FAQ cookies e privacy agg. 5 giugno 2015
0 likes186 views
Breve guida in 10 FAQ per capire come mettere in regola la privacy dei cookies, a decorrere dal 2 giugno 2015 come imposto dal Garante della Privacy. Sono state integrate le osservazioni del Garante del 5 giugno 2015. Le 10 FAQ: 1. DA DOVE PROVENGONO QUESTI NUOVI OBBLIGHI SUI COOKIES? 2. COSA SONO I COOKIES? 3. QUALI SONO GLI ADEMPIMENTI DA RISPETTARE (E CHI E' TENUTO A RISPETTARLI)? 4.COME DEVE ESSERE LINFORMATIVA? 5. COME DEVE ESSERE ACQUISITO IL CONSENSO (NEL CASO DI COOKIES DI PROFILAZIONE)? 6.IN CASO DI SUCCESSIVI ACCESSI AL SITO DEL MEDESIMO UTENTE, VA NUOVAMENTE RIPROPOSTA LINFORMATIVA BREVE E ACQUISITO NUOVAMENTE IL CONSENSO? 7. DEVO NOTIFICARE PREVENTIVAMENTE QUALCOSA AL GARANTE DELLA PRIVACY? 8.QUINDI SE IL MIO SITO USA SOLO COOKIES TECNICI O ANALYTICS COSA DEVO FARE ESATTAMENTE? 9.SE UTILIZZO COOKIES DI TERZE PARTI, CHE COSA DEVO FARE? 10. CHE SUCCEDE SE IL SITO NON IN REGOLA? Per ogni chiarimento o contatto: a.michinelli@dammassa.com http://www.dammassa.com
FAQ cookies e privacy agg. 5 giugno 2015
- 1. COME FARE IN 10 FAQ Luglio 2015 - Avv. Andrea Michinelli a.michinelli@dammassa.com Versione 3.0 1) DA DOVE PROVENGONO QUESTI NUOVI OBBLIGHI SUI COOKIES? Il 2 giugno 2015 scade il termine fissato dal Garante della Privacy con proprio provvedimento generale dell8 maggio 2014 riguardante i cookies usati dai siti web. La fonte primaria 竪 comunque la Direttiva 2009/136/CE (cd. Cookie law), recepita anche in Italia con D.Lgs. 69/2012 che ha modificato il Codice della Privacy (D.Lgs. 196/2003). Vediamo di seguito di sintetizzare speriamo con la miglior comprensibilit e semplicit gli adempimenti necessari. 2) COSA SONO I COOKIES? I cookies sono file (perlopi湛 di testo) adottati informaticamente dai siti web, in questa sequenza: 1) i siti inviano i cookies al dispositivo dellutente; 2) vengono quindi memorizzati in questo dispositivo, in apposite cartelle; 3) vengono infine ritrasmessi ai siti web successivamente (di norma alla successiva visita del sito da parte dellutente), in una forma di solito rielaborata rispetto alla prima fase. La normativa si applica non solo ai cookie ma a qualunque dispositivo con funzionalit analoghe (ad es. web beacon). I cookies possono ritrovarsi in PC, in tablet, nei cellulari: basta che vi sia un browser per navigare in Rete. Le tipologie di cookies identificate dal Garante sono le seguenti: I. TECNICI: necessari per la navigazione o sessione via web, altrimenti tecnicamente impossibile, nonch辿 per fornire telematicamente delle funzionalit o i servizi richiesti dallutente (es. lingua scelta dallutente); II. ANALYTICS: utilizzati per raccogliere dati aggregati, dunque anonimi, circa il comportamento degli utenti sul sito, a fini statistici; III. DI PROFILAZIONE: utilizzati per schedare determinati comportamenti degli utenti sul sito, in maniera non anonima bens狸 identificando lutente (inviando ad es. pubblicit mirata ai gusti dellutente, profilando un iscritto a social network). DAL 2 GIUGNO 2015 TUTTI I SITI WEB IN REGOLA CON I COOKIES:
- 2. Inoltre li possiamo distinguere come: PROPRI: utilizzati direttamente dal titolare/responsabile del sito web DI TERZE PARTI: utilizzati da terzi - quindi provenienti da siti web diversi - che forniscono servizi o contenuti al titolare/responsabile del sito web (ad es. pensiamo a Google che raccoglie dati aggregati degli utenti per ricavarne statistiche. 