I cookie sono usati per differenti finalità: esecuzione di autenticazioni informatiche, monitoraggio di sessioni, memorizzazione di informazioni su specifiche configurazioni riguardanti gli utenti che accedono al server, memorizzazione delle preferenze, ecc.

Sono i cookie che servono a effettuare la navigazione o a fornire un servizio richiesto dall´utente. Non vengono utilizzati per scopi ulteriori e sono normalmente installati direttamente dal titolare del sito web.

Senza il ricorso a tali cookie, alcune operazioni non potrebbero essere compiute o sarebbero più complesse e/o meno sicure, come ad esempio le attività di home banking (visualizzazione dell´estratto conto, bonifici, pagamento di bollette, ecc.), per le quali i cookie, che consentono di effettuare e mantenere l´identificazione dell´utente nell´ambito della sessione, risultano indispensabili.

Il Garante (cfr. provvedimento dell´8 maggio 2014) ha precisato che possono essere assimilati ai cookie tecnici soltanto se utilizzati a fini di ottimizzazione del sito direttamente dal titolare del sito stesso, che potrà raccogliere informazioni in forma aggregata sul numero degli utenti e su come questi visitano il sito. A queste condizioni, per i cookie analytics valgono le stesse regole, in tema di informativa e consenso, previste per i cookie tecnici.

Sono i cookie utilizzati per tracciare la navigazione dell´utente in rete e creare profili sui suoi gusti, abitudini, scelte, ecc. Con questi cookie possono essere trasmessi al terminale dell´utente messaggi pubblicitari in linea con le preferenze già manifestate dallo stesso utente nella navigazione online.

Dipende dalle finalità per le quali i cookie vengono usati e, quindi, se sono cookie “tecnici” o di “profilazione”.

Per l´installazione dei cookie tecnici non è richiesto il consenso degli utenti, mentre è necessario dare l´informativa (art. 13 del Codice privacy). I cookie di profilazione, invece, possono essere installati sul terminale dell´utente soltanto se questo abbia espresso il proprio consenso dopo essere stato informato con modalità semplificate.

Come stabilito dal Garante nel provvedimento indicato alla domanda n. 4, l´informativa va impostata su due livelli.

Nel momento in cui l´utente accede a un sito web (sulla home page o su qualunque altra pagina), deve immediatamente comparire un banner contenente una prima informativa “breve”, la richiesta di consenso all´uso dei cookie e un link per accedere ad un´informativa più “estesa”. In questa pagina, l´utente potrà reperire maggiori e più dettagliate informazioni sui cookie scegliere quali specifici cookie autorizzare.

Il banner deve avere dimensioni tali da coprire in parte il contenuto della pagina web che l´utente sta visitando. Deve poter essere eliminato soltanto tramite un intervento attivo dell´utente, ossia attraverso la selezione di un elemento contenuto nella pagina sottostante.

Il banner deve specificare che il sito utilizza cookie di profilazione, eventualmente anche di “terze parti”, che consentono di inviare messaggi pubblicitari in linea con le preferenze dell´utente.

Deve contenere il link all´informativa estesa e l´indicazione che, tramite quel link, è possibile negare il consenso all´installazione di qualunque cookie.

Deve precisare che se l´utente sceglie di proseguire “saltando” il banner, acconsente all´uso dei cookie.

Per tenere traccia del consenso acquisito, il titolare del sito può avvalersi di un apposito cookie tecnico, sistema non particolarmente invasivo e che non richiede a sua volta un ulteriore consenso.

In presenza di tale “documentazione”, non è necessario che l´informativa breve sia riproposta alla seconda visita dell´utente sul sito, ferma restando la possibilità per quest´ultimo di negare il consenso e/o modificare, in ogni momento e in maniera agevole, le proprie opzioni, ad esempio tramite accesso all´informativa estesa, che deve essere quindi linkabile da ogni pagina del sito.

Deve contenere tutti gli elementi previsti dalla legge, descrivere analiticamente le caratteristiche e le finalità dei cookie installati dal sito e consentire all´utente di selezionare/deselezionare i singoli cookie.

Deve includere il link aggiornato alle informative e ai moduli di consenso delle terze parti con le quali il titolare ha stipulato accordi per l´installazione di cookie tramite il proprio sito.

Deve richiamare, infine, la possibilità per l´utente di manifestare le proprie opzioni sui cookie anche attraverso le impostazioni del browser utilizzato.

Il titolare del sito web che installa cookie di profilazione.

Per i cookie di terze parti installati tramite il sito, gli obblighi di informativa e consenso gravano sulle terze parti, ma il titolare del sito, quale intermediario tecnico tra queste e gli utenti, è tenuto a inserire nell´informativa “estesa” i link aggiornati alle informative e ai moduli di consenso delle terze parti stesse.

I cookie di profilazione, che di solito permangono nel tempo, sono soggetti all´obbligo di notificazione, mentre i cookie che hanno finalità diverse e che rientrano nella categoria dei cookie tecnici, non debbono essere notificati al Garante.

Il Garante ha previsto un periodo transitorio di un anno a decorrere dalla pubblicazione del provvedimento in Gazzetta Ufficiale per consentire ai soggetti interessati di mettersi in regola. Tale periodo terminerà il 2 giugno 2015.