Iubenda logo
Inizia la generazione

Documentazione

Indice dei contenuti

Cookie in Italia: le nuove linee guida del Garante Privacy (e come adeguarsi)

Il 10 luglio 2021, l’autorità italiana per la protezione dei dati (il “Garante Privacy”) ha approvato le nuove linee guida per l’uso dei cookie. Abbiamo creato questa guida per aiutarti a capire cos’è cambiato e come rispettare i requisiti – pienamente in vigore dal 10 gennaio 2022 – con il minimo sforzo.

💡 Puoi trovare queste stesse indicazioni riassunte anche in una pratica checklist, completa di suggerimenti di configurazione.

In breve
  • Se tu o i tuoi utenti avete sede in Italia, questi requisiti ti riguardano.
  • Cookie banner
    • I pulsanti “Accetta” e “Rifiuta” (o un comando “X” con funzione di rifiuto) sono obbligatori.
    • Gli utenti devono poter fare scelte granulari sulle funzionalità, le terze parti e le categorie di cookie da installare (pur lasciando i dettagli dell’implementazione al fornitore del servizio, le linee guida suggeriscono che raggruppare le opzioni sia una soluzione adatta a soddisfare questo requisito).
    • Gli utenti devono poter aggiornare le proprie preferenze di tracciamento in qualsiasi momento.
  • Raccolta del consenso
    • Il consenso via semplice scorrimento non è più valido.
    • I cookie wall non sono ammessi, a meno che il sito non offra all’interessato la possibilità di accedere a un contenuto o a un servizio equivalenti senza prestare il proprio consenso.
  • Validità delle preferenze dell’utente relative al consenso: dopo aver chiesto il consenso la prima volta, devono passare almeno 6 mesi prima di poterlo chiedere nuovamente.
  • Cookie statistici (analytics)
    • I cookie statistici di prima parte possono essere installati senza il consenso dell’utente (e senza blocco preventivo).
    • I cookie statistici di terza parte possono essere installati senza il consenso dell’utente (e senza blocco preventivo) solo a determinate condizioni.
  • Prova del consenso: ti serve un registro delle preferenze cookie per poter dimostrare di aver ottenuto un consenso valido secondo gli standard del GDPR.
  • Basi giuridiche applicabili all’uso dei cookie oltre al consenso: l’interesse legittimo non costituisce una base giuridica valida.
  • Le nuove regole sono entrate pienamente in vigore il 10 gennaio 2022.

Questi requisiti ti riguardano?

Tu o i tuoi utenti avete sede in Italia? Se sì, questi requisiti ti riguardano.

Requisiti principali e cosa devi fare

Qualora un sito faccia uso di cookie di profilazione o altri strumenti di tracciamento, il banner costituisce un meccanismo valido per l’acquisizione del consenso dell’utente.

Il Garante prevede che il banner (o, in alternativa, un’area/finestra) mostrato da un sito web al primo accesso dell’utente includa le seguenti informazioni:

  • un’informativa breve sull’uso da parte del sito di cookie tecnici ed eventuali cookie di profilazione o altri strumenti di tracciamento, con le relative finalità;
  • un link alla cookie policy che indichi gli eventuali altri soggetti destinatari dei dati personali, i tempi di conservazione e l’esercizio dei diritti dell’utente;
  • un’indicazione chiara che l’utente, proseguendo nella navigazione del sito tramite un’azione positiva ed esplicita, presta il proprio consenso alla profilazione. Fai attenzione, però, perché il semplice scorrimento non è considerato un metodo valido per la raccolta del consenso;
  • un link a un’area dedicata dove l’utente può selezionare in maniera granulare le funzionalità, le terze parti e le categorie di cookie da installare;
  • un comando per accettare tutti i cookie o altri strumenti di tracciamento;
  • un comando per continuare la navigazione senza accettare i cookie e chiudere il banner.

Nelle visite al sito successive alla prima, l’utente non dovrà più visualizzare il banner iniziale, ma dovrà poter accedere alla privacy/cookie policy e ad un’area dover poter modificare le preferenze di tracciamento espresse in precedenza.

*Se un sito web installa solo cookie tecnici, il banner non è necessario: l’informazione sull’uso dei cookie tecnici può infatti essere inclusa nell’homepage o nell’informativa.

