Il GDPR per le piccole (e piccolissime) imprese
A distanza di circa sei mesi dalla modifica normativa che ha consentito di accogliere nel nostro ordinamento la direttiva e-privacy, che disciplina, tra l’altro, l’uso dei cookie, il Garante Privacy al fine di dettare i canoni che consentiranno ai titolari (gestori dei siti) di rendere agli utenti l’informativa semplificata di cui all’art. 122 D. Lgs 196/2003, come novellato, ha indetto una consultazione pubblica. Nell’occasione, l’Autorità ha pubblicato sul proprio sito delle FAQ che hanno lo scopo di fornire un primo chiarimento sulla materia. Che possono essere consultate al seguente indirizzo: http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/2142939
Altro aspetto interessante delle faq riguarda il passaggio dal vecchio al nuovo testo dell’articolo 122 del Codice Privacy. Nel parere reso dal Garante in data 29 marzo 2012 (n. 119) al Ministro dello Sviluppo economico delle infrastrutture e dei trasporti, l’Autorità insisteva sulla modifica dal sistema di opt out al sistema di opt in anche nel nostro ordinamento, ritenendo opportuno che di tale passaggio si desse atto anche nella relazione illustrativa. Infatti, sebbene dal punto di vista testuale sembrasse accolto, in effetti, nel previgente art. 122 del codice privacy , uno stringente sistema di opt in, la mancata adozione del codice deontologico ivi previsto ne aveva, di fatto, paralizzato il funzionamento, e la materia restava regolata dall’efficacia diretta della direttiva stessa e da un precedente provvedimento reso dal Garante (provvedimento del 13 gennaio 2000) e dotato di forza precettiva: il sistema pertanto era improntato sull’opt out e sulla necessità di rendere agli utenti un’idonea informativa sull’uso dei cookie, a meno che non si domandasse la registrazione dell’utente: in questo caso occorreva invece la preventiva acquisizione del consenso informato.
Il Garante ora richiama il previgente articolo 122 come se si trattasse di una normativa già universalmente applicata e da tempo vigente e come se il passaggio al sistema attuale consentisse una maggiore elasticità nell’uso dei marcatori, per i quali, a volte, non è necessario acquisire il consenso, secondo la nuova formulazione (purché siano strettamente necessari alla trasmissione dei dati o a permettere una funzionalità richiesta dall’utente); ma una simile posizione ermeneutica appare pericolosa: potrebbe infatti indurre i gestori dei siti a considerare lettera morta anche il nuovo assetto normativo, inducendoli a restare aderenti alla vecchia impostazione (sistema di opt out) che potrebbe, ad oggi, esporli a sanzioni.
Infatti, anche se l’Autorità è chiamata a predisporre un sistema semplificato per rendere l’informativa, ciò non significa che l’articolo 122 del Codice Privacy sia al momento inapplicabile (come era nella formulazione previgente, ove l’assenza del codice deontologico disinnescava il dettato normativo), essendo ben possibile acquisire il consenso, ove necessario, fornendo agli utenti una informativa completa, in attesa di potersi avvalere di quella semplificata. Anche senza l’intervento del Garante, pertanto, la norma è in grado di funzionare e ciò che manca è solo una facilitazione accordata ai gestori dei siti che non incide, se non marginalmente, sulla tutela rivolta agli utenti, che rappresenta il fulcro dell’intervento del legislatore.
Si aggiunga che negli esempi forniti in ordine alla semplificazione che potrebbe interessare il secondo corno della norma, ossia l’acquisizione del consenso, il Garante correttamente afferma: “nell´ottica della semplificazione va letta anche la disposizione secondo la quale, ai fini dell´espressione del consenso dell´utente all´uso dei cookies, possono essere utilizzate “specifiche configurazioni di programmi informatici o di dispositivi che siano di facile e chiara utilizzabilità per il contraente o l´utente“. “L’idea è di ricorrere a tali strumenti per permettere agli operatori di acquisire in maniera snella dall´utente il consenso all´uso dei cookies, che però, per poter essere valido, deve avere tutte le caratteristiche previste dalla legge“.
