Il consenso ai cookie copre localStorage, pixel e fingerprinting?

Sì. La regola UE sui cookie dell’articolo 5, paragrafo 3, della direttiva ePrivacy non menziona mai i cookie. Riguarda l’archiviazione di informazioni sul dispositivo dell’utente e l’accesso a informazioni già presenti, con qualsiasi tecnologia. localStorage, IndexedDB, pixel di tracciamento e script di fingerprinting rientrano tutti nel suo ambito, e il Comitato europeo per la protezione dei dati (EDPB) lo ha confermato nelle sue Linee guida 2/2023.

Che cosa dice davvero la legge?

L’articolo 5, paragrafo 3, stabilisce che archiviare informazioni, o accedere a informazioni già archiviate, nell’apparecchiatura terminale di un utente è consentito solo con il consenso dell’utente, dopo che gli sono state fornite informazioni chiare e complete. Sono previste due esenzioni: l’archiviazione o l’accesso necessari al solo scopo di trasmettere una comunicazione, e l’archiviazione o l’accesso strettamente necessari per fornire un servizio esplicitamente richiesto dall’utente.

La parola “cookie” compare solo nei considerando, come esempio. L’obbligo in sé è definito da ciò che accade sul dispositivo, non dal meccanismo. Ecco perché “cookie law” è un nome fuorviante e perché spostare i dati di tracciamento fuori dai cookie non li sottrae alla legge. Per capire come questa regola interagisce con il GDPR, leggi direttiva ePrivacy e GDPR.

Che cosa hanno chiarito le Linee guida 2/2023 dell’EDPB?

L’EDPB ha pubblicato le Linee guida 2/2023 per risolvere le controversie sull’ambito tecnico dell’articolo 5, paragrafo 3, e le ha adottate in versione definitiva nel 2024. Le linee guida scompongono la regola nei suoi elementi e interpretano ciascuno in senso ampio.

• Informazioni significa qualsiasi informazione, non solo dati personali. Un identificativo casuale o un’impostazione del dispositivo rientrano nella definizione.
• Apparecchiatura terminale è qualsiasi dispositivo che si connette a una rete: un portatile, uno smartphone, una smart TV o un’auto connessa.
• Archiviazione comprende qualsiasi scrittura sul dispositivo, che avvenga nei cookie, nello storage del browser, nella cache o in file.
• Accesso si verifica ogni volta che un soggetto compie azioni per ottenere informazioni dal dispositivo. Istruire il browser a inviare informazioni rientra nella definizione, anche se nessuno legge direttamente lo storage.

L’ultimo punto è il più importante. Secondo questa interpretazione, uno script che chiede al browser la risoluzione dello schermo, i font installati o l’impronta grafica sta accedendo a informazioni, e lo stesso vale per un tag immagine che fa inviare al browser una richiesta contenente identificativi.

L’EDPB esamina anche casi d’uso specifici, tra cui pixel di tracciamento, link di tracciamento, dati trattati localmente e poi rinviati, alcune forme di tracciamento basato sull’indirizzo IP, dispositivi connessi e identificativi univoci. In ciascuno la domanda è la stessa: qualcuno ha fatto sì che informazioni venissero archiviate sul dispositivo dell’utente o inviate da esso?

Quali tecnologie richiedono il consenso?

Applica lo stesso test a ogni tecnologia: se archivia o legge informazioni sul dispositivo e non è strettamente necessaria per qualcosa che l’utente ha richiesto, serve il consenso.

Tecnologia	Rientra nell’articolo 5, paragrafo 3?	Uso comune che richiede il consenso
Cookie HTTP e JavaScript	Sì	Identificativi di analisi e pubblicitari
localStorage e sessionStorage	Sì	ID client di analisi, buffer di session replay
IndexedDB e Cache Storage	Sì	Dati pubblicitari o di tracciamento in cache
Pixel di tracciamento (web ed email)	Sì, secondo l’EDPB	Tracciamento delle conversioni, tracciamento delle aperture delle email
Script di fingerprinting	Sì, secondo l’EDPB	Identificazione tra siti senza cookie
Parametri di tracciamento nei link	Può rientrarvi, a seconda di come l’identificativo viene impostato e letto	Attribuzione di clic e campagne

La tabella è un punto di partenza, non un verdetto. Un pixel usato solo per caricare un’immagine decorativa non traccia nulla, mentre uno script di analisi “senza cookie” che costruisce un hash stabile del dispositivo di solito lo fa.