3) QUALI SONO GLI ADEMPIMENTI DA RISPETTARE (E CHI LI DEVE RISPETTARE)? Schematicamente possiamo riassumerli cos狸: per i cookies TECNICI (I) e ANALITYCS (II): basta linformativa preventiva, nella forma ritenuta pi湛 idonea per i cookies di PROFILAZIONE (III): 1) informativa preventiva e semplificata; 2) consenso preventivo (documentato); 3) notifica preventiva al Garante; 4) conservazione massima di 12 mesi nei dispositivi degli utenti. Chiariamo che devono adempiere tutti i soggetti (Titolari) - alternativamente: a) aventi stabile organizzazione in Italia; b) aventi in Italia gli strumenti adottati per il trattamento (tranne se sono adottati per il solo transito dei dati tramite lItalia) ad es. se l'host provider 竪 nel territorio italiano; c) nel caso di dati raccolti tramite Internet da interessati (gli utenti) che entrano in Rete tramite dispositivi (PC, tablet, smartphone, ecc.) che si trovino nel territorio italiano. In questi casi, il titolare straniero dovr inoltre nominare un suo rappresentante sul territorio italiano, il quale dovr provvedere agli adempimenti tutti previsti dalla normativa italiana. 4) COME DEVE ESSERE LINFORMATIVA? Preventiva: quindi resa prima dellinvio dei cookies allutente; Doppia: (1) una prima INFORMATIVA BREVE che compaia a schermo, ben visibile mediante apposito banner/pop up o simile, ben distinto dal resto del sito web (anche graficamente), ove si specifica il tipo di cookies adottati tale banner non potr essere rimosso dallo schermo se non mediante un qualche intervento attivo dellutente, quindi dovr essere diciamo invasivo dello spazio visibile del sito web; (2) una seconda INFORMATIVA COMPLETA, pi湛 esaustiva, a cui si accede mediante link presente nella (1) e con tutte le informazioni sul trattamento dei dati tramite i
- 3. cookies tale informativa deve essere accessibile da tutte le pagine del sito (di norma nel footer). LINFORMATIVA BREVE (1) - mediante banner - deve avvisare lutente: a) dellutilizzo di cookies di profilazione a fini di marketing; b) dellutilizzo di cookies di terze parti; c) del link alla propria informativa completa (2), con scelta di quali cookies autorizzare; d) di poter negare il consenso allinstallazione dei cookies, di qualunque tipo; quindi va distinto il consenso/diniego per ogni tipologia di cookies, mediante apposito click (es. Accetti luso dei cookies di profilazione di Google Analytics? S - NO); e) che continuare la navigazione o laccesso/scroll ad altra area o cliccando qualche elemento del sito (es. link, immagini) implica il consenso alluso di tutti i cookies indicati. LINFORMATIVA COMPLETA (2) deve contenere: a) tutte le informazioni dovute ex art. 13 D.Lgs. 196/2003 circa tutti i cookies utilizzati; non 竪 obbligatorio indicare i singoli cookies utilizzati, basta distinguerli secondo quanto visto sopra; b) i link a informative e moduli di consenso per cookies di terze parti; c) lindicazione che il browser dellutente pu嘆 essere impostato in merito agli usi dei cookies, cos狸 da rilasciare un consenso o diniego automatizzato (ad es. funzione do-not-track). Va indicata almeno la procedura da eseguire per configurare tali impostazioni (a seconda del browser utilizzato, pare di intendere, quindi si dovr distinguere per tipologia: Chrome, Firefox, Explorer, Safari, ecc.). 5) COME DEVE ESSERE ACQUISITO IL CONSENSO (NEL CASO DI COOKIES DI PROFILAZIONE III)? Mediante: apposito pulsante di conferma (Ok, Accetto o simile) e diniego (Non accetto) contenuto nel banner di informativa semplificata visto sopra, oppure un comportamento attivo di conferma (es. accesso ad altre pagine del sito, scroll della schermata, click sui link della pagina). Il consenso prestato va poi documentato per averne prova (ad es. mediante lutilizzo di apposito cookie tecnico). Baster quindi archiviare per ogni utente il relativo cookie ove sia indicato se sia stato consentito o meno luso dei cookies tramite il sito. Sia che si tratti di cookies tecnici/analytics che di profilazione. Ovviamente non si devono inviare n辿 acquisire cookies fino a quando lutente non ha cliccato S狸 nellapposito pulsante oppure se non ha continuato la navigazione o acceduto a elementi del sito.