Sul punto il Gruppo di Lavoro dei Garanti Europei (WP ART 29) con il parere 16/2011 aveva già osservato che “per rispettare le condizioni poste dalla direttiva 95/46/CE, non può considerarsi che gli interessati abbiano dato il loro consenso semplicemente perché si sono procurati/hanno usato un browser o un’altra applicazione che per difetto permette la raccolta e il trattamento delle loro informazioni. Affinché i browser o qualunque altra applicazione siano in grado di fornire un consenso valido ed efficace, essi devono obbligare l’interessato ad attivarsi per accettare sia l’installazione di cookies che la trasmissione continua delle informazioni in essi contenute da parte di determinati siti web. A tal fine si potrebbe immaginare che siano sviluppate, da parte delle reti pubblicitarie, delle specifiche applicazioni software (plug-in o estensioni del browser), scaricate e installate dagli utenti per permettere di modificare lo stato delle impostazioni del browser rispetto ai cookies pubblicitari, per mezzo di interfacce di programmazione delle applicazioni (API) o di altri strumenti messi a disposizione dai produttori di browser. Prima di installare lo specifico plug-in “pubblicità”, gli utenti dovrebbero ricevere le informazioni rilevanti sul trattamento dei dati. Si potrebbe sostenere che la condizione affinché questo meccanismo di opt-in funzioni correttamente è che sia garantito che i cookies di terzi non siano accettati per difetto nelle impostazioni del browser”.
Il Garante Privacy, invece, si discosta da tale impostazione asserendo che “Gli strumenti ai quali fa riferimento la previsione sopra richiamata sono, allo stato, diversi e non è escluso che, anche in poco tempo, la creatività dell´industria pubblicitaria e degli operatori della rete ne sviluppino di nuovi.
A titolo esemplificativo, si richiamano:
• le impostazioni presenti nei comuni browser, che consentono o meno la memorizzazione dei cookie nei terminali usati per la navigazione in Internet e che di norma permettono anche di impostare le regole dei cookie in modo che non vengano accettati quelli di “terze parti”. Alcuni consentono anche di bloccare i cookie di alcune terze parti e non di altre, tramite una funzione che permette di indicare da quali domini consentire l´invio di cookie;
• gli specifici programmi che possono essere aggiunti al browser (c.d. plug-in), che specializzano le funzioni comunemente rese disponibili dai software per la navigazione e che possono essere configurati dall´utente per effettuare una selezione dei cookie sulla base dei domini di provenienza;
• il c.d. “do not track”, che consente all´utente di segnalare a ciascun sito visitato la sua volontà di essere o meno tracciato nel corso della navigazione. Questa modalità tecnica è ancora oggi in fase di discussione all´interno degli organismi di standardizzazione internazionali; inizia ad essere resa disponibile su alcuni browser di ultima generazione, ma, non essendo per l´appunto standardizzata, non vi è la certezza che i segnali che attraverso tale funzionalità l´utente invia ai server siano da questi effettivamente “ascoltati””.
Ebbene, le impostazioni contenute nei comuni browser sono tradizionalmente rispondenti ad un sistema di opt out, e non vengono giudicate sufficienti a garantire l’acquisizione del consenso informato. Tale lettura rende impercettibile la differenza che il Garante intende profilare tra un sistema di opt in ed un sistema di opt out.
Il Gruppo dei Garanti infatti, con riferimento all’impiego dei cookie nella pubblicità comportamentale immaginava un sistema improntato alla non acquisizione di marcatori che fosse impostato di default nel browser, ma che l’utente poteva, una volta fosse stato adeguatamente informato, modificare a piacimento attraverso l’installazione di appositi plug in o estensioni. In tal modo richiedendo automaticamente -attraverso la mera navigazione nei siti -i cookie per i quali aveva preventivamente impostato il consenso. L’esatto contrario del processo descritto dal Garante nel primo esempio. Ove l’utente si limita a non accettare i cookie (opt out).
