Cosa insegnano ai gestori di siti web le sanzioni sui cookie

Le sanzioni sui cookie continuano a colpire sempre gli stessi pochi errori: rendere “rifiuta” più difficile di “accetta”, considerare consenso le caselle preselezionate o la prosecuzione della navigazione, e caricare i tracker prima che qualcuno abbia scelto. Le lezioni più chiare arrivano dalla sentenza Planet49 della Corte di giustizia dell’UE e dalle sanzioni inflitte nel 2021 dalla Francia a Google e Facebook. Correggi questi schemi e verifica il tuo sito come farebbe un’autorità di controllo.

Cosa è successo nelle decisioni della CNIL contro Google e Facebook?

Nel dicembre 2021 l’autorità francese per la protezione dei dati, la CNIL, ha sanzionato Google per 150 milioni di euro e Facebook per 60 milioni di euro. La conclusione centrale era semplice: sui loro siti accettare i cookie richiedeva un solo clic, mentre rifiutarli ne richiedeva diversi.

Secondo la CNIL questa asimmetria spingeva le persone ad accettare, quindi il consenso raccolto non era libero. Nessuno era obbligato ad accettare, ma la strada più semplice portava al sì, e tanto bastava. L’autorità ha anche ordinato a entrambe le aziende di offrire un modo per rifiutare i cookie semplice quanto accettarli.

Le decisioni hanno mostrato inoltre che le regole sui cookie seguono un proprio percorso sanzionatorio. La CNIL ha agito in base alla legge francese che recepisce la direttiva ePrivacy, anziché tramite la procedura transfrontaliera del Regolamento generale sulla protezione dei dati (GDPR), quindi non ha dovuto rimettersi a un’autorità capofila di un altro Paese.

La lezione: inserisci un’opzione di rifiuto nel primo livello, con la stessa evidenza di quella per accettare. La nostra guida ai dark pattern nei banner dei cookie illustra gli espedienti di design correlati che le autorità cercano.

Cosa ha stabilito la sentenza Planet49?

Nella sentenza Planet49 (C-673/17, 2019), la Corte di giustizia dell’Unione europea (CGUE) ha stabilito che una casella preselezionata non produce un consenso valido ai cookie. Il visitatore deve compiere un’azione attiva.

Il caso riguardava un concorso a premi online in cui una casella che autorizzava i cookie era selezionata per impostazione predefinita. La Corte ha stabilito che il consenso richiede un comportamento attivo, quindi lasciare un’impostazione predefinita non basta. Ha inoltre confermato che l’obbligo di consenso si applica alle informazioni archiviate sul dispositivo indipendentemente dal fatto che siano dati personali, e che gli utenti devono essere informati sulla durata di funzionamento dei cookie e sulla possibilità che terze parti vi accedano.

La lezione: fai partire disattivata ogni categoria non essenziale e assicurati che il banner o il pannello delle impostazioni spieghi la durata dei cookie e l’accesso da parte di terzi.

Quali errori continuano a trovare le autorità?

Gli stessi pochi problemi si ripresentano di continuo. La maggior parte è visibile a chiunque apra gli strumenti per sviluppatori del browser.

Errore comune	Perché non è conforme	Cosa fare invece
Nessun pulsante di rifiuto nel primo livello	Rifiutare è più difficile che accettare, quindi il consenso non è libero	Mostra “accetta” e “rifiuta” affiancati, con la stessa evidenza
Caselle preselezionate o interruttori preattivati	Non è una scelta attiva e inequivocabile	Fai partire disattivata ogni categoria non essenziale
Tracker che partono al caricamento della pagina	Il consenso non viene ottenuto prima dell’accesso	Blocca gli script finché la categoria corrispondente non viene autorizzata
Avvisi del tipo “Usando questo sito accetti”	Continuare a navigare non è un’azione positiva	Richiedi un clic esplicito per accettare
Cookie installati anche dopo un rifiuto	La scelta viene registrata ma non applicata	Testa il percorso di rifiuto su ogni template di pagina
Elenchi di cookie non aggiornati	Il consenso non è adeguatamente informato	Ripeti la scansione e aggiorna la policy quando cambiano i tag
Nessun modo semplice per revocare	Revocare deve essere facile quanto acconsentire	Mantieni un link sempre visibile che riapra le impostazioni

La terza e la quinta riga meritano particolare attenzione. Un banner ben progettato non offre alcuna protezione se gli script dietro di esso ignorano la risposta. La nostra guida su come bloccare gli script di terze parti fino al consenso affronta l’aspetto tecnico.