💡 Come farlo con iubenda

La configurazione automatica della nostra soluzione Privacy Controls and Cookie Solution, se hai selezionato che tu o i tuoi utenti siete basati in Italia, attiva automaticamente i pulsanti “Accetta”, “Scopri di più”, ”Rifiuta”, e un comando per poter continuare la navigazione senza accettare i cookie e chiudere il banner (una “x”). Inoltre, le impostazioni consigliate integrano di default il consenso per categoria, l’elenco delle finalità del trattamento nel banner, la menzione esplicita del diritto di revocare il consenso, e permette ai tuoi visitatori di aggiornare in ogni momento le proprie preferenze di consenso.

Se vuoi farlo manualmente, puoi modificare e personalizzare gli elementi e il comportamento del banner utilizzando la Configurazione Manuale all’interno delle impostazioni relative al GDPR (cliccando sul pulsante “MODIFICA”). Per essere conforme alle linee guida ricordati di:

  • selezionare le caselle “Mostra pulsanti Accetta e Personalizza”, “Mostra pulsante Rifiuta”. In alternativa o in aggiunta al pulsante “Rifiuta“ puoi utilizzare l’impostazione “Mostra un pulsante “x” per permettere all’utente di continuare senza accettare e chiudere il banner”;
  • attivare le opzioni “Elenca le finalità di trattamento nel banner” e “Menziona esplicitamente il diritto di revocare il consenso”;
  • abilitare il “Consenso per categoria”, per dare agli utenti un controllo più dettagliato rispetto alle categorie di cookie a cui prestare il consenso. Consulta la documentazione e vedi la nostra demo per un’implementazione corretta.
  • personalizzare il widget privacy per permettere agli utenti di aggiornare le preferenze di consenso espresse in precedenza.

Dai un’occhiata alla nostra guida introduttiva per saperne di più.

Raccolta del consenso

Lo scrolling o scrolldown non è ritenuto adatto alla raccolta di un valido consenso. Unica eccezione: che lo scorrimento sia parte di una serie di azioni che indicano in maniera inequivocabile la volontà dell’utente di prestare il proprio consenso.

Il Garante considera illeciti anche i cosiddetti cookie wall, salvo che il sito web offra all’utente la possibilità di accedere a un contenuto o a un servizio equivalenti senza dover prestare il proprio consenso (da valutare caso per caso).

💡 Come farlo con iubenda

Se utilizzi la configurazione automatica di Privacy Controls and Cookie Solution, il consenso allo scorrimento e all’interazione con la pagina (anch’esso non valido) sono disabilitati di default. Nel caso tu voglia farlo manualmente, assicurati di deselezionare l’opzione “Consenso al proseguimento della navigazione” nella configurazione manuale delle impostazioni “GDPR”.

Agli utenti può essere chiesto nuovamente di prestare il consenso solo se:

  • le condizioni del consenso sono cambiate (ad esempio, sono stati aggiunti dei nuovi servizi di terza parte o ne sono stati rimossi di vecchi); o
  • il titolare del sito non possiede gli strumenti per tenere traccia del consenso precedente (ad esempio, l’utente ha eliminato il cookie di consenso installato sul suo dispositivo); o
  • sono passati almeno 6 mesi dall’ultima acquisizione.
💡 Come farlo con iubenda

La validità standard delle preferenze di consenso della nostra soluzione Privacy Controls and Cookie Solution è di 12 mesi, già in linea quindi con le disposizioni del Garante. Se l’hai modificata, scorri le “Opzioni avanzate” fino a “Validità delle preferenze dell’utente relative al consenso (in giorni)”, e assicurati che sia di almeno 180 giorni.

I cookie sono definiti sulla base di due macro categorie: cookie tecnici e cookie di profilazione.

Inoltre, il Garante precisa che, in linea di principio, i cookie statistici di prima parte possono essere installati senza il consenso dell’utente.

Per quanto riguarda i cookie statistici di terza parte, possono essere installati senza il consenso dell’utente solo se:

  • non permettono l’identificazione di un utente preciso (ad esempio, usano solo indirizzi IP abbreviati o sono assegnati non a un singolo dispositivo, ma a diversi);
  • il loro uso è limitato a un singolo sito/app;
  • non sono condivisi o comunicati a terzi;
  • i dati raccolti non sono combinati con altri dati.
💡 Come farlo con iubenda

Se usi Google Analytics, dai un’occhiata alle nostre guide sull’anonimizzazione degli IP o sul Google Consent Mode come alternative al blocco preventivo per Google Analytics. Ad ogni modo, tieni presente che in certi paesi (ad esempio Belgio, Irlanda e Regno Unito) i cookie statistici richiedono sempre e comunque il consenso. Di conseguenza, il blocco preventivo resta l’opzione più prudente.