Infine, anche la definizione di titolare dei dati nel caso di cookie di terze parti, non pare troppo nitida. Infatti, quando si può parlare di terza parte? Quando l’url richiamata nella barra degli indirizzi del browser è diversa da quella verso cui l’utente si era diretto (sito principale, o prima parte) o quando è diversa la proprietà del sito? Se, infatti, il cookie è utilizzato attraverso un banner posto da un soggetto che si indirizza ad una url diversa da quella del sito principale in cui è inserito, possiamo parlare di cookie di terze parti anche se, alla fine, si scopre che i due indirizzi sono di proprietà di un unico soggetto? O, essendo unico il titolare, siamo sempre in presenza di cookie di prima parte? Chi è il titolare dei dati? A parere di chi scrive, in quest’ultimo esempio il titolare è unico e non si è in presenza di cookie di terze parti. Tuttavia il Garante si limita ad osservare che i cookie di terze parti “sono quei cookie che vengono impostati da un sito web diverso da quello che si sta attualmente visitando”. Non specificando come si individui il diverso sito web, se solo in base all’indirizzo (come appare verosimile ad una prima lettura) o se anche in base all’identità del gestore del sito. E in ordine all’obbligo di rendere l’informativa e acquisire il consenso il Garante ritiene che, in caso di cookie di prime e terze parti, ad ognuno spettino i relativi oneri, ma non esclude che in base a specifici accordi tra le parti, il gestore del sito principale possa farsi carico degli oneri gravanti sul terzo: “Analogamente, non si può escludere che anche il consenso venga acquisito dalle terze parti per il tramite del sito “prima parte”. Occorre tenere presente, infatti, che la richiesta del consenso dell´utente deve essere fatta in stretta relazione all´informativa resa allo stesso, in modo tale da consentirgli di fare scelte realmente consapevoli. Sarà, poi, cura dei diversi gestori coinvolti disciplinare i propri rispettivi ruoli con particolare riguardo ai rapporti tra titolare e responsabile del trattamento conformemente alla normativa in materia di protezione dei dati personali”.
Il più delle volte, trattando di cookie di terze parti, si è in presenza di titolari autonomi (si pensi al tasto “mi piace” di facebook) che non intrattengono rapporti tra loro. Difficoltoso è immaginare come si possa instaurare un rapporto tra i siti nominando uno dei due responsabile esterno del trattamento effettuato dall’altro. Il passaggio sopra riportato che fa riferimento al mero responsabile (non esterno) sembrerebbe profilare una titolarità dei dati basata sulla proprietà dei siti.
Tuttavia sarebbe opportuno, per una facile attribuzione dei ruoli privacy che non lasci spazio a dubbi, tornare a chiarire anche questo punto, dato che esso rappresenta il nodo focale per distinguere diritti ed obblighi.
La predisposizione delle FAQ da parte del Garante ha il pregio di costituire un primo intervento volto a dare impulso al rispetto della novella normativa da parte dei gestori. Purtroppo l’esigenza di semplificazione e la stringatezza imposte da questo strumento collidono con la peculiarità della materia, ontologicamente gravata da notevole complessità, per gli aspetti tecnici che coinvolge, rischiando di trasformarsi in un boomerang ermeneutico che confonde le carte in tavola invece di fare chiarezza.
Sarebbe auspicabile un rapido intervento più approfondito, rivolto agli operatori, non limitato ai soli aspetti semplificativi, coadiuvato da un intervento più snello ed agile rivolto ai soli utenti, per una rapida carrellata degli aspetti di loro interesse. Altrimenti, come detto, si rischia solo di rendere ulteriormente complessa l’esegesi di un dettato normativo che, già di per sé, non si brilla per chiarezza.
La struttura apparentemente semplice dell’intervento, articolato in domande e risposte, in realtà, non riflette una analoga limpidezza dei contenuti.
Infatti, l’Autorità richiama la modifica apportata alla Direttiva 2002/58/CE dalla Direttiva 2009/136/CE che ha fatto transitare il sistema a livello europeo da un regime improntato all’opt out ad uno incentrato invece sull’opt in, che richiede che il sito, prima di inoculare i cookie nel terminale dell’utente, acquisisca preventivamente il consenso informato di quest’ultimo.
Ebbene l’Autorità, nel richiamare il passaggio della cennata direttiva che riguarda l’acquisizione del consenso afferma che occorre che l’utente “sempre sulla base di un´informativa chiara e completa in merito alle modalità e finalità del trattamento dei suoi dati esprima un valido consenso, preliminare al trattamento (cfr. nuovo art. 5, paragrafo 3, della direttiva 2002/58/CE)”.
