Idee più chiare per i cookie banner in Europa, dopo l’intervento congiunto delle autorità con apposito report? Non proprio, il documento di report presentato dall’EDPB (per ora in bozza, dovrà essere discusso pubblicamente e finalizzato) è forse troppo generico per riservare davvero sorprese e fornire un supporto significativo, rispetto alla situazione pregressa.
Tuttavia, contiene alcune precisazioni che dovranno essere rispettate in tutta Europa, meglio familiarizzare con quanto si attenderanno – o meglio, che “non” vogliono attendersi, come vedremo – le autorità.
Gestire male i cookie costa caro: cosa impariamo dalla sanzione privacy milionaria a TikTok
Indice degli argomenti
Storia di un provvedimento
L’EDPB ha pubblicato in data 18 gennaio, a opera di una propria task-force ad hoc, l’esito della propria consultazione tra autorità privacy, sul tema dei cookie banner.
La task-force è un gruppo di lavoro cooperativo finora inedito, costituito nel 2021 appositamente in seguito ai numerosissimi reclami presentati in tutta Europa alle varie autorità da parte della NOYB presieduta da Max Schrems.
Non c’è bisogno di dilungarsi nel ricordare chi sia Schrems e la sua “creatura”, basti ripensare a quanto accaduto ai trasferimenti dei dati personali extra-UE in seguito alla sentenza c.d. Schrems II della Corte di Giustizia.
Va ricordato che la disciplina dei cookie nell’UE è frammentata, a causa di regole spartite tra GDPR (generali) e Direttiva “ePrivacy” – 2002/58 (specifica e recepita in vario modo a livello statale, in Italia nel Codice nostrano, il D.Lgs. 196/2003). Ciò ha generato norme parzialmente difformi, interpretazioni parzialmente difformi – con le autorità di ogni Stato a sfornare linee guida in autonomia, a volte con sensibili differenze tra i vari Paesi. Generando notevole complessità per multinazionali e trattamenti coinvolgenti più Paesi.
L’EDPB stessa ricorda, circa la disciplina applicabile, che temporalmente possiamo distinguere tra:ù
- la fase di deposito o lettura del cookie sul dispositivo utente (disciplinata dalla ePrivacy);
- la fase di trattamento, successiva a tali operazioni (disciplinata dal GDPR).
Proprio per questo l’EDPB sottolinea come il meccanismo dello sportello unico (“one-stop-shop”) degli artt. 56 e 60 GDPR non si applichi alla prima fase, mentre nella seconda – caso per caso – si stabilirà (nei casi transfrontalieri) l’autorità competente sulla base degli elementi di fatto.
Poi è toccato all’operazione attuata da NOYB circa un anno fa: l’associazione ha presentato in tutta Europa numerosi reclami (circa 700!), per conto di vari interessati, diretti a contestare varie “worst-practices” di utilizzo dei cookie banner ritenute illecite.
La mole ha indotto le autorità a fare fronte comune, istituendo presso l’ente collettore la predetta task-force. E così da pubblicare un documento di orientamento minimo comune, diretto anzitutto all’assetto da adottare nel replicare alle istanze di NOYB.
Per garantire un’uniformità e coerenza di base al tema, oltre a una maggiore certezza giuridica. Dal che si arriva al recente documento, davvero basilare, che non sorprende né davvero aiuta a raggiungere i predetti obiettivi. Comunque fornisce alcune minime precisazioni e suggerimenti utili per tutti.
A ogni modo non dimentichiamo che – a livello di gruppo delle autorità – il tema non è innovativo, visto che il WP29 (antesignano dell’EDPB pre-GDPR) aveva già emanato diversi documenti di indirizzo come ad es. l’Opinion n. 4 del 2012. Documenti tuttora utili per orientarsi e utilizzati anche dalle singole autorità nella loro attività.
