Cookie Policy: siamo in regola?

Proviamo a fare un po’ di chiarezza sulla #CookieLaw in attesa di precisazioni ulteriori da parte del Garante.

Non possiamo fornirvi pareri legali vincolanti come non possiamo certificare che le implementazioni siano corrette dal punto di vista del Garante, anche perché in alcuni passaggi la normativa sembra presentare incongruenze o parziali contraddizioni da parte del Garante stesso. Inoltre è probabile che un eventuale parere legale rimanga troppo superficiale, non addentrandosi in cosa sia davvero un cookie di terze parti, di chi siano i player coinvolti e sulle ripercussioni sui sistemi di tracciamento e sulle campagne pubblicitarie, soprattutto quando coinvolgano diversi player o addirittura DMP.

Ma cerchiamo di capire almeno dal punto di vista tecnico come funziona:

Il provvedimento distingue i cookie in due categorie in base al loro utilizzo:

1. Cookie tecnici utilizzati per il corretto funzionamento delle diverse funzionalità del sito. Rientrano in questa categoria i cookie di sessione che consentono, ad esempio, l’accesso ad aree riservate, la gestione di un carrello in un e-commerce, ecc…
   I cookie analytics, con la funzione display disattivata, a nostro parere rientranotra quelli tecnici in quanto raccolgono dati in forma aggregata e vengono utilizzati direttamente dal gestore del sito.Per l’installazione dei cookie tecnici non è richiesto il consenso preventivo degli utenti. Rimane comunque l’obbligo di dare l’informativa ai sensi dell’art. 13 del Codice.
2. Cookie di profilazione: sono volti a creare dei profili relativi all’utente e vengono utilizzati al fine di fornire messaggi pubblicitari in linea con le preferenze manifestate dallo stesso utente nell’ambito della navigazione, sono tipicamente cookie di remarketing. Per l’installazione dei cookie di profilazione è richiesto il consenso dell’utente dopo che questo è stato adeguatamente informato con le modalità semplificate previste.

De facto: è possibile utilizzare i cookie tecnici anche al primo accesso senza bisogno del consenso da parte dell’utente, mentre non è possibile utilizzare i cookie di profilazione senza il consenso dell’utente.

L’informativa e il consenso

Come ormai ben sappiamo, il provvedimento prevede la presenza di un’informativa breve visibile al primo accesso tramite un banner o un pop up — non necessaria nel caso in cui si utilizzi solo cookie tecnici — e un’informativa estesa obbligatoria per tutti, che deve essere presente in tutte le pagine e che deve permettere all’utente di decidere quali cookie vuole che vengano utilizzati sul suo pc.

L’informativa estesa deve contenere:

1. Il codice della privacy (già richiesto dall’articolo 13 del d.lgs 196/2003);
2. Una spiegazione sintetica che spieghi cosa sono i cookie e come poterli eliminare tramite le impostazioni del browser;
3. L’indicazione di come viene prestato il consenso (riprendendo quanto scritto nel banner dell’informativa breve);
4. Le tipologie e la descrizione dei Cookie tecnici divisi per finalità (con eventuale modulo di consenso);
5. Le tipologie e la descrizione dei Cookie di profilazione divisi per finalità, con relativo modulo di consenso;
6. Le tipologie e la descrizione dei Cookie di terze parti con relative finalità, specifico link all’informativa e al modulo di consenso della terza parte. Per i soli Cookie di profilazione pubblicitaria si può linkare — qualora fosse tra i sistemi consociati — al sito www.youronlinechoices.com/it che li consente di attivare/disattivare.

Applicando la legge in modo stringente — sempre sulla base delle informazioni che il Garante ha condiviso fino ad oggi, non è escluso che possano uscire adeguamenti o precisazioni che vadano a modificare il provvedimento — dovremmo dare all’utente la possibilità di fare opt-out da ogni cookie, compresi quelli tecnici, con l’eventuale rischio di un malfunzionamento del sito.

Essendo l’obiettivo del Garante quello di evitare che un utente venga profilato a sua insaputa per scopi pubblicitari, è possibile anche implementare soluzioni meno stringenti, stile quelle che potete trovare in giro in questi giorni, in cui si dà la possibilità di bloccare solo i cookie di profilazione. A volte, per le terze parti si rimanda a http://www.youronlinechoices.com/

Ma esattamente il nostro utente come può dare il consenso?
Il garante dice che qualsiasi azione venga fatta sul sito rappresenta un’accettazione dell’informativa: la stessa chiusura del banner, la compilazione di un form, il click sull’immagine o su una voce di menù, ma anche il semplice scroll, ti permettono quindi di settare i cookie di profilazione e cominciare a inserire l’utente nelle liste di remarketing, non mostrandogli più il banner agli accessi successivi.

Impatto sui dati

Qualsiasi decisione prendiate, avrete impatti più o meno forti sull’analisi dei dati e sull’efficacia delle vostre campagne pubblicitarie.

Dati su piattaforma di analytics

Dal nostro punto di vista, i tool di analytics possono essere considerati all’interno di quelli tecnici, i tracciamenti dei dati sulla piattaforma analitica non subiranno modifiche. Si continueranno a registrare correttamente tutti i dati di atterraggio, rimbalzo e di profondità di navigazione mantenendo inalterate le fonti di traffico.

I principali tool di analytics (Google Analytics / Google Analytics Premium, Adobe Analytics e Webtrekk) di default aggregano i dati di sessione e non permettono di utilizzare i dati di tracciamento singoli per attività mirate. Inoltre tutti e 3 gli strumenti mettono a disposizione la possibilità di anonimizzare completamente l’IP di navigazione dell’utente: in questo caso si perderebbero i dati sulla posizione geografica (la cui precisione arriva solo alla città) ma si manterrebbero i dati sulla qualità della visita (rimbalzi, durata, profondità, ecc).

Ci si aspetta però un calo del traffico nel caso in cui si applichi la normativa in modo stringente, dato che l’utente potrebbe decidere di fare opt-out anche per i cookie di Analytics.

Ovviamente, non ricadono in questa casistica le piattaforme di DMP e di BI che vengono utilizzate per raccogliere dati a scopo pubblicitario, per le quali è necessario avere il consenso dell’utente.

Dati su piattaforma di advertising

I dati sulle conversioni, in quanto “contatori”, possono anch’essi essere considerati alla stregua dei tracciamenti analytics: di fatto non raccolgono informazioni sull’utente e non possono essere utilizzati per attività pubblicitarie mirate.

Tutti i tracciamenti advertising il cui scopo è creare liste di retargeting sono invece fortemente impattati. Al primo atterraggio di un nuovo utente sul sito questi tracciamenti non possono essere eseguiti per cui se l’utente esce senza compiere alcun tipo di azione, di fatto la lista di remarketing non viene popolata.

Come avete capito, la situazione è complessa, ma non ingestibile, qualunque sia la vostra scelta. Noi vi consigliamo di implementare un Tag Manager per poter avere il massimo controllo dei cookies e poter gestire facilmente l’inserimento di nuovi partner o le modifiche al provvedimento.

Prima però di implementare qualsiasi soluzione mappate attentamente tutti i cookies, in modo da essere sicuri di non perdervi niente.

Grazie a Alessandro Pelliciari, Federico Fuzzi e Riccardo de Marco per il supporto tecnico.