Ebbene, il Garante non richiama attraverso un virgolettato il testo della Direttiva, ma ne offre un sunto. Eppure mantiene il termine “preliminare” espunto nella trasposizione della norma europea nel codice della privacy. Il professor Pizzetti, infatti, precedentemente investito della carica di Garante per la protezione dei dati personali, aveva correttamente rilevato che il termine “preliminare” era presente solo nella versione italiana della direttiva e non ve ne era traccia nelle altre traduzioni ufficiali. Egli si era accorto delle difficoltà che sarebbero derivate dalla acquisizione di un consenso “preliminare” all’accesso al sito, ed aveva optato per l’acquisizione di un consenso preventivo, come è di regola e in armonia con la legislazione europea. Ora il Garante, invece, pare non tenere conto delle considerazioni svolte dal predecessore, seppure in canali non ufficiali, e ripropone, nei chiarimenti, una versione letterale della direttiva già abbandonata, come detto, in sede di trasposizione nell’articolato nazionale.
L’Autorità, tuttavia, non va oltre e non spiega se il termine “preliminare” sia stato riproposto scientemente o se sia solo frutto di una frettolosa trasposizione letterale del testo della direttiva. Occorrerà pertanto attendere i chiarimenti che verranno offerti all’esito della consultazione.
Altro aspetto interessante delle faq riguarda il passaggio dal vecchio al nuovo testo dell’articolo 122 del Codice Privacy. Nel parere reso dal Garante in data 29 marzo 2012 (n. 119) al Ministro dello Sviluppo economico delle infrastrutture e dei trasporti, l’Autorità insisteva sulla modifica dal sistema di opt out al sistema di opt in anche nel nostro ordinamento, ritenendo opportuno che di tale passaggio si desse atto anche nella relazione illustrativa. Infatti, sebbene dal punto di vista testuale sembrasse accolto, in effetti, nel previgente art. 122 del codice privacy , uno stringente sistema di opt in, la mancata adozione del codice deontologico ivi previsto ne aveva, di fatto, paralizzato il funzionamento, e la materia restava regolata dall’efficacia diretta della direttiva stessa e da un precedente provvedimento reso dal Garante (provvedimento del 13 gennaio 2000) e dotato di forza precettiva: il sistema pertanto era improntato sull’opt out e sulla necessità di rendere agli utenti un’idonea informativa sull’uso dei cookie, a meno che non si domandasse la registrazione dell’utente: in questo caso occorreva invece la preventiva acquisizione del consenso informato.
Il Garante ora richiama il previgente articolo 122 come se si trattasse di una normativa già universalmente applicata e da tempo vigente e come se il passaggio al sistema attuale consentisse una maggiore elasticità nell’uso dei marcatori, per i quali, a volte, non è necessario acquisire il consenso, secondo la nuova formulazione (purché siano strettamente necessari alla trasmissione dei dati o a permettere una funzionalità richiesta dall’utente); ma una simile posizione ermeneutica appare pericolosa: potrebbe infatti indurre i gestori dei siti a considerare lettera morta anche il nuovo assetto normativo, inducendoli a restare aderenti alla vecchia impostazione (sistema di opt out) che potrebbe, ad oggi, esporli a sanzioni.
Infatti, anche se l’Autorità è chiamata a predisporre un sistema semplificato per rendere l’informativa, ciò non significa che l’articolo 122 del Codice Privacy sia al momento inapplicabile (come era nella formulazione previgente, ove l’assenza del codice deontologico disinnescava il dettato normativo), essendo ben possibile acquisire il consenso, ove necessario, fornendo agli utenti una informativa completa, in attesa di potersi avvalere di quella semplificata. Anche senza l’intervento del Garante, pertanto, la norma è in grado di funzionare e ciò che manca è solo una facilitazione accordata ai gestori dei siti che non incide, se non marginalmente, sulla tutela rivolta agli utenti, che rappresenta il fulcro dell’intervento del legislatore.
