Al momento di ottenere il consenso dell'utente, ple caselle di controllo nuovamente spuntate non sono consentite ai sensi del Regolamento generale sulla protezione dei dati (GDPR).
Ai sensi del GDPR, alle organizzazioni non è consentito ricorrere a modalità di consenso basate sull’opt-out o implicite, tra cui il silenzio, l’inattività e le caselle preselezionate.
Scopri perché GDPR pre-spuntate GDPR non sono generalmente consentite per ottenere il consenso all’uso dei cookie, in quali casi sono ammesse e come puoi redigere una politica sui cookie GDPR.
Punti chiave
- Le caselle di selezione già spuntate, il silenzio o l'inattività non costituiscono un consenso valido ai sensi del GDPR.
- Il GDPR richiede che il consenso sia dato liberamente, specifico, informato e non ambiguo.
- Solo i cookie strettamente necessari sono esenti dall'obbligo di consenso.
- Il consenso deve essere dato attivamente prima di inserire cookie non essenziali sul dispositivo dell'utente.
- Potete utilizzare la gestione del consenso Platform di gestione del consenso Platform (CMP) diTermly per assicurarvi di essere in linea con le leggi sulla privacy dei dati.
- Perché le caselle di selezione preselezionate non sono consentite ai sensi del GDPR?
- Quando vanno bene le caselle pre-selezionate?
- Cosa succede se si utilizzano caselle di controllo pre-selezionate per i cookie?
- Quali sono i requisiti GDPR ?
- Tutti i cookie richiedono il consenso dell'utente ai sensi del GDPR?
Perché le caselle di selezione preselezionate non sono consentite ai sensi del GDPR?
In parole povere, GDPR già spuntate GDPR non sono consentite perché non costituiscono un consenso valido.
La questione è stata approfondita dalla Corte di giustizia dell'Unione europea (CGUE) nella causa Planet49 del 2019.
In sintesi: Planet49 gestiva una lotteria sul suo sito web e per partecipare gli utenti dovevano selezionare una casella per acconsentire a ricevere marketing da terze parti. Gli utenti potevano anche scegliere di deselezionare una casella pre-selezionata per acconsentire ai cookie.
Nella sua sentenza, la CGUE ha stabilito che i siti web devono ottenere un valido consenso da parte degli utenti per memorizzare i cookie sui loro dispositivi. In particolare, i siti web devono dare agli utenti la possibilità di fornire un consenso attivo prima di inserire i cookie nei loro computer.
Il consenso attivo implica che l'utente debba compiere un'azione per manifestare il proprio consenso.
Poiché GDPR già selezionate non richiedono all'utente di compiere alcuna azione per manifestare il proprio consenso, non sono considerate un consenso valido.
Anziché richiedere all'utente di spuntare una casella per esprimere il proprio consenso, le caselle già spuntate non richiedono alcuno sforzo da parte dell'utente, ma solo silenzio e passività.
La CGUE ha inoltre osservato che:
- Il consenso deve essere espresso “in modo inequivocabile” e solo un comportamento attivo e affermativo da parte dell’utente può soddisfare tale requisito.
- È impossibile stabilire in modo oggettivo se un utente abbia prestato il proprio consenso informato non selezionando una casella di controllo preselezionata. Ciò è dovuto al fatto che l’utente potrebbe non aver letto le informazioni riportate accanto alla casella di controllo preselezionata oppure potrebbe averla completamente ignorata.
- Non è possibile ottenere un consenso valido per più finalità tramite la stessa richiesta. Ad esempio, non è possibile ottenere un consenso valido da un utente se questi seleziona una casella di controllo per autorizzare la divulgazione di informazioni agli sponsore consentire l’uso dei cookie.
l'utente deve essere in grado di selezionare attivamente la casella di controllo per la quale desidera fornire il consenso, se il suo consenso deve essere considerato inequivocabile.
Altre considerazioni per determinare il consenso
Secondo le linee guida del maggio 2020 sul consenso GDPR del Comitato europeo per la protezione dei dati (EDPD), le aziende devono anche rinnovare qualsiasi consenso ottenuto in base al precedente regime giuridico.
