Cookie e privacy: cosa serve davvero al sito di una piccola impresa

Quasi ogni sito ha un riquadro che chiede di accettare i cookie. Ma molti di quei riquadri non rispettano le regole, e molti siti non hanno le informative giuste. Qui trovi cosa serve davvero al sito di una piccola impresa, secondo le linee guida del Garante per la protezione dei dati personali.

In breve. Servono un'informativa privacy e una cookie policy che descrivano davvero il sito. Il banner serve solo se il sito usa strumenti che non sono tecnici, come statistiche con dati non anonimi, pubblicità o video esterni. Il banner deve permettere di rifiutare con la stessa facilità con cui si accetta, e quegli strumenti devono partire solo dopo il consenso. Lo scroll non vale come consenso.

Cosa sono i cookie e perché c'è il banner

I cookie sono piccoli file che il sito salva nel browser di chi lo visita. Alcuni servono a far funzionare il sito, altri a misurare le visite o a mostrare pubblicità. La legge li tratta in modo diverso:

• cookie tecnici: servono al funzionamento del sito, per esempio a ricordare le scelte fatte sul banner o il carrello. Non serve il consenso, ma vanno indicati nella cookie policy;
• cookie e strumenti di profilazione o pubblicità: per esempio il Pixel di Meta o gli strumenti pubblicitari di Google. Possono partire solo dopo che la persona ha detto sì.

Il banner serve proprio a chiedere quel consenso. Se il sito usa solo cookie tecnici, il banner non è necessario.

E le statistiche delle visite?

Per le statistiche il Garante fa una distinzione. Gli strumenti di analisi sono trattati come tecnici, quindi senza consenso, solo se rispettano condizioni precise: tra le altre, l'indirizzo IP deve essere mascherato, i dati devono servire solo a statistiche aggregate del sito e chi fornisce lo strumento non deve combinarli con altri dati.

Gli strumenti più diffusi, nella configurazione normale, non rispettano tutte queste condizioni. In pratica, per Google Analytics e simili la strada più sicura è attivarli solo dopo il consenso.

Come deve essere il banner

Secondo le linee guida del Garante del 10 giugno 2021:

• accettare e rifiutare devono essere ugualmente facili. Il banner deve avere un comando per accettare e uno per chiudere senza dare il consenso, per esempio una X, con la stessa evidenza grafica;
• chiudere il banner con la X equivale a non dare il consenso: il sito continua a funzionare con i soli cookie tecnici;
• lo scroll non è consenso: continuare a scorrere la pagina non vuol dire accettare;
• niente cookie wall: in linea di principio non si può bloccare il sito a chi rifiuta;
• la scelta va ricordata: dopo un rifiuto il banner non va riproposto prima di sei mesi, salvo che cambino in modo importante gli strumenti usati;
• la scelta si deve poter cambiare: serve un link, di solito nel piè di pagina, per riaprire le preferenze.

C'è poi un punto tecnico che conta più di tutti: gli strumenti non devono partire prima della scelta. Un banner che compare mentre il Pixel o le statistiche sono già attive non serve a nulla.

Le informative

Il sito deve spiegare in modo chiaro chi tratta i dati, per cosa, per quanto tempo e quali diritti ha chi li lascia. Di solito servono:

• l'informativa privacy, che riguarda anche i dati del modulo di contatto;
• la cookie policy, con l'elenco degli strumenti usati e a cosa servono.

Copiare l'informativa da un altro sito è un errore frequente: descrive strumenti e trattamenti che non sono i tuoi. Le informative devono corrispondere a quello che il sito fa davvero, e vanno aggiornate quando aggiungi uno strumento nuovo. Un altro obbligo che può riguardare il sito, se vendi online, è l'accessibilità.

Il modulo di contatto

Per rispondere a una richiesta non serve una casella "acconsento al trattamento" obbligatoria: i dati servono a rispondere a chi te li ha chiesti. Serve invece che l'informativa sia raggiungibile prima dell'invio. Se vuoi usare quei dati anche per mandare promozioni, allora serve un consenso a parte, facoltativo e non già spuntato.

Gli errori più frequenti

1. Banner con il solo pulsante "Accetta", o con "Rifiuta" nascosto in un secondo livello.
2. Statistiche e pubblicità che partono prima della scelta.
3. Informative copiate o ferme a molti anni fa.
4. Nessun modo per cambiare idea dopo aver scelto.
5. Video di YouTube o mappe incorporate che caricano cookie di terze parti senza consenso.

Come lavoriamo noi

Nei siti che realizziamo vale questo: configurazione privacy e cookie inclusa. Documenti legali generati tramite un servizio specializzato e strumenti di tracciamento configurati nel rispetto delle preferenze dell'utente. Ci occupiamo dell'integrazione tecnica; la conformità complessiva dipende anche da come la tua azienda tratta i dati. Trovi i dettagli nella pagina Siti web.

Fonti

• Linee guida cookie e altri strumenti di tracciamento, 10 giugno 2021, Garante per la protezione dei dati personali.

Questa guida spiega le regole in modo generale e non sostituisce un parere legale sul tuo caso.