Nuovo regolamento europeo Privacy: cos'è cambiato con il GDPR

Il nuovo regolamento europeo privacy per siti web e-Commerce è entrato in vigore dal 25 maggio 2018 per effetto del nuovo RGDP Regolamento (UE) 2016/679 a partire dal 25 maggio 2018 cambia la normativa sula privacy.

Con la nuova normativa privacy diventa così obbligatorio per tutti i siti italiani acquisire il consenso esplicito e informato degli utenti al trattamento dei dati sensibili, una nuova informativa chiara e trasparente, la possibilità di revocare il consenso, di fare reclamo alle autorità competenti e tante altre importanti novità.

Vediamo quindi nello specifico cosa sono i cookie e come funzionano, a cosa servono e cosa si è fatto per adeguarsi entro il 25 maggio 2018 alla nuova normativa, quali sono le sanzioni e come sono punite le violazioni sulla privacy.

Cookie siti web: cosa sono e come funzionano?

Che cosa sono i cookie?

I Cookie, sono piccole righe di testo che vengono memorizzate nel broswer degli utenti ogni qual volta che visitano un sito internet. Tali cookie, nati per per migliore la navigazione internet all'interno di un sito web, una volta memorizzati sul computer, sono poi ritrasmessi tutte le volte che si accede allo stesso sito, al fine di memorizzare informazioni relativa alla visita e salvare impostazioni personalizzate utili per il successivo accesso.

La sensazione generale per gli utenti, è quella di visitare un sito che già conosce cosa si sta cercando o il contenuto del carrello della spesa precedente, se si visita nuovamente lo stesso sito di e-Commerce.

Se da una parte i cookie rappresentano quindi uno strumento che amplia e velocizza l'esperienza di navigazione, dall'altra potrebbe essere un rischio per la privacy, in quanto sono file che raccolgono dati e informazioni personali, abitudini, ricerche e preferenze.

Come funzionano i cookie?

Quando si visita un sito web dal proprio pc, tablet o smartphone, il sito o i web server diversi (c.d. "terze parti") che si visitano, oltre a far vedere i contenuti, inviano anche al dispositivo con cui stiamo navigando, i cookie.

Questi sono solitamente presenti in numero molto elevato nei nostri broswer e a volte sono anche molto persistenti nel tempo, ossia, fino a quando l'utente non provvede a cancellarli perché magari si accorge che il dispositivo è fortemente rallentato.

Vi ricordiamo inolre che è stata approvata dall'Ue la nuova legge sul diritto d'autore: riforma copyright Ue.

Nomativa cookie in vigore fino al 24 maggio 2018:

La normativa cookie in vigore fino al 24 maggio, ha cercato di regolamentare l'uso di questo strumento al fine di garantire la protezione della privacy degli utenti. Per farlo il Garante ha quindi individuato 2 tipologie di cookie sulla base di vere e proprie caratteristiche e finalità perseguite, elaborate seguendo la direzione di quanto precedentemente disposto e osservato dalla direttiva 2009/136/CE, con la quale si è affermato e confermato l'obbligo di acquisire il consenso preventivo e informato degli utenti all'installazione di cookie utilizzati per finalità diverse da quelle meramente tecniche (cfr. art. 1, comma 5, lett. a), del d. lgs. 28 maggio 2012, n. 69, che ha modificato l'art. 122 del Codice).

A tale proposito, la nuova regolamentazione distingue due macro categorie di cookie:

Cookie tecnici che sono utilizzati dai siti e dai web server per effettuare la trasmissione delle comunicazioni sulla rete intente o dal fornitore al fine di offrire un servizio online esplicitamente richiesto dall'utente (cfr. art. 122, comma 1, del Codice). I cookie tecnici poi possono essere distinti in cookie di navigazione o di sessione, che servono a garantire la normale navigazione e la fruizione del sito web come l'autenticazione, l'acquisto ecc e in cookie analytics, utilizzati dal gestore del sito per sapere il numero delle visite e degli accessi sulla base di criteri come ad esempio, la lingua, l'età, i prodotti acquistati, al fine di migliorare il servizio e l'esperienza utente.

Cosa prevede la normativa per i cookie tecnici? Il nuovo provvedimento sulla privacy in vigore dal prossimo 2 giugno dice che per l'installazione di questi cookie tecnici non è richiesto il preventivo consenso degli utenti, ma solo l'obbligo di dare l'informativa ai sensi dell'art. 13 del Codice, che il gestore del sito, qualora utilizzi soltanto tali dispositivi, potrà fornire con le modalità che ritiene più idonee.

I Cookie di profilazione sono invece utilizzati per creare il profilo degli utenti al fine di utilizzare queste informazioni per proporre messaggi pubblicitari ad hoc in base alle preferenze di ricerca effettuate dallo stesso utente durante la navigazione su internet. Ed è proprio per questa caratteristica così invasiva nella sfera privata degli utenti, che la normativa europea e italiana sui cookie di profilazione, prevede che l'utente debba essere informato preventivamente sull'uso di cookie e dare il suo consenso prima di accedere al sito web o di e-Commerce.