Ad esempio, prima del GDPR, la Direttiva ePrivacy consentiva l'uso di caselle di controllo pre-selezionate, a condizione che venissero utilizzate per ottenere il consenso.
Ciò significa che se prima dell'entrata in vigore del GDPR si utilizzava una casella di controllo pre-selezionata, è necessario richiedere nuovamente il consenso utilizzando un metodo valido.
Quando vanno bene le caselle pre-selezionate?
In breve, le caselle pre-selezionate non vanno bene per i cookie non essenziali perché non soddisfano i requisiti di consenso del GDPR, ma è possibile visualizzarle per i cookie essenziali.
Le caselle di controllo pre-selezionate vanno bene per i cookie essenziali?
Non è necessario utilizzare caselle di controllo pre-selezionate per i cookie "essenziali" che non richiedono alcun consenso. Poiché non richiedono alcun tipo di consenso da parte dell'utente, non è necessario dare agli utenti la possibilità di rinunciare ai cookie essenziali.
Tuttavia, se lo desiderate, potete scegliere di includere una casella di controllo pre-selezionata per i cookie essenziali. l'utilizzo di una casella di controllo pre-selezionata per i cookie essenziali può aiutare il pubblico a comprendere la differenza tra cookie essenziali e non essenziali e a capire che ha la possibilità di optare per i cookie non essenziali.
Le caselle di controllo pre-selezionate vanno bene per altri cookie?
No, le caselle di controllo pre-selezionate non vanno bene per i cookie non essenziali. Come già detto, i cookie non essenziali richiedono un consenso valido. Ciò significa che non è possibile utilizzare una casella di controllo pre-selezionata per ottenere tale consenso.
Cosa succede se si utilizzano caselle di controllo pre-selezionate per i cookie?
l'uE è sempre alla ricerca di aziende che violano i severi standard del GDPR e della Direttiva ePrivacy. Ecco due esempi recenti che illustrano cosa può accadere se non si seguono le decisioni dell'UE in materia di cookie.
Multa da 121 milioni di dollari per i cookie di Google
Il 10 dicembre 2020, l'autorità francese per la protezione dei dati, la Commission Nationale de l'informatique et des Libertés (CNIL), ha inflitto a Google una multa di ben 121 milioni di dollari (100 milioni di euro) per non aver ottenuto il consenso preventivo prima di inserire cookie non essenziali nei browser degli utenti.
La CNIL ha scoperto che ogni volta che gli utenti si recavano su Google.fr, i cookie pubblicitari venivano automaticamente inseriti nei loro browser senza che fosse richiesta alcuna azione da parte loro. Google non ha utilizzato una casella pre-selezionata, ma non ha dato agli utenti la possibilità di scegliere.
Google.fr aveva solo un banner informativo in fondo alla pagina, con un promemoria sulla privacy da parte di Google e due pulsanti, "Accedi ora" e "Ricordami più tardi".
Inoltre, non sono state fornite informazioni sui cookie pubblicitari non essenziali che erano già stati installati sui computer degli utenti quando sono arrivati su Google.fr.
Multa di 42 milioni di dollari per i biscotti di Amazon
Lo stesso giorno in cui Google è stato multato, la CNIL ha multato anche Amazon per 35 milioni di euro (42 milioni di dollari).
Come Google.fr, Amazon.fr ha inserito automaticamente dei cookie nei computer degli utenti senza richiedere loro di compiere alcuna azione per indicare il consenso. Anche le informazioni fornite sui cookie non erano "né chiare né complete".
Come nel caso di Google.fr, il cookie banner di Amazon non dava agli utenti la possibilità di accettare i cookie, e il sito ha inserito i cookie nei dispositivi degli utenti prima che questi avessero l'opportunità di leggere l'informativa sui cookie di Amazon o di rinunciare. Al contrario, si riteneva che gli utenti avessero accettato l'uso dei cookie da parte del sito utilizzando il sito stesso.
Questi casi chiariscono che affidarsi a un consenso implicito o a caselle di controllo pre-selezionate mette la vostra organizzazione a rischio di sanzioni significative. Ai sensi del GDPR e della Direttiva ePrivacy, il consenso deve essere esplicito, informato e basato su una chiara azione dell'utente, non su supposizioni.
Quali sono i requisiti GDPR ?
