Cookies, per il consenso non basta una casella di spunta preselezionata
Il consenso all’archiviazione di informazioni o all’accesso a informazioni, attraverso cookies installati nell’apparecchiatura terminale dell’utente di un sito Internet, non è validamente espresso quando l’autorizzazione risulta da una casella di spunta preselezionata, e ciò indipendentemente dal fatto che le informazioni di cui trattasi costituiscano o meno dati a carattere personale.
Con sentenza del 1° ottobre 2019, Planet49 (scarica il testo), la Corte di Giustizia Europea (Grande Sezione) ha dichiarato che il consenso all’archiviazione di informazioni o all’accesso a informazioni, attraverso cookies installati nell’apparecchiatura terminale dell’utente di un sito Internet, non è validamente espresso quando l’autorizzazione risulta da una casella di spunta preselezionata, e ciò indipendentemente dal fatto che le informazioni di cui trattasi costituiscano o meno dati a carattere personale. La Corte ha inoltre precisato che il fornitore di servizi deve comunicare all’utente di un sito Internet il periodo di attività dei cookie, nonché la possibilità o meno per i terzi di avere accesso a tali cookie.
Il caso
La controversia nel procedimento principale verteva sull’organizzazione di un gioco a premi da parte della Planet49 sul sito Internet www.dein-macbook.de.
Per partecipare, gli utenti di internet dovevano comunicare il loro nome e indirizzo in una pagina web nella quale erano presenti delle caselle di spunta da selezionare. La casella autorizzante l’installazione dei cookie era preselezionata.
Adito con un ricorso dalla Federazione tedesca delle organizzazioni di consumatori, il Bundesgerichtshof (Corte federale di giustizia, Germania) nutriva dubbi quanto alla validità del consenso degli utenti ottenuto mediante una casella di spunta preselezionata nonché quanto alla portata dell’obbligo di informazione gravante sul fornitore di servizi.
La domanda di pronuncia pregiudiziale verteva essenzialmente sull’interpretazione della nozione di consenso di cui alla direttiva relativa alla vita privata e alle comunicazioni elettroniche, letta in combinato disposto con la direttiva 95/46, nonché con il regolamento generale sulla protezione dei dati.
I cookies
Si ricorda che i cd. cookies sono dei file di testo generati da programmi che raccolgono informazioni circa i gusti, le abitudini dell’utente e, tramite il sito web consultato, le scaricano nella memoria interna del computer utilizzato per navigare.
I cookies appena definiti sono anche chiamati cookies di profilazione proprio perché tendono a creare profili relativi all'utente e vengono utilizzati al fine di inviare messaggi pubblicitari in linea con le preferenze manifestate dallo stesso nell'ambito della navigazione in rete.
Dai cookies di profilazione si distinguono quelli tecnici che sono utilizzati al solo fine di "effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della società dell'informazione esplicitamente richiesto dall'abbonato o dall'utente a erogare tale servizio“.
Inoltre, a proposito dei cookies di profilazione, bisogna tenere conto del differente soggetto che installa i cookie sul terminale dell'utente, a seconda che si tratti dello stesso gestore del sito che l'utente sta visitando (che può essere sinteticamente indicato come "editore") o di un sito diverso che installa cookie per il tramite del primo (c.d. "terze parti").
In ragione della particolare invasività che tali i cookies possono avere nell'ambito della sfera privata degli utenti, la normativa europea e italiana prevede che l'utente debba essere adeguatamente informato sull'uso degli stessi ed esprimere così il proprio valido consenso.
Ci si riferisce in particolare al nostro D.lgs. n. 69/2012, che ha recepito quanto prescritto dalla direttiva 2009/136/CE (nota come «e-Privacy»). Questa direttiva cerca di aumentare la protezione della privacy, per rendere meno invasive particolari forme di marketing.
In particolare il D.lgs. n. 69/2012 prevede una maggiore informazione degli utenti, anche se semplificata, circa l’esistenza di cookie ed un esplicito consenso che può essere espresso anche attraverso l’utilizzo di specifiche configurazioni di programmi informatici o di dispositivi.
Inoltre, ai fini della semplificazione dell'informativa, il Garante è intervenuto con un provvedimento generale dell’8 maggio 2014 dove ritiene che una soluzione efficace, sia quella di impostare la stessa su due livelli di approfondimento successivi.
