Il Board europeo delle Autorità Garanti della protezione dei dati (EDPB) ha approvato il report sull’utilizzo dei cookies nei siti web.

In data 17 gennaio 2023, l’EDPB (European Data Protection Board), ha adottato il report sul lavoro svolto dalla Cookie Banner Taskforce (https://edpb.europa.eu/our-work-tools/our-documents/other/report-work-undertaken-cookie-banner-taskforce_en).

Il report pone in luce le criticità che, ancora oggi, si riscontrano nell’attuazione della disciplina sui cookie utilizzati sui siti web nonostante ormai vi sia una cornice giuridica ben definita.

L’importanza del suddetto Report, tuttavia, è rappresentato da una serie di indicazioni operative a cui tutti i Titolari di trattamento dei dati, tra cui le Pubbliche Amministrazioni, devono adeguarsi.

L’EDPB ha individuato, a seguito dell’indagine, un’elencazione di prassi in violazione della normativa, purtroppo molto frequenti, e da evitarsi.

In sostanza, una lista di errori che viene riproposta come sorta di checklist, da applicare per una prima verifica dei cookie banner del proprio sito istituzionale.

1) Il pulsante “rifiuta” deve essere subito visualizzato.

Poiché nei banner cookies vi sono più livelli, con un secondo stadio che si apre spesso con la funzione opzione, il Board chiede che, non appena compare il banner, l’utente deve subito visualizzare un apposito pulsante che consenta di poter rifiutare l’intero gruppo di cookie facoltativi (perché non “essenziali” tecnicamente). La forma e la dicitura non rilevano, sicché la dicitura potrebbe essere “respingo” o “non consento” o definizioni simili, purché, per l’appunto, sia possibile tale scelta, senza dover entrare nelle opzioni con una seconda operazione.

2) Caselle preselezionate non devono essere utilizzate.

Se nel primo livello del banner deve potersi scegliere tra accetta tutti i cookie o rifiuta quelli non necessari, deve esservi la possibilità di entrare in un secondo livello in cui poter selezionare le categorie di cookies per cui si vuole dare il consenso. In tale secondo livello, però, l’EDPB rileva che, in alcuni casi, i siti web pre-selezionano queste caselle per incoraggiare tassi di adesione più elevati. Nel Report il Board ribadisce che tale modalità di “preselezione” non è valida, in quanto deve essere sempre data all’utente la possibilità di selezionare le categorie che vuole autorizzare.

3. L’opzione rifiuto non può essere rinviata ad un link

E’ stato osservato che spesso nel primo livello compare il tasto “accetta”, mentre il tasto rifiuta è contenuto in un link.

Viene chiarito che non si deve utilizzare un link (cioè una parola o frase, con rimando ipertestuale ulteriore ad es. a un secondo strato del banner) al posto del predetto pulsante di rifiuto. L’EDPB puntualizza che “in ogni caso il titolare di un sito web non deve progettare il cookie banner in modo da dare agli utenti l’impressione di dover dare un consenso per accedere al contenuto del sito web, né che spinga chiaramente l’utente a dare il consenso”.

4. Colori e contrasti ingannevoli dei pulsanti.

Il report della Task force ha evidenziato come l’uso di colori e contrasti sui pulsanti “Accetta” e “Rifiuta” viene composto per attirare maggiormente l’attenzione sull’opzione “Accetta”.

Pur non potendosi indicare una regola generale su colore e contrasto, per cui deve verificarsi caso per caso, tuttavia l’indicazione è quella di non eccedere nella modalità sopra descritta, in quanto colore e contrasto palesemente fuorvianti comporterebbero la violazione del GDPR.

5. Cookie non “essenziali”

Dall’esame della Task Force è emerso che spesso vengono indicati come essenziali cookies (e quindi obbligatori e non richiedenti il consenso) che non lo sono. Tale comportamento è illecito.

L’EDPB evidenzia che deve essere sempre il titolare, con l’aiuto della software house che offre il servizio, ad individuare caso per caso quelli che sono cookie essenziali.

6. Mancanza di icone di revoca

Anche dopo avere chiuso il banner di scelta sull’utilizzo dei cookies, l’utente dovrebbe poter sempre facilmente rinvenire un’opzione per rivedere le proprie scelte sui cookie; soprattutto per garantire la possibilità di revocare i propri consensi con la stessa facilità con cui li si è resi. Non è quindi un obbligo avere una “icona fluttuante” su ogni pagina web, anche se questo è probabilmente il modo più realistico per rendere la revoca del consenso facile come la sua concessione.