaggi dicendo di no. Nei banner dei cookie, questo esclude tre schemi comuni.
Il primo è il cookie wall. Le linee guida dell’EDPB sul consenso ritengono che subordinare l’accesso a un sito web all’accettazione di cookie non essenziali non produca un consenso libero.
Il secondo è l’abbinamento: un unico interruttore che copre insieme analisi, pubblicità e personalizzazione, oppure un consenso ai cookie legato all’accettazione dei tuoi termini.
Il terzo è la pressione esercitata dal design. Un pulsante “Accetta tutto” ben visibile accanto a un link sbiadito “Gestisci impostazioni”, o un percorso di rifiuto che richiede diversi clic in più, spinge le persone verso il sì. Questi design sono noti come dark pattern, e la nostra guida ai dark pattern nei banner dei cookie elenca quelli più spesso presi di mira dalle autorità.
Quanto deve essere specifico e informato il consenso?
Abbastanza specifico perché i visitatori sappiano esattamente a quali finalità stanno acconsentendo, e abbastanza informato perché capiscano chi è coinvolto e per quanto tempo. Formule vaghe come “per migliorare la tua esperienza” non sono sufficienti.
Come minimo, comunica chi sei, ogni finalità per cui chiedi il consenso, le categorie di cookie coinvolte, quali terze parti ricevono i dati e la possibilità di revocare il consenso. Nella sentenza Planet49 la CGUE ha aggiunto che gli utenti devono essere informati sulla durata di attività dei cookie e sulla possibilità che terze parti vi accedano.
Un approccio a più livelli funziona bene. Il primo livello riassume le finalità in un linguaggio semplice accanto ai pulsanti per accettare e rifiutare, mentre un secondo livello elenca ogni cookie, il relativo fornitore e la sua durata. Mantieni aggiornato questo secondo livello, perché un elenco di fornitori obsoleto lascia i visitatori meno informati di quanto credano.
Cosa vale come azione positiva inequivocabile?
Un atto deliberato che può significare solo sì, come fare clic su un pulsante di accettazione o attivare una finalità e salvare. Tutto ciò che si basa sul silenzio, sull’inattività o su un’impostazione predefinita non è valido.
| Azione del visitatore | Consenso valido? | Perché |
|---|---|---|
| Fa clic su “Accetta tutto” in un banner chiaro | Sì | Azione deliberata e informata |
| Attiva “Analisi” e salva | Sì, solo per l’analisi | Specifico per la finalità scelta |
| Lascia selezionata una casella preselezionata | No | Planet49: le caselle preselezionate non sono consenso |
| Scorre la pagina o continua a navigare | No | Non è un’azione positiva secondo le linee guida dell’EDPB |
| Chiude il banner con l’icona “X” | No | Ignorare un avviso non equivale ad acconsentire |
| Accetta termini di servizio che menzionano i cookie | No | Non è specifico né chiaramente distinguibile |
Considera qualsiasi cosa diversa da un sì esplicito come “nessuna scelta ancora” e mantieni disattivate le categorie non essenziali finché una scelta non viene fatta.
Come si dimostra il consenso e come si gestisce la revoca?
L’articolo 7, paragrafo 1, pone su di te l’onere della prova, e l’articolo 7, paragrafo 3, richiede che revocare il consenso sia facile quanto prestarlo. Entrambi gli aspetti vanno progettati fin dall’inizio, non aggiunti dopo un reclamo.
Una registrazione del consenso utile contiene un ID di consenso pseudonimo, la marca temporale, la scelta per ogni finalità, la versione del banner e della policy mostrata e l’insieme di regole regionali applicato. Evita di conservare più dati personali di quanti ne servano per questa prova. La nostra guida alla prova del consenso mostra come si presenta un registro pronto per un audit.
Per la revoca, mantieni un link fisso nel footer o un pulsante flottante che riapra le impostazioni. Quando qualcuno revoca il consenso, interrompi subito gli script interessati, elimina i cookie non essenziali che hai installato, ove tecnicamente possibile, e trasmetti la scelta aggiornata a ogni fornitore che riceve segnali di consenso.
In sintesi
Il consenso valido è un insieme di condizioni che devono essere tutte soddisfatte contemporaneamente: preventivo, libero, specifico, informato, inequivocabile, dimostrabile e revocabile. Verifica la checklist sul sito reale e non sui mockup di design, perché le lacune emergono di solito nel comportamento effettivo dei tag. Strumenti come Cookiesh possono bloccare gli script contrassegnati fino al consenso e conservare registri del consenso immutabili e concatenati tramite hash, coprendo così gli aspetti tecnici di questa checklist.
Questo articolo ha carattere puramente informativo e non costituisce consulenza legale. Per decisioni relative alla tua situazione specifica, rivolgiti a un professionista qualificato in materia di privacy.
Domande frequenti
Posso usare un cookie wall che blocca i contenuti finché i visitatori non accettano?
In genere no, se accettare è l'unico modo per accedere. Secondo l'EDPB il consenso non è libero quando l'accesso a un servizio dipende dall'accettazione di cookie non essenziali. Alcune autorità nazionali hanno valutato alternative limitate, quindi verifica prima le indicazioni locali.
Ogni quanto devo chiedere di nuovo il consenso ai visitatori?
Il GDPR non fissa un intervallo unico. Chiedilo di nuovo quando le finalità o i fornitori cambiano in modo sostanziale, e segui le indicazioni della tua autorità su quanto a lungo ricordare sia l'accettazione sia il rifiuto. Riproporre la richiesta a ogni visita a chi ha rifiutato può sembrare una forma di pressione.
Il consenso raccolto su un dominio vale anche per gli altri miei siti web?
Solo se ai visitatori è stato detto chiaramente a quali siti e finalità si riferisce il consenso. Poiché il consenso deve essere specifico e informato, riutilizzarlo in silenzio su domini o marchi non collegati è rischioso. Molte organizzazioni lo chiedono separatamente su ogni sito.
Il consenso resta valido se in seguito l'elenco dei cookie cambia?
Non automaticamente. Se aggiungi fornitori o finalità di cui il visitatore non è mai stato informato, il consenso originale non li copre. Aggiorna il banner e chiedi di nuovo il consenso per le nuove finalità.
Fonti
Redazione Cookiesh
Ingegneri della privacy e specialisti di conformità che scrivono guide pratiche su consenso, cookie e protezione dei dati per i team di prodotto.