Nel momento in cui l'utente accede a un sito web, deve essergli presentata una prima informativa "breve", contenuta in un banner a comparsa immediata sulla home page integrata da un'informativa "estesa", alla quale si accede attraverso un link cliccabile dall'utente.
La decisione
Nel caso specifico la Corte ha osservato che l’articolo 2, lettera h), della direttiva 95/46, alla quale fa rinvio l’articolo 2, lettera f), della direttiva relativa alla vita privata e alle comunicazioni elettroniche, definisce il consenso come «qualsiasi manifestazione di volontà libera, specifica e informata con la quale la persona interessata accetta che i dati personali che la riguardano siano oggetto di un trattamento». Essa ha rilevato che il requisito della «manifestazione» della volontà della persona interessata evoca chiaramente un comportamento attivo e non uno passivo.
Orbene, il consenso espresso mediante una casella di spunta preselezionata non implica un comportamento attivo da parte dell’utente di un sito Internet. Inoltre, la genesi dell’articolo 5, paragrafo 3, della direttiva relativa alla vita privata e alle comunicazioni elettroniche, il quale prevede, dopo la modifica per effetto della direttiva 2009/136, che l’utente deve avere «espresso preliminarmente il proprio consenso» all’installazione di cookie, tende a indicare che il consenso dell’utente oramai non può più essere presunto e deve risultare da un comportamento attivo di quest’ultimo. Infine, un consenso attivo è oramai previsto dal regolamento generale sulla protezione dei dati, il cui articolo 4, punto 11, richiede una manifestazione della volontà nella forma, segnatamente, di un’«azione positiva inequivocabile» e il cui considerando 32 esclude espressamente che «il silenzio, l’inattività o la preselezione di caselle» configurino consenso.
-La Corte ha pertanto dichiarato che il consenso non è validamente espresso quando l’archiviazione di informazioni o l’accesso a informazioni già archiviate nell’apparecchiatura terminale dell’utente di un sito Internet sono autorizzati mediante una casella di spunta preselezionata che l’utente deve deselezionare al fine di negare il proprio consenso. Essa ha aggiunto che il fatto che l’utente attivi il pulsante di partecipazione al gioco a premi in questione non può essere sufficiente per ritenere che l’utente abbia validamente espresso il suo consenso all’installazione di cookie.
-In secondo luogo, la Corte ha constatato che l’articolo 5, paragrafo 3, della direttiva relativa alla vita privata e alle comunicazioni elettroniche mira a proteggere l’utente da qualsiasi ingerenza nella sua vita privata, indipendentemente dal fatto che detta ingerenza riguardi o meno dati personali. Ne consegue che la nozione di consenso non deve essere interpretata in modo diverso a seconda che le informazioni archiviate o consultate nell’apparecchiatura terminale dell’utente di un sito Internet costituiscano o meno dati personali.
-In terzo luogo, la Corte ha rilevato che l’articolo 5, paragrafo 3, della direttiva relativa alla vita privata e alle comunicazioni elettroniche esige che l’utente abbia preliminarmente espresso il proprio consenso, dopo essere stato informato in modo chiaro e completo, sugli scopi del trattamento. Orbene, un’informazione chiara e completa deve consentire ad un utente di determinare agevolmente le conseguenze di un eventuale consenso prestato e assicurare che questo sia espresso con piena conoscenza di causa. A tal proposito, la Corte ha considerato che il periodo di attività dei cookie, nonché la possibilità o meno per i terzi di avere accesso a tali cookie rientrano nell’informazione chiara e completa che il fornitore di servizi deve comunicare all’utente di un sito Internet.
fonte altalex
Lo Studio Legale Gaudiello è a vostra completa disposizione, chiunque può rivolgersi per qualsiasi dubbio, chiarimento o problema legale, contando su un’assistenza tempestiva e altamente professionale.
Contattaci.
Qualora necessiti di una assistenza legale potrai richiedere e ottenere gratuitamente un preventivo di spesa gratuito non impegnativo.
Lo Studio Legale Gaudiello difende e tutela gli interessi e i diritti fondamentali di ogni cliente.