Perché le autorità nazionali intervengono così spesso sui cookie?

Le violazioni sui cookie sono facili da verificare, facili da segnalare e perseguibili a livello locale. Questa combinazione le rende un bersaglio frequente.

Poiché le regole ePrivacy sono recepite nel diritto nazionale, di solito un’autorità può agire contro qualsiasi sito che si rivolge a persone nel proprio Paese, senza il coordinamento transfrontaliero previsto dal GDPR. Il nostro approfondimento su direttiva ePrivacy e GDPR spiega perché i due regimi vengono applicati in modo diverso.

Molte indagini partono da reclami di utenti o di associazioni per la tutela della privacy, alcune delle quali hanno presentato reclami in blocco contro siti con banner non conformi. Le autorità conducono anche controlli a tappeto e campagne di verifica proprie. Raccogliere le prove è semplice: basta uno screenshot del banner e un elenco delle richieste inviate prima di qualsiasi scelta.

Le sanzioni dipendono dal percorso. Ai sensi dell’articolo 83, paragrafo 5, del GDPR, le violazioni più gravi possono comportare sanzioni fino a 20 milioni di euro o fino al 4% del fatturato mondiale annuo, se superiore. Le sanzioni previste dalle leggi nazionali ePrivacy seguono le regole di ciascun Paese. In entrambi i casi, le autorità possono anche ordinare modifiche, a volte con scadenze precise.

Come puoi verificare il tuo sito come farebbe un’autorità?

Carica il sito come un visitatore alla prima visita, registra cosa succede prima di qualsiasi clic, poi testa ogni scelta offerta dal banner. Una verifica di base si completa in una sola giornata di lavoro.

1. Parti da zero. Apri una finestra di navigazione privata con gli strumenti per sviluppatori aperti sulle schede Network e Application (o Storage).
2. Carica le pagine principali senza interagire. Controlla la homepage, una pagina di contenuto e una pagina di checkout o di registrazione, annotando ogni cookie, voce di local storage e richiesta di terze parti.
3. Segnala tutto ciò che non è essenziale. Richieste di analisi, pubblicitarie o dei social media in questa fase sono un problema.
4. Conta i clic. Confronta lo sforzo necessario per accettare tutto con quello necessario per rifiutare tutto.
5. Rifiuta e naviga. Rifiuta tutto, poi naviga e ricarica le pagine. Non devono comparire nuovi cookie o richieste non essenziali.
6. Accetta una sola categoria. Autorizza, per esempio, solo l’analisi e verifica che vengano caricati solo i tag di analisi.
7. Revoca. Riapri le impostazioni, revoca il consenso e verifica che i tag interessati si fermino.
8. Confronta e recupera. Controlla che la tua cookie policy corrisponda a ciò che hai osservato e di riuscire a trovare la registrazione del consenso relativa alla tua visita di prova.

Per un inventario completo di tutto ciò che il tuo sito installa, segui la nostra guida su come eseguire un audit dei cookie.

In sintesi

La storia delle sanzioni è insolitamente coerente: le autorità puniscono le scelte asimmetriche, il consenso attivo per impostazione predefinita e i tracker che ignorano la risposta del visitatore. Nessuno di questi problemi è difficile da individuare, ed è per questo che continuano a comparire nelle decisioni. Strumenti come Cookiesh possono eseguire scansioni automatiche dei cookie e conservare registri del consenso concatenati tramite hash, ma il primo passo più utile è un test manuale del tuo banner con la checklist qui sopra.

Questo articolo ha carattere puramente informativo e non costituisce consulenza legale. Per decisioni relative alla tua situazione specifica, rivolgiti a un professionista qualificato in materia di privacy.