Si aggiunga che negli esempi forniti in ordine alla semplificazione che potrebbe interessare il secondo corno della norma, ossia l’acquisizione del consenso, il Garante correttamente afferma: “nell´ottica della semplificazione va letta anche la disposizione secondo la quale, ai fini dell´espressione del consenso dell´utente all´uso dei cookie, possono essere utilizzate “specifiche configurazioni di programmi informatici o di dispositivi che siano di facile e chiara utilizzabilità per il contraente o l´utente“. “L’idea è di ricorrere a tali strumenti per permettere agli operatori di acquisire in maniera snella dall´utente il consenso all´uso dei cookie, che però, per poter essere valido, deve avere tutte le caratteristiche previste dalla legge“.
Sul punto il Gruppo di Lavoro dei Garanti Europei (WP ART 29) con il parere 16/2011 aveva già osservato che “per rispettare le condizioni poste dalla direttiva 95/46/CE, non può considerarsi che gli interessati abbiano dato il loro consenso semplicemente perché si sono procurati/hanno usato un browser o un’altra applicazione che per difetto permette la raccolta e il trattamento delle loro informazioni. Affinché i browser o qualunque altra applicazione siano in grado di fornire un consenso valido ed efficace, essi devono obbligare l’interessato ad attivarsi per accettare sia l’installazione di cookies che la trasmissione continua delle informazioni in essi contenute da parte di determinati siti web. A tal fine si potrebbe immaginare che siano sviluppate, da parte delle reti pubblicitarie, delle specifiche applicazioni software (plug-in o estensioni del browser), scaricate e installate dagli utenti per permettere di modificare lo stato delle impostazioni del browser rispetto ai cookies pubblicitari, per mezzo di interfacce di programmazione delle applicazioni (API) o di altri strumenti messi a disposizione dai produttori di browser. Prima di installare lo specifico plug-in “pubblicità”, gli utenti dovrebbero ricevere le informazioni rilevanti sul trattamento dei dati. Si potrebbe sostenere che la condizione affinché questo meccanismo di opt-in funzioni correttamente è che sia garantito che i cookies di terzi non siano accettati per difetto nelle impostazioni del browser”.
Il Garante Privacy, invece, si discosta da tale impostazione asserendo che “Gli strumenti ai quali fa riferimento la previsione sopra richiamata sono, allo stato, diversi e non è escluso che, anche in poco tempo, la creatività dell´industria pubblicitaria e degli operatori della rete ne sviluppino di nuovi.
A titolo esemplificativo, si richiamano:
• le impostazioni presenti nei comuni browser, che consentono o meno la memorizzazione dei cookie nei terminali usati per la navigazione in Internet e che di norma permettono anche di impostare le regole dei cookie in modo che non vengano accettati quelli di “terze parti”. Alcuni consentono anche di bloccare i cookie di alcune terze parti e non di altre, tramite una funzione che permette di indicare da quali domini consentire l´invio di cookie;
• gli specifici programmi che possono essere aggiunti al browser (c.d. plug-in), che specializzano le funzioni comunemente rese disponibili dai software per la navigazione e che possono essere configurati dall´utente per effettuare una selezione dei cookie sulla base dei domini di provenienza;
• il c.d. “do not track”, che consente all´utente di segnalare a ciascun sito visitato la sua volontà di essere o meno tracciato nel corso della navigazione. Questa modalità tecnica è ancora oggi in fase di discussione all´interno degli organismi di standardizzazione internazionali; inizia ad essere resa disponibile su alcuni browser di ultima generazione, ma, non essendo per l´appunto standardizzata, non vi è la certezza che i segnali che attraverso tale funzionalità l´utente invia ai server siano da questi effettivamente “ascoltati””.
Ebbene, le impostazioni contenute nei comuni browser sono tradizionalmente rispondenti ad un sistema di opt out, e non vengono giudicate sufficienti a garantire l’acquisizione del consenso informato. Tale lettura rende impercettibile la differenza che il Garante intende profilare tra un sistema di opt in ed un sistema di opt out.
Il Gruppo dei Garanti infatti, con riferimento all’impiego dei cookie nella pubblicità comportamentale immaginava un sistema improntato alla non acquisizione di marcatori che fosse impostato di default nel browser, ma che l’utente poteva, una volta fosse stato adeguatamente informato, modificare a piacimento attraverso l’installazione di appositi plug in o estensioni. In tal modo richiedendo automaticamente -attraverso la mera navigazione nei siti -i cookie per i quali aveva preventivamente impostato il consenso. L’esatto contrario del processo descritto dal Garante nel primo esempio. Ove l’utente si limita a non accettare i cookie (opt out).
