Cookie e sito aziendale: come essere a norma

In sintesi

• Cosa sono: i cookie e gli identificatori che memorizzano informazioni sul dispositivo dell’utente.
• Due categorie: cookie tecnici (no consenso) e cookie di profilazione/terze parti (consenso).
• Banner: deve consentire di accettare, rifiutare e scegliere, senza pratiche scorrette.
• Cookie policy: l’informativa specifica sui cookie, distinta dalla privacy policy generale.

La disciplina dei cookie

L’uso di cookie e identificatori sul sito è regolato dall’art. 122 del Codice Privacy (in attuazione della direttiva ePrivacy) e dalle Linee guida del Garante sui cookie. La regola di fondo: memorizzare informazioni sul dispositivo dell’utente o accedervi è ammesso solo con il suo consenso, salvo i cookie strettamente necessari.

Cookie tecnici e di profilazione

I cookie tecnici (necessari al funzionamento del sito, alla navigazione, a fornire un servizio richiesto, e i cookie analitici equiparati a determinate condizioni) non richiedono il consenso, ma vanno comunque indicati nell’informativa. I cookie di profilazione e quelli di terze parti (marketing, tracciamento pubblicitario) richiedono invece il consenso libero, specifico e informato dell’utente.

Il banner dei cookie

Al primo accesso il sito deve mostrare un banner che consenta all’utente di: accettare tutti i cookie, rifiutarli (chiudere il banner senza scelta non equivale al consenso) e gestire le preferenze. Sono vietate pratiche scorrette come i “dark pattern” che spingono ad accettare. Il consenso va conservato e deve essere revocabile facilmente.

La cookie policy

Oltre al banner, il sito deve avere una cookie policy: un’informativa specifica che elenca i cookie utilizzati, la loro finalità, la durata e le terze parti coinvolte, con le istruzioni per gestire o revocare il consenso. È distinta (anche se collegata) dalla privacy policy generale del sito.

Cosa rischia chi non è a norma

Un sito che installa cookie di profilazione senza valido consenso, o con banner non conformi, espone l’impresa a reclami e a sanzioni del Garante, che ha più volte sanzionato banner scorretti. Per un sito aziendale con analytics e marketing è quindi importante configurare correttamente il sistema di gestione del consenso.

Esempio pratico

Una SRL ha un sito con Google Analytics e pixel pubblicitari. Configura un banner che permette di accettare, rifiutare e personalizzare; i cookie di marketing si attivano solo dopo il consenso; pubblica una cookie policy che elenca i cookie e le terze parti, con il link per cambiare idea. Così il sito è a norma e il consenso è documentabile.