Il Garante per la protezione dei dati personali ha approvato, con provvedimento del 10 giugno 2021, n. 231, le “Linee guida cookie e altri strumenti di tracciamento” (pubblicate in G.U. n. 163 del 9 luglio 2021). 

Il provvedimento mira ad aggiornare le indicazioni contenute nel precedente documento del Garante n. 229/2014 (“Individuazione  delle  modalità semplificate   per l'informativa e l'acquisizione del consenso per  l'uso  dei  cookie”), tenendo conto delle nuove disposizioni introdotte dal Reg. UE 679/2016 (GDPR), delle “Guidelines 05/2020 on consent under Regulation 2016/679” adottate il 5 maggio 2020 dall’European Data Protection on Board (ex Gruppo di Lavoro “art. 29”), delle risultanze emerse nel corso della consultazione pubblica delle Linee guida, nonché dell’evoluzione comportamentale degli stessi utenti della rete. 

Considerato che dall’attuazione delle indicazioni contenute nelle Linee guida potrebbero derivare interventi articolati, il Garante ha previsto che l’adeguamento debba essere effettuato entro il termine di sei mesi dalla pubblicazione in Gazzetta Ufficiale del provvedimento. 

Con le nuove Linee guida, il Garante precisa innanzitutto la funzione dei cookie (art. 2) e contempla gli altri strumenti di tracciamento che consentono di effettuare trattamenti analoghi a quelli effettuati con i cookie (art. 3).  

Viene poi dedicato un articolo (art. 4) alla classificazione dei cookie (in particolare, cookie tecnici utilizzati al solo fine di «effettuare  la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della società dell'informazione esplicitamente richiesto dal contraente o dall'utente a erogare tale servizio» e cookie  di profilazione, utilizzati per  “ricondurre a soggetti determinati, identificati o identificabili, specifiche azioni o schemi comportamentali ricorrenti nell'uso delle funzionalità offerte (pattern) al fine del raggruppamento  dei  diversi  profili all'interno di cluster omogenei di diversa ampiezza”) e degli altri strumenti di tracciamento (che possono distinguersi per la finalità perseguita, di natura “tecnica”  o “non tecnica”).

Le Linee guida proseguono con una panoramica relativa alla normativa applicabile per l’utilizzo dei cookie e degli altri strumenti di tracciamento (art. 5), per poi soffermarsi sulle modalità per l’acquisizione del consenso online (art. 6), necessario, in particolare, per i cookie di profilazione. In particolare, riguardo al cd. scrolling, il Garante precisa che il semplice spostamento in basso del cursore (scroll down) non rappresenta una idonea manifestazione del consenso e i titolari dei siti dovranno eventualmente inserire lo scrolling in un processo più articolato nel quale l’utente sia in grado di generare un evento, registrabile e documentabile presso il server del sito, che possa essere qualificato come azione positiva idonea a manifestare in maniera inequivoca la volontà di prestare un consenso al trattamento. Riguardo, poi, al cd. cookie wall (sistema che vincola gli utenti all’espressione del consenso), il Garante chiarisce che questo meccanismo è da ritenersi illegittimo, salva l’ipotesi, da verificare caso per caso, nella quale il titolare del sito consenta comunque agli utenti l’accesso a contenuti o servizi equivalenti senza richiesta di consenso all’uso dei cookie o di altri strumenti di tracciamento. 

Viene poi affrontato il tema della privacy by design e by default in relazione ai cookie ed agli altri strumenti di tracciamento (art. 7) e, infine, il Garante illustra alcuni miglioramenti che i titolari potranno adottare al fine di rendere agli utenti una informativa conforme ai rinnovati requisiti di trasparenza  imposti dagli articoli 12 e 13 del GDPR, compresa l'indicazione circa gli eventuali altri soggetti destinatari dei dati personali e i tempi di conservazione delle informazioni acquisite (art. 8). 

Alle Linee guida è stata allegata una scheda (Allegato 1) che ne costituisce parte integrante e sostanziale e in cui è racchiusa una sintesi del provvedimento.