Prova del consenso

ll Garante precisa che il titolare di un sito web è tenuto a dimostrare di aver ottenuto un consenso valido secondo gli standard del GDPR.

Il Garante specifica infatti che per poter considerare l’azione di un utente come un consenso valido all’installazione dei cookie, a questa azione deve corrispondere un “evento informatico inequivoco, documentabile” e “riconoscibile e registrabile da parte del titolare“.

💡 Come farlo con iubenda

A differenza di un cookie tecnico, il Registro Preferenze Cookie e Consensi permette di conservare e documentare la prova del consenso e di collegarlo ad un unico utente per future verifiche.

Il Registro Preferenze Cookie e Consensi è disponibile nella dashboard (sotto Privacy Controls and Cookie Solution). Se non riesci ad accedere al registro, devi attivarlo. Per attivarlo, fai l’upgrade del tuo piano Privacy Controls and Cookie Solution.

Raccogli nuovi consensi validi

Se hai attivato il Registro Preferenze Cookie e Consensi, stai già raccogliendo consensi conformi alle nuove linee guida del Garante.

Ora puoi chiedere un nuovo consenso quando le preferenze non risultano archiviate nel registro, ad esempio perché raccolte prima dell’attivazione del Registro Preferenze Cookie e Consensi. Per farlo puoi integrare la tua soluzione Privacy Controls and Cookie Solution usando il nuovo codice disponibile (noterai la presenza del parametro invalidateConsentWithoutLog).

Nelle opzioni avanzate del configuratore troverai l’opzione “Richiedi un nuovo consenso quando la preferenza non viene trovata”.

Puoi decidere di richiedere nuovi consensi da subito (opzione predefinita, a codice avrai "invalidateConsentWithoutLog": true) oppure scegliere una data specifica.

Ricorda che la scadenza per l’adeguamento è il 10 gennaio, e a partire da quella data solo i consensi registrati secondo gli standard GDPR saranno ritenuti validi.

Basi giuridiche per il trattamento diverse dal consenso

Il Garante ha affermato chiaramente che i cookie (e gli altri strumenti di tracciamento) non possono essere installati se non sulla base del consenso degli utenti o, se si applicano le condizioni dell’eccezione “strettamente necessari” (ad esempio, i cookie sono necessari e usati unicamente per realizzare o facilitare la comunicazione, o per fornire un servizio richiesto dall’utente in modo esplicito), anche senza il consenso degli utenti.

In particolare, l’interesse legittimo del titolare del sito web non costituisce una base giuridica valida.

💡 Come farlo con iubenda

Se hai attivato il supporto al TCF, devi assicurarti che le finalità si basino solo sul consenso (e non sull’interesse legittimo). Per farlo, scorri le “Opzioni avanzate” del configuratore di Privacy Controls and Cookie Solution fino a “IAB Transparency and Consent Framework”. In “Limita finalità” scegli “Solo consenso” per le finalità attive.

Rispetta i requisiti italiani nel modo più semplice!

Usi già iubenda sia per la Privacy e Cookie Policy che per il consenso ai cookie?

Allora l’unica cosa che devi fare è accedere alla tua dashboard e assicurarti che la tua configurazione sia in linea con le indicazioni sopra elencate.

🎙️
Bisogno di aiuto? Partecipa al webinar

Partecipa al nostro webinar gratuitoNuove linee guida del Garante Privacy sui cookie: cosa cambia e come adeguarsi“. Vedremo insieme i nuovi requisiti, come adeguarsi in pratica con la nostra soluzione Privacy Controls and Cookie Solution e altro ancora. Il webinar include una demo dal vivo e una sessione di domande e risposte.

Partecipa al webinar

Hai utenti in Italia ma non usi ancora le nostre soluzioni?

Inizia a usare i nostri Generatore di Privacy e Cookie Policy e Privacy Controls and Cookie Solution per creare Cookie Policy e Cookie Banner, e adeguarti facilmente ai requisiti di consenso ai cookie.

GDPR e consenso ai cookie – Tabella riassuntiva

Dai un’occhiata alla nostra tabella delle regole sulla raccolta del consenso ai cookie per una panoramica delle nuove linee guida italiane. Sei curioso di sapere se la normativa italiana è più severa di quella di altri paesi? Puoi scoprire anche questo.

Le nuove linee guida sono entrate in vigore il 10 gennaio 2022.

Gestisci il consenso ai cookie con la Cookie Solution

Genera un cookie banner

Leggi anche