Il GDPR una definizione restrittiva del consenso, stabilitanell’articolo 7, e stabilisce che alle organizzazioni sia vietato ricorrere al consenso implicito o al consenso con opzione di rinuncia.
Il consenso deve invece essere:
- Un chiaro atto affermativo
- Liberamente dato
- Specifico
- Informato
- Inequivocabile
Inoltre, le aziende devono offrire agli utenti un modo semplice perrevocare il consenso già prestato.
Tutti i cookie richiedono il consenso dell'utente ai sensi del GDPR?
Ai sensi del GDPR, gli unici tipi di cookie che non richiedono il consenso dell’utente sonoquelli indispensabili per il corretto funzionamento dei siti web, noti come cookie strettamente necessari o essenziali.
Il GDPR i cookie solo una volta nelle sue 88 pagine. Ciò è dovuto al fatto che ulteriori indicazioni sono contenute nel testo legislativo ad esso correlato, la Direttiva ePrivacy, soprannominata la legge UE sui cookie.
Se si leggono il GDPR e la direttiva e-privacy GDPR , tutti i cookie Internet richiedono in genere il consenso dell’utente, a meno che non siano strettamente necessari.
Ciò è dovuto al fatto che lo scopo della direttiva ePrivacy è quello di tutelare gli utenti da qualsiasi interferenza nella loro vita privata. Ciò comprende, oltre ai dati personali degli utenti, anche i rischi associati agli identificatori nascosti e a file simili inseriti nei dispositivi degli utenti a loro insaputa.
Cosa sono i cookie strettamente necessari/essenziali?
Ai sensi del GDPR, in genere non è necessario il consenso dell'utente se si utilizzano cookie strettamente necessari.
Si tratta di cookie indispensabili affinché il sito possa garantire le funzioni essenziali, tra cui:
- Cookie che consentono al vostro negozio online di conservare gli articoli di un cliente nel suo carrello.
- Cookie di autenticazione
- Cookie di sicurezza incentrati sull'utente
- Plugin di social media per la condivisione di contenuti, a condizione che non siano utilizzati per tracciare gli utenti
- Cookie di personalizzazione dell'interfaccia utente
Cosa sono i cookie di bilanciamento del carico?
Esistono inoltre cookie utilizzati esclusivamente per la comunicazione tramite una rete di comunicazione elettronica, denominati “cookie di bilanciamento del carico”.
Anche questi sono generalmente considerati cookie strettamente necessari e non richiedono il consenso dell'utente, purché rimangano memorizzati sul dispositivo dell'utente per tutta la durata della sessione.
Tra gli esempi figurano i cookie che:
- Scambio di dati nell'ordine previsto
- Inviare informazioni in rete
- Rilevare la perdita di dati o gli errori di trasmissione
Tutti gli altri cookie, in particolare quelli relativi all’analisi dei dati e alla pubblicità, richiedono il consenso poiché sono finalizzati al vantaggio dell’azienda e non a quello degli utenti.
Puoi scoprire facilmente quali cookie sono presenti sul tuo sito web utilizzando il nostro strumento gratuito di analisi dei cookie.
Per garantire che le tue pratiche relative ai cookie siano conformi agli standard legali, puoi anche avvalerti di una soluzione come gestione del consenso PlatformTermly, che ti aiuta a raccogliere consensi validi, gestire le preferenze e conservare una documentazione adeguata su tutto il tuo sito.
Natasha Piirainen è una scrittrice specializzata in privacy con una laurea in inglese e filosofia conseguita presso il Wheaton College e oltre 10 anni di esperienza professionale nello sviluppo di contenuti basati sulla ricerca.
Leggi tutti i post di Natasha Piirainen
Revisionato da Masha Komnenic CIPP/E, CIPM, CIPT, FIP
Masha Komnenic è consulente legale e Direttore della Privacy Globale Termly, laureata in giurisprudenza presso l'Università di Belgrado. È specializzata nell'implementazione, nel monitoraggio e nella verifica della conformità aziendale alle normative sulla privacy (HIPAA, PIPEDA, Direttiva ePrivacy, GDPR, CCPA, POPIA, LGPD).
Leggi tutti i post revisionati da Masha Komnenic CIPP/E, CIPM, CIPT, FIP