Le casistiche analizzate, in particolare il design
Il documento EDPB non è una vera e propria linea guida, bensì un report: la task-force ha analizzato le tante casistiche portate all’attenzione da NOYB, classificando i tipi di violazione normativa ravvisati e segnalandone i componenti erronei. Da cui si ricavano linee di comportamento discusse e condivise (se arrivate a un risultato comune) dalla autorità.
Si tratta di un’elencazione di prassi in violazione della normativa, purtroppo molto frequenti, e da evitarsi, una sorta di black list. Una lista di errori, potremmo suggerire, facilmente mutabile in pratica checklist per una prima verifica dei cookie banner.
Ove rileva la modalità implementativa (che dovrebbe essere privacy by design e by default) dei meccanismi di trasparenza e consenso. Viziati da una pervicace asimmetria (di potere e informativa) che nei cookie banner trova purtroppo terreno fertile.
Soprattutto quanto al layout, come vedremo, ricordando che in merito l’EDPB aveva già emanato le linee guida 3/2022 con una logica analoga, sui c.d. dark pattern nei social media. Di cui il documento qui in parola pare essere una declinazione settoriale.
Le categorie sono sette, così ripartite:
- Nessun pulsante di rifiuto nel primo strato: considerato che i banner sono composti da più strati (solitamente nel secondo si trova la scelta, più approfondita, dei tipi di cookie), nel primo strato a disposizione l’utente dovrebbe – da subito – poter rifiutare, con apposito pulsante, l’intero gruppo di cookie facoltativi (perché non “essenziali” tecnicamente); l’EDPB non sindaca qui sulla dicitura, ammettendo l’equipollenza tra formule come “rifiuto”, “respingo”, “non consento” e analoghe;
- Caselle preselezionate: passando al secondo livello, atteso sulle tipologie di cookie presenti, l’EDPB contesta come invalida qualsivoglia preselezione (cosa ormai ribadita più volte); non entrando però nel merito dei cookie tecnici, i quali non si vede perché non possano essere – se essenziali alla fruizione del sito – preselezionati e non mutabili, come spesso accade nei vari banner: forse si vuole suggerire che non debbano proprio essere oggetto di presentazione grafica con caselle all’utente, assieme agli altri, vista la loro essenzialità?
- Link design ingannevole: non si può adottare un link (cioè una parola o frase, con rimando ipertestuale ulteriore ad es. a un secondo strato del banner) al posto del predetto pulsante di rifiuto; l’EDPB puntualizza che “in ogni caso il titolare di un sito web non deve progettare il cookie banner in modo da dare agli utenti l’impressione di dover dare un consenso per accedere al contenuto del sito web, né che spinga chiaramente l’utente a dare il consenso”; ergo, sono esempi “negativi” quelli di frasi con (quale unica modalità) un link, incorporato in un testo o situato al di fuori del banner ove sono presenti gli altri pulsanti – magari sì con un corretto wording, nondimeno privo del “supporto visivo sufficiente a richiamare l’attenzione dell’utente medio su questa azione alternativa”;
- Colore dei pulsanti ingannevole: uno standard generale di banner relativo al colore e/o al contrasto dei pulsanti non è considerabile come imponibile a priori da parte dell’EDPB; caso per caso va verificato che il contrasto e i colori utilizzati “non siano palesemente fuorvianti per gli utenti e non comportino un consenso involontario e, come tale, non valido”; non si è nemmeno riuscito o voluto richiamare best-practice internazionali di ethical design o UX, resta da verificare se e in che misura le autorità abbiano le competenze per compiere valutazioni di questo tipo e motivarle adeguatamente;
- Contrasto dei pulsanti ingannevole: vale quanto detto al precedente punto, ma è stato identificato almeno un caso sicuramente vietato: offrire un’azione alternativa (diversa dalla concessione del consenso) con “un pulsante in cui il contrasto tra il testo e lo sfondo del pulsante è così minimo che il testo è illeggibile praticamente da qualsiasi utente”; la formulazione dell’EDPB pare riferirsi a casi limite, lasciando nel dubbio – cioè alla valutazione caso per caso – il grosso della realtà verificabile;