Cosa prevede la nuova normativa cookie? Che dove vi sia "l'archiviazione delle informazioni nell'apparecchio terminale di un contraente o di un utente o l'accesso a informazioni già archiviate sono consentiti unicamente a condizione che il contraente o l'utente abbia espresso il proprio consenso dopo essere stato informato con le modalità semplificate di cui all'articolo 13, comma 3" (art. 122, comma 1, del Codice).

Informativa cookie estesa: quando e come si usa?

L'Informativa cookie estesa è l'informativa completa alla quale l'utente può accedere attraverso un collegamento inserito nell'informativa breve e dalle singole pagine che compongono il sito web e di e-Commerce. Tale informativa estesa, deve essere sempre aggiornata alle informative e ai moduli di consenso delle terze parti con le quali l'editore ha stipulato accordi circa l'installazione di cookie tramite il proprio sito.

Nel caso in cui, l'editore abbia invece instaurato rapporti indiretti con le terze parti, deve provvedere a collegare, i siti dei soggetti che fanno da intermediari tra lui e le stesse terze parti.

Nell'informativa estesa cookie deve essere sempre presente la possibilità per l'utente di modificare l'uso dei cookie da parte del sito anche attraverso le impostazioni del browser, indicandone la procedura da eseguire per configurare tali impostazioni anche con apposito collegamento diretto con la sezione del browser dedicata alle impostazioni stesse.

Informativa breve cookie siti web ed e-Commerce:

Al fine di semplificare l'informativa cookie, il nuovo provvedimento del Garante della Privacy prevede due livelli:

Informativa cookie breve: deve essere visibile all'utente nel momento in cui accede al sito e pertanto deve essere posta in home page, o su altra pagina dalla quale l'utente può accedere. Pertanto, appena si esegue l'accesso al sito, deve comparire immediatamente e in primo piano un banner di dimensioni adeguate che comporti la discontinuità nella navigazione e che possa essere superato solo con intervento attivo dell'utente. Tale informativa breve deve contenere le seguenti indicazioni:

a) che il sito utilizza cookie di profilazione al fine di inviare messaggi pubblicitari in linea con le preferenze manifestate dall'utente nell'ambito della navigazione in rete;
b) che il sito consente anche l'invio di cookie "terze parti" (laddove ciò ovviamente accada);
c) il link all'informativa estesa, ove vengono fornite indicazioni sull'uso dei cookie tecnici e analytics, viene data la possibilità di scegliere quali specifici cookie autorizzare;
d) l'indicazione che alla pagina dell'informativa estesa è possibile negare il consenso all'installazione di qualunque cookie;
e) l'indicazione che la prosecuzione della navigazione mediante accesso ad altra area del sito o selezione di un elemento dello stesso (ad esempio, di un'immagine) comporta la prestazione del consenso all'uso dei cookie.

Resta ferma comunque la possibilità del gestore del sito, ovvero, dell'editore di utilizzare modalità diverse da quella sopra descritta per informare e acquisire il consenso online all'uso dei cookie da parte degli utenti, purché assicurino il rispetto di quanto disposto dall'art. 23, comma 3, del Codice. Inoltre, una volta ottenuto il consenso, è obbligatorio per l'editore di tenere traccia del consenso ottenuto, avvalendosi di un apposito cookie tecnico. In questo modo, l'editore potrà non riproporre la suddetta informativa breve ogni qualvolta che l'utente visita lo stesso sito.

In ogni momento, l'utente può poi revocare il consenso o modificarlo in maniera agevole, accedendo ad esempio all'informativa estesa, il cui indirizzo deve essere accessibile da ogni pagina del sito.

Nuovo regolamento europeo privacy: cosa è cambiato?

Nuovo regolamento europeo privacy: a partire dal 25 maggio 2018, è entrata in vigore la nuova normativa sui Cookie a livello europeo a sensi del nuovo regolamento privacy, Regolamento 2016/679.

Il nuovo regolamento europeo sulla privacy entrato in vigore dal 25 maggio 2018 in tutti i Paesi Membri senza che sia necessario il suo recepimento a livello nazionale di ciascun paese, per cui la sua eventuale inosservanza, ha fatto scattare subito le sanzioni.

Ma esattamente cosa è cambiato con la nuova normativa cookie? Con l'entrata in vigore del nuovo regolamento sulla privacy 2018, andiamo a vedere cosa cambia:

1) Nuovo regolamento privacy: Il consenso esplicito: al fine di garantire una maggiore trasparenza nel trattamento dei dati sensibili, la nuova Privacy prevede l'obbligo di ottenere il consenso eplicito da parte degli utenti, anche se non è obbligatoria la forma scritta e per i minori, il consenso è ottenibile dai 16 anni in poi.

Per il consenso esplicito quindi è valido qualunque tipo di manifestazione purché libera e volontaria, specifica, informata e inequivocabile. L'utente che intende dare il consenso, accetta quindi con dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano sono oggetto di trattamento.