- 4. Il Garante ammette la possibilit di acquisire il consenso anche mediante altre modalit che rispettino i requisiti ex art. 23 comma 3 D.Lgs. 196/2003, da valutare attentamente nel caso concreto. 6) IN CASO DI SUCCESSIVI ACCESSI AL SITO DEL MEDESIMO UTENTE, VA NUOVAMENTE RIPROPOSTA LINFORMATIVA BREVE E ACQUISITO NUOVAMENTE IL CONSENSO? No, perch辿 si sar archiviato il consenso gi prestato (naturalmente dovr essere indicato anche a quale informativa si 竪 dato consenso, pensiamo al caso di informative che vengono modificate nel tempo). Tuttavia lutente potr sempre cambiare idea e negare o modificare il consenso precedente, per cui dovr sempre avere accesso a tale possibilit (ad es. nella pagina con informativa completa, oppure riproponendo ogni volta linformativa breve con la richiesta di consenso). 7) DEVO NOTIFICARE PREVENTIVAMENTE QUALCOSA AL GARANTE DELLA PRIVACY? S狸 nel caso di cookies di profilazione, mediante la procedura telematica con firma digitale predisposta dal Garante sul proprio sito web http://www.garanteprivacy.it. Il costo 竪 di 150,00 a notifica, quali diritti di segreteria. Se 竪 gi stata effettuata una notifica in passato, la si dovr integrare se sono mutati gli elementi indicati nella precedente (ad es. categorie di dati, finalit, modalit, ecc.) 8) QUINDI SE IL MIO SITO USA SOLO COOKIES TECNICI O ANALYTICS COSA DEVO FARE ESATTAMENTE? Come visto sopra, baster uninformativa completa (2) al trattamento. Pu嘆 essere sufficiente la descrizione del tipo di cookies utilizzati nellinformativa privacy completa che deve essere sempre presente sul sito web, ai sensi dellart. 13 D.Lgs. 196/2003, oltre ai link delle informative e moduli di consenso di terze parti. Alcuni ritengono sia necessario comunque un banner a schermo, nella forma di ulteriore informativa breve (1) prevista per i cookie di profilazione, anche se privo del pulsante di consenso, il che 竪 certamente pi湛 chiaro e immediato. Tuttavia nulla lo impone, n辿 la normativa n辿 il Garante della Privacy, a oggi. Realt diversa 竪 quella in cui il sito non impieghi in proprio cookies di profilazione ma adotti tali cookies solo di terze parti (ad es. quelli di Google), senza trattare i dati profilazione (sar solo Google a farlo, nel nostro esempio). In tal caso, sembra obbligatorio adottare linformativa breve in banner specificando luso dei cookies di terze parti, naturalmente coordinando in merito anche linformativa completa come indicato di seguito al punto 9). Non sar necessaria, invece, alcuna notificazione al Garante. 9) SE UTILIZZO COOKIES DI TERZE PARTI, CHE COSA DEVO FARE? Indicare anzitutto nella propria informativa (breve o completa che sia) che avviene tale utilizzo da parte di terzi. Inoltre nellinformativa completa andr indicato un link aggiornato alle informative nonch辿 ai moduli di consenso di tali terzi.
- 5. Tutto questo vale, ovviamente, se il titolare/responsabile del sito web non condivide i dati personali acquisiti dai terzi, altrimenti dovr adempiere anche a quanto visto sopra come se fossero propri cookies, non essendo pi湛 un semplice intermediario tecnico bens狸 diventando un co-titolare o titolare autonomo del trattamento che tratta i dati assieme ai terzi (e quindi rispettando quanto sopra circa consenso, informativa e notifica). Il Garante impone che gi in fase contrattuale (cio竪 di accordo con le terze parti per fruire dei loro servizi implicanti luso dei cookies) il titolare/responsabile del sito ottenga i link alle informative e ai moduli di consenso dei terzi, oltre a dover imporre contrattualmente ai terzi: I) lutilizzo esclusivo dei cookies per la fornitura del servizio e non altri scopi; II) la conservazione separata di tali cookies dagli altri utilizzati; III) di non "arricchirli" n辿 "incrociarli" con altre informazioni degli interessati di cui eventualmente dispongano. 10) CHE SUCCEDE SE IL SITO NON IN REGOLA? Si rischiano sanzioni amministrative diverse, a seconda della violazione, in particolare in caso di: Le sanzioni amministrative sono irrogate direttamente dal Garante della Privacy, a seguito di un procedimento amministrativo. Ma non 竪 finita: nulla impedisce che le violazioni poste in essere configurino anche responsabilit penali e/o civili, da accertare in sede giudiziaria. 息2015 Andrea Michinelli Tutti i diritti riservati USO DI COOKIES SENZA IL PREVENTIVO CONSENSO: da 10.000 a 120.000 OMESSA O INIDONEA INFORMATIVA (breve o completa): da 6.000 a 36.000 OMESSA O INCOMPLETA NOTIFICAZIONE AL GARANTE (nel caso di cookies di profilazione): da 20.000 a 120.000