Infine, anche la definizione di titolare dei dati nel caso di cookie di terze parti, non pare troppo nitida. Infatti, quando si può parlare di terza parte? Quando l’url richiamata nella barra degli indirizzi del browser è diversa da quella verso cui l’utente si era diretto (sito principale, o prima parte) o quando è diversa la proprietà del sito? Se, infatti, il cookie è utilizzato attraverso un banner posto da un soggetto che si indirizza ad una url diversa da quella del sito principale in cui è inserito, possiamo parlare di cookie di terze parti anche se, alla fine, si scopre che i due indirizzi sono di proprietà di un unico soggetto? O, essendo unico il titolare, siamo sempre in presenza di cookie di prima parte? Chi è il titolare dei dati? A parere di chi scrive, in quest’ultimo esempio il titolare è unico e non si è in presenza di cookie di terze parti. Tuttavia il Garante si limita ad osservare che i cookie di terze parti “sono quei cookie che vengono impostati da un sito web diverso da quello che si sta attualmente visitando”. Non specificando come si individui il diverso sito web, se solo in base all’indirizzo (come appare verosimile ad una prima lettura) o se anche in base all’identità del gestore del sito. E in ordine all’obbligo di rendere l’informativa e acquisire il consenso il Garante ritiene che, in caso di cookie di prime e terze parti, ad ognuno spettino i relativi oneri, ma non esclude che in base a specifici accordi tra le parti, il gestore del sito principale possa farsi carico degli oneri gravanti sul terzo: “Analogamente, non si può escludere che anche il consenso venga acquisito dalle terze parti per il tramite del sito “prima parte”. Occorre tenere presente, infatti, che la richiesta del consenso dell´utente deve essere fatta in stretta relazione all´informativa resa allo stesso, in modo tale da consentirgli di fare scelte realmente consapevoli. Sarà, poi, cura dei diversi gestori coinvolti disciplinare i propri rispettivi ruoli con particolare riguardo ai rapporti tra titolare e responsabile del trattamento conformemente alla normativa in materia di protezione dei dati personali”.
Il più delle volte, trattando di cookie di terze parti, si è in presenza di titolari autonomi (si pensi al tasto “mi piace” di facebook) che non intrattengono rapporti tra loro. Difficoltoso è immaginare come si possa instaurare un rapporto tra i siti nominando uno dei due responsabile esterno del trattamento effettuato dall’altro. Il passaggio sopra riportato che fa riferimento al mero responsabile (non esterno) sembrerebbe profilare una titolarità dei dati basata sulla proprietà dei siti.
Tuttavia sarebbe opportuno, per una facile attribuzione dei ruoli privacy che non lasci spazio a dubbi, tornare a chiarire anche questo punto, dato che esso rappresenta il nodo focale per distinguere diritti ed obblighi.
La predisposizione delle FAQ da parte del Garante ha il pregio di costituire un primo intervento volto a dare impulso al rispetto della novella normativa da parte dei gestori. Purtroppo l’esigenza di semplificazione e la stringatezza imposte da questo strumento collidono con la peculiarità della materia, ontologicamente gravata da notevole complessità, per gli aspetti tecnici che coinvolge, rischiando di trasformarsi in un boomerang ermeneutico che confonde le carte in tavola invece di fare chiarezza.
Sarebbe auspicabile un rapido intervento più approfondito, rivolto agli operatori, non limitato ai soli aspetti semplificativi, coadiuvato da un intervento più snello ed agile rivolto ai soli utenti, per una rapida carrellata degli aspetti di loro interesse. Altrimenti, come detto, si rischia solo di rendere ulteriormente complessa l’esegesi di un dettato normativo che, già di per sé, non brilla per chiarezza.
Tutti i contenuti presenti nel blog, ove non diversamente specificato, sono distribuiti con licenza Creative Commons Attribuzione – Condividi allo stesso modo 4.0 Internazionale.
Articoli correlati