Altresì viene esclusa ogni forma di consenso tacito oppure raccolto attraverso la presentazione di opzioni già selezionate e la sua revoca, può essere effettuata in ogni momento con la stessa semplicità e trasparenza di quando è stata concessa. Il trattamento dei dati effettuato fino alla revoca rimane comunque legittimo.

2) Nuovo regolamento europeo privacy: il diritto all’oblio. Il diritto all’oblio è il diritto da parte di un utente di ottenere la cancellazione dei propri dati personali, anche online, da parte del titolare del trattamento, qualora si riscontrino determinate condizioni previste dal Regolamento:

se i dati sono trattati solo sulla base del consenso;
se i dati non sono più necessari per gli scopi rispetto ai quali sono stati raccolti;
se i dati sono stati trattati illecitamente;
se l’interessato si oppone legittimamente al loro trattamento.

Il diritto all’oblio, dopo il 25 maggio 2018, può quindi essere limitato solo in alcuni casi specifici quali ad esempio:

garantire l’esercizio della libertà di espressione;
garantire il diritto alla difesa in sede giudiziaria;
tutelare un interesse generale come potrebbe essere la salute pubblica;
se i dati resi anonimi, sono necessari per la ricerca storica o per finalità statistiche o scientifiche.

3) Nuovo regolamento privacy: la portabilità dei dati. A partire dal 25 maggio 2018, al fine di favorire una maggiore fluidità del mercato digitale, è consentito il trasferimento dei dati raccolti da un titolare del trattamento ad un altro ed è possibile cambiare il provider di posta elettronica senza perdere i contatti ed i messaggi salvati.

4) Nuovo regolamento privacy garanzie per i minori: i fornitori di servizi Internet ed i social media, possono richiedere il consenso ai genitori o a chi esercita la potestà genitoriale per trattare i dati personali dei minori di 16 anni.

Leggi anche le novità sulla comunicazione DPO Privacy 2020.

Nuovo regolamento europeo privacy Cookie: cosa fare e cosa scrivere?

Nuova normativa sulla privacy: cosa scrivere sull'informativa Cookie? Alla luce della nuova normativa Cookie 2018, il contenuto dell'Informativa è stato esteso e deve essere sempre indicato in maniera inequivocabile.

Ecco i dati obbligatori da scrivere nella nuova Informativa sulla privacy e che sono elencati in modo dettagliato e tassativo negli articoli 13, paragrafo 1, e 14, paragrafo 1, del regolamento:

dati di contatto del RPD-DPO (Responsabile della protezione dei dati-Data Protection Officer;
base giuridica del trattamento e qual è il suo interesse legittimo nel caso in cui tale interesse costituisca la base giuridica del trattamento, nonché se trasferisce i dati personali in Paesi terzi e, in caso affermativo, attraverso quali strumenti (esempio: si tratta di un Paese terzo giudicato adeguato dalla Commissione europea;
si utilizzano BCR di gruppo;
sono state inserite specifiche clausole contrattuali modello, ecc.
altre informazioni necessarie per garantire un trattamento corretto e trasparente, da indicare quindi:
- il periodo di conservazione dei dati o i criteri fissati per stabilire il suddetto periodo di conservazione;
- il diritto di reclamo all'autorità di controllo.
- se il trattamento comporta processi decisionali automatizzati (anche la profilazione), ciò deve necessariamente essere indicato nell'informativa completa della logica di tali processi decisionali e le conseguenze previste per l'interessato.

Tempi e modalità dell’informativa:

Tempi della nuova informativa: in base a quanto previsto dall’art. 13 del Regolamento RGDP, l'informativa deve essere fornita entro un termine ragionevole che non può superare il mese.

Modalità informativa : il documento, in linea di principio, deve essere per iscritto e preferibilmente in formato elettronico specialmente se in contesti di servizi online. Da ricordare però che se sono ammessi "altri mezzi", purché nel rispetto dei requisiti sopra elencati.

Violazioni regolamento europeo privacy: quant'è la multa?

Fino al 24 maggio 2018: Il sito web o il sito di e-Commerce italiano che non si adegua alla nuova normativa sui cookie, rischia le seguenti sanzioni amministrative:

Omessa informativa o informativa non adeguata a quanto prescritto dalla legge: multa da 6 mila a 36 mila euro, art. 161 del Codice.
Installazione cookie senza consenso dell'utente: multa da 10.000 euro a 120 mila euro (art. 162, comma 2-bis, del Codice).
Omessa o incompleta notificazione al Garante: sanzione da 20.00 euro a 120 mila euro (art. 163 del Codice).

Dal 25 maggio 2018: per effetto della nuova normativa sulla privacy le nuove sanzioni per chi non si adegua o lo fa in modo erroneo o incompleto, possono arrivare fino a 20 milioni di euro o al 4% del fatturato totale, per maggiori informazioni leggi: Privacy 2020 sanzioni.