- Interesse legittimo dichiarato: si ribadisce che l’uso della base dell’interesse legittimo è generalmente errata (si veda il caso sul framework TCF di IAB per dettagli); inoltre la prassi di “nasconderlo” nel secondo strato del banner, con l’eventuale pulsante di opposizione al trattamento inerente, configura un raggiro – facendo credere all’utente che debba “rifiutare” (diciamo compiere un’azione) due volte per impedire il trattamento (prima la base consensuale, poi il legittimo interesse);
- Cookie non “essenziali”: indicare come essenziali (dunque obbligatori) cookie che non lo sono è palesemente illecito; è precisato dall’EDPB che “difficoltà pratiche, in particolare a causa del fatto che le caratteristiche dei cookie cambiano regolarmente”, impediscono la creazione di un elenco stabile e affidabile di questo tipo di cookie, valutato caso per caso; l’EDPB ricorda che esistono vari tool per fare l’elenco dei cookie ma che non sono necessariamente affidabili o in grado di classificarli correttamente, quindi la valutazione e classificazione finale andrà effettuata sempre e solo dal titolare, caso per caso; per alcuni esempi tipologici l’EDPB rimanda comunque – un po’ pigramente – alla già citata Opinion WP29 del 2012 dove svariati esempi erano invece presenti, ad es. il caso di cookie usato per mantenere le preferenze dell’utente;
- Nessuna icona di revoca: una volta chiuso il banner, l’utente dovrebbe poter sempre facilmente rinvenire – ad es. come icona fluttuante o almeno link nel footer, ben visibili – un’opzione per rivedere le proprie scelte sui cookie; soprattutto per garantire la possibilità di revocare i propri consensi con la stessa facilità con cui li si è resi; anche qui non si impone una soluzione specifica, rimandando all’analisi caso per caso.
L’insieme di queste classificazioni rispecchia grossomodo quello che la NOYB stessa aveva presentato assieme ai suoi ricorsi e che possiamo vedere riassunte (con percentuali di riscontro percentuale sui siti web esaminati e oggetto di reclamo). Di seguito se ne riproduce lo schema.
Peraltro NOYB rivendica già un risultato: secondo la stessa, la presentazione dei citati 700 reclami dopo un anno avrebbe già avuto l’effetto virtuoso di migliorare tutte le cattive prassi del settore. In particolare col maggior diffondersi del pulsante di rifiuto, prima spesso assente.
Che valore hanno queste indicazioni?
È l’EDPB stessa a chiarire che il report (una volta finalizzato, ovviamente – come detto si tratta di una bozza) non costituisce una raccomandazione o altro per ottenere il “via libera” da un’autorità nazionale. Ogni autorità detiene la propria autonomia, caso per caso dovrà sempre e comunque valutare in base anche alla propria normativa nazionale, alle proprie linee guida, alle mille variabili anche di contesto della realtà da valutare. In primis, i casi presentati di fronte ai vari Paesi da NOYB.
Quindi le linee guida sui cookie 2021 del Garante potrebbero restare immutate, invece le valutazioni del Garante terranno conto altresì delle indicazioni integrative offerte dal report EDPB. Pur potendo discostarsene, in maniera motivata.
I possibili effetti sulla supply chain
Vedremo nei prossimi mesi quale sarà la versione finale del report dell’EDPB e l’effettivo contributo esplicativo.
Per ora sia di supporto a ogni azienda che sappia fare tesoro di indicazioni dotate, comunque, di un peso specifico rilevante: all’esito di tutto questo, ogni responsabilità è comunque sempre e solo in capo al singolo titolare che utilizza soluzioni pronte di certi vendor, dovendo compiere uno sforzo per configurare correttamente – ammesso che sia possibile farlo – i tool adottati.
Scartando quelli che non sono adeguati alle normative.
Oltretutto quasi sempre i contratti con tali vendor presuppongono clausole di esonero di responsabilità (valide almeno quanto alla colpa lieve), altro aspetto spesso sottovalutato.