L’esenzione per ciò che è strettamente necessario si applica ancora?

Sì, ed è anch’essa tecnologicamente neutra. Se qualcosa è strettamente necessario per fornire un servizio esplicitamente richiesto dall’utente, puoi archiviarlo o leggerlo senza consenso, qualunque sia il meccanismo di archiviazione.

Esempi tipici in localStorage:

// Strettamente necessari: l'utente ha richiesto queste funzionalità
localStorage.setItem('cart', JSON.stringify(cartItems));
localStorage.setItem('locale', 'de');
localStorage.setItem('consent', JSON.stringify(choices)); // memorizza la scelta stessa

// Richiede il consenso: identifica il dispositivo a fini di analisi o pubblicità
localStorage.setItem('analytics_client_id', crypto.randomUUID());

Il test riguarda la finalità, non la tecnologia. La stessa chiave può essere esente in un uso e richiedere il consenso in un altro, quindi non riutilizzare un valore necessario, come un ID di sessione, per l’analisi. Per un elenco più completo, leggi che cosa si intende per cookie strettamente necessario.

Il fingerprinting permette di evitare l’obbligo di consenso?

No. Il fingerprinting viene spesso proposto come un modo per aggirare i banner dei cookie, ma si basa sulla lettura delle caratteristiche del dispositivo tramite il browser, che l’EDPB considera un accesso alle informazioni presenti sul dispositivo. Richiede il consenso e, poiché gli utenti non possono vedere o cancellare un’impronta digitale come fanno con i cookie, le autorità tendono a considerarlo più invasivo, non meno.

Lo stesso vale per i fornitori “senza cookie” che costruiscono un identificativo persistente a partire dai segnali del dispositivo. Se vuoi fare analisi senza consenso, la strada onesta è raccogliere meno dati: conteggi aggregati senza alcun identificativo persistente. Le opzioni sono illustrate in analytics senza cookie: che cosa funziona senza consenso.

Che cosa devo fare sul mio sito?

Tratta ogni tecnologia di archiviazione o di accesso come se fosse un cookie.

1. Censisci tutto. Il tuo audit dei cookie dovrebbe elencare non solo i cookie, ma anche le chiavi di localStorage, sessionStorage e IndexedDB, le richieste di pixel in uscita e gli script che leggono le caratteristiche del dispositivo.
2. Classifica per finalità. Contrassegna ogni elemento come strettamente necessario oppure come analitico, di marketing o funzionale, usando le stesse categorie del tuo banner.
3. Blocca prima del consenso. Trattieni gli script e i pixel che scrivono o leggono dati non essenziali finché l’utente non acconsente. Leggi come bloccare gli script di terze parti fino al consenso.
4. Dichiaralo. La tua cookie policy dovrebbe indicare anche le tecnologie diverse dai cookie, con la loro finalità e durata.
5. Fai pulizia in caso di rifiuto o revoca. Rimuovi le chiavi non essenziali dallo storage del browser quando un utente dice di no, proprio come faresti con i cookie.

In sintesi

Le regole UE sul consenso guardano a ciò che accade sul dispositivo, non al nome della tecnologia. Se archivi o leggi qualcosa a fini di analisi, pubblicità o tracciamento, che sia in un cookie, in localStorage, tramite un pixel o con il fingerprinting, ti serve prima il consenso. Strumenti come Cookiesh rilevano insieme cookie, chiavi di storage e richieste di terze parti, così il tracciamento che non usa cookie compare nello stesso inventario di tutto il resto.

Questo articolo ha carattere puramente informativo e non costituisce consulenza legale. Per decisioni relative alla tua situazione specifica, rivolgiti a un professionista qualificato in materia di privacy.